ISO/IEC 27001
Tus datos, los de tus clientes y tus sistemas, protegidos con un método reconocido en todo el mundo. La ISO/IEC 27001 ordena la seguridad de la información a partir de los riesgos reales de tu empresa.
Seguridad de la información con método, no con parches
La ISO/IEC 27001 pide identificar la información que importa, evaluar qué puede salir mal (fugas, ataques, pérdidas, caídas) y elegir los controles adecuados para cada riesgo. Así la seguridad deja de depender de una persona o de un antivirus y pasa a ser un sistema que se revisa y mejora.
- Protege la confidencialidad, la integridad y la disponibilidad
- Cada control se elige según los riesgos de tu empresa
- Se certifica con un organismo independiente
La misma estructura que la 9001 y la 37001
Por eso se integra fácilmente con otros sistemas. Lo propio de la 27001 está en la evaluación y el tratamiento de riesgos (6.1.2 y 6.1.3) y en la declaración de aplicabilidad de los controles del Anexo A.
- 4Contexto y alcance del sistema
- 5Liderazgo y política de seguridad
- 6Riesgos, tratamiento y objetivos
- 7Apoyo: competencia y concienciación
- 8Operación del tratamiento de riesgos
- 9Evaluación del desempeño
- 10Mejora
Por qué las empresas la implementan
Menos incidentes
Riesgos identificados y controles en marcha antes de que ocurra una fuga o un ataque.
Confianza de clientes
Cada vez más clientes, bancos y licitaciones piden demostrar cómo cuidas su información.
Cumplimiento legal
Ayuda a cumplir la Ley 29733 de protección de datos personales y sus exigencias de seguridad.
Lo que pide la 27001
Cuatro piezas que sostienen la seguridad de la información.
Evaluación de riesgos
Identificar amenazas a tu información y valorar su probabilidad e impacto.
Tratamiento de riesgos
Decidir qué controles aplicar y quién responde por cada uno.
Declaración de aplicabilidad
El documento que justifica qué controles del Anexo A aplican y por qué.
93 controles en 4 temas
Organizacionales, de personas, físicos y tecnológicos, según la edición 2022.
Qué podemos hacer por ti con la 27001
Diagnóstico de seguridad
- Revisión de activos y riesgos principales
- Brechas frente a la 27001
- Plan de trabajo con plazos y costo
Implementación ISO/IEC 27001
- Evaluación y tratamiento de riesgos
- Declaración de aplicabilidad y políticas
- Acompañamiento hasta el certificado
27001 + Ley 29733
- Seguridad de la información y datos personales
- Un solo sistema de controles
- Apoyo ante la autoridad de datos
Auditoría interna
- Auditoría con la ISO/IEC 27001
- Informe con hallazgos
- Plan de acción para cerrarlos
Cómo lo hacemos
Diagnóstico
Activos de información, riesgos y controles que ya tienes.
Diseño
Metodología de riesgos, políticas y declaración de aplicabilidad.
Implementación
Controles en marcha, concienciación del personal y Kallpa configurado.
Auditoría
Auditoría interna, revisión por la dirección y certificadora.
Lo que te queda al terminar
- Alcance y política de seguridad de la información
- Inventario de activos de información
- Metodología y evaluación de riesgos
- Plan de tratamiento de riesgos
- Declaración de aplicabilidad (SoA)
- Políticas y procedimientos de los controles
- Plan de concienciación del personal
- Programa e informe de auditoría interna
- Kallpa configurado y tu equipo capacitado
Lo que más nos preguntan
¿La ISO 27001 es solo para empresas de tecnología?
No. Sirve para cualquier organización que maneje información valiosa: datos de clientes, contratos, planos, historias clínicas o información financiera.
¿Es obligatoria en el Perú?
Para la mayoría de empresas es voluntaria, pero ayuda a cumplir la Ley 29733 de protección de datos personales y la piden cada vez más clientes y licitaciones.
¿Necesito comprar equipos o software caros?
No necesariamente. Los controles se eligen según tus riesgos; muchos son políticas, procedimientos y buenas prácticas, no compras.
¿Cuánto tiempo toma?
De 5 a 8 meses según el tamaño, el alcance y lo que ya tengas implementado.
¿Ustedes entregan el certificado?
No. El certificado lo emite un organismo de certificación independiente (por ejemplo SGS, Bureau Veritas, TÜV o AENOR). Nosotros preparamos tu sistema y te acompañamos hasta que lo obtengas.
Intégrala con otras normas
Seguridad, datos personales y calidad en un solo sistema.
¿Empezamos con tu diagnóstico?
Revisamos tus activos de información y riesgos principales y te entregamos un plan con plazos y costo.