ISMS Forum celebró el pasado 26 de marzo un seminario dedicado a abordar la trayectoria de la norma ISO 27001, como estándar de referencia para la gestión de la seguridad de la información (SGSI).

La sesión contó con la participación especial de Andrew Rose, analista de Forrester, quien aportó su visión sobre la norma ISO 27001, desde el punto de vista de la gestión empresarial, y sobre las lecciones aprendidas en su aplicación a lo largo de estos años, su adopción en el presente, y el futuro de la norma.

Andrew hizo un profundo repaso sobre los orígenes de la norma y su aplicación, haciendo hincapié en los beneficios económicos que las empresas pueden obtener con su aplicación: “las empresas deberían adoptar estos procedimientos y controles de la norma 27001, porque tienen un incentivo económico”, argumentaba Andrew. Entre las principales ventajas de su aplicación, Andrew se centró en la reducción de los riesgos, destacando también el incremento de la demanda por parte de los clientes y la cadena de contratación, así como la diferenciación de marca en el mercado frente a los competidores.

Sin embargo, la realidad sobre su aplicación en la actualidad no refleja fielmente las ventajas anteriormente citadas. El coste derivado de obtener la certificación, así como la presión sobre su posible pérdida son, entre otras, las barreras más comunes que encuentran las empresas ante su aplicación. Así, encontramos que la norma ISO 27001 ha registrado un menor crecimiento a escala global desde 2009, siendo Europa y Asia las regiones cuya penetración ha sido mayor.

En el caso europeo, las estadísticas muestran un crecimiento desigual entre grandes potencias como Reino Unido, Italia o Francia. Mientras Reino unido muestra un crecimiento continuo desde 2007, en Italia la adopción de la norma se retrasa prácticamente hasta 2010, y en Francia se mantienen en los niveles más bajos de Europa. El analista destacó que España es el único caso en el que el número de certificados ha decrecido en torno al 10%. En el marco del intercambio de impresiones entre los asistentes, se comentó una posible causa, y es que hasta 2011 en España, las ayudas públicas estimularon la adopción de ISO 27001; a partir de entonces, la retirada de fondos públicos podría haber mermado su implementación, por cuanto una parte importante de los certificados no se han renovado por las empresas.

En cuanto al futuro de la norma, se destacó que la misma se encuentra bajo revisión, e incluirá aspectos que permitan su adaptación a los servicios de Cloud Computing, así como dominios relativos a la cadena de suministro y a la criptografía.

Entre los principales cambios destacan:

• El número de controles ha sido reducido de 133 a 113.
• Se han eliminado o fusionado algunos controles existentes, y se han incluido nuevos controles.
• Algunos de los controles que se mantienen han sido reformulados.

Andrew terminó la sesión puntualizando que la norma ISO 27001 tiene el potencial suficiente para llegar a ser la lengua franca en el ámbito de la seguridad de la información, además de una declaración de intenciones a tener en cuenta por las empresas, como método para la comprobación de riesgos y, por tanto, una manera de mantenter la seguridad de sus partners.