La revisión por la dirección es la única reunión que ISO 27001 pone personalmente sobre la dirección: no sobre el equipo de seguridad, no sobre el consultor, sobre las personas que dirigen la empresa. Es también el registro que un auditor abre con una lista de comprobación en la mano, porque el apartado 9.3 enumera lo que la revisión debe considerar y lo que debe decidir, y el acta muestra cada punto o no lo muestra. Este artículo lee el apartado como un orden del día, nombra las siete entradas y las cuatro tendencias bajo una de ellas, las dos salidas, lo que el acta tiene que mostrar, y los errores que convierten una reunión real en un hallazgo; la página gratuita redacta el acta en el orden del apartado a partir de los datos de la reunión, las cifras y lo que se dijo.
Las siete entradas, como orden del día
Las entradas son el orden del día, en el orden en que el apartado las enumera. Uno: el estado de las acciones de la revisión anterior, cada una cerrada o trasladada con un motivo, y por eso el primer punto de cada revisión es el último punto de la anterior. Dos: los cambios en las cuestiones externas e internas que importan al sistema, el contexto del apartado 4.1 releído: un nuevo producto, una nueva región de alojamiento, una regulación que empezó a aplicarse, un cambio de plantilla. Tres: los cambios en las necesidades y expectativas de las partes interesadas, el punto que añadió la edición de 2022, donde aterrizan el nuevo cuestionario de un cliente, la expectativa de un regulador o una cláusula contractual. Cuatro: la retroalimentación sobre el desempeño de la seguridad de la información, con cuatro tendencias que el apartado nombra, tratadas a continuación. Cinco: la retroalimentación de las partes interesadas, lo que clientes, auditores, personal, proveedores y autoridades han dicho del sistema. Seis: los resultados de la evaluación de riesgos y el estado del plan de tratamiento de riesgos, la fecha y el resultado de la última evaluación, los tratamientos completados y los riesgos residuales que sus propietarios aceptaron. Siete: las oportunidades de mejora continua, vengan de quien vengan. Un orden del día con estos siete epígrafes, en este orden, es el apartado; una reunión que los cubre con otros nombres tiene que remitirse igualmente al apartado para el auditor.
Las cuatro tendencias bajo la cuarta entrada
La cuarta entrada es donde viven las cifras, y el apartado nombra cuatro tendencias: las no conformidades y lo que se hizo con ellas, los resultados de las mediciones que la empresa sigue, los resultados de sus auditorías, y si se cumplieron los objetivos. Cada una es una línea con una cifra para el periodo y una frase sobre lo que significa. No conformidades: cuántas se abrieron, cuántas se cerraron, y para las abiertas la causa y la corrección, porque el apartado 10.2 quiere la causa encontrada y la corrección comprobada, no solo la rectificación. Seguimiento y medición: las mediciones que la empresa eligió con arreglo al apartado 9.1, la disponibilidad frente al compromiso, la tasa de clics en la prueba de phishing, las revisiones de acceso hechas a tiempo, cada una frente al periodo anterior. Resultados de auditoría: las auditorías internas realizadas en el periodo y lo que encontraron, con el estado de los hallazgos. Objetivos: cuántos de los objetivos fijados en la política se cumplieron, y qué se decidió sobre los que no. Una revisión que informa de estas cuatro con cifras es una que un auditor lee en un minuto; una revisión que informa de que "la seguridad va bien" es una que lee como un hueco.
Las dos salidas, y lo que el acta debe mostrar
El apartado pide dos cosas de la revisión: qué se mejorará, y qué tiene que cambiar el propio sistema. Una buena acta añade una tercera que la norma no nombra, los recursos que esas decisiones necesitan, porque una decisión sin presupuesto ni persona es una intención. El acta tiene entonces que mostrar, para el auditor, que la revisión se celebró a un intervalo planificado, quién asistió y quién presidió, que cada una de las siete entradas fue considerada, las decisiones tomadas y las acciones con un responsable y una fecha; y tiene que conservarse como información documentada según el apartado 7.5, lo que significa una versión, una aprobación y un lugar. De ello se siguen dos consecuencias. Las acciones de esta revisión son la primera entrada de la siguiente, así que el acta es también el orden del día de la reunión de dentro de un año. Y la revisión es donde se encuentran los objetivos, el registro de riesgos y la declaración de aplicabilidad: un objetivo incumplido se convierte en una acción, un riesgo aceptado en una línea que el propietario firmó, un control excluido sigue justificado o vuelve a entrar.
Los errores que convierten una reunión en un hallazgo
La revisión celebrada pero sin acta, o registrada como "se trataron todos los temas". Una entrada que falta porque el orden del día usaba los epígrafes de la empresa y nadie asignó la tercera entrada, las expectativas de las partes interesadas, a ninguno de ellos. La entrada de desempeño escrita sin cifras. Acciones sin responsables ni fechas, de modo que la siguiente revisión no puede informar de su estado. Un acta no aprobada, o aprobada por el responsable de seguridad en vez de por la dirección, lo que pierde el sentido del apartado. Ninguna revisión desde la última auditoría, en una empresa que desde entonces ha cambiado de productos, alojamiento o proveedores. Y la revisión celebrada dos semanas antes de la auditoría de certificación sin revisión anterior sobre la que informar, lo que se admite en una primera auditoría y es un hallazgo en la segunda. Cada uno se evita usando el apartado como orden del día y escribiendo menos con cifras en vez de más sin ellas.
Qué hacer con ello
Introduzca la reunión en la página gratuita: la empresa, la fecha, el periodo revisado, quien preside y los asistentes; las cifras de las cuatro tendencias; una nota para cada una de las siete entradas, que la página redacta como un hueco por completar donde se deja vacía en vez de omitirla; las decisiones sobre mejora, cambios y recursos; y las acciones con responsable y fecha. Copie el acta, haga que quien preside la apruebe y la feche, archívela como la información documentada de la revisión y ponga las acciones delante de la siguiente revisión. StandardOS abre la revisión con las entradas precargadas desde los registros que mantiene, las acciones de la revisión anterior, las no conformidades y auditorías del periodo, los objetivos con sus mediciones, la fecha y los riesgos residuales del registro de riesgos y la retroalimentación de las partes interesadas registrada, para que la dirección añada las decisiones y firme; la política fija los objetivos de los que informa la cuarta entrada, el registro de riesgos es la sexta entrada, y la declaración de aplicabilidad es donde aterriza un cambio decidido aquí.