ISO SIMILITUDES
Para llevar a cabo la
Comparte directrices sobre la gestión
de riesgos comunes, la Gestión de la
Seguridad de la información, está
alineada con la norma ISO 31000.
Explica los conceptos básicos sobre la
gestión del riesgo y proporciona un
27001 marco general definido por el ciclo
PDCA (Planificación, ejecución,
seguimiento y mejora).
Define un marco apropiado para la
identificación, evaluación y gestión de
riesgos y oportunidades especializado
en la seguridad de la información.
DIFERENCIAS
Es una norma internacional que permite el
aseguramiento, la confidencialidad e
integridad de los datos y de la información,
así como de los sistemas que la procesan
(Es certificable).
Es un estándar especializado en la
seguridad de la información.
Profundiza en una metodología específica
para atender un determinado sector o un
área concreta.
Se basa en los principios de administración
y gestión de riesgos propuestos por ISO
31000, pero restringe su alcance al área de
la seguridad de la información.
La gestión de la seguridad de la
información se alinea con lo propuesto en
ISO 31000 pero no indica que se deba
implementar la evaluación de riesgos como
si lo hace la ISO 31000.
Proporciona el Know-how necesario para
identificar activos, amenazas y
vulnerabilidades, pero también para
evaluar las consecuencias de un
determinado riesgo y calcular su
probabilidad de ocurrencia.
APLICACIONES
implementación de Sistema de
Gestión de Seguridad de la
información, será preciso hacer uso
de ISO 31000.
Realizar un análisis de deficiencias
que determine las imperfecciones
entre los procesos de seguridad de
la información actuales y los
requisitos de la norma.
Define el alcance que es necesario
para tomar una decisión acerca de
qué recursos informativos se van a
delimitar y proteger, algo que
puede llegar a ser complejo en las
grandes organizaciones.
Desarrolla la política de la
seguridad de la información que
debe reflejar el punto de vista de la
organización y estar alineado con la
junta.
Realiza una evaluación de riesgos la
cual identificará los riesgos a los
que se enfrenta la compañía y
realizará una estimación y
evaluación de los mismos.
Establece un plan de tratamiento
de riesgos que describe los pasos
que se tienen que dar para tratar
cada riesgo identificado en la
evaluación de riesgos.
Crea la documentación adecuada,
esto sirve para establecer un punto
de referencia que garantice una
aplicación consistente y mejora
continua.
Amplia un programa de
sensibilización del personal para
recibir formación regular y
aumentar su concienciación acerca
de los problemas de la seguridad
de la información.
Realiza pruebas regulares por lo
que requiere auditorías internas en
intervalos planificados para
determinar si los controles
funcionan como deberían.

Comparten directrices sobre la
gestión de riesgos comunes, así como
los requisitos, esto la hace compatible
con la ISO 27001.
Explica los conceptos básicos sobre la
gestión del riesgo y proporciona un
31000 marco general definido por el ciclo
PDCA (Planificación, ejecución,
seguimiento y mejora).
Define un marco apropiado para la
identificación, evaluación y gestión de
riesgos y oportunidades en forma
general.
Establece las directrices acerca de la forma
de gestionar los riesgos de cualquier tipo
en las compañías, sin concentrarse
únicamente en la seguridad de la
información.
Permite a las organizaciones incorporar
estándares y procesos de alto nivel para
evaluar y mitigar riesgos en todas sus
operaciones (No es certificable)
No profundiza en una metodología
específica para atender un determinado
sector o un área concreta.
En la gestión de la seguridad de la
información se implementa la evaluación
de riesgos, esto no sucede en la ISO 27001.
Ayuda a abordar la Gestión de Riesgos de
forma estratégica y global, se puede
considerar este estándar como un
excelente marco de gestión de todo tipo de
riesgos.
Las organizaciones que han
implementado esta norma y la
aplican en el campo de la seguridad
de la información, no tendrían por
qué implementar ISO 27001.
La ISO 31000:2009, señala una
familia de normas sobre la gestión
de riesgos principios y directrices.
La norma ISO 31000, puede
aplicarse a cualquier tipo de riesgo
en una amplia serie de actividades
y operaciones.
Es la referencia mundial en
sistemas de gestión de riesgos,
elegirla pondrá a la vanguardia
cualquier decisión estratégica002E