Durante esta masterclass explicaré los requisitos de la norma en su numeral 9.1.
Seguimiento Medición análisis y mejora.
Este aparato no sólo se debe aplicar a la documentación del SGS y ya que como bien se dijo es bien importante
se debe aplicar a los controles de seguridad la medición de ese desempeño se debe hacer hasta los mismos
controles cuando se habla de que la organización debe conservar la documentación de la información como
evidencia de los resultados no sólo hace referencia al eje S.I sino también a las evidencias que le
permitan validar o evidenciar que se está cumpliendo el control para que cuando se haga esa evaluación
se tenga la evidencia y documentación correspondiente y sean herramientas que nos permitan ver si el
desempeño de ese control es efectivo es decir si cumple su propósito o si debe ser modificado.
El tiempo de conservación de esa documentación debe ser establecido por una política en términos de
temas legales y contractuales.
Sin embargo la idea es que apenas se generen nuevas versiones de los documentos.
Las viejas versiones van perdiendo vigencia y se guardan en un histórico aún que pocas veces son tomadas
en cuenta en auditoría.
En ese sentido deberían existir políticas de retención de información y lo que uno va a validar como
auditor es que se cumplan esos tiempos establecidos en cuanto a las evidencias.
Es de recordar que la certificación ISO 27000 tiene una duración de tres años y en ese tiempo deberían
haberse realizado auditorías internas del SGS.
Es decir auditorías internas enfocadas para saber si se está preparado para la próxima certificación.
Esas auditorías debieron solicitar una evidencia y éstas se deben mantener no sólo por tres años lo
que se busca garantizar es que si la entidad implementó ISO 27000 para ser certificado la evidencia
no los documentos como tal sino por ejemplo pantallazos blogs bitácoras cámaras de video y este tipo
de registro de controles deberían ser conservados por un tiempo en el cual tanto las auditorías internas
como la certificación puedan establecer qué se ha llevado ese control y que se tienen esas evidencias.
Sin embargo para temas de monitoreo de logs y demás siempre se definen tres meses en línea y hasta 1
año disponible en backups porque cuando se monitorean eventos y además pueden ser los holdouts muy largos
que ocupan mucho espacio.
Sin embargo la norma no establece un período fijo de conservación debe ser el que sea necesario para
que cuando hayan las auditorías internas y de certificación se mantenga la evidencia.
No se le puede decir al auditor que el material fue eliminado o se perdió ya que no se tendrá evidencia
del control.
Las empresas deberán establecer mantener y documentar un sistema de gestión de la seguridad de la información
S.G. y.