ISO 27001 Avaluació de Riscos. Declaració d'Aplicabilitat i Controls de l'Annex A. Seguretat de la Informació Industrial.

La clàusula 6.1.2 exigeix que l'organització defineixi i apliqui un procés d'avaluació de riscos de seguretat de la informació. Aquest procés ha d'establir i mantenir criteris de risc (incloent-hi criteris d'acceptació i criteris per a l'avaluació de riscos), identificar riscos associats a la pèrdua de confidencialitat, integritat i disponibilitat, analitzar els riscos (probabilitat i impacte) i comparar els resultats amb els criteris de risc definits. La norma no prescriu cap metodologia concreta (es pot usar MAGERIT, OCTAVE, FAIR, ISO 31010 o qualsevol altra), però el procés ha de ser reproduïïble: persones diferents han d'obtenir resultats comparables aplicant la mateixa metodologia. Tota l'avaluació ha d'estar documentada com a informa ció documentada conservada.

ISO 27001 no defineix cap conjunt de controls de l'Annex A com a obligatoris per a totes les organitzacions. Els controls que apliquen depènen dels riscos identificats a l'avaluació de riscos i de les decisions preses al pla de tractament de riscos (clàusula 6.1.3). La Declaració d'Aplicabilitat (SoA) ha de mencionar tots els 93 controls de l'Annex A — inclosos els que s'exclouen — amb la justificació corresponent. Un control pot excloure's si no aplica per naturalesa del negoci, està fora de l'abast del SGSI o existeix un control compensatori equivalent. Els 11 nous controls de la versió 2022 (threat intelligence, seguretat cloud, DLP, etc.) reben especial atenció dels auditors i les exclusions han d'estar ben argumentades.

Un incident de seguretat de la informació és un o més esdeveniments de seguretat no desitjats o inesperats que tenen una probabilitat significativa de comprometre les operacions del negoci i amenaçar la seguretat de la informació. Els controls A.5.24 a A.5.28 de l'Annex A cobreixen la gestió d'incidents: planificació i preparació (A.5.24), detecció i notificació (A.5.25), avaluació i decisió (A.5.26), resposta (A.5.27) i aprenentatge (A.5.28). El procediment ha de definir com es classifiquen i prioritzen els incidents, qui és responsable de la resposta, quins registres es mantenen i com s'escala. Si l'incident implica dades personals, pot activar-se l'obligació de notificació a l'autoritat de control en 72 hores (RGPD Art.33).

Una DPIA (Avaluació d'Impacte sobre la Protecció de Dades) és un requisit del RGPD (Art.35), no d'ISO 27001 directament. Però, el control A.5.34 d'ISO 27001:2022 (Privacitat i protecció de la informació personal) exigeix que l'organització identifiqui els requisits de privacitat i protecció de dades i els integri en els seus controls de seguretat. En la pràctica, les organitzacions amb ISO 27001 que tracten dades personals han de realitzar DPIAs per a tractaments d'alt risc: videovigilancia massiva, perfilació, processament a gran escala de categories especials de dades, etc. La DPIA complementa l'anàlisi de riscos de l'ISO 27001 i ha d'estar inclosa a la documentació del SGSI quan apliqui.

La clàusula 9.2 exigeix que l'organització planifiqui, estableixi, implanti i mantingui un programa d'auditoria interna que cobreixi el SGSI complet dins del cicle de certificació (3 anys). El programa ha de definir freqüència, mètodes, responsabilitats i requisits de planificació. Els auditors interns han de ser independents de les àrees que auditen (no s'ha d'auditar el propi treball). Cada auditoria ha de tenir un pla d'auditoria amb abast, criteris i dates, i produir un informe amb constació dels resultats i no conformitats detectades. Els registres d'auditoria interna són informació documentada que l'organització ha de conservar i que l'auditor de certificació pot sol·licitar en qualsevol visita de seguiment.

El temps típic per a una primera certificació ISO 27001 en una empresa de 50-200 empleats és de 9 a 18 mesos, depenent de la maduresa del sistema de seguretat existent. Les fases principals són: diagnòstic i anàlisi de llacunes (1-2 mesos), disseny del SGSI i documentació incloent-hi anàlisi de riscos i SoA (3-6 mesos), implementació de controls i formació (3-6 mesos), auditoria interna prèvia (1 mes) i certificació (auditoria fase 1 + fase 2, 1-2 mesos). IgeraIndustria redueix significativament el temps de la fase de documentació perquè l'equip pot consultar què exigeix cada clàusula i control sense necessitar consultora externa a cada dubte.