20014 (edición enero 2014)

La tercera edición 27000-2014 incorpora los términos utilizados en los recientes cambios a la norma ISO / IEC 27001 y 27002, y ha eliminado o cambiado algunos términos desde la edición anterior; por ejemplo, “Responsabilidad”, “Activos” y “Activos de Información” que ya no están definidos, en cambio hay notas actualizadas para “Riesgo”.

Es posible que el término “activo” y “activos de información” se hayan eliminado de la tercera edición con el fin de terminar discusiones relativas con las técnicas de seguridad ISO/IEC JTC 1/SC 27 de la Tecnología de la Información.

El ” activo de información ” (como aún se utiliza , por ejemplo, en las notas a la definición de “riesgo” ) se refiere al contenido intangible de la información y, ambiguamente, al contenido tangible de los medios de almacenamiento de datos. La distinción podría ser muy importante en el contexto de diversas normas ISO27000, pero es de suponer que las organizaciones que utilizan los estándares tendrán que averiguar las respuestas por sí mismos.

La eliminación de la palabra “responsabilidad” del vocabulario, que en su momento significaba un concepto extremadamente importante y valioso, ahora no es parte de más de ISO27000. La posibilidad de que una autoridad rinda cuentas y tal vez la imposición de sanciones, es generalmente lo que obliga a las personas y organizaciones a tomar responsabilidades con mayor seriedad. Es lo que les hace aceptar e interiorizar sus obligaciones hacia los demás. Sin embargo, la definición de diccionario del término se adecua perfectamente en el contexto de seguridad de la información: no es un término especialista.

En muchas ocasiones, las notas extensas en las definiciones son un síntoma de la falta de claridad para algunas definiciones reales, en algunos casos, sugiere distintos significados o interpretaciones de los términos.

Una nota en la definición de “externalizar”, afirma categóricamente que “una organización externa está fuera del alcance del sistema de gestión, a pesar de la función subcontratada o proceso que está dentro del alcance”.

Otro de los cambios que más saltan a la vista es el de “Documentación” por “Información Documentada”.

2.23 – Información documentada. Información que debe ser controlada y mantenida por una organización (2.57) y el medio en el que está contenida.

Nota 1 a la entrada: Información documentada puede estar en cualquier formato y en cualquier medio y desde cualquier fuente.

Nota 2 a la entrada: Información documentada puede referirse a

– El sistema de gestión (2,46), incluyendo procesos relacionados (2,61);

– La información creada con el fin de la organización para operar (la documentación);

– La evidencia de los resultados obtenidos (registros).1

La normativa ISO / IEC 27001 fue completamente reescrita y re-editada en septiembre de 2013. Dichos cambios fueron mucho más allá que modificar el contenido de la edición de 2005. Se insistió en cambios sustanciales para alinear esta norma con otras normas de sistemas de gestión que cubran: las garantías de calidad, la protección del medio ambiente, etc. La idea es que los gerentes que están familiarizados con cualquiera de los sistemas de gestión ISO comprendan los principios básicos que sustentan un SGSI (Sistema de Gestión de Seguridad de la Información). Conceptos tales como la certificación, la política, la no conformidad, el control de documentos, auditorías internas y revisiones por la dirección son comunes a todas las normas de sistemas de gestión, y de hecho los procesos pueden, en gran medida, ser estandarizados dentro de la organización.2

En la nueva edición 27001:2013, se aprecia un cambio en la cultura organizacional al aparecer un nuevo tronco común que se divide en: Contexto de la Organización, Liderazgo, Planificación, Apoyo, Funcionamiento, Evaluación del Desempeño y Mejora.

A continuación se muestra en una tabla los cambios realizados en la antigua norma de 2005.

Modificaciones en ISO/IEC 27001:2013