Qué indicadores exige la ISO 27001

La empresa de software llevaba catorce meses certificada y el reporte mensual de seguridad de la información cabía en una diapositiva: incidentes reportados, incidentes cerrados, porcentaje de personal capacitado. En la auditoría de vigilancia el auditor no cuestionó los números. Preguntó otras cosas: quién decidió que esos tres eran los que había que medir, con qué método se calcula el segundo, cada cuánto se analizan, quién evalúa el resultado y qué controles de los que están declarados como aplicables quedan cubiertos por esa medición. La respuesta a la última pregunta fue el problema: de noventa y tantos controles declarados, los tres indicadores tocaban dos.

La norma no da una lista: da una estructura

La ISO 27001 no publica indicadores obligatorios, y buscar la lista es el primer error. Lo que exige es determinar qué necesita seguimiento y medición —incluidos los procesos y controles de seguridad de la información—, con qué métodos se va a hacer para asegurar resultados válidos, cuándo se realiza la medición, quién la realiza, cuándo se analizan y evalúan los resultados y quién los analiza y evalúa. Son seis decisiones, y cada indicador tiene que poder responderlas. Además pide conservar información documentada como evidencia de los resultados, lo que en la práctica significa que la serie histórica es parte del sistema, no un archivo del área de sistemas.

El detalle que casi siempre falta es el método. Decir que se mide el porcentaje de parches críticos aplicados no es un método: el método incluye la fuente del dato, la población considerada, qué cuenta como crítico, qué se hace con los equipos apagados o fuera de red durante el periodo y cómo se evita que el mismo activo se cuente dos veces. Sin eso, dos personas calculan el mismo indicador y obtienen números distintos, que es la definición de un resultado no válido.

Dos niveles que se miden distinto

El primer nivel es el desempeño del sistema de gestión: si el sistema está haciendo lo que dice que hace y si los objetivos de seguridad de la información se están cumpliendo. Ahí caben el avance del plan de tratamiento de riesgos, el cumplimiento del programa de auditoría interna, el estado de las acciones correctivas, el porcentaje de riesgos con tratamiento vencido y la eficacia de la formación. El segundo nivel es la eficacia de los controles individuales declarados como aplicables en la declaración de aplicabilidad, y es el que suele quedar vacío. La norma pide medir la eficacia de los controles, no su existencia, y esa distinción cambia la forma del indicador: no es cuántos controles están implementados, es si el control está impidiendo lo que debía impedir.

La guía sobre seguimiento y medición de la familia sugiere el vocabulario que ayuda a construirlos: medidas básicas que salen directo de una fuente, medidas derivadas que combinan dos o más, y un indicador que compara la medida derivada contra un criterio de decisión definido de antemano. La utilidad está en el último paso. Un número sin criterio no informa nada; el criterio es el que convierte el número en una decisión.

Indicadores que sí sirven, por familia de control

• —Gestión de accesos: porcentaje de bajas de personal con accesos revocados dentro del plazo comprometido, cuentas privilegiadas sin dueño identificado, y porcentaje de revisiones periódicas de derechos de acceso ejecutadas en el periodo. La baja tardía es el hallazgo más común de todos y se mide con la fecha de baja de nómina contra la del directorio.
• —Gestión de vulnerabilidades: tiempo medio desde la publicación de una vulnerabilidad crítica hasta su remediación, y porcentaje de activos del alcance cubiertos por el escaneo. El segundo importa más que el primero: un tiempo excelente sobre el treinta por ciento del inventario no dice nada.
• —Continuidad y respaldos: porcentaje de respaldos verificados mediante restauración real en el periodo, y tiempo de recuperación medido en la prueba contra el objetivo declarado. Un respaldo que nunca se restauró es una suposición, no un control.
• —Incidentes: número por categoría y por origen, tiempo de detección, tiempo de contención y proporción de incidentes detectados por controles propios frente a los reportados por terceros o clientes. Esta última proporción es el mejor indicador de eficacia real de la detección.
• —Concienciación: resultado de campañas de phishing simulado por área y su evolución, y tasa de reporte del correo sospechoso, que mide algo distinto y más útil que la tasa de clic.
• —Proveedores: porcentaje de proveedores críticos con evaluación de seguridad vigente, hallazgos abiertos en proveedores y cumplimiento de las cláusulas de seguridad acordadas.
• —Cobertura del sistema: porcentaje de controles de la declaración de aplicabilidad con al menos una medición o una auditoría en el ciclo. Es el indicador que responde la pregunta que abrió esta nota.

Lo que vuelve inútil a un indicador

Tres cosas, y las tres se ven a simple vista. El número absoluto sin base de comparación: doce incidentes en el mes no significa nada si no se sabe cuántos activos, cuántos usuarios o cuántas transacciones hubo detrás. La medición de actividad en lugar de eficacia: horas de capacitación impartidas, políticas publicadas o reuniones del comité celebradas describen esfuerzo, no resultado. Y la ausencia de criterio de decisión: si el indicador no trae escrito a partir de qué valor se actúa y qué se hace, nadie va a actuar cuando el valor se degrade, porque no habrá nada que lo dispare.

Hay un cuarto vicio más sutil: medir solo lo que es fácil de extraer de las herramientas que ya están instaladas. El inventario de indicadores termina reflejando las capacidades del software de monitoreo y no los riesgos de la organización, y el resultado es un tablero denso donde los controles que tratan los riesgos más altos no aparecen.

Adónde tienen que llegar los resultados

La medición no termina en el tablero. Los resultados del seguimiento y la medición son una entrada obligatoria de la revisión por la dirección, junto con el estado de las acciones de revisiones previas, los cambios en riesgos, los resultados de auditoría, el desempeño frente a los objetivos y la retroalimentación de partes interesadas. Y tienen que alimentar hacia atrás la evaluación de riesgos: si un control declarado eficaz muestra un deterioro sostenido, el riesgo asociado ya no está tratado como decía el plan y hay que reevaluarlo. Ese circuito —riesgo, control, medición, evaluación, decisión— es lo que un auditor recorre en las dos direcciones para comprobar que el sistema está vivo.

Dónde se rompe en la operación

El problema rara vez es la falta de datos: en seguridad de la información sobra telemetría. El problema es que cada número vive en su herramienta —el de accesos en el directorio, el de vulnerabilidades en el escáner, el de incidentes en la mesa de servicio, el de proveedores en una hoja de cálculo— y nadie guarda la definición, la meta ni la conclusión del periodo. Cuando el auditor pide el método y la serie histórica, lo que existe son capturas de pantalla del mes en curso. Un Software de indicadores y objetivos de tu sistema de gestión mantiene cada indicador con su ficha, su fórmula, su fuente, su frecuencia y su responsable, y guarda la serie completa junto con la conclusión registrada en cada periodo, que es la evidencia que la cláusula pide y la que casi nunca se puede reconstruir después.

En resumen

La ISO 27001 no lista indicadores: exige definir qué se mide, con qué método, cuándo, quién mide, cuándo se analiza y quién evalúa, y conservar la evidencia de los resultados. La medición opera en dos niveles, el desempeño del sistema y la eficacia de los controles declarados aplicables, y el segundo es el que suele faltar. Un buen indicador tiene base de comparación, mide resultado y no actividad, y trae un criterio de decisión escrito. Los resultados entran a la revisión por la dirección y regresan a la evaluación de riesgos. Y la pregunta con la que conviene auditarse antes que el organismo es simple: cuántos de los controles declarados aplicables tienen hoy alguna medición detrás.