En la actualidad, en un mundo donde la interconexión incrementa, los riesgos de seguridad de la información aún evolucionan con rapidez y generan desafíos para organizaciones. El implementar un enfoque sistemático que se base en estándares reconocidos a nivel internacional ha resultado crítico para gestionar estos riesgos de forma efectiva.
ISO/IEC 27005 es un estándar completo que guía la creación de un marco de extremo a extremo para la gestión de riesgos para la seguridad de la información (por sus siglas en inglés ISRM). Este artículo discute las principales características de la ISO/IEC 27005 y las estrategias para aprovechar su uso en la creación de capacidades ISRM sólidas.
En este artículo
Parte 1: Resumen del marco ISO IEC 27005
ISO/IEC 27005 plantea un enfoque holístico para ISRM basado en principios que se alinean con ISO 31000. Primero se publicó en el 2008, se revisó en el 2011 y hace poco en el 2022 para proporcionar una guía actualizada. El estándar abarca el proceso por completo desde la definición del contexto hasta la evaluación, aceptación, comunicación, monitoreo y mejora continua de los riesgos.
Algunos elementos importantes del marco ISO/IEC 27005 incluyen:
- Establecer el contexto interno y externo al definir el escopo, objetivos y partes interesadas de la gestión de riesgos.
- La identificación de riesgos se basa en el análisis de amenazas y vulnerabilidades de activos de información clave.
- El análisis y estimado de riesgos y la consideración de factores como probabilidades, consecuencias y niveles de riesgo.
- La evaluación de riesgos frente a criterio establecido para priorizar riesgos más críticos.
- El trato de riesgos al seleccionar opciones apropiadas como mitigación, aceptación, evitación o distribución.
- La definición un plan de acción ISRM que optimice las mejoras de control.
- La comunicación, consulta, monitoreo y revisión constante para mejorar la ISRM.
Parte 2: Principales estrategias para aprovechar la ISO/IEC 27005
Las organizaciones pueden considerar las siguientes estrategias para aprovechar de manera efectiva la ISO/IEC 27005 y gestionar los riesgos de seguridad de la información:
- Integrar ISRM en las políticas, normas y procesos de seguridad de la información para garantizar que se establezca en el programa de seguridad.
- Establecer equipos multifuncionales que involucren a líderes, IT, expertos en seguridad, representantes de unidades de negocio y profesionales de riesgos para adoptar un enfoque colaborativo.
- Definir con claridad roles y responsabilidades de ISRM enfocados en las tres líneas de modelos que abarquen líneas de negocios, función de seguridad y verificación independiente.
- Asignar recursos adecuados en términos de presupuestos, herramientas, personal y capacitación para crear capacidades de ISRM.
- Empezar con un alcance limitado para una implementación inicial que se enfoque en la información de activos y vulnerabilidades técnicas más críticas.
- Adaptar la metodología ISO 27005 que se base en el contexto de la industria, panorama normativo y organización del desarrollo de riesgos.
- Aprovechar la taxonomía ISRM y criterios de calificación en ISO 27005 para la identificación y evaluación de riesgos.
- Desarrollar paneles y métricas de reporte de riesgos para mantener a la gestión de más alto nivel informada sobre la presencia de riesgos de información.
- Dirigir programas de concientización y capacitación para formar una cultura de conciencia sobre riesgos entre el personal organizativo.
Parte 3: Diferencias importantes entre ISO IEC 27005 2018 vs. ISO 27005 2022
La versión del 2022 incluye algunas mejoras en comparación con la versión del 2018:
- Mejor énfasis al integrar ISRM en el proceso organizativo.
- Orientación adicional en la comunicación y consulta de riesgos.
- Más claridad en el criterio de evaluación de riesgos y estrategias del manejo de riesgos.
- Nuevos conceptos como responsables de riesgos para facilitar la rendición de cuentas.
- Alineación con los últimos principios de la gestión de riesgos ISO 31000.
- Actualizaciones de terminología para mejor coherencia.
Parte 4: Uso de EdrawMax para diagramación ISO IEC 27005
Los diagramas ofrecen una técnica efectiva para informar sobre la metodología y marco ISO/IEC 27005 a las partes interesadas en la organización. EdrawMax es un programa versátil de diagramación y visualización capaz de ayudar a crear diagramas ISRM profesionales que se alinean al estándar.
Calificación G2: 4,5/5 (Más de 2360 reseñas)
100% Seguro | Sin anuncios |
Impulsado por IA
Calificación G2: 4,5/5 (Más de 2360 reseñas)
100% Seguro | Sin anuncios | Con IAAlgunas principales características que hacen útil EdrawMax:
- Plantillas especializadas para ISRM que incluyen matrices de riesgos, flujos de diagrama, mapas de proceso y más. Esto permite un comienzo fácil.
- Bibliotecas con numerosas formas, íconos, símbolos y visuales para representar ISRM.
- Interfaz de arrastrar y soltar. Permite que se creen diagramas da manera fácil al solo seleccionar y posicionar elementos.
- La habilidad de vincular con facilidad elementos demuestra relaciones, flujos y conexiones.
- Gran variedad de estilización y personalización de formas, líneas, fuentes y colores para que se ajusten con la marca.
- Distintos formatos de exportación, entre ellos PDF, JPG, PNG y HTML, permiten una fácil distribución e integración.
Pasos importantes para crear un diagrama de gestión de riesgos ISO en EdrawMax:
Paso 1:
Descarga la aplicación de EdrawMax en tu computadora. En el panel de EdrawMax, selecciona la opción «Plantillas» que se encuentra en una barra a la izquierda. En la barra de búsqueda, escribe «Gestión de riesgos» o busca entre las plantillas disponibles hasta encontrar la que creas mejor.
Paso 2:
Una vez se abra la plantilla, puedes empezar a personalizarla para que vayan de acorde a tu escenario de gestión de riesgos específico. Esto puede incluir la adición, modificación o descarte de elementos como cuadros, texto, formas y flechas.
Paso 3:
Completa el diagrama con riesgos y controles específicos que sean relevantes para tu proyecto o organización.
Paso 4:
Personaliza los colores, fuentes y estilos para lograr un diagrama llamativo en el aspecto visual y fácil de comprender.
Paso 5:
Selecciona el menú de «Archivo» y luego «Guardar» para guardar tu trabajo. Elige una ubicación en tu computadora para guardar tu archivo.
Al seguir estos pasos, podrás crear un diagrama de gestión de riesgos al usando plantillas de EdrawMax. Recuerda guardar tu trabajo de manera periódica para no perder algún avance.
Conclusión
ISO/IEC 27005 proporciona un marco completo para gestionar los riesgos de seguridad de la información lo cual es popular a nivel global. Las organizaciones pueden lograr beneficios significativos al aprovechar el estándar en alineación con sus prioridades estratégicas y cultura de riesgo. Un enfoque sistemático pero pragmático que se enfoque en las personas, procesos y tecnología es importante para una implementación exitosa.
Herramientas de diagramación como EdrawMax permiten una mejor comunicación de programas ISRM a las partes interesadas internas y externas. Las amenazas cibernéticas han incrementado, así que el uso de ISO/IEC 27005 permite que las organizaciones tomen una postura proactiva y resiliente con respecto a la gestión de riesgos de seguridad de la información.
EdrawMax EscritorioEdrawMax AppEdrawMax Online
