[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:es:la-revision-por-la-direccion-iso-27001-las-siete-entradas-del-apartado-9-3-como-orden-del-dia-las-cuatro-tendencias-las-dos-salidas-y-una-pagina-que-redacta-el-acta":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"es","la-revision-por-la-direccion-iso-27001-las-siete-entradas-del-apartado-9-3-como-orden-del-dia-las-cuatro-tendencias-las-dos-salidas-y-una-pagina-que-redacta-el-acta","La revisión por la dirección ISO 27001: las siete entradas del apartado 9.3 como orden del día, las cuatro tendencias, las dos salidas, lo que debe mostrar el acta, y una página que la redacta","El apartado 9.3 hace que la dirección revise el sistema de gestión a intervalos planificados frente a siete entradas: las acciones de la revisión anterior, los cambios en las cuestiones externas e internas, los cambios en lo que las partes interesadas necesitan y esperan, la retroalimentación sobre el desempeño con sus cuatro tendencias (no conformidades y acciones correctivas, seguimiento y medición, resultados de auditoría, los objetivos), la retroalimentación de las partes interesadas, la evaluación de riesgos y el plan de tratamiento, y las oportunidades de mejora. Las salidas son dos: decisiones sobre la mejora continua y cualquier cambio que el sistema necesite, conservadas como información documentada. El acta que un auditor acepta muestra cada entrada considerada y cada decisión tomada, con un responsable y una fecha en cada acción. Una página gratuita redacta el acta en el orden del apartado a partir de los datos de la reunión, las cifras y lo que se dijo.","2026-09-13",{"who":10,"when":11,"do":12},"La dirección de una empresa que mantiene un sistema de gestión de seguridad de la información ISO 27001, y la persona que prepara la revisión para ella; la revisión es la única reunión que la norma pone personalmente sobre la dirección, y el acta es lo que el auditor de certificación lee para ver que se celebró.","A intervalos planificados, lo que para la mayoría de las empresas significa una vez al año y otra más antes de la auditoría de certificación, y siempre que un cambio en el negocio, sus obligaciones o sus riesgos necesite una decisión en la cúpula; la primera revisión antes de la primera auditoría, con las acciones de una revisión anterior sobre las que informar en la segunda.","Ponga las siete entradas en el orden del día en el orden del apartado, traiga una cifra para cada una de las cuatro tendencias, haga que alguien hable de cada entrada, registre una decisión sobre la mejora y sobre los cambios del sistema, dé a cada acción un responsable y una fecha, firme y feche el acta, y abra la siguiente revisión con las acciones; la página gratuita redacta el acta a partir de las entradas.","\nLa revisión por la dirección es la única reunión que ISO 27001 pone personalmente sobre la dirección: no sobre el equipo de seguridad, no sobre el consultor, sobre las personas que dirigen la empresa. Es también el registro que un auditor abre con una lista de comprobación en la mano, porque el apartado 9.3 enumera lo que la revisión debe considerar y lo que debe decidir, y el acta muestra cada punto o no lo muestra. Este artículo lee el apartado como un orden del día, nombra las siete entradas y las cuatro tendencias bajo una de ellas, las dos salidas, lo que el acta tiene que mostrar, y los errores que convierten una reunión real en un hallazgo; la [página gratuita](\u002Fiso-27001\u002Fmanagement-review) redacta el acta en el orden del apartado a partir de los datos de la reunión, las cifras y lo que se dijo.\n\n## Las siete entradas, como orden del día\n\nLas entradas son el orden del día, en el orden en que el apartado las enumera. Uno: el estado de las acciones de la revisión anterior, cada una cerrada o trasladada con un motivo, y por eso el primer punto de cada revisión es el último punto de la anterior. Dos: los cambios en las cuestiones externas e internas que importan al sistema, el contexto del apartado 4.1 releído: un nuevo producto, una nueva región de alojamiento, una regulación que empezó a aplicarse, un cambio de plantilla. Tres: los cambios en las necesidades y expectativas de las partes interesadas, el punto que añadió la edición de 2022, donde aterrizan el nuevo cuestionario de un cliente, la expectativa de un regulador o una cláusula contractual. Cuatro: la retroalimentación sobre el desempeño de la seguridad de la información, con cuatro tendencias que el apartado nombra, tratadas a continuación. Cinco: la retroalimentación de las partes interesadas, lo que clientes, auditores, personal, proveedores y autoridades han dicho del sistema. Seis: los resultados de la evaluación de riesgos y el estado del plan de tratamiento de riesgos, la fecha y el resultado de la última evaluación, los tratamientos completados y los riesgos residuales que sus propietarios aceptaron. Siete: las oportunidades de mejora continua, vengan de quien vengan. Un orden del día con estos siete epígrafes, en este orden, es el apartado; una reunión que los cubre con otros nombres tiene que remitirse igualmente al apartado para el auditor.\n\n## Las cuatro tendencias bajo la cuarta entrada\n\nLa cuarta entrada es donde viven las cifras, y el apartado nombra cuatro tendencias: las no conformidades y lo que se hizo con ellas, los resultados de las mediciones que la empresa sigue, los resultados de sus auditorías, y si se cumplieron los objetivos. Cada una es una línea con una cifra para el periodo y una frase sobre lo que significa. No conformidades: cuántas se abrieron, cuántas se cerraron, y para las abiertas la causa y la corrección, porque el apartado 10.2 quiere la causa encontrada y la corrección comprobada, no solo la rectificación. Seguimiento y medición: las mediciones que la empresa eligió con arreglo al apartado 9.1, la disponibilidad frente al compromiso, la tasa de clics en la prueba de phishing, las revisiones de acceso hechas a tiempo, cada una frente al periodo anterior. Resultados de auditoría: las auditorías internas realizadas en el periodo y lo que encontraron, con el estado de los hallazgos. Objetivos: cuántos de los objetivos fijados en la política se cumplieron, y qué se decidió sobre los que no. Una revisión que informa de estas cuatro con cifras es una que un auditor lee en un minuto; una revisión que informa de que \"la seguridad va bien\" es una que lee como un hueco.\n\n## Las dos salidas, y lo que el acta debe mostrar\n\nEl apartado pide dos cosas de la revisión: qué se mejorará, y qué tiene que cambiar el propio sistema. Una buena acta añade una tercera que la norma no nombra, los recursos que esas decisiones necesitan, porque una decisión sin presupuesto ni persona es una intención. El acta tiene entonces que mostrar, para el auditor, que la revisión se celebró a un intervalo planificado, quién asistió y quién presidió, que cada una de las siete entradas fue considerada, las decisiones tomadas y las acciones con un responsable y una fecha; y tiene que conservarse como información documentada según el apartado 7.5, lo que significa una versión, una aprobación y un lugar. De ello se siguen dos consecuencias. Las acciones de esta revisión son la primera entrada de la siguiente, así que el acta es también el orden del día de la reunión de dentro de un año. Y la revisión es donde se encuentran los objetivos, el registro de riesgos y la declaración de aplicabilidad: un objetivo incumplido se convierte en una acción, un riesgo aceptado en una línea que el propietario firmó, un control excluido sigue justificado o vuelve a entrar.\n\n## Los errores que convierten una reunión en un hallazgo\n\nLa revisión celebrada pero sin acta, o registrada como \"se trataron todos los temas\". Una entrada que falta porque el orden del día usaba los epígrafes de la empresa y nadie asignó la tercera entrada, las expectativas de las partes interesadas, a ninguno de ellos. La entrada de desempeño escrita sin cifras. Acciones sin responsables ni fechas, de modo que la siguiente revisión no puede informar de su estado. Un acta no aprobada, o aprobada por el responsable de seguridad en vez de por la dirección, lo que pierde el sentido del apartado. Ninguna revisión desde la última auditoría, en una empresa que desde entonces ha cambiado de productos, alojamiento o proveedores. Y la revisión celebrada dos semanas antes de la auditoría de certificación sin revisión anterior sobre la que informar, lo que se admite en una primera auditoría y es un hallazgo en la segunda. Cada uno se evita usando el apartado como orden del día y escribiendo menos con cifras en vez de más sin ellas.\n\n## Qué hacer con ello\n\nIntroduzca la reunión en la [página gratuita](\u002Fiso-27001\u002Fmanagement-review): la empresa, la fecha, el periodo revisado, quien preside y los asistentes; las cifras de las cuatro tendencias; una nota para cada una de las siete entradas, que la página redacta como un hueco por completar donde se deja vacía en vez de omitirla; las decisiones sobre mejora, cambios y recursos; y las acciones con responsable y fecha. Copie el acta, haga que quien preside la apruebe y la feche, archívela como la información documentada de la revisión y ponga las acciones delante de la siguiente revisión. StandardOS abre la revisión con las entradas precargadas desde los registros que mantiene, las acciones de la revisión anterior, las no conformidades y auditorías del periodo, los objetivos con sus mediciones, la fecha y los riesgos residuales del registro de riesgos y la retroalimentación de las partes interesadas registrada, para que la dirección añada las decisiones y firme; la [política](\u002Fiso-27001\u002Fpolicy) fija los objetivos de los que informa la cuarta entrada, el [registro de riesgos](\u002Fiso-27001\u002Frisk-register) es la sexta entrada, y la [declaración de aplicabilidad](\u002Fiso-27001\u002Fstatement-of-applicability) es donde aterriza un cambio decidido aquí.\n",1789383963160]