¿Qué es un SGSI? El sistema de gestión en el que se basa la norma ISO 27001

Un SGSI, abreviatura de «sistema de gestión de la seguridad de la información», es el conjunto de políticas, procesos, funciones y controles mediante los cuales una organización gestiona de forma deliberada sus riesgos de seguridad de la información. Es la forma de decidir qué hay que proteger, quién es el responsable, qué medidas se aplican y cómo se comprueba si todo ello funciona correctamente. La palabra «sistema» es la que genera confusión en este caso: un SGSI es una forma de trabajar, no un programa que se instala.

Esa distinción es más importante de lo que parece, ya que determina lo que acabas comprando y lo que acabas creando. A continuación, analizamos por qué existe un malentendido tan persistente en torno al software, en qué consiste realmente un SGSI, cómo se relaciona con las normas ISO 27001 y NEN 7510, cómo se implanta y en qué punto la mayoría de los proyectos se estancan sin que nadie se dé cuenta.

Un SGSI no es un programa informático

Si buscas «SIGS», encontrarás un sinfín de herramientas que prometen serlo. Son útiles, y una buena herramienta permite ahorrar tiempo real en el control de documentos, los registros de riesgos y la recopilación de pruebas. Pero la herramienta es el archivador, no el sistema. Una organización con una herramienta impecable pero sin procesos que funcionen tiene un registro muy ordenado de cosas que, en realidad, no está haciendo.

La razón por la que persiste la confusión es que un SGSI es, en gran medida, invisible. No se puede señalar con el dedo, como sí se hace con un cortafuegos. Lo que sí se puede señalar son sus resultados: una evaluación de riesgos que se actualiza, un conjunto de políticas que la gente realmente cumple, registros de formación, actas de una revisión de la dirección, una auditoría interna que detectó algo y dio lugar a un cambio. Un auditor busca precisamente esos rastros, porque son la única prueba de que el sistema está en funcionamiento y no es solo algo que está escrito sobre el papel.

En qué consiste realmente un SGSI

Los componentes que se indican a continuación son comunes a prácticamente todos los marcos de referencia, independientemente de si se opta por obtener una certificación o no. En conjunto, forman un ciclo más que una lista de verificación: cada parte da pie a la siguiente, y el ciclo se repite.

• Ámbito de aplicación. Qué partes de la organización, qué sedes, qué sistemas y qué información abarca el sistema. Un ámbito de aplicación demasiado amplio paraliza el proyecto; uno demasiado limitado no cubre los riesgos que realmente importan.
• Evaluación y gestión de riesgos. Identificar qué podría salir mal, cuál es la probabilidad de que ocurra y cuál es su gravedad, y decidir, para cada riesgo, si se reduce, se acepta, se transfiere o se evita. En nuestra guía sobre el análisis de riesgos de la norma ISO 27001 se explica cómo abordar esto en la práctica.
• Políticas y procedimientos. Las normas escritas sobre acceso, contraseñas, proveedores, incidentes, dispositivos y tratamiento de datos. Solo son útiles cuando las personas pueden encontrarlas y aplicarlas en su día a día.
• Funciones y responsabilidades. Quién es responsable de cada riesgo, quién aprueba las excepciones y quién informa de qué a la dirección. La falta de asignación de responsabilidades es la irregularidad más habitual que se detecta en cualquier auditoría.
• Medidas de control. Las medidas concretas que reducen los riesgos que has identificado, tanto técnicas como organizativas.
• Concienciación y competencia. Asegurarse de que las personas afectadas sepan lo que se espera de ellas y puedan demostrarlo. Se trata de un requisito, no de un simple extra.
• Seguimiento, auditoría interna y revisión por parte de la dirección. Comprobar que las medidas funcionan, que se da seguimiento a los resultados y que la dirección analiza periódicamente el conjunto del proceso y decide qué cambios hay que introducir.
• Mejora continua. El ciclo «Planificar-Hacer-Verificar-Actuar» que mantiene el sistema en movimiento, en lugar de paralizarlo en el momento de la certificación.

Relación entre un SGSI y las normas ISO 27001 y NEN 7510

La norma ISO 27001 es la norma internacional que establece los requisitos para un SGSI. Ese es el punto clave: la norma describe el sistema de gestión, no una lista de productos. Sus cláusulas abarcan el ciclo mencionado anteriormente, desde el alcance y el liderazgo, pasando por la evaluación de riesgos, hasta la auditoría interna y la revisión por la dirección. La certificación significa que un auditor externo ha comprobado que tu sistema cumple dichos requisitos y funciona en la práctica.

Junto a esas cláusulas se encuentra el Anexo A, un catálogo de controles entre los que se elige en función de la propia evaluación de riesgos, registrando las elecciones y el razonamiento en una declaración de aplicabilidad. Las directrices sobre la implementación de dichos controles se recogen en la norma complementaria ISO 27002, y la diferencia entre ambas se explica en nuestro artículo sobre la diferencia entre la ISO 27001 y la ISO 27002. No es obligatorio aplicar todos los controles; lo que sí se exige es que se justifique la selección realizada.

En el sector sanitario neerlandés, esta misma idea se plasma en la norma NEN 7510, que se basa en la estructura de la ISO y añade requisitos específicos relativos a los datos de los pacientes. Las organizaciones sujetas al ámbito de aplicación de la NIS2 también reconocerán este patrón: la directiva exige medidas de gestión de riesgos y una formación demostrable, que es precisamente lo que un SGSI eficaz genera como resultado.

Cómo implantar un SGSI en seis pasos

1. Consigue que la dirección se comprometa, por escrito y en el presupuesto. Un SGSI asigna responsabilidades en toda la organización. Sin un compromiso visible por parte de la alta dirección, se convierte en el proyecto paralelo de una sola persona, y esos proyectos no sobreviven al ajetreo de un trimestre ajetreado.
2. Define el alcance con sinceridad. Anota qué se incluye y qué se excluye, y por qué. Excluir algo es justificable; descubrir una laguna que había pasado desapercibida durante una auditoría, no lo es.
3. Realiza la evaluación de riesgos antes de elegir las medidas de control. El orden es importante. Si se eligen primero las medidas de control y se justifican después, se crea un sistema que protege lo que resultaba conveniente en lugar de lo que suponía un riesgo.
4. Redacta normas que la gente pueda cumplir. Que sean breves, concretas y se ajusten a cómo se desarrolla realmente el trabajo. Una norma que contradiga la práctica diaria transmite a los empleados la idea de que las reglas son meramente decorativas.
5. Imparte formación al personal afectado y deja constancia de ello. Todos deben conocer las normas que les son aplicables, y debes poder demostrar que han recibido la formación y que esta ha surtido efecto. Nuestra formación de sensibilización sobre la norma ISO 27001 se basa precisamente en ese requisito.
6. Auditar, revisar, ajustar. Realiza una auditoría interna, presenta las conclusiones en una reunión de revisión de la dirección y, a raíz de ello, introduce algún cambio. Esa última parte es lo que comprueba un auditor externo: no si has detectado problemas, sino si el hecho de detectarlos ha supuesto algún cambio. En nuestro artículo sobre qué es una auditoría se describe en qué consiste este tipo de auditoría.

Dónde se atascan la mayoría de los proyectos de SGSI

No en lo que se refiere a la tecnología, y rara vez en el papeleo. La mayoría de las organizaciones pueden redactar un conjunto de políticas en unas pocas semanas. El problema surge cuando el sistema tiene que llegar a personas que nunca lo han solicitado: el compañero que comparte una cuenta de acceso porque es más rápido, el responsable que aprueba una excepción por chat, el nuevo empleado que nunca ha visto el módulo de incorporación.

Los auditores se dan cuenta de esto rápidamente, porque sus preguntas se centran en la práctica más que en los documentos. No preguntan «¿tenéis una política de acceso?», sino «muéstrame cómo se revocó el acceso a alguien que se marchó el mes pasado». No preguntan «¿formáis a vuestro personal?», sino «muéstrame quién recibió formación, sobre qué y qué hicisteis con las personas que no la completaron». Si la respuesta es una hoja de asistencia firmada de una sesión anual, el sistema solo existe sobre el papel.

Las organizaciones que superan esto sin problemas consideran la sensibilización como un proceso continuo, en lugar de como un evento anual. Las formaciones breves y periódicas generan un flujo continuo de registros, mantienen las normas presentes en la mente de las personas y convierten la cláusula de sensibilización, que antes suponía una carrera de última hora antes de la auditoría, en algo que se mantiene por sí solo.

Cómo Guardey te ayuda a gestionar el aspecto humano de tu SGSI

La formación en concienciación sobre seguridad de Guardey abarca precisamente la parte del SGSI que resulta más difícil de demostrar: retos semanales de unos tres minutos, gamificación con tablas de clasificación y rachas, y contenidos que se adaptan al panorama actual de amenazas. Los empleados realizan la formación a través de la aplicación móvil para iOS y Android o en el navegador, por lo que también se incluye a los compañeros que no disponen de un puesto de trabajo fijo.

En lo que respecta al propio SGSI, lo fundamental son los informes. La participación, las puntuaciones y el progreso de cada equipo se pueden exportar como pruebas listas para auditoría conforme a las normas ISO 27001, NEN 7510 y NIS2, y las simulaciones integradas de phishing reflejan el comportamiento de los usuarios, más que su mera asistencia. La configuración se realiza en cuestión de minutos, y más de 500 organizaciones trabajan de esta manera, incluido el Parlamento Europeo.

Preguntas frecuentes sobre un SGSI

¿Es obligatorio contar con un SGSI?

No en sí mismo. Lo que cada vez es más obligatorio es el resultado: la NIS2 exige medidas adecuadas de gestión de riesgos y una formación demostrable; los proveedores de asistencia sanitaria trabajan según la norma NEN 7510; y los clientes y las aseguradoras solicitan pruebas de ello. Un SGSI es la forma más consolidada de organizarlo, y la certificación es la forma de demostrarlo ante terceros.

¿Es necesaria la certificación ISO 27001 para contar con un SGSI?

No. Hay muchas organizaciones que aplican un SGSI conforme a las normas ISO sin llegar a contratar nunca a un auditor, porque lo que buscan es la estructura, no el certificado. La certificación cobra sentido cuando los clientes la solicitan, cuando las licitaciones la exigen o cuando se necesita que una entidad externa vele por el cumplimiento de las normas.

¿Cuánto tiempo se tarda en implantar un SGSI?

En el caso de una organización pequeña con un alcance bien definido, lo habitual es que se dediquen varios meses a trabajar a tiempo parcial antes de realizar la primera auditoría interna. Lo que determina el calendario rara vez es la redacción del documento, sino la rapidez con la que se toman las decisiones sobre el alcance, la aceptación de riesgos y la responsabilidad.

¿Quién debe ser el responsable del SGSI?

Alguien con la autoridad suficiente para que las decisiones se cumplan, con el respaldo de las personas responsables de los riesgos concretos. Un error habitual es dejarlo todo en manos del departamento de TI: gran parte de un SGSI abarca contratos, procesos de RR. HH. y gestión de proveedores, ámbitos en los que un equipo de TI no tiene ninguna influencia.

Un SGSI demuestra su utilidad en el momento en que modifica una decisión: un proveedor al que se le formula una pregunta que antes no se le habría planteado, una excepción que se registra en lugar de olvidarse, un riesgo al que se le asigna un responsable. Todo lo demás —los documentos, las herramientas y, en última instancia, el certificado— no es más que un mero trámite administrativo en torno a eso.