Cómo realizar la capacitación y concienciación del personal en materia de SGSI ISO 27001 y Ciberseguridad

¿Cómo realizar un plan de concienciación sobre SI?

ISO 27001 se implementa en las organizaciones para salvaguardar la información que manejan de posibles amenazas, garantizando confianza y seguridad a todas las partes interesadas. Sin embargo, obtener la certificación de un Sistema de Gestión de la Seguridad de la Información no es suficiente. Es crucial preguntarnos si el personal de la organización tiene la capacitación y concienciación de cómo mantenerlo.

En este punto, se hace necesario desarrollar un plan de concienciación sobre Seguridad de la Información. Para ello, es fundamental aclarar qué aspectos deben ser abordados, cómo hacerlo y por qué. Los medios para llevar a cabo la concienciación pueden incluir vídeos, periódicos, posters, debates, charlas, entre otros. Este proceso va más allá de simplemente concienciar, se trata de educar en temas de Seguridad de la Información e ISO 27001.

Pasos a seguir para realizar la capacitación y concienciación del personal

Si deseamos establecer un plan de trabajo, podemos seguir una serie de actividades para alcanzar nuestros objetivos:

Estudiar las necesidades de la organización

Es una tarea previa e indispensable para lograr el objetivo del plan. Conocer las necesidades del personal es fundamental para proporcionar una concienciación adecuada. Para esto, se pueden utilizar encuestas, reuniones con representantes, revisión de la política de seguridad y análisis de incidentes pasados relacionados con la información.

Desarrollar y definir el plan de concienciación

El plan debe incluir elementos como:

• Identificación del público objetivo: Determinar a quién va dirigido el plan, identificando quienes necesitan mayor atención en términos de formación y concienciación.
• Leyes o normas aplicables: Si existen obligaciones legales o requisitos normativos, se deben tener en cuenta al diseñar el plan de concienciación.
• Objetivos para cada apartado del programa: Es importante tener objetivos claros para evaluar la efectividad de las acciones de concienciación.
• Métodos de concienciación: Detallar qué medios se utilizarán para llevar a cabo la concienciación.
• Frecuencia de las acciones de concienciación: La concienciación debe ser recurrente y su frecuencia debe estar definida previamente.

Planificar un calendario para la ejecución del plan de concienciación

Preparar el material

El material de concienciación debe enfocarse en los aspectos específicos que se desean mejorar en la organización. Algunos de los temas a abordar pueden incluir el uso de contraseñas, protección contra virus, cumplimiento de la política de seguridad, instrucciones para el uso del correo electrónico, buen uso de internet, realización de backups de datos, procedimientos en caso de incidentes, educación sobre ingeniería social, seguridad para dispositivos USB, medidas de seguridad para el envío de información sensible o confidencial y regulación del software permitido y no permitido, entre otros.

Cómo mantener un buen plan de concienciación

Para mantener y mejorar el Sistema de Gestión de Seguridad de la Información ISO/IEC  27001, las organizaciones deben enfocarse en las siguientes actividades:

1. Supervisión: Todos los empleados con responsabilidades en medidas de protección deben controlar regularmente el funcionamiento del sistema. Por ejemplo, un responsable del sistema puede verificar diariamente las copias de seguridad.
2. Medición: Se deben realizar mediciones periódicas para determinar si se cumplen los objetivos del sistema. Existen objetivos generales para todo el sistema y objetivos específicos para cada control individual.
3. Escuchar sugerencias: Es importante mantener canales de comunicación abiertos para recibir retroalimentación de todas las partes involucradas en la seguridad. Así, la información llegará a las personas indicadas dentro de la organización.
4. Auditoría interna: Aunque algunas organizaciones perciben las auditorías como una pérdida de recursos, son muy útiles cuando se llevan a cabo correctamente. Permiten detectar desvíos y asegurar que todos cumplan con las normas establecidas.
5. Revisión por parte de la alta dirección: La alta dirección debe controlar trimestralmente el estado de la Seguridad de la Información durante las reuniones de gerencia. La persona responsable de la Seguridad de la Información debe presentar información relevante, como resultados de mediciones, auditorías internas, incidentes, nuevas amenazas, inversiones necesarias y propuestas de cambio en políticas.
6. Auditorías de certificación: Aunque no son obligatorias, estas auditorías son útiles para fines comerciales.
7. Mejora continua: Las actividades mencionadas deben incluirse en una lista y ser implementadas gradualmente. Las normas ISO recomiendan utilizar medidas correctivas y preventivas para abordar las listas de forma sistemática.

Siguiendo estas actividades, las organizaciones podrán fortalecer su Sistema de Gestión de Seguridad de la Información y proteger mejor sus datos y recursos.

El Software de ISOTools como herramienta para realizar un plan de concienciación

La Plataforma Tecnológica ISOTools respalda la implementación de estos planes de concienciación, ya que son fundamentales para el correcto funcionamiento del Sistema de Gestión de la Seguridad de la Información basado en ISO/IEC 27001. ISOTools proporciona una plataforma segura para el intercambio de documentos dentro de la organización, brindando total confianza en la gestión de la información.