La auditoría de transición ISO 27001:2022. La frase infunde temor en los corazones de muchas startups tecnológicas que ya han sido lo suficientemente diligentes como para obtener su certificación ISO 27001:2013.
Pero, no tema. Si ya está certificado con ISO 27001:2013, esa certificación sigue siendo válida hasta el final de su ciclo de certificación si ese ciclo termina antes del 1 de noviembre de 2025. Más sobre esto más adelante.
¿Por qué la actualización de ISO 27001:2013 a ISO 27001:2022?
Con la seguridad de la información siendo la prioridad que es, naturalmente, las normas de seguridad deben ser revisadas y mejoradas regularmente. Por lo tanto, no hace falta decir que las nuevas y mejoradas versiones de la norma ISO 27001 tendrán que ser implementadas en el futuro.
Han pasado casi 10 años desde que salió la versión de 2013 y, para cuando todo el mundo haya hecho la transición a la versión de 2022, habrán pasado 12 años, por lo que sin duda es hora de una certificación revisada.
¿Qué ha cambiado de ISO 27001:2013 a ISO 27001:2022?
En primer lugar, echemos un vistazo a la diferencia entre ISO 27001:2013 e ISO 27001:2022. Puede leer un breve resumen en el post de LinkedIn de Compleye del 21 de marzo.
Los cambios son más evidentes en el Anexo A y abordan aspectos de ciberseguridad y privacidad. Hay 11 controles nuevos, 58 actualizados y 24 fusionados.
Los nuevos controles de seguridad incluyen:
- Inteligencia sobre amenazas
- Seguridad de la información para el uso de servicios en la nube
- Preparación de las TIC para la continuidad del negocio
- Vigilancia de la seguridad física
- Gestión de la configuración
- Borrado de información
- Enmascaramiento de datos
- Prevención de fuga de datos
- Actividades de supervisión
- Filtrado web
- Codificación segura
¿Cuál es el calendario para la transición a la norma ISO 27001:2022?
Como se ha mencionado, su certificación ISO 27001:2013 es válida hasta el final de su ciclo actual, siempre que dicho ciclo finalice antes del 31 de octubre de 2025, que es la fecha límite para la implantación de la ISO 27001:2022.
Así que, si actualmente estás certificado con la versión de 2013, tu certificación sigue siendo válida, pero sólo hasta el 31 de octubre de 2025.
¿Qué es la auditoría de transición ISO 27001:2022?
La auditoría de transición es la inspección que realizará el auditor para auditar los nuevos requisitos de la norma ISO 27001:2022. El auditor comprobará cómo su organización ha implementado los nuevos controles.
¿Cuándo puede realizarse la auditoría de transición?
Puede realizar la auditoría de transición durante cualquier auditoría programada. Esto significará que se añadirá tiempo adicional a la auditoría existente.
Pero, también puede tener una auditoría especial de transición realizada por separado, por lo que no necesita esperar hasta su próxima auditoría programada y no tiene que estar listo antes de lo que desea o tiene la capacidad de ser.
Si mi organización nunca se ha certificado, ¿debo certificarme con la ISO 27001:2013 o con la ISO 27001:2022?
Aunque, en teoría, podría certificarse con la ISO 27001:2013 si planea certificarse antes de octubre de 2023, recomendamos que las empresas que no dispongan de una certificación existente deberían -si es posible- morder la bala e ir directamente a por la ISO 27001:2022.
Si decide optar por la ISO 27001:2013, el auditor esperará que realice un análisis de carencias para demostrar que comprende lo que tendrá que hacer para la ISO 27001:2022 y qué recursos adicionales serán necesarios. Esto también se aplica a las empresas que ya están certificadas y que deciden renovar la certificación con la versión 2013 de la ISO 27001.
Esto es importante porque, si intenta ISO 27001:2022 y no está preparado para ello, es probable que se encuentre con muchas no conformidades. Podría ser mejor implementar ISO 27001:2013 y completar un análisis de brechas, demostrando que entiende lo que se requiere y que podrá implementar ISO 27001:2022 antes del 31 de octubre de 2025.
¿Qué es lo más tarde que puedo hacer la auditoría de transición?
Todas las auditorías de transición deben realizarse antes del 21 de julio de 2025.
Por supuesto, no necesitará una auditoría de transición si va directamente a por la ISO 27001:2022.
Póngase en contacto con Compleye para obtener más asesoramiento sobre la mejor opción para hacer en el período previo a la transición!
