Introducción

La norma ISO/IEC 27001:2022 ha obtenido el reconocimiento mundial como el estándar preeminente relacionado con la gestión de la seguridad de la información, lo que subraya su importancia en la era digital contemporánea. A la luz de la transformación sustancial que se ha producido en el panorama de las ciberamenazas desde la anterior revisión de esta norma en el año 2013, ha surgido la necesidad de modificar las normas existentes para que reflejen adecuadamente estos desafíos cambiantes. La versión lanzada en el 2022, se esfuerza no sólo por preservar la relevancia duradera de la norma, sino también por mejorar su compatibilidad y alineación con otros marcos regulatorios y estándares internacionales establecidos, incluida la ISO/IEC 27002, que también es una piedra angular de la gestión de la seguridad de la información(DQS, s. f.).

Esta norma, publicada el 25 de octubre de 2022, representa una actualización significativa del estándar internacional para la gestión de la seguridad de la información. Esta revisión es crucial para las organizaciones que buscan mejorar su Sistema de Gestión de Seguridad de la Información (SGSI) y adaptarse a un entorno digital en constante evolución. A continuación, se analizan los cambios clave introducidos por esta nueva norma y su impacto en las organizaciones.

Cambios clave en la norma

Estructura general

La estructura general de la norma se mantiene con 11 cláusulas, cabe destacar que varias de estas cláusulas han sufrido modificaciones menores pero significativas. Algunas partes de las cláusulas 4 a 10 se han revisado para reforzar la claridad y la adaptabilidad de la norma y garantizar que pueda aplicarse de manera efectiva en diversos contextos y marcos organizacionales(Jiménez, 2023). Por ejemplo:

Cláusula 4 (Contexto de la organización): se requiere que las organizaciones identifiquen los requisitos pertinentes de las partes interesadas y especifiquen cómo serán abordados en el SGSI.

Cláusula 6 (Planificación): se ha introducido una nueva cláusula que enfatiza la planificación de cambios necesarios en el SGSI.

Cambios en las Cláusulas

Las primeras tres cláusulas han sufrido modificaciones menores en redacción, sin afectar el sentido original(Mendoza, 2023). En particular:

Cláusula 1 (Alcance): define el ámbito de aplicación del estándar.

Cláusula 2 (Referencias normativas): se actualizan las referencias a documentos normativos.

Cláusula 3 (Términos y definiciones): se recomienda utilizar el estándar ISO/IEC 27000 para un lenguaje estandarizado.

Cambios en los controles del Anexo A

Uno de los cambios más significativos se encuentra en el Anexo A, que ahora contiene 93 controles organizados en cuatro secciones, en lugar de los 114 controles anteriores distribuidos en 14 secciones. Esto simplifica el enfoque hacia la gestión de riesgos. Algunos controles han sido actualizados, mientras que otros han sido reagrupados o eliminados para reflejar mejor las amenazas actuales y las mejores prácticas en ciberseguridad(Innevo, 2023). Esta reestructuración estratégica sirve para simplificar el enfoque global de la gestión de riesgos, promoviendo así la eficiencia y la eficacia en la aplicación de las medidas de seguridad. Además de la reorganización de los controles, algunos controles se han actualizado, mientras que otros se han reagrupado cuidadosamente o se han eliminado por completo para garantizar que reflejen con mayor precisión el panorama actual de amenazas y las mejores prácticas en el ámbito de la ciberseguridad. La intención de esta reestructuración no es solo simplificar sino también mejorar la eficacia de los controles de seguridad vigentes.

1. Controles Organizacionales: 37 controles, con 3 nuevos.
2. Controles al Personal: 8 controles, sin cambios.
3. Controles Físicos: 14 controles, con 1 nuevo.
4. Controles Tecnológicos: 34 controles, con 7 nuevos.

Nuevos Controles

Los nuevos controles introducidos incluyen aspectos críticos como:

1. Inteligencia de amenazas.
2. Seguridad de la información en servicios en la nube.
3. Preparación para la continuidad del negocio.
4. Supervisión de la seguridad física.
5. Gestión de la configuración.

Enfoque en ciberseguridad y privacidad

El título de la norma se ha revisado para incorporar explícitamente términos críticos como «ciberseguridad» y «protección de la privacidad», ampliando así significativamente el alcance de la norma. Esta expansión es particularmente relevante a la luz de la creciente importancia de estas cuestiones en el contexto sociotécnico actual, que se caracteriza por un aumento continuo de la frecuencia y sofisticación de los ciberataques y las violaciones de datos. El reconocimiento proactivo de estos importantes desafíos es esencial para las organizaciones que desean fortalecer sus defensas contra tales amenazas(Innevo, 2023).

Implicaciones para las organizaciones

Adaptación a los cambios

Las organizaciones disponen de un período de transición hasta octubre de 2025 para adaptarse a esta última versión de la norma, por lo que es imperativo que inicien los ajustes necesarios en sus sistemas actuales para garantizar el cumplimiento de los requisitos recientemente establecidos. Este proceso de adaptación incluye una revisión exhaustiva y la posterior actualización de las políticas, procedimientos y medidas de control existentes, alineándose meticulosamente con las directrices recientemente delineadas que figuran en la norma revisada(RINA, s. f.).

Mejora continua

El principio de mejora continua sigue siendo una piedra angular fundamental del SGSI en el marco de la nueva norma, y hace hincapié en la necesidad de que las organizaciones instituyan procesos claros y sistemáticos para la evaluación de su desempeño y la implementación de los ajustes necesarios a lo largo del tiempo. Esto no solo implica cumplir con los requisitos establecidos, sino que también requiere que las organizaciones busquen de manera proactiva métodos innovadores y efectivos para mejorar sus prácticas de seguridad de forma continua(Mendoza, 2023).

Capacitación y concientización

Es imperativo que las organizaciones prioricen la capacitación de su personal en relación con los nuevos requisitos y controles, ya que esto es vital para garantizar la implementación efectiva del SGSI dentro de su marco operativo. Las organizaciones deben estar dispuestas a invertir en programas de capacitación integrales que aborden las dimensiones técnicas y operativas pertinentes a la seguridad de la información,

fomentando así una cultura de vigilancia y preparación ante los cambiantes desafíos de seguridad(Cruz, 2022).

Conclusiones y recomendaciones finales

La actualización a la ISO/IEC 27001:2022 representa una oportunidad significativa para que las organizaciones fortalezcan su postura frente a la seguridad de la información. Al adoptar un enfoque más integrado hacia la ciberseguridad y al simplificar sus controles, las empresas pueden mejorar su resiliencia frente a las amenazas emergentes. Es fundamental que cada organización evalúe su situación actual, planifique adecuadamente su transición hacia el nuevo estándar y asegure que todos los niveles dentro de la empresa estén comprometidos con esta transformación. La implementación exitosa no solo contribuirá a cumplir con los requisitos normativos, sino que también mejorará significativamente la confianza del cliente y protegerá los activos más valiosos: su información. En resumen, abordar adecuadamente esta nueva norma no solo es un requisito regulatorio; es una estrategia esencial para cualquier organización que busque prosperar en un entorno digital cada vez más complejo y desafiante.

Referencias bibliográficas:

Cruz, H. de la. (2022, julio 5). Principales cambios de la ISO/IEC 27001 en 2022. PMG SSI – ISO 27001. https://www.pmg-ssi.com/2022/07/principales-cambios-de-la-iso-iec-27001-en-2022/

DQS. (s. f.). Cambios clave de la nueva ISO/IEC 27001:2022 I DQS. DQS. Recuperado 21 de septiembre de 2024, de https://www.dqsglobal.com/es-sv/aprenda/blog/new-iso-27001-2022-key-changes

Innevo. (2023, abril 14). ISO 27001 Última Versión 2022: Novedades y Cambios Más Importantes. https://blog.innevo.com/iso27001-2022

Jiménez, M. M. (2023, noviembre 23). Principales cambios de la norma ISO 27001:2022. https://www.piranirisk.com/es/blog/cambios-norma-iso-27001-2022

Mendoza, M. Á. (2023, marzo 10). ISO 27001:2022: Cambios en las cláusulas que introdujo la nueva versión del estándar de seguridad. https://www.welivesecurity.com/la-es/2023/03/10/iso-27001-2022-cambios-clausulas-nueva-version-estandar-seguridad/

RINA. (s. f.). ISO/IEC 27001 Nueva edición de la Norma: Cambios y plazo—RINA.org. Recuperado 21 de septiembre de 2024, de https://www.rina.org/es/news/iso-iec-27001