TECNOLOGÍA
Compártelo
Estructura de la norma ISO 27001:2013

Estructura de la norma ISO 27001:2013

La estructura del estándar internacional ISO 27001:2013 cambia, al pasar de 8 cláusulas a 10. Esto se produce derivado de su alineación al Anexo SL de las directivas de ISO/IEC Parte 1, con lo cual ya no se basa en el modelo PDCA (Plan-Do-Check-Act), sino que ahora aplica la estructura de alto nivel, títulos de las sub-cláusulas, texto idéntico, términos comunes y las principales definiciones definidas en el Anexo SL.

Por tanto, mantiene compatibilidad con otros estándares de sistemas de gestión que también ha adoptado dicho Anexo (como ISO 22301 Business Continuity management systems — Requirements).

A nivel de controles, la nueva ISO, aunque aumentando el número de dominios de seguridad de 11 a 14, reestructura el número de controles, pasando de 133 a 114.

La norma se publica el 1 de octubre de 2013. El periodo de actualización para las empresas que ya están certificadas en la ISO 27001:2005 es de 2 años.

Resumen de cambios respecto a la versión 2005

  1. Eliminación de la referencia al enfoque de proceso de mejora continua PDCA.
  2. Reestructuración general de capítulos y subapartados con el fin de que todos los estándares de sistemas de gestión tengan la misma estructura.
  3. Mayor énfasis en el conocimiento del contexto de la organización y en el entendimiento de las necesidades de las partes interesadas. Este conocimiento debe suponer el punto fundamental para el establecimiento del sistema de gestión: definición del alcance, política, establecimiento de objetivos y análisis de riesgos.
  4. El proceso de análisis de riesgos se define de forma más genérica. Han sido eliminadas las referencias a la identificación de activos, amenazas y vulnerabilidades. Únicamente se hace necesario identificar riesgos (sin especificar cómo) asociados a la pérdida de confidencialidad, integridad y disponibilidad, tras analizar las potenciales consecuencias y la probabilidad para, finalmente, cuantificar el riesgo.
  5. Respecto a la selección de controles de seguridad para el tratamiento del riesgo, se deja a decisión de las organizaciones la selección de un marco de controles en caso que no se desee seguir ISO 27002, aunque, de cualquier modo, se deberá comparar con los controles del Anexo A para comprobar que no se obvia ningún control.
  6. Se otorga una mayor importancia al liderazgo de la Dirección en el sistema de gestión, no sólo desde el punto de vista de un compromiso formal, como se especificaba en la versión anterior.
  7. Se otorga mayor importancia al área de monitorización y medición del SGSI.
  8. Se ha eliminado el listado de documentos obligatorios, aunque en el cuerpo del estándar se hace referencia a distintos requisitos documentales. Por otro lado, se elimina la separación entre documentos y registros, siendo denominados, simplemente, información documentada.
  9. Los cambios en el Anexo A: se pasa de 11 a 14 capítulos y el número total de controles se reduce a 114. Criptografía se ha convertido en una sección separada y ya no es (lógicamente) parte del dominio de desarrollo y adquisiciones de sistemas. Algo similar ha sucedido con las relaciones con los proveedores, se han convertido en una sección aparte. El dominio gestión de comunicaciones y operaciones se dividió en operaciones de seguridad y comunicaciones de seguridad.

ENTRA EN CEUPE E INFÓRMATE SOBRE NUESTROS MÁSTERS DE TECNOLOGÍA Y SISTEMAS Y NUESTROS CURSOS DE ESPECIALIZACIÓN Y EXPERTOS SI TE INTERESA DESARROLLAR TUS CAPACIDADES EN EL CAMPO DE LOS SISTEMAS DE LA TECNOLOGÍA.

Artículo Anterior Sistemas de gestión ambiental
Artículo Siguiente Instrumentos de política comercial
Compártelo
 

Comentarios

No hay comentarios por el momento. Se el primero en enviar un comentario.
Invitado
Miércoles, 27 Octubre 2021
            

Síguenos

LinkedIn Youtube Twitter Instagram Facebook

Suscríbete a nuestro Magazine

Recibe Artículos, Conferencias
y Master Class

(*) He leído y acepto la Politica de Privacidad

Masterclass Tecnología

Tecnología

Caso Práctico - Protocolo MQTT

Tecnología

Brokers MQTT

Tecnología

Session Hijacking

Recibe tu
Pase Anual de
Conferencias
#conferenciaceupe
INSCRÍBETE

Noticias más populares

CEUPE Ecuador y el CIEEPI firman convenio de colaboración académica
CEUPE – Ecuador firma el pasado 26 de mayo de 2021 en Quito, Ecuador, el convenio de cooperación académica interinstitucional con el CIEEPI - Colegio de Ingenieros Eléctricos y Electrónicos de Pichinc...
Objetivos y beneficios de la externalización logística
👉Frente a la elevada competencia en el mercado y la tendencia a reducir costes y recortar gastos, los empresarios se centran en su actividad principal y subcontratan la gestión de actividades secundar...
Métodos de análisis de la inversión
El análisis de la inversión forma parte de la teoría de la inversión. La inversión como proceso de aumento del capital del inversor requiere comprender y evaluar la viabilidad de invertir en un proyec...
5 pasos para iniciar en el marketing de afiliación
El marketing de afiliación permite ganar dinero en línea, incluso si no se cuenta con un blog o un sitio web. Después de unos simples pasos se puede comenzar a trabajar e inmediatamente ganar las prim...

EMPRESAS

¿Cómo cambiar la estructura organizativa de una empresa?
Con frecuencia, la decisión de cambiar la estructura organizativa de una empresa es tomada por sus directivos. La primera etapa antes de iniciar la ad...
¿Cómo configurar la ventaja competitiva en la estrategia empresarial?
Con frecuencia, la ventaja competitiva se interpreta como algún tipo de superioridad de la empresa sobre sus competidores. Pero la ventaja competitiva...
¿Qué habilidades debe tener un analista de negocio?
A fin de aportar valor a las empresas con éxito, un analista de negocios debe poseer habilidades duras y blandas por igual. Habilidades blandas en el ...
¿Qué es un proyecto actual y un proyecto de desarrollo?
La gestión de proyectos se ha vuelto últimamente muy recurrente y tiene una explicación. Aunque la actividad actual de la empresa se basa en un proces...

MARKETING

Clasificación y modos de recopilar bases de datos de retargeting
Es importante tener en cuenta que el retargeting no consiste únicamente en mostrar anuncios a aquellos que han estado en tu sitio web, aunque la confi...
¿Qué es la capacidad del mercado?
Se trata de un indicador que aproxima la capacidad de un mercado para consumir un tipo de producto. Definición de la capacidad del mercado En general,...

CIENCIAS

Síguenos

LinkedIn Youtube Twitter Instagram Facebook

Masterclass Tecnología

Tecnología

Caso Práctico - Protocolo MQTT

Tecnología

Brokers MQTT

Tecnología

Session Hijacking

Recibe tu
Pase Anual de
Conferencias
#conferenciaceupe
INSCRÍBETE

Conferencias más vistas

Thumbail
Thumbail
Thumbail
Thumbail
Thumbail

LOGÍSTICA

RRHH

TURISMO

PSICOLOGÍA

TECNOLOGÍA

FINANZAS