Por qué tantos cuestionarios se parecen a ISO 27001
ISO 27001 es el estándar de seguridad de la información más utilizado, y su Anexo A es una lista de controles agrupados por temas. Cuando el equipo de seguridad de un cliente redacta un cuestionario, el Anexo A es la lista de comprobación de la que parte, aunque el cuestionario nunca mencione ISO. Por eso las preguntas llegan en un orden reconocible: políticas y organización, personas, aspectos físicos, tecnología.
Los temas y qué pide cada uno
Controles organizativos. Si cuenta con una política de seguridad de la información, quién es responsable de la seguridad, cómo se definen las funciones, cómo gestiona a los proveedores, cómo clasifica la información, cómo gestiona los incidentes, cómo planifica la continuidad, cuáles son sus obligaciones legales y contractuales. Este es el grupo más grande y en el que las políticas escritas son más importantes.
Controles de personas. Verificación antes de la contratación, condiciones de empleo, formación en concienciación sobre seguridad, proceso disciplinario, qué ocurre cuando alguien se va, acuerdos de confidencialidad, reglas de trabajo remoto.
Controles físicos. Áreas seguras, controles de entrada, protección frente a amenazas ambientales, seguridad de equipos, escritorio limpio y pantalla limpia, eliminación segura. Para una empresa en la nube, la mayor parte de esto se responde con la certificación del proveedor de alojamiento, además de lo que usted hace con los portátiles y las oficinas.
Controles tecnológicos. Dispositivos de punto final, acceso privilegiado, restricción de acceso, autenticación, gestión de capacidad, protección contra malware, gestión de vulnerabilidades, registro y monitoreo, copias de seguridad, redundancia, seguridad de red, criptografía, desarrollo seguro, gestión de cambios, datos de prueba, revisión de código.
Respuesta con un certificado
Si cuenta con certificación, el certificado, su alcance y la declaración de aplicabilidad responden a gran parte de cualquier cuestionario con formato ISO. Adjunte el certificado, cite el alcance exactamente (los revisores comprueban que el servicio que compran está incluido) y, para cada tema, responda a partir de la declaración de aplicabilidad: qué controles aplican, cómo se implementan y quién es su responsable. Espere preguntas sobre la última auditoría de seguimiento y cualquier no conformidad.
Responder sin uno
Aun así, puede responder cada fila. Para cada control, indique si lo tiene, cómo está implementado, quién es el responsable y dónde está la evidencia; y, en los que no tenga, indíquelo también y explique qué hace en su lugar o cuándo está previsto. Un proveedor con respuestas claras y honestas y un plan suele superar la revisión de un cliente; un proveedor con un certificado y respuestas imprecisas a veces no lo consigue.
Conserve el mapeo, no los cuestionarios
El mismo control del Anexo A se preguntará en cada cuestionario a partir de ahora, con otras palabras. Conserve una respuesta aprobada por control, con su evidencia y su fecha, y redacte cada cuestionario a partir de ella. En Responsemate esa respuesta vive una sola vez en la base de conocimiento, con su archivo y su fecha de caducidad, y cada cuestionario se redacta a partir de ella con la fuente visible en cada fila. Conocimiento en Responsemate.
Preguntas que hacen las personas
¿Necesitamos la certificación ISO 27001 para responder a un cuestionario ISO 27001?
No. El cuestionario pregunta si usted tiene los controles, no si un auditor los ha comprobado. Un certificado le permite responder muchas filas con «certificado, consulte el certificado y la declaración de aplicabilidad»; sin uno, responde cada fila según sus propios méritos.
¿Qué es la declaración de aplicabilidad?
El documento de un sistema ISO 27001 que enumera cada control del Anexo A e indica si se aplica a usted y cómo se implementa. Los revisores que conocen ISO lo solicitan porque responde a la mayor parte de su cuestionario en un solo documento.