¡Contáctanos!
Te responderemos lo antes posible para empezar a trabajar juntos con tu empresa.
Oops! Something went wrong while submitting the form.
Te responderemos lo antes posible para empezar a trabajar juntos con tu empresa.
Al comparar CMMI con ISO 27001, conviene saber que CMMI Security (SEC) y Safety (SAF) e ISO/IEC 27001 ayudan a las organizaciones a gestionar riesgos, fortalecer sus mecanismos de protección e identificar vulnerabilidades para protegerse. Sin embargo, tienen alcances distintos. ISO/IEC 27001 establece los requisitos para establecer y mantener un Sistema de Gestión de Seguridad de la Información (SGSI), mientras que CMMI para los dominios de SEC y SAF (protección y seguridad) ofrece prácticas para desarrollar y madurar las capacidades organizacionales relacionadas con la seguridad y la protección en las organizaciones y en los daños asociados a las vulnerabilidades y riesgos.
Para cualquier empresa, en particular para aquéllas asociadas al desarrollo de software, la elección no es mutuamente excluyente; es decir, no se trata de elegir uno y descartar el otro lineamiento. En realidad depende de las necesidades del negocio, de los compromisos que se tengan con los clientes, de los riesgos que se identifiquen y estén asociados a los productos y servicios que ofrece, así como de los objetivos de mejora que busca alcanzar.
Aunque ambos enfoques contribuyen a fortalecer la confianza en una organización y sus procesos de seguridad, es importante comprender claramente qué buscan y cómo se aplican.
CMMI® (Capability Maturity Model Integration) es un modelo de referencia desarrollado para mejorar las capacidades, los procesos y los resultados (el rendimiento) medibles de las organizaciones. Establece una cultura de procesos y los liga a los objetivos de negocio para lograr mejoras medibles. Si quieres conocer cómo se mide esa madurez, lee Niveles de madurez CMMI: qué son y cómo avanzar entre ellos o los mitos más comunes sobre CMMI®.
A partir de la versión 3.0 incorporó los dominios de Seguridad y Protección, lo cual permite abordar necesidades específicas que incluyen desarrollo de productos y servicios, gestión de personas y equipos, seguridad, protección y trabajo virtual.
En particular, los dominios de Seguridad y Protección son los dos dominios enfocados en resolver temas de gestión de riesgos y vulnerabilidades de seguridad, no solo informática, sino en general. A continuación damos una visión breve de cada uno de ellos.
Este dominio está orientado a fortalecer las capacidades para identificar y gestionar amenazas, vulnerabilidades y riesgos de seguridad que puedan afectar a la organización, así como a sus productos y/o servicios.
Este dominio está enfocado en prevenir o reducir situaciones que puedan ocasionar daños a las personas, al entorno o a otros elementos que requieran protección.
Estos dos dominios son particularmente importantes en cualquier ámbito del negocio, ya que no es lo mismo proteger una aplicación contra accesos no autorizados que garantizar que un sistema de control industrial, por ejemplo, no provoque situaciones peligrosas debido a una falla en el funcionamiento.
El modelo de CMMI® para estos dos dominios permite evaluar cómo se implementan, gestionan y mejoran las prácticas organizacionales mediante un método formal de evaluación, las cuales, dependiendo de su alcance y su tipo, podrían reconocer niveles de madurez o capacidad. En este sentido, los dominios de SEC y SAF de CMMI® están enfocados en integrar tanto la protección como la seguridad como parte de otras capacidades que una organización puede tener, como ingeniería, gestión de servicios, gestión de riesgos, planificación y aseguramiento de calidad, y por supuesto en el marco de una mejora continua y evolutiva de la forma en que las capacidades de una organización maduran a lo largo del tiempo y se vuelven más robustas.
ISO/IEC 27001 es una Norma Internacional que establece los requisitos para establecer, implementar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información (SGSI). Su objetivo es proteger las tres propiedades fundamentales de la información en una organización: su confidencialidad, su integridad y su disponibilidad.
Bajo estos principios se rige el fundamento de la norma, al establecer controles específicos para detallar la forma en que una organización los garantiza. En una organización, esto puede traducirse en gestionar adecuadamente el acceso a sus repositorios de información (por ejemplo, datos de servicios y, si es una empresa de desarrollo, sus repositorios de código fuente, procesos, datos de incidentes, entre otros), proteger los accesos a datos de clientes y a datos confidenciales y sensibles (internos o de clientes), controlar los privilegios de quien puede acceder a cierta información, y responder a posibles incidentes relacionados con la violación de cualquiera de estos tres principios fundamentales, estableciendo mecanismos para preservar la disponibilidad de la información crítica.
Una característica importante de ISO/IEC 27001 es su relación con ISO/IEC 27002, que proporciona un catálogo de controles de seguridad que se espera que sean aplicables a cualquier organización que implemente la norma, además de brindar orientación sobre cómo implementarlos. Con esta referencia cruzada, las organizaciones tienen una referencia especializada para seleccionar las medidas y controles de protección adecuados según sus riesgos identificados. Sin embargo, esto no significa que todos los controles deban implementarse de manera indiscriminada: la forma en que se seleccionan y se evalúa su aplicabilidad depende del contexto de la organización, sus objetivos de negocio y el tratamiento de los riesgos asociados a la operación de cada negocio.
A diferencia del modelo de CMMI®, la norma ISO/IEC 27001 permite una certificación de conformidad que indica si el SGSI de la empresa cumple con los lineamientos establecidos en la norma, dentro de un alcance definido de aplicación. El modelo de CMMI permite otorgar un nivel de madurez o de capacidad dependiendo de las necesidades de una organización y, aunque se sabe que se tiene un cumplimiento de las áreas de práctica de una organización, no es posible conocer el detalle de la forma en que se implementaron las prácticas del modelo, ni en un modelo ni en el otro. Esto queda resguardado en los principios de confidencialidad de ambos marcos de referencia.
La diferencia fundamental entre ambos marcos está en el propósito de cada uno.
ISO/IEC 27001 se concentra en establecer y mantener un sistema de gestión especializado en seguridad de la información. CMMI SEC & SAF se enfoca, por su parte, en fortalecer las capacidades organizacionales mediante las cuales una organización gestiona la seguridad y la protección en sus actividades y resultados.
A continuación mostramos un resumen de lo que evalúa cada uno de estos marcos, a quién se le solicita y qué se obtiene como resultado:
Los requisitos de ambos marcos de referencia son particulares y específicos de cada uno y, aunque tienen prácticas similares, no se pueden comparar uno a uno. Ambos métodos de evaluación son distintos y la estructura de ambos marcos es distinta.
Tampoco puede afirmarse que una organización evaluada en CMMI® para los dominios SEC y SAF vaya a cumplir completamente los controles y las cláusulas de ISO/IEC 27001, ya que cada organización es distinta. Cada referencia tiene requisitos y mecanismos de evaluación propios. Se requeriría hacer un análisis detallado de cada marco.
Puede hacerse una referencia general, pero este mapeo podría ser inexacto; solo se presenta de manera orientativa y no exhaustiva.
Donde:
En el caso de requerir implementar una u otra, o ambas, en una organización que ya tenga alguna de las dos, la recomendación sería revisar los procesos implementados o definidos bajo la perspectiva del nuevo marco a implementar. Esto requerirá tiempo y esfuerzo por parte del equipo de procesos y/o del equipo consultivo que lo realice.
Ahora bien, pasemos a revisar otra cuestión importante: si no tengo ninguna de las dos, ¿cuál me conviene implementar primero? Esta pregunta la responderemos en el siguiente apartado.
No hay una respuesta mágica ni única. Realmente, para tomar una decisión, sin lugar a dudas, conviene analizar qué necesita la empresa en este momento, qué resultados están esperando los clientes y cuáles son los riesgos prioritarios que necesitan direccionarse primero; es decir, la respuesta depende de la situación y el contexto. A continuación te nombramos algunos escenarios hipotéticos que sería interesante explorar.
Me lo están pidiendo en una licitación o es un requerimiento contractual por parte de un cliente corporativo.
El paso número uno siempre será revisar exactamente qué está esperando el cliente. Si explícitamente en una licitación o RFP se solicita ISO/IEC 27001 vigente, podría ser que una evaluación CMMI de madurez para los dominios de ESEC y ESAF pudiera admitirla, pero tendrías que hacer la pregunta explícitamente. Y lo mismo ocurriría en caso de que lo que se requiera sea una evaluación CMMI en algún nivel de madurez, sobre todo si el nivel es mayor al nivel 2.
En segundo lugar, habría que analizar cuál es el alcance que se está solicitando para la implementación de los marcos de referencia. Mientras que un cliente podría requerir que se demuestre solo para algunos servicios o actividades explícitas, otros podrían incluir explícitamente las instalaciones o incluso que el alcance sea para toda la organización.
En este escenario, la recomendación sería revisar los requerimientos solicitados por el cliente y comprobar que el alcance de nuestro certificado o evaluación abarque los servicios o actividades que nos están requiriendo.
En este caso, cuando una empresa maneja información sensible, incluidos los ámbitos financieros, de manejo de datos personales, confidenciales o de activos críticos, ISO/IEC 27001 suele ser un punto de partida adecuado, debido a que, por su enfoque, los requisitos y controles de seguridad que se encuentran en ISO/IEC 27002 permiten establecer una manera muy estructurada y específica de mitigar los riesgos de seguridad de la información, a la vez que se definen responsabilidades y se seleccionan los controles pertinentes a implementar.
Por citar solo un ejemplo, en una empresa de desarrollo de software para una empresa financiera se requieren controles que garanticen la protección de la información utilizada no solo durante el desarrollo de los sistemas, sino también durante las pruebas y la operación de esos mismos sistemas. En este sentido, ISO/IEC 27001 proporciona el marco para abordar estas necesidades específicas, mientras que CMMI SEC complementa al fortalecer las prácticas de seguridad en el ciclo de desarrollo, así como en los procesos organizacionales.
Si adicionalmente a los sistemas se requieren controles específicos de acceso a instalaciones o de seguridad perimetral, entonces el dominio de SAF (Safety) nos proporciona un complemento relevante a la luz de las normas específicas que pudieran requerirse.
Necesito eliminar dependencias críticas de personal con conocimiento único y estandarizar las operaciones.
En este escenario, si lo que se requiere es reducir la dependencia de personal con conocimiento único, del cual depende la operación, además de estandarizar las prácticas en la organización y los equipos, CMMI® ofrece una perspectiva organizacional más adecuada, al crear la cultura necesaria a largo plazo que promueva la mejora continua.
Una empresa puede tener controles de seguridad adecuados y, al mismo tiempo, enfrentar problemas de coordinación, retrabajo, variación en sus entregas o falta de madurez en sus procesos. CMMI® permite abordar estos problemas desde la integración y consolidación de distintas prácticas necesarias para crear una mejora continua sostenible, sin que esto limite la mejora continua de las prácticas de seguridad de la información.
Por tanto, aquí la recomendación es que, si la prioridad es fortalecer realmente la estandarización de las actividades y mejorar los resultados organizacionales, conviene considerar primero CMMI, con un alcance adecuado a las necesidades del negocio. En este sentido, los dominios de SEC y SAF pueden incorporarse cuando soporten las necesidades de seguridad y protección de la organización y las necesidades de privacidad de los productos y/o servicios. Si quieres revisar tu caso, conoce nuestra consultoría CMMI.
La respuesta a esta pregunta es un rotundo sí y, de hecho, una adopción integrada de ambos modelos de referencia puede resultar especialmente valiosa para las organizaciones que necesitan tanto controles especializados para proteger y controlar su información como establecer hábitos profundos y repetibles en procesos organizacionales que sean consistentes.
Un ejemplo podría ser una empresa que se dedique a desarrollar un sistema para gestionar información médica hospitalaria y lo ofrezca como SaaS.
Con la norma ISO/IEC 27001 puede establecer su SGSI identificando riesgos de seguridad de la información, definir sus políticas de acceso y proteger sus principales activos, tanto de información personal como médica, y puede establecer controles que le ayuden a monitorear y evaluar la eficacia de los controles establecidos. Adicionalmente, con la incorporación del dominio de Security (SEC) de CMMI® se beneficia con el fortalecimiento de las actividades de seguridad no solo en sus activos, sino también en sus procesos de gestión y mejora organizacional, a la par que fortalece los procesos de construcción con los controles específicos que se pueden implementar para el cumplimiento de ISO/IEC 27002 en el desarrollo de software.
Adicionalmente, si se requiere prestar especial atención a los controles de seguridad perimetral, CMMI Safety (SAF) puede aportar prácticas para gestionar los riesgos asociados con los posibles daños en caso de que se rompan estos controles.
De esta manera podemos ver que una implementación híbrida puede potenciar elementos comunes en ambos marcos, como:
La decisión entre implementar CMMI® para los dominios de SEC y SAF e ISO/IEC 27001 no es unívoca: puede basarse en las prioridades del negocio, los objetivos específicos de las circunstancias actuales y los resultados esperados.
ISO/IEC 27001, por un lado, ofrece una referencia especializada para gestionar la seguridad de la información, con requisitos y controles bien definidos y un esquema de certificación reconocido internacionalmente.
CMMI® para SEC y SAF, por su lado, permite desarrollar y fortalecer las capacidades críticas de seguridad y protección que una organización necesita para fortalecer sus procesos, estableciendo una cultura de mejora continua a largo plazo.
Para una empresa, ISO/IEC 27001 puede ser una opción inicial conveniente cuando lo prioritario es la protección de la información, la gestión de riesgos de seguridad y se necesita responder a requisitos contractuales para demostrar una certificación.
Sin embargo, CMMI para SEC y SAF es particularmente valioso cuando se busca fortalecer los resultados organizacionales y asegurar que las prácticas de seguridad y protección se vuelvan parte de la cultura organizacional y hábitos persistentes a largo plazo.
Una adopción híbrida puede ofrecer una solución más completa y confiable que utilizarlos de forma aislada. La pregunta estratégica, en todo caso, no es cuál es mejor, sino: ¿qué necesita proteger la organización?, ¿qué capacidades necesita desarrollar y fortalecer? y ¿qué resultados se están esperando?
No. Ambos abordan aspectos relacionados con la seguridad: ISO/IEC 27001 establece requisitos para un SGSI, mientras que CMMI® SEC se enfoca en desarrollar y evaluar las capacidades organizacionales de seguridad. Pueden complementarse, pero no son equivalentes.
No necesariamente. Realmente la necesidad depende de los riesgos asociados con los productos y/o servicios. En particular, el dominio de Safety (SAF) es relevante cuando una falla puede generar consecuencias para la seguridad de las personas y/o su entorno de trabajo.
No necesariamente. Siempre existe la posibilidad de priorizar un enfoque personalizado según las necesidades de la organización y se pueden seleccionar áreas de práctica para fortalecer primero las capacidades de seguridad, protección y gestión más relevantes. Sin embargo, si se requiere un enfoque más integral y holístico para mejorar todo el sistema de gestión y mejora continua de toda la organización, la decisión final dependerá de la evaluación de las circunstancias específicas de cada organización: optar por una vista de capacidad o por una vista de madurez.
No hay una respuesta única. Realmente depende de las prioridades de cada organización. Si existe una exigencia contractual de certificación o una necesidad urgente de fortalecer la seguridad de la información, ISO/IEC 27001 es la opción más rápida y, por tanto, el primer paso. Si, en cambio, el reto principal es mejorar la ejecución de los procesos en la organización, CMMI® puede marcar el punto de partida al fortalecer la cultura de procesos a largo plazo.
En ambos casos, el punto de partida recomendado será realizar un análisis de brechas (gap analysis) para identificar las prácticas que ya se tienen en la organización y se pueden adoptar desde el inicio, y cuáles son las circunstancias actuales, que permitan tomar una decisión informada.
¿No sabes si te conviene CMMI, ISO 27001 o ambos? Agenda una llamada con nuestros consultores y lo revisamos según tu caso.
