Los 114 controles de la ISO 27001

Los 114 controles de la ISO 27001

La norma ISO 27001 es un estándar internacional que establece los requisitos para un sistema de gestión de seguridad de la información (SGSI) efectivo. La implementación de un SGSI basado en la norma ISO 27001 ayuda a las organizaciones a proteger su información y a garantizar la confidencialidad, integridad y disponibilidad de los datos.

Uno de los elementos clave de la norma ISO 27001 son los 114 controles que se especifican en la sección A.12 del Anexo A. Estos controles se dividen en 14 categorías, cada una de las cuales está diseñada para abordar un área específica de la seguridad de la información. 

Tabla de contenidos

A continuación, analizaremos cada una de estas categorías y algunos de los controles asociados.

  • Política de seguridad de la información

Esta categoría se centra en el establecimiento de una política de seguridad de la información que establezca las directrices generales para la gestión de la seguridad de la información en la organización. Algunos de los controles asociados incluyen la revisión regular de la política de seguridad de la información y la asignación de responsabilidades claras para la gestión de la seguridad de la información.

  • Organización de la seguridad de la información

Esta categoría se centra en la organización de la seguridad de la información en la organización. Algunos de los controles asociados incluyen la designación de un responsable de la seguridad de la información y la definición de roles y responsabilidades claros para la gestión de la seguridad de la información.

  • Gestión de activos

Esta categoría se centra en la gestión de los activos de información de la organización, incluyendo el inventario, la propiedad y la clasificación de la información. Algunos de los controles asociados incluyen la identificación de los activos de información críticos y la implementación de medidas de seguridad adecuadas para protegerlos.

  • Seguridad de recursos humanos

Esta categoría se centra en la seguridad de los recursos humanos en la organización, incluyendo la contratación, la formación y la concienciación sobre la seguridad de la información. Algunos de los controles asociados incluyen la realización de verificaciones de antecedentes y la formación en seguridad de la información para todos los empleados.

  • Seguridad física y del entorno

Esta categoría se centra en la seguridad física y del entorno en la organización, incluyendo la protección contra el acceso no autorizado y los desastres naturales. Algunos de los controles asociados incluyen el establecimiento de medidas de seguridad física adecuadas, como el control de acceso y la vigilancia de la seguridad.

  • Gestión de comunicaciones y operaciones

Esta categoría se centra en la gestión de las comunicaciones y las operaciones en la organización, incluyendo la gestión de la red y la gestión de los servicios de terceros. Algunos de los controles asociados incluyen la gestión de la seguridad de los sistemas de información y la implementación de medidas de seguridad para los servicios de terceros.

  • Control de accesos

Esta categoría se centra en el control de acceso a la información en la organización. Algunos de los controles asociados incluyen la definición de políticas de acceso y la implementación de medidas de seguridad para la autenticación y la autorización.

  • Adquisición, desarrollo y mantenimiento de sistemas de información

Esta categoría se centra en la seguridad en la adquisición, desarrollo y mantenimiento de los sistemas de información de la organización. Algunos de los controles asociados incluyen la evaluación de la seguridad de los sistemas de información adquiridos y la implementación de medidas de seguridad durante el desarrollo y el mantenimiento de los sistemas de información internos.

  • Gestión de incidentes de seguridad de la información

Esta categoría se centra en la gestión de incidentes de seguridad de la información en la organización, incluyendo la identificación, la evaluación y la respuesta a los incidentes de seguridad de la información. Algunos de los controles asociados incluyen la definición de procedimientos para la gestión de incidentes y la realización de pruebas de simulación de incidentes.

  • Gestión de la continuidad del negocio

Esta categoría se centra en la gestión de la continuidad del negocio en la organización, incluyendo la planificación y preparación para la recuperación en caso de interrupciones. Algunos de los controles asociados incluyen la definición de planes de continuidad del negocio y la realización de pruebas de simulación de interrupciones.

  • Conformidad

Esta categoría se centra en la conformidad con los requisitos legales y reglamentarios, así como con las políticas internas y los compromisos contractuales. Algunos de los controles asociados incluyen la identificación de los requisitos legales y reglamentarios relevantes y la implementación de medidas para garantizar el cumplimiento.

  • Gestión de la seguridad de la información en terceros

Esta categoría se centra en la gestión de la seguridad de la información en terceros, como proveedores y contratistas. Algunos de los controles asociados incluyen la evaluación de la seguridad de los terceros y la implementación de medidas para garantizar la seguridad de la información compartida con terceros.

  • Seguridad en las comunicaciones

Esta categoría se centra en la seguridad en las comunicaciones electrónicas en la organización, incluyendo la protección de la información transmitida a través de redes públicas. Algunos de los controles asociados incluyen la implementación de medidas de seguridad para la transmisión de información confidencial y la protección de la información contra el acceso no autorizado.

  • Operaciones de seguridad

Esta categoría se centra en la gestión de las operaciones de seguridad de la información en la organización, incluyendo la realización de auditorías y revisiones de la seguridad de la información. Algunos de los controles asociados incluyen la realización de pruebas de penetración y la implementación de medidas para garantizar la seguridad en la gestión de la información.

En resumen, la norma ISO 27001 establece una serie de controles que abarcan todos los aspectos de la seguridad de la información en una organización. La implementación de estos controles puede ayudar a las organizaciones a proteger su información y a garantizar la confidencialidad, integridad y disponibilidad de los datos.

Por: Manuel De la Colina

¿Quieres o tienes que implementar y/o certificar la ISO 27001 en tu organización? Contáctanos

Comparte este Post

Noticias relacionadas

beneficios estandarizar procesos

Beneficios de estandarizar procesos

Beneficios de estandarizar procesos ¿Por qué estandarizar procesos? Para reducir errores, mejorar la calidad, ahorrar tiempo y costos, y garantizar consistencia en las operaciones. La

Read More »