Nueva ISO/IEC 27001:2022: liderazgo

5.1 Liderazgo y compromiso

La nueva ISO/IEC 27001:2022 establece que alta dirección deberá demostrar liderazgo y compromiso con respecto al sistema de gestión de seguridad de la información con el objetivo de:

1. Asegurar que la política de seguridad de la información y los objetivos de seguridad de la información estén establecidos y sean compatibles con la dirección estratégica de la organización.
2. Asegurar la integración de los requisitos del sistema de gestión de seguridad de la información en los procesos de la organización.
3. Asegurar que se dispone de los recursos necesarios para el sistema de gestión de la seguridad de la información.
4. Comunicar la importancia de una gestión eficaz de la seguridad de la información y de cumplir con los requisitos del sistema de gestión de la seguridad de la información.
5. Asegurar que el sistema de gestión de la seguridad de la información logre los resultados previstos.
6. Dirigir y apoyar a las personas para contribuir a la eficacia del sistema de gestión de la seguridad de la información.
7. Promover la mejora continua.
8. Apoyar a otros roles gerenciales relevantes para que demuestren su liderazgo en lo que se refiere a sus áreas de responsabilidad.

Este apartado además incluye una nota en la que se menciona que la referencia a “negocios” en la norma puede interpretarse en sentido amplio para referirse a aquellas actividades que son imprescindibles para los propósitos de la existencia de la compañía.

5.2 Política

Este apartado de la norma ISO/IEC 27001:2022 establece que la alta dirección debe establecer una política de seguridad de la información que:

1. Sea adecuada en base al propósito de la organización.
2. Incluya objetivos de seguridad de la información o proporcione el marco para establecer objetivos de seguridad de la información.
3. Incluya un compromiso de satisfacer los requisitos aplicables relacionados con la seguridad de la información.
4. Incluya un compromiso de mejora continua del sistema de gestión de la seguridad de la información.

Además, la política de seguridad de la información deberá:

1. Estar disponible como información documentada.
2. Ser comunicada dentro de la organización.
3. Estar a disposición de los interesados, según corresponda.

5.3 Roles organizacionales, responsabilidades y autoridades

La norma ISO/IEC 27001:2022 establece en este apartado que la alta dirección debe asegurarse de que las responsabilidades y autoridades de los roles relevantes para la seguridad de la información se asignen y comuniquen dentro de la organización.

La alta dirección asignará las responsabilidades y autoridad para:

1. Asegurarse de que el sistema de gestión de la seguridad de la información se ajuste a los requisitos de este documento.
2. Informar sobre el desempeño del sistema de gestión de seguridad de la información a la alta dirección.

Además, este apartado incluye una nota en la que se destaca que la alta dirección también puede asignar responsabilidades y autoridades para informar sobre el desempeño del SGSI dentro de la empresa.

Diplomado en Seguridad de la Información ISO/IEC 27001:2022

A partir de este momento, podrás implementar y auditar un SGSI en cualquier tipo de organización.

Si deseas convertirte en un profesional en Sistemas de Gestión de Seguridad de la Información (SGSI) o simplemente deseas mejorar tus conocimientos en esta área, te recomendamos que realices el Diplomado en Seguridad de la Información ISO 27001:2022 de la Escuela Europea de Excelencia.

Después de completarlo, podrás implementar y auditar un SGSI en cualquier tipo de organización. ¡No dudes en inscribirte en este Diplomado de formación aquí!