NUEVA ISO 27001

Publicada la nueva ISO 27001:2022:
Novedades del estándar de seguridad de la información

El pasado mes de octubre tuvo lugar la publicación de la nueva ISO 27001:2022. La ya necesaria revisión del estándar de Seguridad de la Información que ha sufrido varios retrasos ya está lista para asumir los retos y desafíos que plantea un mundo corporativo más regulado, pero también, más expuesto.

La fecha exacta de publicación fue el 25 de octubre de 2022, lo que significa que las organizaciones contarán con tres años – hasta octubre de 2025 -, para ajustar sus Sistemas de Gestión al nuevo estándar y certificarlo.

¿Qué novedades aporta la nueva ISO 27001:2022?

La nueva ISO 27001:2022 incorpora novedades que, en general, pretenden alinear aún más el Sistema de Gestión con el Anexo SL, lo que en la práctica significa un claro interés por promover la integración con otros Sistemas.

Sin embargo, en su estructura y en su forma el estándar no presenta variaciones sustanciales. Los cambios más significativos son:

Contexto de la organización
Ahora, el capítulo 4 de la norma solicita identificar requisitos “relevantes” de las partes interesadas. No todos los requisitos identificados serán abordados por el Sistema de Gestión de Seguridad de la Información.

Planificación
Aquí la novedad, propuesta en el capítulo 6, es que los objetivos de seguridad ahora deben ser monitorizados, y esta tarea debe estar disponible como “información documentada”.

Soporte

En este punto, el propósito evidente es facilitar la tarea: ahora solo se solicita definir “cómo comunicarse”, y se elimina la necesidad de definir a quién, y de crear un proceso para hacerlo.

Operación

Se sustituye el requisito de planificar el logro de los objetivos de SI, por el requisito de establecer criterios para los procesos para implementar acciones identificadas en la Cláusula 6, y para controlar esos procesos de acuerdo con los criterios.

Desempeño y evaluación

Los mecanismos utilizados para medir, analizar, monitorizar, evaluar y realizar seguimiento a la eficacia del Sistema ahora deben ser comparables y reproducibles.

La revisión por parte de la Alta Dirección ahora también debe considerar los cambios en las necesidades y expectativas de las partes interesadas.

¿Cuáles son las novedades en los controles del Anexo A en la nueva ISO 27001:2022?

El Anexo A incorpora novedades para ajustarlo a la también recién publicada ISO 27002. El Anexo reduce el número de controles de 114 a 93. Ahora, la nueva ISO 27002:2022 agrupa 93 controles en apenas 4 capítulos:

Controles organizacionales (37).

Controles de personas (8).

Controles físicos (14).

Controles tecnológicos (34).

Fuente: Escuela Europea de Excelencia.