{"id":43094,"date":"2026-07-01T11:35:17","date_gmt":"2026-07-01T09:35:17","guid":{"rendered":"https:\/\/smartfense.com\/?p=43094"},"modified":"2026-07-01T11:35:23","modified_gmt":"2026-07-01T09:35:23","slug":"iso-27001-2022-control-6-3-concienciacion","status":"publish","type":"post","link":"https:\/\/smartfense.com\/es-ar\/blog\/iso-27001-2022-control-6-3-concienciacion\/","title":{"rendered":"Qu\u00e9 exige el control 6.3 de ISO 27001:2022 sobre concientizaci\u00f3n y c\u00f3mo demostrarlo"},"content":{"rendered":"

La revisi\u00f3n de octubre de 2022 de ISO\/IEC 27001 reorganiz\u00f3 por completo el Anexo A, y el plazo para que las organizaciones certificadas migraran desde la versi\u00f3n 2013 venci\u00f3 el 31 de octubre de 2025. Quien hoy se certifica o renueva lo hace ya sobre la versi\u00f3n nueva. En esa reorganizaci\u00f3n, el control de concientizaci\u00f3n cambi\u00f3 de n\u00famero, de agrupaci\u00f3n y, sobre todo, de exigencia probatoria.<\/p>\n

Esta pieza no explica qu\u00e9 es ISO 27001 ni c\u00f3mo certificarse. Asume que ese terreno ya lo tienes cubierto. Se centra en algo m\u00e1s acotado, que es qu\u00e9 dice el control 6.3 sobre la concientizaci\u00f3n del personal, qu\u00e9 cambi\u00f3 respecto de la 2013, y qu\u00e9 tiene que poder ense\u00f1ar una organizaci\u00f3n cuando el auditor empieza a pedir evidencia.<\/p>\n

\u00bfQu\u00e9 exige el control 6.3 de ISO 27001:2022 sobre concientizaci\u00f3n?<\/h2>\n

El control 6.3 del Anexo A, \u00abConcientizaci\u00f3n, educaci\u00f3n y capacitaci\u00f3n en seguridad de la informaci\u00f3n\u00bb, exige que todo el personal de la organizaci\u00f3n (y, cuando corresponda, los terceros relevantes) reciba formaci\u00f3n adecuada y actualizada sobre las pol\u00edticas de seguridad y sobre su papel en ellas. Est\u00e1 dentro del tema Personas, una de las cuatro agrupaciones de la nueva norma.<\/p>\n

La clave est\u00e1 en tres palabras del enunciado. \u00abAdecuada\u00bb significa que el contenido tiene que corresponderse con la funci\u00f3n de cada persona y con los riesgos reales del puesto, no con un temario gen\u00e9rico. \u00abActualizada\u00bb implica que la formaci\u00f3n sigue el ritmo de los cambios en las pol\u00edticas y en el panorama de amenazas. Y \u00abtodo el personal\u00bb cierra la puerta a programas que solo alcanzan a una parte de la plantilla. El control describe un proceso vivo, sostenido en el tiempo y revisado cada vez que el contexto cambia.<\/p>\n

El 6.3 tampoco vive aislado. Se apoya en el control 6.2, que regula los t\u00e9rminos y condiciones de contrataci\u00f3n, y en las pol\u00edticas de seguridad que la direcci\u00f3n aprueba bajo el control 5.1. La formaci\u00f3n es el mecanismo por el que esas pol\u00edticas dejan de ser un documento y se convierten en conducta. Un auditor que revisa el 6.3 casi siempre comprueba, en paralelo, que existe una pol\u00edtica a la que la formaci\u00f3n remite y que esa pol\u00edtica est\u00e1 vigente.<\/p>\n

\u00bfA qui\u00e9n alcanza la formaci\u00f3n del control 6.3?<\/h2>\n

A todo el personal de la organizaci\u00f3n, sin importar su funci\u00f3n o antig\u00fcedad, y a los terceros con acceso a la informaci\u00f3n o a los sistemas cuando ese acceso lo justifique. El control no admite la l\u00f3gica de formar solo a los equipos t\u00e9cnicos o a quienes manejan datos sensibles. La concientizaci\u00f3n se entiende como una capa de protecci\u00f3n que cubre a la organizaci\u00f3n entera.<\/p>\n

Hay tres grupos que conviene tratar de forma diferenciada, porque son los que el auditor revisa con m\u00e1s detalle. El personal general necesita una base com\u00fan sobre pol\u00edticas, amenazas habituales y c\u00f3mo reportar un incidente. Los perfiles de mayor exposici\u00f3n, como administraci\u00f3n de sistemas, finanzas o atenci\u00f3n al cliente, requieren contenido espec\u00edfico para los riesgos de su funci\u00f3n. Y la direcci\u00f3n entra en una categor\u00eda propia, porque aprueba las pol\u00edticas y responde por ellas, de modo que su formaci\u00f3n tiene que ir m\u00e1s all\u00e1 del mensaje general. Dejar a la capa directiva fuera del programa es uno de los huecos que m\u00e1s r\u00e1pido detecta una auditor\u00eda.<\/p>\n

\u00bfQu\u00e9 cambi\u00f3 entre ISO 27001:2013 y la versi\u00f3n 2022 en concientizaci\u00f3n?<\/h2>\n

El requisito de fondo no se transform\u00f3, pero su ubicaci\u00f3n y su lectura s\u00ed. En la 2013, la concientizaci\u00f3n viv\u00eda en el control A.7.2.2, dentro de un dominio dedicado a los recursos humanos. En la 2022 pas\u00f3 a ser el control 6.3 del tema Personas, una reorganizaci\u00f3n que la acerca a otros controles de comportamiento y responsabilidad individual.<\/p>\n\n\n\n\n\n\n\n\n
Aspecto<\/th>\nISO 27001:2013<\/th>\nISO 27001:2022<\/th>\n<\/tr>\n<\/thead>\n
Control de concientizaci\u00f3n<\/td>\nA.7.2.2<\/td>\n6.3<\/td>\n<\/tr>\n
Agrupaci\u00f3n<\/td>\nDominio 7, seguridad ligada a los recursos humanos<\/td>\nTema Personas<\/td>\n<\/tr>\n
Total de controles en el Anexo A<\/td>\n114<\/td>\n93 (11 de ellos nuevos)<\/td>\n<\/tr>\n
Estructura del Anexo A<\/td>\n14 dominios<\/td>\n4 temas<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

El cambio que m\u00e1s importa para un programa de concientizaci\u00f3n no est\u00e1 en el texto del 6.3, sino en el contexto. La 2022 incorpor\u00f3 controles nuevos orientados a la conducta y al uso de la tecnolog\u00eda, y eso eleva la expectativa del auditor sobre qu\u00e9 significa \u00abconcientizar\u00bb. Demostrar que la gente sabe ya no basta cuando la norma, en su conjunto, gira hacia poder demostrar que la gente act\u00faa distinto.<\/p>\n

\u00bfC\u00f3mo se evidencia el cumplimiento del control 6.3 en una auditor\u00eda?<\/h2>\n

Un auditor no se conforma con ver que existe un curso. Pide rastro. La evidencia que sostiene el control 6.3 suele apoyarse en estos elementos:<\/p>\n