Diferencia entre ISO 27001 e ISO 27002

ISO 27001 vs ISO 27002
 

Como ISO 27000 es una serie de estándares que han sido iniciados por ISO para garantizar la seguridad dentro de las organizaciones del mundo, vale la pena conocer la diferencia entre ISO 27001 e ISO 27002, dos de los estándares en la serie ISO 27000. Estos estándares se han iniciado en beneficio de las organizaciones y también para proporcionar un servicio de calidad para los clientes. Este artículo analiza las diferencias entre ISO 27001 e ISO 27002.

¿Qué es ISO 27001??

El estándar ISO 27001 es garantizar la seguridad de la información y la protección de datos en las organizaciones de todo el mundo. Este estándar es muy importante para las organizaciones empresariales para salvaguardar a sus clientes e información confidencial de la organización contra las amenazas. La implementación del sistema de gestión de seguridad de la información garantizaría la calidad, seguridad, servicio y confiabilidad del producto de la organización que se puede proteger al más alto nivel.

El objetivo principal del estándar es proporcionar requisitos para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información (ISMS). En la mayoría de las empresas, las decisiones de adopción de este tipo de estándares son tomadas por la alta dirección. Además, el requisito de tener este tipo de sistema de seguridad de la información para la organización surge debido a varios factores como objetivos y objetivos organizacionales, requisitos de seguridad, tamaño y estructura de la organización, etc.

En la versión anterior del Estándar en 2005, se desarrolló en base al modelo PDCA Cycle, Plan-Do-Check-Act para estructurar los procesos y eso fue en una forma de reflejar los principios establecidos por las pautas de la OECG. La nueva versión en 2013 enfatiza la medición y la evaluación de la efectividad del desempeño organizacional en ISMS. También ha incluido una sección basada en la subcontratación y se otorga más concentración a la seguridad de la información en las organizaciones.

¿Qué es ISO 27002??

El estándar ISO 27002 se originó inicialmente como el estándar ISO 17799 que se basa en el código de práctica para la seguridad de la información. Destaca varios mecanismos de control de seguridad para organizaciones con la guía de ISO 27001.

El estándar se estableció en base a diversas pautas y principios para iniciar, implementar, mejorar y mantener la gestión de la seguridad de la información dentro de una organización. Los controles reales en los requisitos específicos de la dirección estándar a través de una evaluación formal de riesgos. El estándar consiste en pautas específicas para los desarrollos en estándares de seguridad organizacionales y prácticas efectivas de gestión de seguridad que serían útiles para generar confianza dentro de las actividades interorganizacionales.

La versión existente del estándar se publicó en 2013 como ISO 27002: 2013 con 114 controles. El factor más importante a tener en cuenta es que a lo largo de los años se han desarrollado varias versiones específicas de la industria de ISO 27002 o están en desarrollo en los campos como el sector de la salud, la fabricación, etc.

¿Cuál es la diferencia entre ISO 27001 e ISO 27002??

• El estándar ISO 27001 expresa los requisitos para la gestión de la seguridad de la información en las organizaciones y el estándar ISO 27002 brinda apoyo y orientación para aquellos que son responsables de iniciar, implementar o mantener los sistemas de gestión de seguridad de la información (ISMS).

• ISO 27001 es un estándar de auditoría basado en requisitos auditables, mientras que ISO 27002 es una guía de implementación basada en sugerencias de mejores prácticas.

• ISO 27001 incluye una lista de controles de gestión a las organizaciones, mientras que ISO 27002 tiene una lista de controles operativos para las organizaciones.

• ISO 27001 se puede utilizar para auditar y certificar el sistema de gestión de seguridad de la información de la organización e ISO 27002 se puede utilizar para evaluar la integridad del programa de seguridad de la información de una organización.

Atribución de la imagen: "CIAJMK1209" de John M. Kennedy T. (CC BY-SA 3.0)