¿Qué cubre la Cláusula 7 en ISO/IEC 27001?

La Cláusula 7 se enfoca en asegurar que la organización cuente con las herramientas, personal, procesos y documentación adecuados para implementar y mantener la seguridad de la información. Abarca:

1. Recursos (7.1)

   • Requisitos de infraestructura, tecnología y apoyo necesario para el buen funcionamiento del SGSI.
   • Asegurar presupuesto y soporte de la dirección para la adquisición de herramientas y personal especializado.

2. Competencia (7.2)

   • Identificación de habilidades y conocimientos que el personal necesita.
   • Formación, experiencia o certificaciones requeridas para asegurar un trabajo eficaz en seguridad de la información.

3. Concienciación (7.3)

   • Asegurar que todos los empleados y partes interesadas pertinentes comprendan la importancia de la seguridad de la información.
   • Campañas o programas continuos para reforzar la cultura de ciberseguridad.

4. Comunicación (7.4)

   • Políticas y procedimientos de comunicación interna y externa relacionados con la seguridad de la información.
   • Determinar qué, cómo y cuándo comunicar y a quién, para garantizar transparencia y coordinación.

5. Información documentada (7.5)

   • Incluye tanto la creación y actualización como el control de la información documentada.
   • Se busca que toda la documentación (políticas, procedimientos, registros, etc.) esté claramente identificada, accesible, segura y actualizada.

Principales diferencias entre la versión 2013 y la 2022

1. Mayor énfasis en la integración con el negocio

   • Aunque ya existía en 2013, la versión 2022 refuerza la alineación con el Anexo SL. Esto facilita la integración con otros sistemas de gestión (ISO 9001, ISO 22301, etc.), haciendo que la provisión de recursos, la formación y la documentación sean coherentes con la estrategia global de la organización.

2. Competencia y concienciación más detalladas

   • La norma actual subraya la importancia de la formación continua en ciberseguridad, dada la evolución constante de las amenazas.
   • Se hace hincapié en asegurar que las personas que trabajan bajo el control de la organización conozcan claramente sus responsabilidades y consecuencias de no cumplir los procedimientos de seguridad.

3. Comunicación interna y externa más explícita

   • Respecto a la versión 2013, la 2022 detalla mejor cómo debe planificarse la comunicación con las partes interesadas y la alta dirección, para evitar vacíos de información.
   • Se promueve una cultura de alerta temprana y notificación rápida de eventos o incidentes.

4. Información documentada con un enfoque de ciclo de vida

   • Continúa la tendencia de la ISO en hablar de “información documentada” en lugar de “documentos y registros”, reforzando la gestión a lo largo de todo el ciclo de vida de la documentación.
   • Se fomenta revisar periódicamente la pertinencia, vigencia y protección de la información documentada, en consonancia con la evolución tecnológica (sistemas en la nube, documentos digitales, etc.).

5. Refuerzo del enlace con la mejora continua

   • La norma actual destaca la necesidad de revisar si los recursos y la competencia del personal siguen siendo adecuados tras incidentes, cambios en el negocio o auditorías.
   • Esto impulsa a tratar la Cláusula 7 como un mecanismo dinámico que se adapta a la evolución de riesgos y oportunidades.

¿Por qué la Cláusula 7 es fundamental?

• Suministra la base de conocimiento y recursos: sin personal formado y concienciado, incluso los mejores controles técnicos pueden resultar ineficaces.
• Impulsa la coherencia del SGSI: la gestión adecuada de la información documentada garantiza que todos trabajen con versiones actualizadas de políticas y procedimientos.
• Fomenta la cultura de seguridad: la comunicación y concienciación regulares hacen que la seguridad deje de ser vista como una tarea aislada de TI y se convierta en un valor compartido.