L'abast del sistema
Definir bé l'abast és una de les decisions més importants del projecte. Determina quins processos, ubicacions i sistemes queden coberts pel SGSI i, per tant, per la certificació.
Consultoria ISO 27001
Consultoria ISO 27001 per implantar i certificar el teu SGSI.
T'ajudem a construir un sistema de gestió de seguretat de la informació basat en riscos, proporcionat a la teva organització i preparat per superar l'auditoria de certificació.
- ISO/IEC 27001:2022
- Enfocament basat en riscos
- Implantació i manteniment
La seguretat de la informació no és un projecte tecnològic aïllat: és un sistema de gestió que implica direcció, processos i persones.
Basat en riscos
Els controls responen als riscos reals, no a una llista genèrica.
Proporcionat
Documentació i esforç ajustats a la mida de l'organització.
Mantenible
Un sistema que l'equip pot gestionar un cop certificat.
Què implica una consultoria ISO 27001
Implantar la ISO 27001 vol dir definir com l'organització identifica, avalua i tracta els riscos sobre la informació que gestiona: dades de clients, informació interna, sistemes i serveis.
Com a consultors ISO 27001, acompanyem tot el procés: des de la definició de l'abast fins a la preparació de l'auditoria de certificació, treballant amb els responsables de cada àrea perquè el sistema encaixi amb la manera real de treballar.
La norma
Què és la ISO 27001?
La ISO/IEC 27001 és la norma internacional que estableix els requisits per a un sistema de gestió de seguretat de la informació (SGSI). La versió vigent és la de 2022.
La norma combina requisits de gestió (context, lideratge, planificació, suport, operació, avaluació i millora) amb un conjunt de controls de referència recollits a l'Annex A, organitzats en quatre temes.
A.5
Organitzatius
Polítiques, rols, gestió d'actius, proveïdors i incidents.
A.6
De persones
Selecció, conscienciació, formació i responsabilitats.
A.7
Físics
Protecció d'instal·lacions, equips i suports.
A.8
Tecnològics
Accessos, xifratge, còpies, monitorització i desenvolupament segur.
Per a qui és adequada
La ISO 27001 és aplicable a qualsevol organització, independentment de la seva mida o sector. És especialment rellevant quan:
Clients o licitacions ho exigeixen
Cada vegada més contractes i processos de compra demanen evidència de gestió de la seguretat.
Gestioneu informació sensible
Dades personals, informació de clients o coneixement crític del negoci.
Presteu serveis tecnològics
Empreses de software, serveis al núvol, suport TI o externalització.
Voleu ordenar la seguretat
Passar de mesures disperses a un sistema coherent i revisable.
Beneficis d'implantar un SGSI
- Confiança demostrable
- Una certificació reconeguda internacionalment davant clients i socis.
- Riscos sota control
- Decisions de seguretat preses amb criteri i prioritats clares.
- Responsabilitats definides
- Cada persona sap què li correspon en matèria de seguretat.
- Millor resposta a incidents
- Procediments preparats abans que passi res.
- Base per a altres requisits
- Facilita l'alineament amb altres marcs i obligacions de protecció de dades.
- Millora contínua
- El sistema es revisa i s'actualitza de manera periòdica.
Serveis relacionats amb la ISO 27001
Podem acompanyar el projecte complet o intervenir en fases concretes.
- Implantació
Implantació completa del SGSI
Des de la diagnosi inicial fins a la preparació de l'auditoria de certificació.
- Diagnosi
Anàlisi de diferències (gap analysis)
Avaluació de la situació actual respecte als requisits de la norma.
- Riscos
Anàlisi i tractament de riscos
Metodologia, identificació d'actius i amenaces, i pla de tractament.
- Auditoria
Auditoria interna ISO 27001
Revisió del sistema previ a l'auditoria externa o en el cicle de manteniment.
- Manteniment
Manteniment del sistema
Suport continu per revisar riscos, indicadors i preparar les auditories de seguiment.
- Transició
Adaptació a la versió 2022
Actualització de sistemes basats en la versió anterior de la norma.
Procés d'implantació
Com implantem la ISO 27001
Un recorregut per fases amb entregables clars en cada etapa.
- 01
Diagnosi i abast
Entenem el context, les parts interessades i definim l'abast del SGSI.
Informe de diagnosi - 02
Anàlisi de riscos
Identifiquem actius, amenaces i vulnerabilitats i avaluem els riscos.
Registre de riscos - 03
Tractament i SoA
Seleccionem controls de l'Annex A i justifiquem la seva aplicabilitat.
Declaració d'aplicabilitat - 04
Implantació
Desenvolupem polítiques, procediments i controls i formem l'equip.
Sistema operatiu - 05
Auditoria interna i revisió
Verifiquem el sistema i la direcció el revisa formalment.
Informe d'auditoria - 06
Certificació
Acompanyem les fases de l'auditoria amb l'entitat certificadora escollida.
Suport a l'auditoria
Mesures disperses o sistema de gestió
La diferència entre tenir mesures de seguretat i gestionar la seguretat.
| Sense SGSI | Amb un SGSI ISO 27001 |
|---|---|
| Mesures decidides cas per cas | Controls derivats d'una anàlisi de riscos |
| Responsabilitats poc clares | Rols i responsabilitats assignats |
| Documentació dispersa o inexistent | Documentació controlada i actualitzada |
| Revisió quan hi ha un problema | Auditories i revisions periòdiques |
| Difícil de demostrar a tercers | Evidència verificable per una entitat certificadora |
Preguntes freqüents sobre la ISO 27001
Quina diferència hi ha entre implantar i certificar la ISO 27001?
Implantar és posar en marxa el sistema de gestió dins l'organització. Certificar és que una entitat de certificació independent auditi el sistema i verifiqui que compleix la norma. La consultoria acompanya la implantació i la preparació; la certificació l'emet l'entitat certificadora.
Quant de temps requereix la implantació?
Depèn de l'abast, la mida de l'organització i el punt de partida. Després de la diagnosi inicial proposem un calendari adaptat a cada cas.
Quina vigència té el certificat?
El cicle de certificació habitual és de tres anys, amb auditories de seguiment periòdiques i una auditoria de renovació al final del cicle.
Cal tenir un departament de TI propi?
No necessàriament. La norma es pot aplicar també quan els serveis tecnològics estan externalitzats; en aquest cas la gestió de proveïdors pren més rellevància.
Es pot integrar amb la ISO 9001 o altres normes?
Sí. Les normes ISO de sistemes de gestió comparteixen una estructura comuna, cosa que permet integrar requisits com la política, els objectius, les auditories internes o la revisió per la direcció.
Implantació ISO 27001: aspectes clau
L'anàlisi de riscos com a eix
La ISO 27001 no imposa una llista tancada de mesures. Demana que l'organització apliqui una metodologia d'avaluació de riscos coherent i que els controls escollits responguin als riscos identificats.
La Declaració d'aplicabilitat
La Declaració d'aplicabilitat (SoA) recull quins controls de l'Annex A s'apliquen, quins s'exclouen i per què. És un document central que l'auditor revisarà amb detall.
Comencem pel teu punt de partida.
Explica'ns la teva situació actual i et proposarem com abordar la implantació de la ISO 27001.