Què és ISO/IEC 27001
ISO/IEC 27001:2022 estableix requisits per a un sistema de gestió de seguretat de la informació. El seu enfocament considera riscos, persones, processos i tecnologia. No es limita a instal·lar eines de ciberseguretat ni a protegir una única aplicació. La referència completa identifica l’edició i permet distingir-la d’altres normes de la família.
Tres dimensions rellevants
La informació preventiva necessita confidencialitat, integritat i disponibilitat. Un accés no autoritzat pot exposar dades; una modificació incorrecta pot alterar una decisió; una interrupció pot impedir consultar documentació necessària. La protecció de dades de salut laboral afegeix exigències que han de coordinar-se amb la gestió de seguretat i el marc legal.
Llegir l’abast del certificat
Un certificat ha d’interpretar-se juntament amb el seu titular, vigència, organisme emissor i abast. Que un proveïdor tingui un certificat no demostra automàticament que tots els seus productes, seus o serveis estiguin inclosos. L’organització contractant necessita comprovar la relació entre el servei que utilitza i les activitats cobertes, i resoldre dubtes amb el proveïdor i l’entitat certificadora.
Responsabilitats compartides
La seguretat del servei no elimina les responsabilitats de qui configura usuaris, carrega documents o comparteix informes. Els accessos, canvis de lloc, dispositius i procediments interns continuen sent rellevants. El contracte i l’operació han d’aclarir qui atén incidents, com es comuniquen i quins controls corresponen a cada part, evitant zones sense responsable.
Exemple d’avaluació de proveïdor
En un exemple hipotètic, una empresa sol·licita el certificat d’una plataforma de gestió preventiva i revisa si l’abast inclou el servei contractat. Després contrasta condicions d’accés, còpies i comunicació d’incidents amb les seves necessitats. La comprovació no es redueix a veure un logotip en una presentació ni a suposar que certificació significa absència de risc.
Límits de la certificació
La certificació aporta una avaluació del sistema dins del seu abast; no garanteix que mai es produeixi un incident ni substitueix totes les obligacions de privacitat. Ha d’acompanyar-se de seguiment i decisions informades. Aquesta fitxa explica el significat general de la norma i no atribueix certificacions concretes a una entitat sense revisar la seva documentació vigent.
