Seguridad de la información

ISO 27001 se divide en 11 secciones y un anexo. Las secciones 0 a 3 son introductorias (no son obligatorias para la implementación), mientras que las secciones 4 a 10 son obligatorias y la organización deberá implementar todos sus requerimientos.

0 – Introducción: explica el objetivo de la norma

S1 – Alcance: explica que esta norma es aplicable a cualquier tipo de organización.

S2 – Referencias normativas: hace referencia a la norma ISO 27000 como estándar en el que se proporcionan términos y definiciones.

S3  – Términos y definiciones

S4 – Contexto de la organización: inicia de la fase de Planificación definiendo el alcance y las partes interesadas.

S5 – Liderazgo: se define las responsabilidades de la dirección y demás empleados implicados y se establece la política de la empresa sobre seguridad de la información.

S6 – Planificación: define los requerimientos para la evaluación y tratamiento de riesgos, la Declaración de aplicabilidad, el plan de tratamiento de riesgos y la determinación de los objetivos de seguridad de la información.

S7 – Apoyo: define los requerimientos sobre disponibilidad de recursos, competencias, concienciación, comunicación y control de documentos y registros.

S8 – Funcionamiento: comprende la implementación de la evaluación y el tratamiento de riesgos detectados, de los controles de seguridad y demás procesos necesarios para cumplir los objetivos de seguridad de la información.

S9 – Evaluación del desempeño: define los requerimientos a seguir para el monitoreo, medición, análisis, evaluación, auditoría interna y revisión por parte de la dirección.

S10 – Mejora: aborda el tratamiento de no conformidades, correcciones, medidas correctivas y mejora continua.

Annexo A – este anexo proporciona un catálogo de 114 controles (medidas de seguridad) distribuidos en 14 secciones.