Lista de documentos obligatorios exigidos por la norma ISO 27001 (revisión 2013)
Fuente: Dejan Kosutic.
La ISO 27001:2013 es una herramienta fundamental para aplicar seguridad de la información en cualquier organización, algunos obligatorios, otros optativos pero no menos importantes.
Se deja a continuación un listado completo con la finalidad de servir como base de conocimiento.
Documentos obligatorios y registros requeridos por ISO 27001:2013
Aquí están los documentos que necesita elaborar si quiere cumplir con la norma ISO 27001: (por favor tenga en cuenta que los documentos del anexo A son obligatorio sólo si existen riesgos que impliquen su implantación)
- El alcance del sistema de gestión de seguridad de la información (cláusula 4.3)
- Política de seguridad de la información y objetivos (cláusulas 5.2 y 6.2)
- Metodología de evaluación y tratamiento de riesgos (cláusula 6.1.2)
- Declaración de aplicabilidad (cláusula 6.1.3 d)
- Plan de tratamiento de riesgo (cláusula 6.1.3 e y 6.2)
- Informe sobre evaluación de riesgos (cláusula 8.2)
- Definición de roles y responsabilidades de seguridad (cláusulas A.7.1.2 y A.13.2.4)
- Inventario de activos (cláusula A.8.1.1)
- Uso aceptable de los activos (cláusula A.8.1.3)
- Política de control de acceso (cláusula A.9.1.1)
- Procedimientos de operación para gestión de TI (cláusula A.12.1.1)
- Principios de ingeniería de sistemas seguros (cláusula A.14.2.5)
- Política de seguridad para proveedores (cláusula A.15.1.1)
- Procedimiento para gestión de incidentes (cláusula A.16.1.5)
- Procedimientos de Continuidad de negocio (cláusula A.17.1.2)
- Requerimientos legales, regulatorios y contractuales (cláusula A.18.1.1)
Y aquí están los registros obligatorios:
- Registros de formación, habilidades, experiencia y calificaciones (cláusula 7.2)
- Seguimiento y resultados de medición (cláusula 9.1)
- Programa de auditoria interna (cláusula 9.2)
- Resultados de auditorías internas (cláusula 9.2)
- Resultados de la Revisión por Dirección (cláusula 9.3)
- Resultados de acciones correctivas (cláusula 10.1)
- Registros de las actividades de usuario, excepciones y eventos de seguridad (cláusulas A.12.4.1 y A.12.4.3)
Documentos no obligatorios
Hay numerosos documentos no obligatorio que pueden ser utilizados para la implementación de la ISO 27001, especialmente para los controles de seguridad del anexo A. Sin embargo, me encuentro con estos documentos que no son obligatorios pero que comúnmente son los más usados:
- Procedimiento para control de documentos (cláusula 7.5)
- Controles para la gestión de registros (cláusula 7.5)
- Procedimiento para auditoría interna (cláusula 9.2)
- Procedimiento para acciones correctivas (cláusula 10.1)
- Política BYOD (Bring Your Own Device = Trae tu propio dispositivo) (cláusula A.6.2.1)
- Política de dispositivo sobre dispositivos móviles y tele-trabajo (cláusula A.6.2.1)
- Política de clasificación de la información (cláusulas A.8.2.1, A.8.2.2 y A.8.2.3)
- Política de claves (cláusulas A.9.2.1, A.9.2.2, A.9.2.4, A.9.3.1 y A.9.4.3)
- Política de eliminación y destrucción (cláusulas A.8.3.2 y A.11.2.7)
- Procedimientos para trabajo en áreas seguras (cláusula A.11.1.5)
- Política de pantalla y escritorio limpios (cláusula A.11.2.9)
- Política de gestión de cambios (cláusulas A.12.1.2 y A.14.2.4)
- Política de Copias de seguridad (cláusula A.12.3.1)
- Política de transferencia de información (cláusulas A.13.2.1, A.13.2.2, y A.13.2.3)
- Análisis de impacto en el negocio (BIA) (cláusula A.17.1.1)
- Plan de pruebas y verificación (cláusula A.17.1.3)
- Plan de mantenimiento y revisión (cláusula 17.1.3)
- Estrategia de continuidad de negocio (cláusula A.17.2.1)