De què parlem
La ISO/IEC 27001 és la norma internacional que especifica els requisits per establir, implantar, mantenir i millorar un sistema de gestió de la seguretat de la informació (SGSI). La seva última edició es va publicar l'octubre de 2022.
La paraula clau és gestió. La norma no diu quin tallafoc cal comprar: demana que l'empresa identifiqui quina informació ha de protegir, analitzi els seus riscos, decideixi quins controls aplica i per què, i revisi de manera periòdica que funcionen. Per això serveix igual per a una empresa de deu persones que per a una de mil, i per això certificar-se és més un projecte d'organització que de tecnologia.
Per a què serveix, a la pràctica: per demostrar a un tercer —un client, un soci, un concurs— que la seguretat es gestiona amb mètode, amb un certificat que emet una entitat independent.
Quan es planteja
Quan un client gran l'exigeix als seus proveïdors o la puntua en les seves compres; quan l'empresa ven programari o serveis al núvol i cada venda comença amb un qüestionari de seguretat; quan es vol vendre a fora, on és el certificat que es reconeix; o quan la direcció vol endreçar la seguretat amb un marc i no a base d'iniciatives soltes.
Què inclou un servei ben plantejat
- Definir l'abast: quines activitats, seus i sistemes cobreix el SGSI.
- L'anàlisi de riscos: què pot passar, amb quina probabilitat i amb quin impacte.
- La declaració d'aplicabilitat: quins controls s'apliquen, quins no i per què.
- Polítiques i procediments, escrits i, sobretot, seguits.
- Implantar els controls que faltin: tècnics, organitzatius i de persones.
- Formació, una auditoria interna i la revisió per la direcció.
- L'auditoria de certificació, que fa una entitat de certificació diferent de qui ha ajudat a implantar.
Què mou el preu
- L'abast: tota l'empresa o una línia d'activitat.
- La mida: persones i seus; les entitats de certificació hi calculen les seves jornades.
- El punt de partida: quant hi ha ja documentat i implantat.
- Dues factures: la consultoria d'implantació i l'entitat de certificació.
- El manteniment: el certificat es conserva amb auditories periòdiques de seguiment.
- El temps intern: algú de l'empresa hi ha de dedicar hores, i això també és cost.
Quant costa
No donem xifres: no hi ha cap tarifa pública, i el cost depèn de l'abast i del punt de partida. Surt de dues propostes, la de qui acompanya la implantació i la de l'entitat de certificació. Demana a totes dues que diguin quantes jornades són i què queda a càrrec del teu equip.
Errors que surten cars
- Comprar un paquet de documents: a l'auditoria es comprova que el que hi ha escrit es fa.
- Un abast massa ambiciós per a la primera certificació.
- Deixar-ho només en mans d'informàtica: la norma demana implicació de la direcció.
- Pensar que acaba amb el certificat: el sistema s’ha de mantenir viu per conservar-lo.
Què t'ha de quedar per escrit
- L'abast del sistema de gestió.
- L'anàlisi de riscos i el pla de tractament.
- La declaració d'aplicabilitat.
- Els informes d'auditoria interna i de revisió per la direcció.
- El certificat, amb el seu abast i la seva vigència, emès per l'entitat de certificació.
Quines dades cal preparar abans de demanar pressupost
- Què t'ho demana: un client, un concurs, un mercat nou.
- Quina activitat vols certificar i quantes persones hi treballen.
- Per a quan ho necessites.
- Si ja tens una altra norma de gestió implantada: part de l'estructura s'aprofita.