La familia ISO 27000 es un conjunto de estándares internacionales desarrollados por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). Está diseñada para establecer, implementar, operar, monitorear, revisar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI).
Estos estándares ofrecen directrices para proteger activos de información asegurando su confidencialidad, integridad y disponibilidad, elementos clave en la gestión de riesgos de seguridad de la información.
A continuación, un detalle de los principales estándares de la familia ISO 27000:
1. ISO/IEC 27000
- Título: Descripción general y vocabulario.
- Propósito: Proporciona una visión general de la familia ISO 27000, definiendo términos clave y conceptos relacionados con los SGSI.
- Uso: Base de referencia para el resto de los estándares.
2. ISO/IEC 27001
- Título: Requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI).
- Propósito: Es el estándar principal que define los requisitos para establecer, implementar, mantener y mejorar continuamente un SGSI.
- Certificación: Es el único estándar de la familia certificable.
3. ISO/IEC 27002
- Título: Código de prácticas para controles de seguridad de la información.
- Propósito: Ofrece directrices sobre controles específicos de seguridad de la información que pueden ser implementados para mitigar riesgos.
- Uso: Complementa ISO 27001 detallando controles específicos.
4. ISO/IEC 27003
- Título: Guía para la implementación de un SGSI.
- Propósito: Proporciona orientación práctica sobre cómo implementar un SGSI, cubriendo cada etapa del ciclo de vida.
5. ISO/IEC 27004
- Título: Medición de la seguridad de la información.
- Propósito: Ayuda a medir la efectividad del SGSI y los controles implementados.
- Uso: Proporciona métricas y métodos de evaluación.
6. ISO/IEC 27005
- Título: Gestión de riesgos de seguridad de la información.
- Propósito: Establece un marco para la identificación, evaluación y tratamiento de riesgos relacionados con la seguridad de la información.
7. ISO/IEC 27006
- Título: Requisitos para organismos de certificación.
- Propósito: Define los requisitos para los organismos que certifican los SGSI bajo ISO 27001.
8. ISO/IEC 27007
- Título: Directrices para auditorías de SGSI.
- Propósito: Proporciona directrices para realizar auditorías internas y externas de los SGSI.
9. ISO/IEC 27008
- Título: Directrices para la evaluación de controles.
- Propósito: Detalla cómo evaluar los controles de seguridad de la información en un SGSI.
10. ISO/IEC 27009
- Título: Aplicación sectorial de ISO 27001.
- Propósito: Describe cómo adaptar ISO 27001 y 27002 a industrias específicas.
11. ISO/IEC 27010
- Título: Gestión de la seguridad de la información para el intercambio intersectorial.
- Propósito: Proporciona pautas para la gestión de la seguridad en el intercambio de información entre sectores.
12. ISO/IEC 27011
- Título: Directrices para telecomunicaciones.
- Propósito: Adaptación de ISO 27002 para la industria de telecomunicaciones.
13. ISO/IEC 27017
- Título: Controles de seguridad para servicios en la nube.
- Propósito: Establece controles específicos para la seguridad en entornos de computación en la nube.
14. ISO/IEC 27018
- Título: Protección de datos personales en la nube.
- Propósito: Se enfoca en la protección de datos personales procesados en servicios de nube pública.
15. ISO/IEC 27019
- Título: Directrices para el sector energético.
- Propósito: Adaptación de ISO 27002 para la gestión de riesgos en la industria energética.
16. ISO/IEC 27701
- Título: Gestión de la privacidad de la información.
- Propósito: Complementa ISO 27001 y 27002 para establecer un Sistema de Gestión de Información de Privacidad (PIMS).
17. ISO/IEC 27033
- Título: Seguridad de las redes.
- Propósito: Una serie de documentos que abordan las mejores prácticas para la seguridad en redes de información.
18. ISO/IEC 27034
- Título: Seguridad en aplicaciones.
- Propósito: Proporciona un marco para asegurar aplicaciones a lo largo de su ciclo de vida.
19. ISO/IEC 27035
- Título: Gestión de incidentes de seguridad.
- Propósito: Detalla cómo gestionar eficazmente incidentes de seguridad de la información.
20. ISO/IEC 27037
- Título: Identificación, recopilación y preservación de evidencia digital.
- Propósito: Guía para la gestión de evidencia digital en investigaciones relacionadas con seguridad de la información.
Cada estándar de la familia ISO 27000 aborda aspectos específicos de la seguridad de la información y, juntos, ofrecen un marco integral para proteger los activos de información en diferentes contextos e industrias.