Las última fases de implantanción de un SGSI bajo la ISO 27001 suelen ser menos conocidas por los “poco iniciados” en la materia, pero no por ello menos importante que el análisis de riesgo o la declaración de aplicabilidad (SOA).
Una de estas fases es LA MEDICIÓN de la efectividad de los controles, gracias a unos indicadores que tendremos que ir comparando entre si para comprobar que realmente la gestión de nuestra seguridad mejora, es decir, que el SGSI funciona como debe. Estos indicadores, agrupados todos juntos, forman el CUADRO DE MANDOS de nuestro SGSI
Si buscamos por internet [...] la verdad es que no vamos a encontrar mucha documentación en castellano, pero bueno, se supone que el inglés está controlado, ¿no? 
. Un documento bastante interesante (en inglés) se encuentra en la página web de ISO 27001 SECURITY y que actualmente estoy traduciendo/interpretando/mejorando(dentro de mis posibilidades).
Insisto en la importancia de medir los controles implantandos (en realidad es mejor medir grupos de controles, ya que nos van a dar información más útil) para ver si realmente estamos mejorando. Sin una medición, esto es imposible. Veamos un ejemplo rápido:
tenemos un indicador que nos dice los incidentes de seguridad reportados por los usuarios dividido entre los incidentes de seguridad totales que el SGSI ha podido detectar. Una semana este valor es de un 10%, otra semana es de un 20%, a la siguiente es de un 25%, …, ¿qué significa esto?, que cada vez nuestro personal está más concienciado y cuando detectan algo saben que tienen que comunicarlo. Sin una medición como esta no podrÃamos saberlo
¿Queda claro entonces la importancia de medir?.
Os dejo un post de Javier Cao en el que habla sobre el tema de métricas de seguridad y deja un par de enlaces a documentos del NIST bastantes interesantes.
Otro post de Joseba Enjuto también sobre indicadores y métricas de seguridad
Y otro más sobre métricas de Antonio Valle y sobre las 8 claves del éxito de un cuadro de mandos.
Visitad estos links ya que son bastante interesantes y además en las colaboraciones que se han hecho también podemos extraer bastante contenido interesante.
Con esto y un bizcocho…
Un saludo
