Bienvenidos a esta guía sobre ISO 27001 FASE 3 Elaboración de la política Objetivos del SGSI. Comparte este articulo y síguenos para recibir más guías y cursos.
Para saber más comente a continuación, respondemos todos y cada uno de los comentarios.
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
Política de Seguridad en el Marco de ISO 27001
La política de seguridad de la información es un requisito fundamental dentro del estándar ISO 27001. Su propósito es definir, en términos generales, los objetivos de la seguridad de la información dentro de una organización. Antes de redactarla, es crucial responder a una pregunta clave:
¿Qué queremos conseguir con la seguridad de la información?
Este documento, cuya responsabilidad recae en la dirección, no solo establece los objetivos generales de la seguridad de la información, sino que también proporciona una visión clara y estructurada del estado y funcionalidad del Sistema de Gestión de Seguridad de la Información (SGSI).
En términos prácticos, la política de seguridad debe ser fácil de entender y explicar, dejando en claro su propósito, la forma en que beneficia a la empresa y quiénes son los responsables de su aplicación.
¿Cómo Redactar la Política de Seguridad de la Información?
Para garantizar que la política cumpla con los lineamientos de ISO 27001, es fundamental seguir un enfoque estructurado que se adapte a las necesidades y características de cada organización.
Adaptación a la Empresa y su Contexto
La redacción de la política debe ajustarse a la estructura, el tamaño y la actividad de la organización. No es lo mismo diseñar una política para una multinacional con diversas áreas operativas que para una pequeña empresa con procesos más centralizados. En compañías más grandes, puede ser necesario dividir la política en secciones específicas para cada división o departamento, mientras que en empresas más pequeñas, una única política general puede ser suficiente.
Asimismo, la actividad de la empresa influye en la redacción de la política. Una empresa de fabricación de componentes tendrá necesidades y enfoques diferentes a una compañía dedicada a la prestación de servicios de TI.
Integración de los Objetivos Empresariales y de Seguridad
La política de seguridad debe demostrar cómo la gestión de la seguridad de la información contribuye al cumplimiento de los objetivos generales del negocio. Para ello, es importante considerar dos perspectivas fundamentales:
- Objetivos comerciales: Relacionados con la misión, visión y estrategias de la empresa.
- Objetivos de seguridad de la información: Derivados de los objetivos comerciales, deben garantizar la protección de los activos de información necesarios para alcanzar las metas de negocio.
Una recomendación clave es que los objetivos de seguridad de la información no deben establecerse de manera aislada, sino como una respuesta a los objetivos del negocio, asegurando que la seguridad de la información actúe como un habilitador del éxito organizacional.
Medición y Evaluación de los Objetivos de Seguridad
Para garantizar que los objetivos de seguridad sean efectivos y alineados con los requerimientos del negocio, es fundamental definir métricas que permitan evaluar el estado actual de la seguridad de la información en comparación con la capacidad requerida.
Estos indicadores deben tomar en cuenta aspectos como:
- Limitaciones comerciales y medioambientales
- Amenazas y vulnerabilidades identificadas
- Cumplimiento con los requisitos normativos y contractuales
A través de este enfoque, la política de seguridad no solo servirá como un documento de referencia, sino como una herramienta estratégica para fortalecer la seguridad de la información y apoyar el crecimiento de la organización.
Consideración de los Requisitos de las Partes Interesadas en la Política del SGSI
Para que la política del Sistema de Gestión de Seguridad de la Información (SGSI) sea realmente efectiva y cumpla con los lineamientos de la norma ISO 27001, debe reflejar el compromiso de la organización con los requisitos y expectativas de las partes interesadas.
Este aspecto está directamente relacionado con el análisis del contexto de la organización, donde se identifican las necesidades y preocupaciones de clientes, proveedores, socios comerciales, empleados y entidades gubernamentales. La política de seguridad debe dejar en claro cómo la empresa se compromete a cumplir con estas expectativas, ya sea asegurando el cumplimiento de normativas legales, regulaciones contractuales o requisitos específicos exigidos por terceros.
Por ejemplo, en sectores altamente regulados, como el financiero o el de salud, la seguridad de la información no solo es un factor estratégico, sino un requisito legal. La política del SGSI debe demostrar que la organización toma en cuenta estas exigencias y establece medidas para garantizar su cumplimiento.
Comunicación de la Política a las Partes Interesadas
El compromiso con la seguridad de la información no debe quedar solo en la redacción de la política, sino que debe ser comunicado de manera efectiva dentro y fuera de la organización. La norma ISO 27001 enfatiza la importancia de garantizar que todos los actores clave comprendan los principios y objetivos de la seguridad de la información.
Para ello, la política de seguridad debe incluir un apartado que especifique cómo se llevará a cabo su difusión. Esta comunicación puede realizarse a través de distintos medios, como capacitaciones internas, reuniones estratégicas, correos electrónicos corporativos o incluso su publicación en la intranet de la empresa.
Además, es recomendable designar un responsable encargado de esta tarea, asegurando que existan procedimientos y procesos claros para que la política sea divulgada de manera oportuna y efectiva. En algunos casos, también puede ser necesario comunicarla a clientes, proveedores y organismos reguladores, especialmente cuando se requiere demostrar el compromiso con estándares de seguridad exigidos por terceros.
Una política bien comunicada refuerza la cultura de seguridad dentro de la organización y garantiza que todas las partes interesadas comprendan su rol en la protección de la información.
Definición del Propietario de la Política y su Mantenimiento
Un elemento clave para garantizar la efectividad y vigencia de la política de seguridad de la información es la designación de un propietario. Este responsable debe asegurarse de que la política sea revisada y actualizada periódicamente para reflejar los cambios en la organización, en el entorno normativo y en las amenazas de seguridad emergentes.
El propietario de la política puede ser un directivo de alto nivel, como el Director de Seguridad de la Información (CISO) o el Responsable del SGSI, quien trabajará en conjunto con otras áreas estratégicas para mantener alineada la política con los objetivos del negocio y con la evolución del sistema de gestión.
Adicionalmente, debe definirse un proceso de revisión que establezca con qué frecuencia se actualizará la política y quiénes participarán en la validación de estos cambios. Normalmente, este proceso se lleva a cabo anualmente o cuando ocurran modificaciones significativas en el entorno de la organización.
Otros Elementos Claves a Considerar en la Política de Seguridad
Además de los principios básicos de seguridad, la política puede incluir aspectos adicionales que refuercen su claridad y efectividad dentro de la empresa.
El Alcance del SGSI
Es recomendable incluir una declaración sobre el alcance del Sistema de Gestión de Seguridad de la Información (SGSI) dentro de la política. Esto permite a todos los miembros de la organización comprender qué áreas, procesos y funciones están cubiertas por el sistema de gestión.
Sin embargo, en este documento no se recomienda detallar qué sistemas de información específicos están afectados, ya que la política debe mantenerse a un nivel estratégico. En lugar de enfocarse en activos individuales, es preferible definir las funciones y procesos del negocio protegidos por el SGSI, dado que esto facilita la comprensión y divulgación del documento.
El objetivo principal es asegurar que todos los miembros de la organización sepan qué operaciones y servicios están cubiertos bajo la política de seguridad, fomentando una mayor adhesión y cumplimiento.
Responsabilidades dentro del SGSI
Otro aspecto relevante a incluir en la política de seguridad es la definición de responsabilidades clave en el marco del SGSI. Esto puede abarcar:
- La gestión de riesgos de seguridad de la información.
- La ejecución de auditorías internas para evaluar el cumplimiento.
- La respuesta ante incidentes de seguridad.
- La supervisión y mejora continua del sistema de gestión.
Estas responsabilidades deben asignarse a personas o áreas específicas dentro de la organización para garantizar que haya un liderazgo claro en la implementación y supervisión de la seguridad de la información.
Estructura Organizacional y Seguridad de la Información
Para complementar la política, es útil incluir una descripción de la estructura organizacional en relación con la seguridad de la información. Esto permite establecer una jerarquía clara de roles y funciones, así como definir los mecanismos de control y coordinación entre los diferentes niveles de la empresa.
Una estructura organizativa bien definida facilita la fluidez de la información y asegura que cada nivel de gestión comprenda su rol en la protección de los activos de información de la empresa.
Enfoque y Metodología para la Evaluación de Riesgos
Finalmente, la política puede mencionar de manera general el enfoque adoptado para la gestión de riesgos de seguridad de la información. Esto incluye la metodología utilizada para evaluar amenazas y vulnerabilidades, así como los criterios para determinar qué riesgos son aceptables y cuáles requieren medidas de mitigación.
Dependiendo del tipo de empresa y su tolerancia al riesgo, se puede optar por un enfoque cuantitativo, basado en datos medibles, o un enfoque cualitativo, fundamentado en valoraciones expertas.
Al incluir estos elementos en la política de seguridad, la organización refuerza su compromiso con la protección de la información y garantiza que todos los miembros de la empresa comprendan los principios y responsabilidades que rigen la seguridad en el entorno corporativo.
Objetivos de Seguridad del SGSI
El principal propósito del Sistema de Gestión de Seguridad de la Información (SGSI) es establecer e implementar un conjunto de iniciativas que, en conjunto, permitan alcanzar todos los objetivos de seguridad dentro de la organización.
La política de seguridad define qué aspectos de la información deben ser protegidos y establece las reglas y comportamientos esperados de los usuarios del sistema para garantizar su seguridad. Es importante reconocer que cada servicio, ya sea interno o externo, introduce riesgos para el sistema y la red con la que interactúa.
Una política de seguridad es un marco normativo que abarca diversas áreas dentro de la organización, incluyendo la seguridad física, la seguridad del personal, la seguridad administrativa y la seguridad de la red.
Además de establecer normas de protección, la política de seguridad proporciona una base estratégica para la planificación de medidas de seguridad a medida que la organización crece, desarrolla nuevos sistemas o incorpora nuevas aplicaciones. Entre sus funciones clave, se encuentran:
- Definir las responsabilidades de los usuarios en la protección de información confidencial y la gestión de credenciales seguras.
- Establecer cómo se medirá y controlará la efectividad de las medidas de seguridad implementadas.
- Asegurar la monitorización de la actividad para detectar intentos de elusión de los mecanismos de seguridad.
Para desarrollar una política de seguridad eficaz, es fundamental definir claramente los objetivos de seguridad, los cuales pueden clasificarse en varias categorías clave.
Objetivo 1: Protección de Activos de Información
Uno de los pilares fundamentales de la seguridad de la información es la protección de los activos digitales y físicos que forman parte de los procesos de la organización. Un esquema robusto de protección debe garantizar que solo los usuarios autorizados tengan acceso a los recursos del sistema, minimizando así la exposición a riesgos de seguridad.
Para lograr esto, se debe definir con precisión las distintas categorías de usuarios y sus niveles de acceso. Dentro de la política de seguridad, es crucial establecer los tipos de autorizaciones que se otorgarán a diferentes grupos, asegurando que cada usuario solo acceda a la información estrictamente necesaria para desempeñar sus funciones.
La capacidad de salvaguardar todos los recursos del sistema no solo fortalece la seguridad general, sino que también contribuye a la conformidad con normativas y estándares internacionales.
Objetivo 2: Autenticación
La autenticación es un componente esencial en cualquier estrategia de seguridad. Su propósito es verificar que el usuario, sistema o aplicación que intenta acceder a un recurso es realmente quien dice ser. Un mecanismo de autenticación sólido protege a la organización contra ataques de suplantación de identidad, en los cuales un actor malintencionado utiliza credenciales falsas para obtener acceso no autorizado.
Tradicionalmente, la autenticación se ha basado en credenciales como nombres de usuario y contraseñas. Sin embargo, ante las crecientes amenazas de ciberseguridad, este método por sí solo no es suficiente. La implementación de medidas avanzadas, como certificados digitales, autenticación multifactor (MFA) o biometría, proporciona una capa adicional de protección.
El acceso a redes públicas como Internet introduce nuevos desafíos de autenticación, ya que la capacidad de verificar la identidad del usuario se reduce significativamente en comparación con una intranet corporativa. Por este motivo, es esencial adoptar mecanismos más sólidos que los métodos tradicionales de autenticación.
Además, una vez autenticado, un usuario debe recibir permisos de acceso acordes con su nivel de autorización. Esto refuerza el principio de mínimos privilegios, asegurando que cada usuario solo pueda realizar las acciones necesarias para su función dentro de la organización.
En conclusión, definir objetivos de seguridad claros y aplicables dentro del SGSI es crucial para fortalecer la protección de la información, minimizar riesgos y garantizar la continuidad de las operaciones de la empresa en un entorno digital cada vez más desafiante.
Objetivo 3: Autorización y Control de Accesos
El nivel de autorización es un pilar fundamental dentro de la seguridad de la información. Su correcta gestión permite discriminar qué usuarios tienen acceso a determinados recursos, asegurando que cada persona solo pueda interactuar con la información y los sistemas necesarios para su función.
En la política de seguridad se establece no solo qué usuarios pueden acceder a ciertos datos, sino también cómo se segmentan las aplicaciones y los recursos disponibles. La autorización está directamente ligada al proceso de autenticación, ya que una vez que un usuario se ha identificado, el sistema debe verificar si posee los permisos adecuados para acceder a los recursos solicitados.
Un aspecto clave a considerar en la política de seguridad es la revocación y renovación de autorizaciones. Para minimizar riesgos, se recomienda establecer revisiones periódicas de los permisos otorgados. Esto garantiza que solo las personas autorizadas accedan a información sensible y evita que usuarios con permisos obsoletos sigan teniendo acceso a datos críticos tras cambios en su rol o salida de la empresa.
Objetivo 4: Integridad de la Información
El principio de integridad se enfoca en garantizar que la información permanezca íntegra y sin alteraciones no autorizadas, tanto en su almacenamiento como en su transmisión. Este concepto es clave en la seguridad de la información y debe abordarse desde diferentes niveles.
Integridad de los Datos
La protección de la información contra modificaciones malintencionadas o accidentales es un requisito esencial dentro del SGSI. Para lograrlo, se deben implementar medidas de seguridad que minimicen los riesgos de manipulación indebida de datos, como:
- Control de acceso estricto: Evitar que usuarios no autorizados puedan modificar información crítica.
- Uso de cifrado: Proteger la integridad de los datos en tránsito mediante protocolos seguros.
- Verificación de origen: Validar que los datos provienen de fuentes confiables, especialmente en entornos de red pública como Internet.
- Doble verificación: Aplicar mecanismos de control adicionales para transmisiones de datos sensibles.
La implementación de sistemas de no repudio también es una práctica recomendada, permitiendo garantizar que una transacción de datos fue enviada y recibida sin posibilidad de negación por parte de los involucrados.
Integridad del Sistema
Además de la protección de datos, la integridad de los sistemas debe garantizar resultados consistentes y confiables. Esto implica seleccionar plataformas y arquitecturas de sistema que minimicen vulnerabilidades y dificulten la manipulación malintencionada por parte de atacantes.
Los sistemas operativos con altos niveles de seguridad pueden incluir mecanismos que previenen la alteración de procesos críticos, protegiendo la infraestructura informática contra modificaciones no autorizadas.
No Repudio de Transacciones
El no repudio es una característica esencial en la seguridad de la información, ya que permite garantizar que una comunicación, transacción o documento digital es auténtico y verificable. Para lograrlo, se utilizan mecanismos como:
- Firmas digitales: Permiten certificar la identidad del emisor y del receptor.
- Certificados digitales y criptografía de clave pública: Proveen garantías de autenticidad y seguridad en transacciones electrónicas.
- Registros de auditoría y trazabilidad: Aseguran que todas las interacciones sean rastreables y verificables.
Con estas medidas, se establece un marco de seguridad en el que cada acción dentro del sistema pueda ser comprobada y atribuida a un usuario específico.
Objetivo 5: Confidencialidad de la Información
Garantizar la confidencialidad de la información es un principio básico dentro de la política de seguridad. Se debe asegurar que la información sensible solo esté disponible para quienes realmente la necesitan, evitando accesos no autorizados y ataques dirigidos a la obtención de datos críticos.
Para ello, es necesario implementar mecanismos de protección que refuercen la seguridad de los datos tanto dentro como fuera del entorno corporativo. Algunas de las prácticas recomendadas incluyen:
- Cifrado de datos: Uso de certificados digitales y algoritmos de encriptación robustos.
- Conexiones seguras: Implementación de protocolos como SSL (Secure Socket Layer) o redes privadas virtuales (VPNs) para comunicaciones cifradas.
- Segmentación de redes y control de acceso: Limitar la exposición de la información a través de políticas de acceso y permisos adecuados.
Es crucial que la confidencialidad no solo se garantice dentro del entorno corporativo, sino también al transmitir información a través de redes externas, protegiéndola contra accesos no autorizados o interceptaciones.
Objetivo 6: Auditoría de Actividades de Seguridad
Para mantener un control efectivo sobre la seguridad del SGSI, es fundamental contar con mecanismos de auditoría que permitan registrar, monitorear y analizar las actividades relacionadas con la seguridad de la información.
El objetivo de la auditoría es la vigilancia constante de los sistemas, identificando patrones de comportamiento sospechosos y previniendo eventos de seguridad no deseados. Entre los aspectos clave a monitorear se encuentran:
- Registro de accesos exitosos y fallidos: Permite detectar intentos de intrusión o accesos no autorizados.
- Seguimiento de cambios en permisos y configuraciones: Garantiza que los ajustes en los controles de acceso sean documentados y verificados.
- Análisis de actividad en sistemas críticos: Facilita la detección de anomalías y posibles amenazas internas o externas.
El uso de sistemas de detección de intrusiones (IDS) y herramientas de gestión de eventos de seguridad (SIEM) permite recolectar y analizar registros de auditoría en tiempo real, optimizando la capacidad de respuesta ante incidentes de seguridad.
A través de la auditoría continua, se puede fortalecer la seguridad del SGSI, identificar vulnerabilidades y establecer planes de mejora para garantizar la protección de la información en todo momento.
No te detengas, sigue avanzando
Aquí tienes un propósito para este 2025 que debes considerar seriamente: si has querido mejorar tus habilidades en hacking, Ciberseguridad y programación ahora es definitivamente el momento de dar el siguiente paso. ¡Desarrolla tus habilidades aprovechando nuestros cursos a un precio increíble y avanza en tu carrera! El mundo necesita más hackers…
¿Quieres iniciarte en hacking y ciberseguridad pero no sabes por dónde empezar? Inicia leyendo nuestra guia gratuita: Cómo Iniciarse en Hacking y Ciberseguridad en 2025 que te lleva de 0 a 100. Desde los fundamentos más básicos, pasando por cursos, recursos y certificaciones hasta cómo obtener tu primer empleo.
Hemos creado una ruta de 0 a 100. Un plan de desarrollo que va desde las bases: cómo aprender hacking, qué aprender, en qué orden; pasando por las areas técnicas necesarias como Linux, Redes, Programación y los conocimientos necesarios en ciber seguridad, hacking, pentesting hasta la práctica y el inicio laboral: Crear tu propio laboratorio, certificaciones, adquirir experiencia e iniciarse laboralmente.
Hacker de 0 a 100 desde las bases hasta conseguir empleo
Este es un mega post. Una guía con más de 400 artículos que te llevaran por el camino del hacker. Esta guía es gratuita y esta creada gracias al esfuerzo y al trabajo combinado de Alvaro Chirou y mío (Laprovittera Carlos).
Creamos esta guía: Cómo Iniciarse en Hacking y Ciberseguridad en 2025 y curso: Cómo iniciarse en Hacking y Ciberseguridad para que puedas iniciarte en este mundo. Puedes arrancar ahora, GRATIS, solo necesitas un PC, conexión a internet y paciencia (Ser hacker NO ES un camino de la noche a la mañana).
El Hacking y la ciberseguridad es una carrera divertida, emocionante y gratificante que te recompensará y desafiará por igual. Sin embargo, para quienes buscan adentrarse en este campo en auge y en constante evolución, puede resultar difícil saber por dónde empezar. ¡Ahí es donde entra en juego nuestra guía en ciberseguridad!
Esta es la hoja de ruta hacia el trabajo de ciberseguridad de tus sueños. Te ayudará a entender qué conocimientos, habilidades y certificados son necesarios para alcanzar tus metas profesionales y tener una carrera próspera. Si quieres ser consultor de ciberseguridad, analista de malware, evaluador de penetración, analista de SOC o cualquier otro puesto de ciberseguridad, esta guía es lo que necesitas.
Esta guía va a tener una actualización constante durante todo el año. Para no hacer de esta guía un post maratónicamente largo voy a dividirlo en varios capítulos que van desde como iniciar en hacking y ciberseguridad, pasando por conocimientos básicos como Redes, Linux, Programación, Hasta como obtener certificaciones y trabajo. Cada capítulo contiene links a otros posts en donde desarrollo mejor cada tema y a webs externas que complementan este material.
Lo que vas a aprender en esta guía de Hacking y Ciberseguridad
Esta es la guía completa de Cómo Iniciarse en Hacking y Ciberseguridad en 2025:
- La mejor forma de Aprender Hacking y Ciberseguridad en 2025
- Lo que tienes que saber antes de empezar tu vida de hacker
- Habilidades y Competencias que debe tener un Hacker Profesional
- El Camino del Hacker – Las 3 etapas de una carrera exitosa
- Inicia tu carrera como Hacker – GENERAL CYBER SECURITY
- Qué es Realmente el Hacking y Cómo Puedo Trabajar Legalmente
- Tipos de Hackers y Teams
- Cómo Iniciarse en Hacking y Redes en 2025
- Hardware para Hacking de Redes
- Cómo Iniciarse en Hacking y Linux en 2025
- Cómo Iniciarse en Hacking y Programación en 2025
- Python para hackers en 2025
- Cómo Aprender Inglés para Hackers: Guía Definitiva 2025
- Arma tu PC ideal para Hacking en 2025
- Cómo crear un Laboratorio de Hacking en 2025
- Las 500 Mejores Herramientas para Hackers
- Cómo obtener Práctica como Hacker en 2025
- Cómo Iniciarse en CTF en 2025 y Aprender a Hackear practicando
- Mas de 100 Webs de CTF para Practicar hacking en 2025
- Cómo Obtener tus Primeras Certificaciones en 2025
- Las 10 Mejores Certificaciones de Hacking en 2025
- IA y Hacking en 2025
- OSINT en 2025 Guía Definitiva
- Hardware para Hackers en 2025
- Guia Definitiva de Flipper Zero
- Cómo Iniciarse como Pentester en 2025
- Iniciarse como Pentester en 2025 – Reconocimiento y Enumeración
- Cómo Identificar Sistemas Vulnerables y Recopilar información
- Explotación de Vulnerabilidades con Metasploit
- Post Explotación, Pivoting y Movimiento Lateral
- Reporte del Pentest, Remediación y Seguimiento
- Inicia en hacking y ciberseguridad como analista SOC en 2025
- Cómo Conseguir Trabajo de Hacker en 2025
- Como Iniciarse en Bug Bounty en 2025
- Cómo Aumentar tu Salario Pasando de Hacker Jr a Sr
- Cómo Avanzar en tu Carrera de Hacker y llegar a ser CISO
- SIGUE APRENDIENDO EN NUESTRO BLOG
Aprende con nuestros más de 100 cursos que tenemos disponibles para vos
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
Sobre los autores
Álvaro Chirou
Yo soy Álvaro Chirou, tengo más de 20 Años de experiencia trabajando en Tecnología, eh dado disertaciones en eventos internacionales como OWASP, tengo más de 2.000.000 estudiantes en Udemy y 100 formaciones profesionales impartidas en la misma. Puedes seguirme en mis redes:
Laprovittera Carlos
Soy Laprovittera Carlos. Con más de 20 años de experiencia en IT brindo Educación y Consultoría en Seguridad de la Información para profesionales, bancos y empresas. Puedes seguirme en mis redes:
Compartimos estos recursos para ayudar a la comunidad de hacking y ciberseguridad. COMPARTE y Siéntete libre de agregar más sugerencias en los comentarios a continuación, respondemos todos y cada uno de los comentarios.