Normas ISO

La ISO (International Standarization Organization) 

Es la entidad internacional encargada de favorecer normas de fabricación, comercio y comunicación en todo el mundo. Con sede en Ginebra, es una federación de organismos nacionales entre los que se incluyen AENOR en España, DIN en Alemania, AFNOR en Francia... Entre las normas ISO más utilizadas se encuentran las referentes a las medidas de papel (ISO 216, que contempla los tamaños DIN-A4, DIN-A3, etc.), los nombres de lenguas (ISO 639), los sistemas de calidad (ISO 9000, 9001 y 9004), de gestión medioambiental (ISO 14000), ISO/IEC 80000 para signos y símbolos matemáticos y magnitudes del sistema internacional de unidades, etcétera. Otras curiosas son la ISO 5775 para marcar los neumáticos y las llantas de bicicleta, ISO 9660 para sistemas de archivos de CD-ROM e ISO 7810 para definir el estándar internacional de las tarjetas de identificación electrónica tipo Visa.

Vivimos en un mundo de normas y certificaciones, y de entre ellas las más conocidas son las Normas ISO por su carácter internacional. Pero… ¿cuales son las más comunes y las que mayor impacto tienen en las organizaciones? Mediante este articulo trataremos de ver cuales son las normas ISO con mayor certificación a nivel internacional.

• normas isoISO 9001- Trata de los Requisitos de los Sistemas de Gestión de Calidad. Es de llas más famosas e implantadas en las empresas. Con ella se consigue  demostrar que la organización esta trabajando en base a su cliente y cumple con las condiciones establecidas en base a una mejora en la satisfacción de cliente.

• ISO 9000- Como complemento a la 9001, esta norma da definiciones y trata de mantener un lenguaje estandarizado para el Sistema de Gestión de Calidad, y el establecimiento de fundamentos para el mismo.

• ISO 9004- Marca las directrices para mantener la eficacia y eficiencia en el Sistema de Gestión de Calidad. Busca mejorar el desempeño de la organización y mejora de satisfacción de clientes.

• ISO 19011- Esta norma orienta a las organizaciones acerca de cómo realizar las auditorias internas tanto de calidad como de medio ambiente.

• ISO 14000- Las serie 14000 son normas basadas en demostrar que la organización trabaja en base a criterios establecidos respetando las normas referentes a medio ambiente.

• ISO 14004- Proporciona orientación sobre el establecimiento, implementación, mantenimiento y mejora de un sistema de gestión ambiental y su coordinación con otros sistemas de gestión.

• ISO 18000- Las 18000 son una serie de normas que rigen los sistemas de salud y seguridad ocupacional.

• OHSAS 18003- Criterios de Auditoría para los Sistemas de Gestión de la Seguridad y Salud Ocupacional (OHSMS).

• ISO 28000- Estándar para la gestión de la cadena de suministro buscando minimizar el riesgo de incidencias en la entrega de bienes y suministros, facilitando la rápida y ágil circulación de mercancías en las cadenas de suministro. 

ISO 27001

ISO 27001 es una norma internacional emitida por la Organización Internacional de Normalización (ISO) y describe cómo gestionar la seguridad de la información en una empresa. La revisión más reciente de esta norma fue publicada en 2013 y ahora su nombre completo es ISO/IEC 27001:2013. 

La primera revisión se publicó en 2005 y fue desarrollada en base a la norma británica BS 7799-2.

ISO 27001 puede ser implementada en cualquier tipo de organización, con o sin fines de lucro, privada o pública, pequeña o grande. Está redactada por los mejores especialistas del mundo en el tema y proporciona una metodología para implementar la gestión de la seguridad de la información en una organización. También permite que una empresa sea certificada; esto significa que una entidad de certificación independiente confirma que la seguridad de la información ha sido implementada en esa organización en cumplimiento con la norma ISO 27001.

¿Para quién es significativo?

ISO 27001 es una norma adecuada para cualquier organización, grande o pequeña, de cualquier sector o parte del mundo. La norma es particularmente interesante si la protección de la información es crítica, como en finanzas, sanidad sector público y tecnología de la información (TI).

ISO 27001 también es muy eficaz para organizaciones que gestionan la información por encargo de otros, por ejemplo, empresas de subcontratación de TI. Puede utilizarse para garantizar a los clientes que su información está protegida. 

Ventajas

Se debe tener en cuenta que la seguridad al 100% no existe. La norma establece una metodología y una serie de medidas que al menos busca una mejora continua y que, sin lugar a dudas, aumentará el porcentaje actual de cualquier empresa. Esta mejora en la seguridad se ve reflejada en una serie de ventajas que se describen a continuación:

• Competitividad (Para ser sinceros)

Si se trata de ser sinceros… éste es el primer factor que le interesa a cualquier empresa. Esta norma, como se mencionó varias veces, será en el mediano plazo europeo, tan importante como hoy lo es ISO 9000. Es decir, poco a poco las grandes empresas, los clientes y partners comenzarán a exigir esta certificación para abrir y compartir sus sistemas con cualquier PyME.

• Calidad a la seguridad

La implementación de un verdadero SGSI transforma la seguridad en una actividad de gestión. Este concepto por trivial que parezca es trascendente, pues deja de lado un conjunto de actividades técnicas más o menos organizadas, para transformarse en un ciclo de vida metódico y controlado.

• Reduce riesgos

Partiendo del AR que impone la norma, hasta la implementación de los controles, el conjunto de acciones adoptadas reducirá al mínimo todo riesgo por robo, fraude, error humano (intencionado o no), mal uso de instalaciones y equipo a los cuales está expuesto el manejo de información.

• Concienciación y compromiso

El estándar crea conciencia y compromiso de seguridad en todos los niveles de la empresa, no sólo al implantarla, sino que será permanente pues se trata de un ciclo. 136 Jamás debe olvidarse: La Alta Dirección, no tiene por qué tener la menor idea de los aspectos técnicos de la Seguridad Informática (es más, sería un error que le dedique tiempo a aprender estas cosas. hasta es mejor que juegue al golf y allí concrete grandes negocios.).

• Normas y Estándares

Cumplimiento de la legislación vigente Todos los aspectos de conformidades legales de la norma deben responder a la legislación del país, y se verifica su adecuación y cumplimiento. Por lo tanto la certificación garantiza este hecho y a su vez seguramente crea un marco legal que protegerá a la empresa en muchos flancos que antes no tenía cubiertos.

• Visión externa y metódica del sistema

Todo el trabajo realizado para la implementación de la norma, implica una serie de medidas de auditoría interna que ofrecen ya de por sí un importante valor agregado; cada una de ellas responde a una secuencia metódica de controles.

• Supervivencia de mercado

Según un artículo publicado en ComputerWeekly, uno de los principales motores que están llevando al incremento de certificaciones ISO 27001 está siendo la aparición en contratos de sugerencias al proveedor respecto a estar certificado en esta norma. 

Desventajas

Al iniciar este conjunto de tareas, no cabe duda que se está sobrecargando el ritmo habitual de trabajo de toda la organización, por lo tanto se debe ser conciente de que exigirá un esfuerzo adicional. Los que sufren estos incrementos son las personas, por lo tanto somos nosotros mismos los primeros en encontrarle y descubrirle las desventajas a ISO-27001, sobre todo antes de tomar la decisión de su lanzamiento, pues una vez encaminado.

• No tiene retorno

Una vez que se ha empezado el camino de implementación de la norma ISO-27001, tenemos la opción de certificar o no. Sea cual fuere la elección, el cúmulo de actividades realizadas exige un mantenimiento y mejora continua, sino deja de ser un SGSI, y ello salta a la vista en el muy corto plazo. Es decir no se puede dejar de lado, pues al abandonar un cierto tiempo el SGSI, requerirá un esfuerzo similar a lanzarlo de nuevo. Si a su vez se obtiene la certificación, para que la misma se mantenga en vigencia, anualmente debe ser auditada por la empresa certificadora.

• Requiere esfuerzo continuo

Independientemente de las tareas periódicas que implica una vez lanzado el SGSI para los administradores del mismo, el mantenimiento del nivel alcanzado, requerirá inexorablemente un esfuerzo continuado de toda la organización al completo.

Vídeo sobre la Norma ISO 27001.