'El estándar para la seguridad de la información ISO/IEC 27001 (Information technology Security techniques - Information security management systems - Requirements) fue aprobado y publicado en Octubre de 2005 por la International Organization for Standardization y por la Electrotechnical Commission, especifica los requisitos necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) según el Ciclo de Deming (Planear, Hacer, Evaluar, Actuar). Es consistente con las prácticas descritas en ISO/IEC 17799 (actual ISO/IEC 27002) y tiene su origen en la revisión de la norma británica British Standard BS 7799-2:2002.
Características:
Este manual cubre el vacío generado por la falta de un método documentado sobre cómo proceder a implantar en cualquier empresa un Sistema de Gestión de Seguridad de Información (SGSI), que les permita a las organizaciones minimizar los riesgos y asegurar una continuidad en sus operaciones. Contiene un método completo para instaurar en cualquier firma un SGSI basado en la Norma ISO 27001:2005. Las fases y las actividades de la metodología sirven de guía a los profesionales encargados de manejar proyectos de implantación.
Lamentablemente, lo único que suelen hacer las empresas, frente a la seguridad de información, es actuar de manera reactiva. Al presentarse un incidente, se establece un control. Y pareciera que la labor de las personas encargadas de la seguridad de información consiste en administrar controles, y reaccionar ante la aparición de incidentes de seguridad. Rara vez se actúa de manera proactiva. Frente a la seguridad de información debiéremos actuar de manera diferente: identificar los activos de información que poseen y con una tasación conocer su impacto en la empresa.'