ISO 27001:2022, Anexo A 6.3, Concientización, educación y capacitación sobre seguridad de la información, enfatiza la necesidad de que el personal reciba instrucción adecuada en seguridad de la información, incluidos actualizaciones periódicas de políticas pertinentes a sus funciones.
La concientización, la educación y la capacitación sobre seguridad de la información (concienciación sobre la seguridad de TI) implican informar a los usuarios sobre la importancia de la seguridad de la información e inspirarlos a mejorar sus prácticas de seguridad informática.
Se debe informar a los usuarios sobre los posibles riesgos de seguridad asociados con sus actividades y educarlos sobre cómo protegerse contra ellos.
La concientización, la educación y la capacitación sobre seguridad de la información son esenciales para el éxito de cualquier organización. Todo el personal debe comprender la importancia de la seguridad de la información y las consecuencias que tiene para todos.
Cuanto mayor sea el conocimiento del personal sobre cómo protegerse de los peligros cibernéticos, más segura será su organización.
Solicite un presupuesto
El objetivo del Anexo A 27001 de la norma ISO 2022:6.3 es garantizar que el personal y las partes interesadas pertinentes estén informados y formados adecuadamente para cumplir con sus obligaciones de seguridad de la información.
ISO 27001:2022 Anexo A 6.3 detalla la gama de actividades necesarias para garantizar que el personal posea los conocimientos y habilidades necesarios para operar en el marco de seguridad de la información de la organización. Principalmente, este Control del Anexo A se centra en crear conciencia sobre la importancia de la seguridad de la información, promover buenas prácticas y fomentar la conformidad con las políticas y regulaciones pertinentes.
La educación, la concientización y la capacitación en seguridad de la información son componentes esenciales de la estrategia de gestión de riesgos de una organización y deben incorporarse a la política de seguridad. Al proporcionar a los empleados el conocimiento y las herramientas que necesitan, las organizaciones pueden garantizar que sus medidas de seguridad sean efectivas.
El Anexo A 27001 de ISO 2022:6.3 describe la necesidad de que las empresas tengan un programa de concientización sobre la seguridad de la información para otorgar a todo el personal el conocimiento y las habilidades adecuados para salvaguardar los recursos de información. Da consejos sobre lo que se debe incluir en un programa de concientización productiva.
Es posible que la organización necesite brindar capacitación en concientización sobre seguridad al menos una vez al año, o según lo dicte la evaluación de riesgos, a todo el personal con acceso a activos de información confidencial o sistemas de información que almacenen, procesen o transmitan datos confidenciales.
Las organizaciones deben implementar un proceso que garantice que los empleados estén adecuadamente capacitados para realizar sus tareas laborales de manera segura, sin comprometer la seguridad de la información. La capacitación se puede realizar en sesiones o mediante recursos en línea, como videos o seminarios web. El anexo A 6.3 así lo dicta.
Los programas de concientización, educación y capacitación sobre seguridad de la información deben desarrollarse de acuerdo con la política de la organización, las políticas temáticas específicas y los procedimientos de seguridad relevantes. Esto debe considerar la información que necesita protección y los controles de seguridad establecidos para protegerla, y debe realizarse con regularidad.
Es beneficioso presentar conciencia, educación y capacitación tanto a los nuevos empleados como a aquellos en transición a roles que necesitan diferentes niveles de seguridad.
Una campaña de concientización debe comprender múltiples actividades para aumentar la comprensión. Esto podría incluir campañas, folletos, carteles, boletines, sitios web, sesiones informativas, sesiones informativas, módulos de aprendizaje electrónico y correos electrónicos.
Según el Anexo A 6.3, este programa debe abarcar:
ISO 27001:2022 no es un control completamente nuevo. Esta versión de ISO 27001, publicada en octubre de 2022, actualiza la versión anterior ISO 27001:2013.
ISO 27001:2013 Anexo A Control 7.2.2 carece de la tabla de atributos y la declaración de propósito que se proporcionan en ISO 27001:2022 Anexo A Control 6.3.
A pesar de la variación en el número de controles, no parece haber otras distinciones entre los dos controles del Anexo A. Si bien la redacción de los dos Controles del Anexo A varía, su significado y propósito siguen siendo los mismos.
El Anexo A Control 6.3 fue diseñado para ser más fácil de usar, permitiendo a las personas comprender mejor su contenido.
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Controlar.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 | Anexo A 5.1.1 Anexo A 5.1.2 | Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 | Anexo A 6.1.5 Anexo A 14.1.1 | Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 | Anexo A 8.1.1 Anexo A 8.1.2 | Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 | Anexo A 8.1.3 Anexo A 8.2.3 | Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 | Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 | Transferencia de información |
| Controles organizacionales | Anexo A 5.15 | Anexo A 9.1.1 Anexo A 9.1.2 | Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 | Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 | Información de autenticación |
| Controles organizacionales | Anexo A 5.18 | Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 | Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 | Anexo A 15.2.1 Anexo A 15.2.2 | Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 | Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 | Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 | Anexo A 18.1.1 Anexo A 18.1.5 | Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 | Anexo A 18.2.2 Anexo A 18.2.3 | Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 | Anexo A 16.1.2 Anexo A 16.1.3 | Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 | Anexo A 11.1.2 Anexo A 11.1.6 | Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 | Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 | Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 | Anexo A 6.2.1 Anexo A 11.2.8 | Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 | Anexo A 12.6.1 Anexo A 18.2.3 | Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 | Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 | Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados |
| Controles Tecnológicos | Anexo A 8.19 | Anexo A 12.5.1 Anexo A 12.6.2 | Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 | Anexo A 10.1.1 Anexo A 10.1.2 | Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 | Anexo A 14.1.2 Anexo A 14.1.3 | Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Principios de ingeniería y arquitectura de sistemas seguros |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 | Anexo A 14.2.8 Anexo A 14.2.9 | Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 | Anexo A 12.1.4 Anexo A 14.2.6 | Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 | Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 | Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Esta respuesta depende de su organización. Los equipos de seguridad de muchas organizaciones gestionan sus programas de concienciación, enseñanza y formación en materia de seguridad de la información. Algunas organizaciones, sin embargo, confían la gestión al departamento de recursos humanos o a otra rama.
Es vital asegurarse de que alguien se haga cargo de formular y ejecutar el programa de concientización sobre seguridad de su organización. El gerente de seguridad de la información debe supervisar a esta persona/departamento (si es diferente a él).
Esta persona debe poseer sólidos conocimientos de seguridad de la información y poder conversar con el personal sobre diversos protocolos de seguridad. Además, deberían poder crear contenido para sus programas de capacitación y realizar capacitaciones periódicas para el personal.
Es fundamental comprender que la seguridad de la información no es simplemente responsabilidad de TI. Todos los empleados deben rendir cuentas. Las empresas deben crear un equipo dedicado a la seguridad, pero también deben asegurarse de que todos comprendan la importancia de la confidencialidad y la confiabilidad.
ISO 27001:2022 Anexo A 6.3 es una revisión del Anexo A 27001 de ISO 2013:7.2.2 y no un nuevo Control del Anexo A. En consecuencia, la mayoría de las organizaciones no necesitarán modificar nada.
Si ya implementó la versión 2013 de ISO 27001, debe evaluar si estos cambios son pertinentes para su empresa. Del mismo modo, si estás planeando ISMS certificación, debe revisar sus procesos de seguridad para garantizar que cumplan con el estándar revisado.
SGSI.online proporciona una solución integral para la implementación de la norma ISO 27001:2022. Es una plataforma basada en web que permite a las organizaciones demostrar su cumplimiento de los estándares ISO 27001 a través de procesos, procedimientos y listas de verificación optimizados.
Esta plataforma no solo facilita la implementación de ISO 27001 sino que también proporciona un excelente recurso para capacitar al personal sobre las mejores prácticas de seguridad de la información y documentar todos los esfuerzos.
Los beneficios de utilizar ISMS.Online son abundantes:
ISMS.online agiliza la implementación de la norma ISO 27001, ofreciendo todos los recursos, información y herramientas que necesitas en un solo lugar. Sólo se necesitan unos pocos clics del mouse para garantizar que su SGSI cumpla con el estándar.
Contáctenos ahora para organizar una demostración.
He logrado ISO 27001 de la manera más difícil, así que realmente valoro cuánto tiempo nos ahorró lograr la certificación ISO 27001.
