¿Puede un sistema de gestión de la calidad (SGC) ya implementado servir como base para un sistema de gestión de la seguridad de la información (SGSI)? Sí, puede. Las dos normas tienen muchos aspectos en común.
ISO 9001 describe cómo debe estructurarse un sistema de gestión de la calidad, e ISO/IEC 27001, un sistema de gestión de la seguridad de la información. En lo que hace al sistema de gestión, son equivalentes. ¿Qué significa esto?
La misma base: el ciclo PDCA
La filosofía de los sistemas de gestión se apoya en el ciclo Planificar, Hacer, Verificar y Actuar (PDCA, por sus siglas en inglés), que W. Edwards Deming difundió a mediados del siglo XX a partir del trabajo de Walter Shewhart. El ciclo funciona así:
- Planificar: se define qué se quiere lograr con el sistema de gestión.
- Hacer: se implementa lo planificado.
- Verificar: se hace el seguimiento para saber si se alcanzaron los objetivos planificados.
- Actuar: se toman acciones para cerrar la brecha entre lo planificado y lo logrado, o para mejorar los resultados obtenidos.
El modelo se pensó originalmente para la gestión de la calidad, pero se adoptó como base de muchos otros sistemas de gestión: por ejemplo, ambiente (ISO 14001) y seguridad de la información (ISO/IEC 27001).
A eso se suma que las normas ISO de sistemas de gestión comparten una estructura de alto nivel, definida en el Anexo SL de las Directivas ISO/IEC y hoy llamada estructura armonizada. ISO 9001:2015 e ISO/IEC 27001:2022 tienen los mismos capítulos, en el mismo orden, y muchos textos y definiciones idénticos:
- 4, Contexto de la organización.
- 5, Liderazgo.
- 6, Planificación.
- 7, Apoyo.
- 8, Operación.
- 9, Evaluación del desempeño.
- 10, Mejora.
Por eso, varios elementos que implementaste en el sistema de gestión de la calidad según ISO 9001 también se pueden aplicar al sistema de gestión de la seguridad de la información. Veamos algunos ejemplos.
Qué se puede aprovechar del SGC
Análisis de contexto
Las dos normas piden determinar las cuestiones externas e internas (cláusula 4.1), las partes interesadas pertinentes y sus requisitos (4.2) y el alcance del sistema (4.3). El análisis de contexto que hiciste para ISO 9001 es una base sólida, pero ISO/IEC 27001 pide mirar con más detalle algunos aspectos propios de la seguridad de la información:
- Identificación de activos de información
- ISO 9001: no se centra necesariamente en los activos de información.
- ISO/IEC 27001: pide identificar y clasificar la información y los activos asociados, como datos, sistemas informáticos y hardware. En la versión 2022, el inventario y la clasificación son controles del Anexo A (5.9 y 5.12).
- Evaluación de riesgos
- ISO 9001: se enfoca en los riesgos y oportunidades que afectan la conformidad de los productos y servicios y la capacidad de cumplir con los requisitos del cliente (cláusula 6.1).
- ISO/IEC 27001: exige un proceso formal de identificación, evaluación y tratamiento de los riesgos de seguridad de la información, es decir, de pérdida de confidencialidad, integridad y disponibilidad (cláusulas 6.1.2 y 6.1.3).
- Requisitos legales y reglamentarios
- ISO 9001: incluye el cumplimiento de los requisitos legales y reglamentarios aplicables a los productos y servicios.
- ISO/IEC 27001: pone un énfasis adicional en las leyes y regulaciones de seguridad de la información y de protección de datos personales. En Argentina, por ejemplo, la Ley 25.326.
- Controles
- ISO 9001: se centra en el control de los procesos, los productos y los servicios.
- ISO/IEC 27001: requiere implementar controles de seguridad de la información basados en el Anexo A de la norma y justificar en la declaración de aplicabilidad cuáles se aplican y cuáles no.
Gestión de la documentación
El procedimiento que usás para gestionar la información documentada en el SGC (cláusula 7.5 en las dos normas) puede aplicarse al SGSI, con una adecuación que depende de cada caso.
Auditoría interna
El mismo procedimiento sirve para el SGC y para el SGSI (cláusula 9.2), aunque las auditorías internas de cada sistema pueden estar a cargo de personas distintas, porque cada una requiere conocer su disciplina.
Acciones correctivas
El procedimiento del SGC para tratar no conformidades y acciones correctivas (cláusula 10.2) puede utilizarse para el SGSI. Desde que las dos normas adoptaron la estructura de alto nivel, ya no existe un requisito separado de acciones preventivas: ese rol lo cumple el abordaje de riesgos y oportunidades de la cláusula 6.1.
Gestión de recursos humanos
El ciclo de planificación, capacitación y evaluación del personal (competencia y toma de conciencia, cláusulas 7.2 y 7.3) es aplicable a los dos sistemas de gestión. La diferencia es que, para ISO/IEC 27001, el perfil de competencias y conocimientos tiene que contemplar aspectos específicos de seguridad de la información.
Revisión por la dirección
Los principios de la revisión por la dirección (cláusula 9.3) son similares en los dos sistemas. La dirección, acostumbrada a tomar decisiones en el contexto del SGC, puede aplicar los mismos principios al SGSI.
Objetivos del sistema de gestión y seguimiento
Los dos sistemas usan un mecanismo similar para establecer objetivos y hacer su seguimiento (cláusula 6.2), así que la dirección ya va a estar habituada a este tipo de planificación estratégica.
Respuesta a la pregunta inicial
Si una organización ya implementó ISO 9001, implementar ISO/IEC 27001 le va a resultar más fácil, e incluso puede acortar el proyecto. Además, la certificación se vuelve más accesible: los organismos de certificación pueden ofrecer auditorías integradas de ISO 9001 e ISO/IEC 27001, con honorarios menores que si las normas se auditaran por separado.
Si tu SGC funciona bien, el proyecto de implementar e integrar un SGSI va a avanzar sin sobresaltos: la dirección va a entender mejor los beneficios comerciales posibles y todas las áreas de la organización ya van a estar acostumbradas a definir procedimientos, responsabilidades y documentación precisos.
En definitiva, un SGC es una excelente base para la seguridad de la información. Si tu organización ya tiene ISO 9001 certificada y buscás proteger la información con la que trabajás, considerá seriamente implementar ISO/IEC 27001.
Una diferencia: más políticas que procedimientos
Ahora, una diferencia. Un SGSI según ISO/IEC 27001 tiende a apoyarse más en políticas, mientras que un SGC según ISO 9001 se caracteriza más por sus procedimientos. Esa diferencia tiene varias razones de fondo.
Por qué ISO/IEC 27001 tiene más políticas
- La naturaleza de la seguridad de la información. Proteger la información implica cuidar su confidencialidad, su integridad y su disponibilidad, sobre todo la de los datos sensibles. Eso requiere políticas claras que definan qué se protege, cómo se protege y quién es responsable de protegerlo. Las políticas dan una dirección estratégica y un marco de referencia para todas las actividades de seguridad de la información.
- La necesidad de gobernanza. La seguridad de la información necesita una gobernanza fuerte, para que todas las partes interesadas comprendan sus roles y responsabilidades. Las políticas ayudan a establecerla, porque definen qué comportamiento y qué cumplimiento se esperan en toda la organización.
- La conformidad legal y reglamentaria. Las organizaciones tienen que cumplir numerosas leyes y regulaciones de protección de datos y privacidad. Las políticas son necesarias para asegurar ese cumplimiento y para demostrarlo ante las partes interesadas y los auditores externos.
- La gestión de riesgos. La seguridad de la información se basa en identificar, evaluar y tratar riesgos. Las políticas fijan el enfoque de la organización frente a esos riesgos y aseguran que las medidas que se tomen sean coherentes y adecuadas.
- La cultura de seguridad. Las políticas ayudan a construir una cultura de seguridad. Cuando las expectativas y las pautas están comunicadas con claridad, todas las personas de la organización entienden por qué importa la seguridad de la información y actúan en consecuencia.
ISO 9001: procedimientos para los procesos
ISO 9001 se centra en la calidad de los productos y servicios que ofrece la organización. Los procedimientos son clave para estandarizar las operaciones, asegurar la consistencia de la producción y del servicio y permitir la mejora continua. Documentan las buenas prácticas y aseguran que las actividades se hagan siempre de la misma manera. Se enfocan, sobre todo, en describir cómo se llevan a cabo los procesos de la organización para lograr la satisfacción del cliente.
ISO/IEC 27001: políticas como marco
ISO/IEC 27001, en cambio, se centra en la protección de la información. Acá las políticas son críticas para establecer el marco y las pautas con que se van a gestionar la seguridad y los riesgos. También se usan procedimientos, pero las políticas son la base para tomar decisiones estratégicas y para asegurar que se respeten las buenas prácticas y las regulaciones de seguridad. Se enfocan, sobre todo, en describir qué acciones y criterios se tienen en cuenta para proteger la información dentro de los procesos de la organización. La norma exige una política de seguridad de la información (cláusula 5.2) y, en el Anexo A, políticas específicas por tema (control 5.1).
Políticas y procedimientos, en los dos sistemas
Nada de esto significa que un sistema de gestión de la calidad no necesite políticas (de hecho, la política de la calidad es obligatoria en ISO 9001:2015) ni que un sistema de gestión de la seguridad de la información no necesite procedimientos: hacen falta para describir cómo la organización lleva a cabo determinados procesos para cumplir con sus políticas.
En resumen, el mayor peso de las políticas en la implementación de ISO/IEC 27001:2022 refleja la necesidad de un marco estratégico claro y de la gobernanza necesaria para proteger la información. En cualquier sistema de gestión, las políticas fijan las pautas generales y el comportamiento esperado, y los procedimientos operativos aseguran que esas políticas se apliquen de manera efectiva.