ISO 27001 frente a ISO 27002
Como ISO 27000 es una serie de estándares que ha iniciado ISO para garantizar la seguridad dentro de las organizaciones en todo el mundo, vale la pena conocer la diferencia entre ISO 27001 e ISO 27002, dos de los estándares en ISO 27000 serie. Estos estándares se han iniciado en beneficio de las organizaciones y también para brindar un servicio de calidad a los clientes. Este artículo analiza las diferencias entre ISO 27001 e ISO 27002.
¿Qué es ISO 27001?
El estándar ISO 27001 es para garantizar la seguridad de la información y la protección de datos en organizaciones de todo el mundo. Este estándar es muy importante para las organizaciones comerciales para proteger a sus clientes y la información confidencial de la organización contra las amenazas. La implementación del sistema de gestión de seguridad de la información garantizaría la calidad, la seguridad, el servicio y la confiabilidad del producto de la organización que se puede salvaguardar en su nivel más alto.
El objetivo principal de la norma es proporcionar requisitos para establecer, implementar, mantener y mejorar continuamente un Sistema de gestión de seguridad de la información (SGSI). En la mayoría de las empresas, las decisiones de adopción de este tipo de estándares son tomadas por la alta dirección. Además, el requisito de contar con este tipo de sistema de seguridad de la información para la organización surge debido a varios factores, como las metas y objetivos de la organización, los requisitos de seguridad, el tamaño y la estructura de la organización, etc.
En la versión anterior de la norma en 2005, se desarrolló con base en el ciclo PDCA, el modelo Plan-Do-Check-Act para estructurar los procesos y que era una forma de reflejar los principios establecidos por la OECG pautas. La nueva versión en 2013 enfatiza medir y evaluar la efectividad del desempeño organizacional en SGSI. También se ha incluido un apartado basado en la externalización y se le da más énfasis a la seguridad de la información en las organizaciones.
¿Qué es ISO 27002?
La norma ISO 27002 se originó inicialmente como la norma ISO 17799, que se basa en el código de prácticas para la seguridad de la información. Destaca varios mecanismos de control de seguridad para organizaciones con la guía de ISO 27001.
El estándar se estableció en base a varias pautas y principios para iniciar, implementar, mejorar y mantener la gestión de la seguridad de la información dentro de una organización. Los controles reales en el estándar abordan requisitos específicos a través de una evaluación de riesgos formal. El estándar consiste en pautas específicas para los desarrollos en estándares de seguridad organizacional y prácticas efectivas de gestión de seguridad que serían útiles para generar confianza dentro de las actividades entre organizaciones.
La versión existente de la norma se publicó en 2013 como ISO 27002:2013 con 114 controles. El factor más importante a tener en cuenta es que, a lo largo de los años, se han desarrollado o se están desarrollando varias versiones específicas de la industria de la norma ISO 27002 en campos como el sector de la salud, la fabricación, etc.
¿Cuál es la diferencia entre ISO 27001 e ISO 27002?
• La norma ISO 27001 expresa los requisitos para la gestión de la seguridad de la información en las organizaciones y la norma ISO 27002 brinda apoyo y orientación a quienes son responsables de iniciar, implementar o mantener los Sistemas de Gestión de la Seguridad de la Información (SGSI).
• ISO 27001 es un estándar de auditoría basado en requisitos auditables, mientras que ISO 27002 es una guía de implementación basada en sugerencias de mejores prácticas.
• ISO 27001 incluye una lista de controles de gestión para las organizaciones, mientras que ISO 27002 tiene una lista de controles operativos para las organizaciones.
• La norma ISO 27001 se puede utilizar para auditar y certificar el sistema de gestión de seguridad de la información de la organización, y la norma ISO 27002 se puede utilizar para evaluar la exhaustividad del programa de seguridad de la información de una organización.
Atribución de imagen: “CIAJMK1209” por John M. Kennedy T. (CC BY-SA 3.0)
