ISO 27001:2022 Anexo A 6.5 – Responsabilidades después de la terminación o cambio de empleo

• See Norma ISO 27002:2022 6.5 para obtener más información.
• See ISO 27001:2013 Anexo A 7.3.1 para obtener más información.

¿Qué es ISO 27001:2022 Anexo A 6.5?

ISO 27001:2022 Anexo A 6.5 exige que las organizaciones especifiquen roles y responsabilidades de seguridad de la información que permanezcan efectivas incluso si el personal se va o es reasignado. Comunicar estos deberes y responsabilidades al empleado y a cualquier tercero aplicable.

Deberes y responsabilidades de información explicados

Los empleados están legalmente obligados a mantener confidencial cualquier información que su empleador les confíe. Es esencial que el personal comprenda los requisitos para proteger los datos de su empleador.

Los empleadores generalmente tienen derecho a exigir que sus trabajadores protejan los datos confidenciales y no los exploten para beneficio personal, por ejemplo, mediante el uso de información privilegiada u otras actividades ilegales.

Algunos ejemplos de deberes y responsabilidades de seguridad de la información incluyen:

• Garantizar la confidencialidad de la información personal es de suma importancia.
• Es esencial mantener un registro de cómo datos personales es gestionado, aplicado y compartido.
• Garantizar la precisión y confiabilidad de los datos es primordial. Esto requiere su recolección de fuentes confiables, almacenamiento seguro y eliminación segura cuando ya no sea necesario.
• Asegúrese de que sólo las personas autorizadas tengan acceso a la información.
• Hacer uso y divulgar datos personales de forma lícita y justa, de conformidad con las leyes aplicables.

Es esencial que las organizaciones sean conscientes de sus obligaciones al gestionar datos personales para evitar infringir las normas de privacidad, ya que las repercusiones tanto para la empresa como para su personal podrían ser nefastas.

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:6.5?

anexo A 6.5 debe implementarse cuando un empleado o contratista deja la organización, o cuando un contrato finaliza antes de su vencimiento.

Este control salvaguarda los intereses de seguridad de la información de la organización en caso de cambios de empleo o terminaciones de contrato.

Este Control del Anexo A protege contra la posibilidad de que los empleados aprovechen su acceso a información y procesos confidenciales para beneficio personal o intenciones maliciosas, especialmente después de su salida de la organización o trabajo.

Anexo A Control 6.5 Explicado

ISO 27001:2022 El Anexo A 6.5 busca salvaguardar los intereses de seguridad de los datos de la organización en caso de cambio o terminación de empleo o contrato. Esto cubre a empleados, contratistas y terceros que obtienen acceso a datos confidenciales.

Evalúe si alguna persona (incluidas las contratadas) con acceso a sus datos personales confidenciales abandona su organización y tome medidas para garantizar que no conserven ni persistan en acceder a sus datos personales confidenciales después de que se vayan.

Si detecta que una persona se va y existe la posibilidad de que se revele información personal confidencial, debe tomar las medidas adecuadas antes de que se vaya o lo más rápido posible después para asegurarse de que esto no ocurra.

Qué implica y cómo cumplir los requisitos

Para cumplir con los criterios del Anexo A 6.5, el contrato o acuerdo de trabajo de un individuo debe especificar cualquier responsabilidades de seguridad de la información y deberes que aún subsisten después de la conclusión de la relación.

Las responsabilidades de seguridad de la información pueden incluirse en otros contratos o acuerdos que duren más que el período de empleo de un empleado.

Al dejar un puesto o cambiar de trabajo, el titular debe garantizar que sus responsabilidades de seguridad se transfieran y que todas las credenciales de acceso se eliminen y reemplacen.

Para más detalles de este proceso consultar el documento estándar ISO 27001:2022.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 6.5 es una adaptación de ISO 27001:2013 Anexo A 7.3.1 en lugar de un nuevo Control del Anexo A.

Los fundamentos de estos dos controles son similares, aunque existen pequeñas discrepancias. Por ejemplo, las directrices de implementación difieren ligeramente en ambas versiones.

La primera parte del Anexo A 7.3.1 de ISO 27001:2013 indica que las organizaciones deben:

Al momento de la terminación, es esencial comunicar los requisitos legales y de seguridad de la información necesarios, así como cualquier acuerdo de confidencialidad aplicable y términos y condiciones de empleo que puedan estar vigentes por un período específico después del final del contrato del empleado o contratista.

El mismo apartado Anexo A 6.5 de la Norma ISO 27001:2022 estipula que:

El procedimiento para gestionar la terminación o cambio de empleo debe especificar qué responsabilidades y obligaciones de seguridad de la información permanecen vigentes después de la terminación o alteración. Esto puede incluir mantener la confidencialidad de la información, la propiedad intelectual y otros conocimientos adquiridos, así como cualquier otra responsabilidad estipulada en un acuerdo de confidencialidad.

Las responsabilidades y deberes que permanecen vigentes después de la terminación del empleo, contrato o acuerdo de un individuo deben detallarse en sus términos y condiciones. Además, cualquier contrato o acuerdo que abarque un período definido más allá del final del empleo del individuo puede incluir responsabilidades de seguridad de la información.

A pesar de la diferencia en la redacción, ambos Controles del Anexo A tienen una estructura y un propósito muy similares en sus respectivos contextos. Para que el Anexo A 6.5 sea más fácil de usar, se ha simplificado el lenguaje, lo que permite a los usuarios comprender mejor su contenido.

La versión 2022 de ISO 27001 incluye una declaración de propósito y una tabla de atributos para cada control, lo que ayuda a los usuarios a comprenderlos e implementarlos. Esto está ausente en la edición de 2013.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

¿Quién está a cargo de este proceso?

De acuerdo con la recomendación de ISO 27001:2022 Anexo A 6.5, Recursos Humanos suele hacerse cargo de todo el proceso de despido en la mayoría de las organizaciones, colaborando con el supervisor del individuo para garantizar la seguridad de la información como parte de los procedimientos.

El personal suministrado por una parte externa (por ejemplo, un proveedor) debe ser despedido de acuerdo con el contrato establecido entre la organización y la parte externa.

¿Qué significan estos cambios para usted?

El estándar ISO 27001:2022 se ha mantenido prácticamente sin cambios, simplemente actualizado para mejorar su usabilidad. Ninguna organización que actualmente cumple con la norma ISO 27001:2013 necesita tomar medidas adicionales para seguir cumpliendo.

Para cumplir con los cambios en ISO 27001:2022, la organización solo tendrá que realizar ligeras modificaciones en sus métodos y procesos existentes, especialmente si tiene como objetivo renovar la certificación.

Cómo ayuda ISMS.Online

Las empresas pueden aprovechar ISMS.online para ayudarles a cumplir con la norma ISO 27001:2022. Esta plataforma simplifica el proceso de gestión, actualización, prueba y evaluación de sus protocolos de seguridad.

Nuestra plataforma basada en la nube simplifica la gestión del SGSI, permitiéndole supervisar de manera eficiente la gestión de riesgos, políticas, planes, procedimientos y más, todo desde una sola fuente. La plataforma es sencilla y su interfaz fácil de usar hace que sea sencillo de utilizar.

ISMS.online permite a su organización:

• Documente sus procedimientos utilizando una interfaz web fácil de usar, sin necesidad de instalar software en su computadora o red.
• Automatice su técnica de evaluación de peligros para una mayor eficiencia.
• Lograr el cumplimiento es sencillo con informes y listas de verificación en línea.
• Supervise su progreso mientras busca la certificación.

Si opera una empresa que requiere el cumplimiento de la norma ISO 27001, ISMS.Online proporciona una selección completa de funciones que le permitirán realizar esta tarea esencial.

Contáctenos ahora para organizar una demostración.