La Cláusula 7 exige cinco elementos de apoyo: recursos, competencia, concienciación, comunicación e información documentada. Los auditores verifican que primero se definieron los requisitos —como qué significa la competencia para un rol determinado— antes de generar los registros correspondientes. Sus próximos pasos inmediatos son una matriz de competencias, un mapa de evidencias y un único registro de documentos controlados.
Resumen ejecutivo:
- Defina qué competencia requiere cada rol de seguridad antes de recopilar certificados; luego documente la evidencia de tareas, fechas de evaluación, revisores y si la formación mejoró el desempeño.
- Vincule las aprobaciones de recursos a los controles de la Declaración de Aplicabilidad y a las decisiones presupuestarias o de personal aprobadas, para que los auditores puedan trazar cada capacidad requerida hasta su financiación.
- Los acuses de recibo de políticas deben identificar la versión con fecha; las entrevistas y los simulacros de incidentes comprueban si los empleados, contratistas y personal temporal entienden sus obligaciones.
- Mantenga un único registro de documentos controlados con un propietario nominado, historial de aprobaciones, una sola versión vigente, reglas de acceso y calendario de retención; ajuste el nivel de detalle a la complejidad de la organización.
- Establezca para cada comunicación su audiencia, calendario, método y desencadenante, y registre los mensajes frente al plan; un plan sin seguimiento se trata como si no existiera.
Tabla de Contenidos
- 7.1 Recursos: Alcance, Responsabilidades y Evidencia de Auditoría
- 7.2 Competencia: Desarrollo y Acreditación de la Competencia por Rol
- 7.3 Concienciación: Demostrar que las Personas Comprenden el SGSI, No Solo que lo Recibieron
- 7.4 Comunicación: Un Plan de Comunicación Sencillo y Auditable
- 7.5 Información Documentada: Controles Prácticos para la Creación, Actualización y Control
- Qué Buscan los Auditores y Cómo Realizar una Autoauditoría Antes de su Llegada
- Dónde se Equivocan Realmente los Equipos en la Cláusula 7
- Dimensionar el Esfuerzo de la Cláusula 7 con ISMS Calculator
- Preguntas Frecuentes
- Fuentes
7.1 Recursos: Alcance, Responsabilidades y Evidencia de Auditoría
Los recursos contemplados en la Cláusula 7 van más allá del número de personas. Incluyen personal, tiempo, infraestructura, presupuesto y servicios externos, como pruebas de penetración o asesoría jurídica. El auditor quiere comprobar que alguien con autoridad decidió que estos recursos eran adecuados para el sistema de gestión de seguridad de la información, no que simplemente existen en algún lugar de la organización.
La alta dirección es responsable de esto, y la norma espera una prueba visible de ello. Una aprobación presupuestaria firmada vinculada a un objetivo específico del SGSI es válida. También lo es un acta del consejo de administración que haga referencia a una decisión de contratación para la función de seguridad. Las declaraciones vagas sobre "recursos suficientes" sin una trazabilidad de la decisión raramente satisfacen a un auditor que busca trazabilidad entre la intención y la acción.
Tenga a mano lo siguiente para su revisión:
- Un registro de recursos que enumere roles, herramientas y partidas presupuestarias vinculadas a los objetivos del SGSI.
- Documentos presupuestarios aprobados con fechas de firma y nombres de los aprobadores.
- Declaraciones de asignación de tiempo por rol para responsabilidades de seguridad a tiempo parcial.
- Contratos con proveedores o contratistas que cubran las funciones de seguridad externalizadas.
Vincule las decisiones sobre recursos a su Declaración de Aplicabilidad. Cuando un control de la declaración requiera una herramienta o habilidad específica, su registro de recursos debe mostrar cómo se financió o cubrió ese requisito. Esta conexión suele ser lo primero que traza un auditor, y un eslabón faltante genera un hallazgo incluso cuando el recurso en sí existe.
Consejo práctico: Mantenga las aprobaciones de recursos en el mismo registro que utiliza para los objetivos, de modo que el auditor pueda trazar la financiación hasta su propósito en un único documento en lugar de tres.
7.2 Competencia: Desarrollo y Acreditación de la Competencia por Rol
La norma establece cuatro pasos ordenados: determinar la competencia necesaria para los roles que afectan al desempeño de la seguridad, asegurarse de que las personas poseen dicha competencia mediante educación, formación o experiencia, tomar medidas para cerrar cualquier brecha y conservar evidencia documentada de todo ello. Saltarse el primer paso es la razón más común por la que la evidencia de competencia es rechazada en auditoría, ya que un certificado no tiene valor si nadie definió qué competencia requería realmente el rol.
Una matriz de competencias es la forma más reproducible de satisfacer esta cláusula. Constrúyala con estos campos:
- Rol o cargo.
- Tareas que afectan al desempeño de la seguridad de la información.
- Competencia requerida para esas tareas, formulada de manera específica y no genérica.
- Evidencia disponible, como un certificado, un registro de formación o experiencia documentada.
- Fecha de la última evaluación y quién la realizó.
Según el análisis de profesionales sobre auditorías de la Cláusula 7, los auditores rechazan frecuentemente la evidencia de competencia cuando se presentan certificados sin un requisito de competencia definido detrás de ellos, y recomiendan la matriz de competencias como solución práctica. El análisis de AuditBadger sobre los hallazgos más comunes de la Cláusula 7 considera esta brecha como el patrón de fallo más frecuente de la cláusula.
Evaluar si la formación realmente funcionó importa más que la formación en sí. Los cuestionarios posteriores a la formación, la observación del desempeño de tareas y la revisión por pares cuentan todos como evidencia de eficacia, y cualquiera de ellos refuerza un expediente de competencia mucho más que una simple hoja de asistencia. Para auditores internos y personal técnico, conserve los currículums, los registros de evaluaciones previas y las declaraciones de independencia cuando el rol exija separación de funciones. Nuestra guía práctica sobre evidencia de auditoría cubre los formatos aceptables para estos registros con mayor detalle.
Consejo práctico: Cuando un rol carezca de certificado formal, documente los años de experiencia relevante frente a la lista de tareas específicas. La evaluación escrita de un responsable vinculada a las tareas del rol suele tener más peso que la finalización de un curso genérico.
7.3 Concienciación: Demostrar que las Personas Comprenden el SGSI, No Solo que lo Recibieron
La concienciación no es lo mismo que la distribución. Enviar una política por correo electrónico y registrar que fue enviada demuestra la entrega, no la comprensión. La Cláusula 7.3 pregunta si las personas entienden la política de seguridad, cómo contribuye su rol al SGSI y qué ocurre cuando no se cumplen los requisitos; los auditores suelen comprobarlo directamente entrevistando al personal en lugar de revisar únicamente la documentación.
Un programa de concienciación operativo incluye:
- Sesiones de incorporación que cubran la política, la contribución del rol y las consecuencias del incumplimiento.
- Acuses de recibo firmados vinculados a una versión específica y fechada de la política.
- Cursos de actualización periódicos programados con una cadencia fija, no de forma ad hoc.
- Simulacros de notificación de incidentes que comprueben si el personal sabe qué hacer, no solo qué se le dijo.
- Cobertura para contratistas y personal temporal, que con frecuencia queda excluido y es señalado en auditoría.
Lo que importa en una auditoría es el vínculo entre un registro y una versión específica de un documento. Un registro de acuses de recibo que no puede mostrar qué versión de la política firmó un empleado es una evidencia débil. Los calendarios de actualización y los informes de simulacros cierran esa brecha al demostrar que el programa se ejecuta de forma continua y no solo una vez en la incorporación.
Consejo práctico: Realice una breve entrevista de ensayo con un grupo de empleados antes de la ventana de auditoría, pidiéndoles que expliquen con sus propias palabras las responsabilidades de seguridad de su rol. Si no pueden, el registro de acuses de recibo no le salvará.
7.4 Comunicación: Un Plan de Comunicación Sencillo y Auditable
La Cláusula 7.4 exige un plan, no una filosofía. La norma espera que defina qué comunica, cuándo, con quién y cómo; una tabla de una página suele ser suficiente. Entre los desencadenantes habituales que merece la pena planificar se incluyen los incidentes de seguridad, los cambios de política, los informes periódicos a la dirección y los avisos a proveedores cuyos servicios afectan al alcance del SGSI.
Un plan de comunicación que satisfaga a un auditor incluye normalmente:
- Una lista de tipos de comunicación vinculados a los destinatarios previstos.
- Plazos definidos, como "en un plazo de 24 horas" para las notificaciones de incidentes o "trimestralmente" para los resúmenes de revisión por la dirección.
- El método utilizado, ya sea correo electrónico, un sistema de tickets o una reunión programada.
- Un registro de las comunicaciones efectivamente enviadas, con referencias cruzadas al elemento del plan que las desencadenó.
La evidencia aquí no necesita ser elaborada. Las actas de reunión que hacen referencia a un elemento específico del plan, un registro de distribución que muestre que una actualización de política llegó a su audiencia prevista y un mensaje de muestra vinculado a una notificación de incidente son todos suficientes cuando se pueden trazar hasta el propio plan. Un plan sin el registro correspondiente se trata igual que si no existiera ningún plan.
7.5 Información Documentada: Controles Prácticos para la Creación, Actualización y Control
La Cláusula 7.5 es donde se acumula la mayor parte de la deuda de control documental, y también es la subcláusula en la que los auditores invierten más tiempo. La norma exige control sobre la identificación, el formato, la revisión y aprobación, el control de versiones, el acceso, el almacenamiento y preservación, y la retención y disposición, extensible a los documentos de origen externo cuando el SGSI depende de ellos.
Los controles documentales deben incluir identificación, revisión y aprobación, control de versiones, almacenamiento y preservación, distribución y acceso, y retención y disposición, extendiéndose a los documentos de origen externo cuando sea necesario. Esto se establece directamente en los requisitos 7.5.2 y 7.5.3 de la norma.
Los controles que hacen esto viable en la práctica:
- Un propietario nominado del documento para cada documento controlado, no un departamento.
- Metadatos de identificación: título, fecha, versión y autor en cada registro.
- Un paso de revisión y aprobación definido antes de que un documento entre en vigor.
- Control de versiones que impida la coexistencia de dos copias "vigentes" a la vez.
- Control de acceso ajustado a la sensibilidad, con registros cuando el acceso deba ser auditable.
- Reglas de retención y disposición establecidas por tipo de documento, no asumidas.
Una única fuente de verdad con historial de páginas, un campo de propietario explícito y un campo de fecha de revisión resuelve el problema de la divergencia de versiones que hace tropezar a la mayoría de las organizaciones en auditoría; para hardware al final de su vida útil, puede recurrir a servicios de eliminación de dispositivos conformes para obtener evidencia certificada de eliminación segura, según la guía práctica de AuditBadger sobre el control documental de la Cláusula 7. La propia norma señala que el alcance de la información documentada debe ser proporcional al tamaño y la complejidad de su organización, de modo que un equipo de cinco personas no necesita la misma arquitectura documental que una empresa de 500.
El modo de fallo más común es la divergencia: una política se actualiza localmente, se comparte de manera informal y nunca regresa al registro controlado, dejando múltiples versiones en circulación sin un propietario claro. Nuestro análisis detallado del control documental de la Cláusula 7.5 explica cómo construir un registro que evite esto. Los auditores esperan ver habitualmente un registro de documentos, un rastro de aprobación para cada documento controlado, registros de acceso donde corresponda y un calendario de retención que indique cuánto tiempo se conserva cada tipo de registro y cómo se elimina.
Consejo práctico: Construya su registro de documentos antes de redactar sus políticas. Añadir retroactivamente la propiedad y el control de versiones a documentos existentes lleva mucho más tiempo que comenzar con la estructura ya establecida.
Qué Buscan los Auditores y Cómo Realizar una Autoauditoría Antes de su Llegada
Los auditores que verifican la Cláusula 7 siguen un patrón consistente: seleccionan una muestra de empleados para entrevistar, comprueban si los requisitos de competencia se pueden trazar hasta evidencias específicas y contrastan las tareas con los registros presentados. Los tipos de evidencia más frecuentemente rechazados comparten una causa raíz: un certificado presentado sin un requisito de competencia definido detrás de él, o una política enviada por correo con un acuse de recibo que no puede vincularse a ninguna versión.
Revise lo siguiente antes de que se abra la ventana de auditoría:
- Seleccione tres roles al azar y confirme que sus requisitos de competencia están escritos, no asumidos.
- Compruebe que cada registro de acuse de recibo está vinculado a una versión de política específica y fechada.
- Trace una decisión sobre recursos desde la Declaración de Aplicabilidad hasta una partida presupuestaria aprobada.
- Confirme que su registro de documentos no contiene ningún documento sin propietario nominado.
- Pida a dos o tres empleados que expliquen sus responsabilidades de seguridad sin ayuda.
| Tipo de registro | Qué verifican los auditores | Brecha habitual |
|---|---|---|
| Matriz de competencias | Requisito definido antes de recopilar evidencias | Certificado sin requisito de competencia establecido |
| Registro de acuses de recibo | Vinculado a una versión específica de la política | El registro muestra la entrega, no la versión ni la comprensión |
| Registro de documentos | Propietario nominado por documento | Múltiples copias "vigentes" sin un único propietario |
| Registro de comunicaciones | Con referencias cruzadas a un elemento del plan | Mensajes enviados sin elemento del plan al que trazar |
Ensayar las entrevistas con el personal y revisar su propio registro antes de que lo haga el auditor permite detectar la mayoría de estas brechas con antelación, y no cuesta más que una tarde.
Dónde se Equivocan Realmente los Equipos en la Cláusula 7
La mayoría de los equipos tratan la Cláusula 7 como un ejercicio burocrático y comienzan recopilando certificados, formularios de acuse de recibo y PDFs de políticas antes de que nadie haya definido por escrito cómo debe ser la competencia o la concienciación para un rol determinado. Ese orden es inverso, y es la razón por la que tantas auditorías generan hallazgos sobre evidencias que técnicamente existen pero no responden a la pregunta que el auditor está formulando realmente.
Defina primero el requisito. ¿Qué significa "competente" para este rol específico, en esta lista de tareas específica? Solo entonces tiene sentido buscar evidencia que lo satisfaga. La misma lógica se aplica a la documentación: proporcional y centralizada supera siempre a exhaustiva y dispersa, y un registro de cinco páginas que todos actualizan supera a uno de cincuenta páginas que se quedó obsoleto hace seis meses.
Los certificados por sí solos raramente cierran la brecha para roles técnicos o adyacentes a la auditoría. Una breve evaluación escrita, la valoración de un responsable frente a la lista de tareas o los años documentados de experiencia práctica suelen demostrar la competencia de forma más convincente que un justificante de finalización de curso, y los auditores tienden a estar de acuerdo.
— Martin
Dimensionar el Esfuerzo de la Cláusula 7 con ISMS Calculator
Determinar cuánto tiempo y presupuesto requerirá realmente la Cláusula 7 es un problema de planificación independiente de comprender la propia cláusula. Desarrollamos ISMS Calculator para responder a esa pregunta directamente: nuestra calculadora en tiempo real le ofrece una estimación de coste y esfuerzo adaptada a su empresa en función de su tamaño, sector y madurez de seguridad actual, comparada con valores de referencia del modelo para que sepa si su plan es realista antes de comprometerse con él.
Nuestro conjunto de herramientas incluye una evaluación de madurez por dominios de ISO 27001, útil para identificar exactamente dónde se sitúan sus brechas de la Cláusula 7 en relación con recursos, competencia o documentación antes de elaborar un plan de remediación. Si desea una primera lectura rápida, ejecute nuestra verificación de preparación gratuita de 2 minutos para identificar dónde la evidencia de la Cláusula 7 es escasa y obtener una lista priorizada de qué corregir primero. Para un análisis más detallado, nuestra Evaluación de Preparación para ISO 27001 recorre el proceso de recopilación de evidencias con mayor profundidad. En cualquier caso, obtendrá una visión más clara de lo que costará la Cláusula 7 en tiempo y presupuesto, no una estimación a ciegas.
Preguntas Frecuentes
¿Puede explicar ISO 27001 de forma sencilla?
ISO 27001 es una norma internacional que establece los requisitos para construir y operar un sistema de gestión de seguridad de la información, abarcando desde el compromiso del liderazgo hasta el tratamiento de riesgos y las funciones de apoyo como la Cláusula 7. Proporciona a las organizaciones un método estructurado para proteger la información y demostrar esa protección a clientes, reguladores y auditores.
¿Está obsoleto ISO 27001?
No. La edición publicada vigente es ISO/IEC 27001:2022, que sigue siendo la norma activa contra la que las organizaciones se certifican.
¿Cuáles son las cláusulas obligatorias de ISO 27001?
Las cláusulas 4 a 10 son obligatorias para cualquier organización que declare conformidad, y cubren el contexto, el liderazgo, la planificación, el apoyo, la operación, la evaluación del desempeño y la mejora. La Cláusula 7, la cláusula de apoyo, se sitúa en el centro de esa secuencia y sirve de base para la evidencia utilizada para satisfacer varias de las demás.
¿Qué es la cláusula 7.1 de ISO 9001?
Esta pregunta surge habitualmente porque ISO 27001 comparte una estructura de alto nivel similar con otras normas, pero ambas normas son distintas. La Cláusula 7.1 de ISO 27001 aborda los recursos para un sistema de gestión de seguridad de la información específicamente, mientras que otras normas pueden abordar los recursos para un sistema de gestión de la calidad, y no deben tratarse como intercambiables a pesar de la numeración similar.
¿Qué es el apoyo de la Cláusula 7 de ISO 27001?
La Cláusula 7 es la sección de apoyo de ISO/IEC 27001, que cubre recursos, competencia, concienciación, comunicación e información documentada. Exige que las organizaciones definan qué significa cada uno de estos aspectos en su contexto y luego produzcan evidencia que coincida con esas definiciones, que es exactamente lo que los auditores comprueban durante las visitas de certificación y seguimiento.
Fuentes
- Archive
- ISO/IEC 27001:2022 - Sistema de Gestión de Seguridad de la Información
- ISO 27001 Cláusula 7: Apoyo — Competencia, Concienciación e Información Documentada (AuditBadger)
Recomendado
- 3 Entregables Listos para Auditoría para la Cláusula 4 de ISO 27001 (equipos SGSI)
- Cláusula 6 de ISO 27001 Lista para Auditoría para Equipos SGSI: Vincule Resultados a Evidencias
- Lista de Verificación para la Certificación ISO 27001: 80 Pasos hacia la Certificación
- Prepare la Cláusula 7.5 de ISO 27001 para Auditoría: registro y paquete de evidencias