Concienciación y formación para el control 6.3 de ISO 27001.

Para cualquier organización

La versión vigente es la ISO/IEC 27001:2022, con una modificación de 2024 sobre cambio climático. En España se publica como UNE-EN ISO/IEC 27001:2023.

La propia norma dice que sus requisitos son genéricos y aplicables a cualquier organización, sea cual sea su tipo, tamaño o naturaleza: empresas privadas, organismos públicos y entidades sin ánimo de lucro de todos los sectores.

Fuente: ISO/IEC 27001:2022, cláusula 1.

Voluntaria, pero con compromiso

Certificarse es una decisión de la empresa, como en el resto de normas ISO de sistemas de gestión. Pero una vez dentro, las cláusulas 4 a 10 no se pueden excluir si queréis declarar la conformidad con la norma. Ahí están la competencia y la concienciación.

Si trabajáis con el sector público, además os puede tocar el Esquema Nacional de Seguridad, y si sois entidad esencial o importante, la directiva NIS2. Las tres piden formar a la plantilla.

Fuente: ISO/IEC 27001:2022, cláusula 1, y la ficha de la norma en iso.org.

No conformidades

Si falta la formación o no hay evidencia de ella, es un incumplimiento de las cláusulas 7.2 o 7.3, o del control 6.3 si está en vuestra declaración de aplicabilidad. La norma pide reaccionar ante cada no conformidad, corregirla, analizar su causa y conservar evidencia de lo hecho.

Fuente: ISO/IEC 27001:2022, cláusula 10.2.

El certificado y los clientes

Muchas empresas se certifican para dar confianza a sus clientes. Si el certificado forma parte de un contrato o de una licitación, perderlo o no renovarlo tiene consecuencias comerciales, que son las que fija ese contrato.

Fuente: ficha de ISO/IEC 27001 en iso.org.

Qué entregas

• Evidencias firmadas y con fecha. Un informe en PDF firmado, con marca de tiempo y trazabilidad por empleado y equipo.
• Certificado individual. A nombre de cada empleado, con el curso, la fecha y la puntuación del test. Caduca al año y se renueva con los contenidos actualizados.
• Medida de la eficacia. Cada píldora acaba en un test, y quien falla, repite. Las simulaciones de phishing enseñan si la plantilla cambia lo que hace.
• Progreso por empleado. En tiempo real desde el panel, con recordatorios automáticos para quien no ha terminado.

Las simulaciones de phishing y la formación en píldoras con test se repiten a lo largo del año, así que el programa del control 6.3 no se queda en una sesión suelta.

Lo que nos dicen

Tranquilidad absoluta para pasar la ISO 27001. Toda la trazabilidad que pedía el auditor la tuvimos en PDF con dos clics.

Y en la auditoría, con vosotros

Lo gestionáis desde el panel o lo delegáis y lo llevamos nosotros. Cuando llega la auditoría de ISO 27001 no estáis solos con un panel: los consultores de Legitec os acompañan. Más detalle sobre el certificado de cada empleado y sobre el informe para la auditoría.