UNE publica las nuevas versiones de las Normas UNE-ISO/IEC 27001:2023 y UNE-EN ISO/IEC 27002:2023

La Asociación Española de Normalización, UNE, ha publicado las nuevas versiones de las Normas UNE-ISO/IEC 27001:2023 y UNE-EN ISO/IEC 27002:2023 para impulsar la ciberseguridad y digitalización. 

Las Normas UNE-ISO/IEC 27001:2023 ‘Seguridad de la información, ciberseguridad y protección de la privacidad. Sistemas de gestión de la seguridad de la información. Requisitos’ y UNE-EN ISO/IEC 27002:2023 ‘Seguridad de la información, ciberseguridad y protección de la privacidad. Control de la seguridad de la información. (ISO/IEC 27002:2022)’ refuerzan el marco normalizado para el establecimiento, implementación, mantenimiento y mejora de un Sistema de Gestión de Seguridad de la Información (SGSI), totalmente integrable con otros sistemas de gestión internacionales como ISO/IEC 9001 (calidad), ISO/IEC 14001 (medioambiente) o ISO/IEC 22301 (continuidad de negocio).

Las nuevas versiones de las normas introducen importantes actualizaciones para mantenerse al día con los cambios rápidos y evolutivos en la ciberseguridad y la protección de la privacidad. Estas actualizaciones incluyen la incorporación de nuevos controles y la simplificación de la gestión a través de la fusión de controles existentes. Entre los controles recién incorporados, se destacan los referidos a la inteligencia de amenazas, los servicios Cloud, el filtrado web y la codificación segura. Estos cambios reflejan la creciente complejidad y sofisticación de las amenazas a la seguridad de la información en el entorno digital. 

En términos de simplificación, un ejemplo es el control 'Inventario de la información y otros activos', que ahora combina los controles anteriores para el inventario de activos y la propiedad de los mismos. Esta consolidación tiene como objetivo hacer más eficiente la gestión de la seguridad de la información.

Los 93 controles definidos en la nueva edición de la norma UNE-EN ISO/IEC 27002:2023 están ahora organizados en cuatro cláusulas: Controles de la Organización (37), Controles enfocados a Personas (8), Controles Físicos (14) y Controles Tecnológicos (34). Esta estructura refleja una visión más integrada y holística de la seguridad de la información.

Además, se ha puesto un énfasis especial en la gestión de proveedores en la norma. Reconociendo los riesgos inherentes a la cadena de suministro, la norma propone un control más exhaustivo de esta área para identificar y abordar posibles lagunas de seguridad. Asimismo, las nuevas versiones de estas normas son un paso crucial para la adaptación al contexto actual de la seguridad de la información, facilitando la integración con el Esquema Nacional de Seguridad y simplificando su aplicación práctica.

Para las organizaciones, la implementación de estas normas supone un gran apoyo en su proceso de digitalización, proporcionando un marco seguro y eficiente para la gestión de la información y la protección de la privacidad.