ISO 27002 versión 2022 en breve
Sería un error reducir la norma ISO 27002 a un simple anexo de la norma ISO 27001, o a una guía de buenas prácticas para el éxito de la certificación. Aunque históricamente se concibiera en este sentido, actualmente se considera un apoyo estratégico para cualquier entidad que desee mantener la seguridad de su sistema de información a un buen nivel.
La nueva versión, recientemente publicada, ha sido rediseñada para incorporar todos los riesgos asociados a los nuevos desarrollos tecnológicos y a las amenazas que el mundo de las TI ha encontrado en los últimos 10 años: la explosión del teletrabajo, la migración a la Nube, el uso de múltiples aplicaciones, etc. Esta actualización hace que la ISO 27002 sea aún más interesante de utilizar, incluso para las empresas que no están interesadas en la certificación ISO 27001. Proporciona toda la información que necesita para construir su propia estrategia ciberseguridad, así como los procesos que debe seguir para mantener la seguridad de su SI.
Refuerce su ciberseguridad gracias a la norma ISO 27002
Aunque esta norma puede ayudar a los CISO, una de sus principales características es su exhaustividad, que implica un gran volumen de datos que hay que procesar. Pero desplegar una estrategia ciberseguridad también implica otros elementos, como el calendario de implantación, la supervisión, la comprobación de que se han tomado medidas y los controles, todo lo cual puede repercutir en el nivel de seguridad esperado.
Para gestionar este proyecto puede utilizarse una herramienta como Excel. Sin embargo, la cantidad de información que hay que manejar (consolidar, notificar) hace que se quede obsoleta rápidamente, e incluso puede obstaculizar la correcta gestión de la política de seguridad, poniendo en peligro a la empresa. Lo mismo ocurre con las herramientas de fabricación casera.
¿Cómo pueden los CISO evitar este escollo?
En los últimos años, el mercado ciberseguridad ha visto la llegada de las herramientas de gestión ciberseguridad. Inicialmente dedicadas a la GRC -Gobernanza, Riesgo y Cumplimiento-, estas herramientas han evolucionado para cubrir todo el ámbito gestionado por los CISO. Permiten a los CISO gestionar sus actividades de gobernanza, del mismo modo que un responsable de RR.HH. o un director financiero tiene su propia herramienta de gobernanza, a través de un cuadro de mandos, que reúne todos los temas relacionados con ciberseguridad. Les permiten diseñar, construir, operar y supervisar sus estrategias de seguridad.
Los CISO que han optado por pasarse a estas soluciones han dejado atrás sus hojas de cálculo de Excel y disfrutan de una serie de ventajas que les ayudan a gestionar su estrategia de seguridad a diario.