Requisito 27001 de ISO 5.2 – Política de seguridad de la información

¿Qué implica la Cláusula 5.2?

La alta dirección debe hacer una serie de cosas en torno a esa política para darle vida, ¡no sólo tenerla lista para compartirla como parte de una respuesta tierna! En el pasado reciente, cuando un cliente pedía a un posible proveedor una copia de su política de seguridad de la información, ese documento podía decir algunas cosas agradables y esponjosas sobre la gestión de la seguridad de la información, la gestión de riesgos y la garantía de la información para cumplir con un ejercicio de casilla de verificación realizado por una persona de adquisiciones. en el departamento de compras. Ya no es ese (en general) el caso. Los compradores inteligentes no sólo querrán ver una política de seguridad, sino que también querrán que esté respaldada por evidencia de que la política funciona en la práctica, con la ayuda, por supuesto, de un organismo independiente de certificación de seguridad de la información como UKAS que la respalde, y un SGSI sensato detrás de ella.

Algunas de las otras cosas que la alta dirección debe hacer en torno a esta cláusula más allá de establecer la política en sí incluyen:

• Asegurarse de que sea relevante para el propósito de la organización (por lo tanto, no simplemente copiar uno de Google);
• Aclarar los objetivos de seguridad de la información (que se tratan con más detalle en 6.2) o al menos establecer las condiciones para ellos; consejo, esto debe incluir los aspectos relevantes y mensurables de la protección de la confidencialidad, la integridad y la disponibilidad de los activos de información identificados en 4.1 y mantenidos de acuerdo con A8.1. .XNUMX
• Un compromiso para satisfacer los requisitos aplicables de las necesidades de seguridad de la información de la organización (es decir, aquellos cubiertos por los requisitos básicos de ISO 27001 y los controles del Anexo A).
• Garantizar su mejora continua: un SGSI es para toda la vida y con auditorías de vigilancia cada año que serán evidentes (o no)
• Compartirlo y comunicarlo con la organización y las partes interesadas según sea necesario.

Hazlo más sencillo con ISMS.online

La plataforma ISMS.online facilita a la alta dirección establecer una política de seguridad de la información que sea coherente con el propósito y el contexto de la organización.

Su SGSI incluirá una política de seguridad de la información prediseñadas que se puede adaptar fácilmente a su organización. Esta política sirve como marco para la revisión de objetivos e incluye compromisos para satisfacer los requisitos aplicables y mejorar continuamente el sistema de gestión. Esta política se puede compartir fácilmente con las partes interesadas y presentar para licitaciones u otras comunicaciones externas.