Cómo crear un plan de comunicación según ISO 27001
La comunicación es una actividad clave para cualquier ser humano. Este es también el caso de una organización. Ayuda a través del intercambio de la información más correcta a la mejor audiencia y en el mejor momento. Es ciertamente importante en la gerencia de la seguridad, porque usted quiere que la gente reaccione de la manera apropiada.
Importante también es que la comunicación efectiva, en contenido, formato y tiempo, crea confianza tanto de las partes internas como externas. Muestra cómo estás preparado, y si eres reactivo o, mejor, proactivo.
ISO 27001 aborda el problema de la comunicación tres veces, y las organizaciones que desean implementar el SGSI tienen que mirar de cerca estos requisitos.
¿Qué es exactamente un plan de comunicación?
La Cláusula 7.4 requiere una respuesta clara a una serie de preguntas sobre cuestiones de seguridad: ¿Quién debe comunicarse? ¿A quien? ¿Qué mensajes? ¿En que? ¿Cuando? ¿Y cómo?
Veamos más de cerca cómo abordar estas preguntas.
¿En que? (Contenido) Las organizaciones deben comunicar claramente sobre lo que es importante para ellos: la necesidad de seguridad de la información y la necesidad de ajustarse a los requisitos y políticas.
Se abordarán cuestiones de gestión de riesgos, objetivos de seguridad nuevos o modificados y vulnerabilidades, acontecimientos o incidentes para iniciar la respuesta adecuada de todos y, en especial, del personal capacitado que realice la reacción planificada. Celebrar los logros y felicitar las conductas excepcionales de seguridad tiene efectos muy positivos.
Incluir cláusulas de seguridad y requisitos en el contrato es también una manera de comunicar sus necesidades a los proveedores de servicios y productos. Por lo tanto, podría considerarse una parte del Plan de Comunicación.
¿Qué mensajes? (Forma y formato) Los mensajes deben ser claros en su forma y contenido para producir el comportamiento esperado. El tipo de medio de comunicación se examina aquí. Puede usar cuentos, imágenes, metáforas o dibujos animados.
Los mensajes deben ser cortos y enfocados en su verdadera intención. Ciertamente recuerda los criterios SMART que puede utilizar para asegurarse de que el mensaje esté completo.
¿Quien? Las organizaciones deben aclarar quién está autorizado a comunicarse, especialmente con las partes externas. Internamente, la alta dirección y el CISO y el help desk son buenos ejemplos. Las grandes empresas tienen a su Oficial de Relaciones Públicas para comunicarse con las partes externas.
El comunicador debe tener la autoridad apropiada para asegurarse de que el mensaje será recibido con la atención necesaria y será seguido por la acción o reacción esperada.
¿A quien? No todos deben recibir todos los mensajes. Los mensajes deben estar dirigidos a un público específico, dependiendo de la clasificación de la información, los conocimientos técnicos necesarios y el papel en la organización. El Plan de Comunicación debe ser eficaz y dirigirse sólo a quienes se beneficien de él o deban actuar basándose en él, por ejemplo, diferentes partes interesadas como usuarios, socios, proveedores de servicios internos y externos, órganos reguladores, accionistas, etc. Artículo: Cómo identificar a las partes interesadas según ISO 27001 e ISO 22301.
¿Cómo? (Proceso) La forma más simple y primera es la política de seguridad y todos los documentos que describen qué hacer (y cómo) cumplir con los objetivos de la política. Los mensajes deben ser preparados y aprobados, particularmente en caso de incidentes y crisis.
Se deben utilizar canales definidos (y protocolos) para asegurarse de que la comunicación llegue al público deseado en el mejor momento y con la mejor eficacia posible. Ejemplos: correos electrónicos, pantallas emergentes, protectores de pantalla, carteles, mensajes de audio, reuniones, políticas y directivas, etc.
¿Cuando? La comunicación debe ser continua y basada en eventos (en reacción a eventos).
Debe asegurarse de que el mensaje comunicado se retransmita continuamente, por ejemplo, a los recién llegados ya intervalos repetidos, para asegurarse de que no se olvidará.
También debe ser capaz de modificar los mensajes o introducir nuevos mensajes o formatos y canales cuando la situación lo requiere. Comunicar en condiciones normales puede ser seriamente diferente en comparación con durante incidentes o en crisis.
Plan de comunicación interno vs. externo
Es importante reconocer que el Plan de Comunicación tiene aspectos tanto internos como externos. Ellos responderán de manera diferente a las siguientes preguntas.
Plan de Comunicación Interna. La Alta Dirección utiliza el Plan de Comunicación interno para enviar mensajes sobre sus objetivos y su compromiso con la seguridad de la información. Algunos ejemplos son: La Política de Seguridad de la Información, la organización de seguridad con las funciones y responsabilidades clave, el Plan de Concientización, los requisitos generales y específicos para responder a los incidentes.
Sin embargo, el Plan de Comunicación interno no debe permanecer unidireccional. Los canales (teléfono y correo electrónico, por ejemplo) también deben ser conocidos y utilizados para comunicar «de abajo hacia arriba» desde La base (los usuarios) a la gestión de eventos o alguna nueva vulnerabilidad.
Plan de comunicación externa.
La mayoría de los ejemplos anteriores se refieren al Plan de Comunicación interno, pero también son plenamente aplicables al Plan de Comunicación externo. Es posible que tenga que comunicarse con el mundo externo: autoridades reguladoras, autoridades públicas, accionistas, clientes y socios para anunciar eventos Positivos (éxitos) o negativos (incidentes, accidentes y crisis). Aquí también necesitará un Plan de Comunicación que responda a las mismas preguntas que antes. Sin embargo, en este caso, tendrá que usar más precaución ya que no puede exponer o difundir información confidencial que empeore su situación.
Cómo documentar la Comunicación
Dependiendo del tamaño de la organización y de sus objetivos de seguridad, el Plan de Comunicación podría ser más o menos formal, estar plenamente documentado como documento separado o simplemente expresado en pocas frases dentro de otras políticas, procedimientos y planes. Los mensajes se pasan a aquellos que deben hacer lo mejor de ella, su solución se ajuste a sus necesidades y los recursos que puede dedicar a it.Why es un plan de comunicación importante? Para concluir, el plan de comunicación es una cuestión de crear y mantener la confianza y Confianza en 1) su preparación, 2) su capacidad para hacer frente a los eventos, y 3) su capacidad para recuperarse de las crisis.
El plan de comunicación es un elemento clave de un buen sistema de gestión de la seguridad de la información Tem Uno de los Retornos sobre la Inversión (Seguridad) de un buen Plan de Comunicación, como lo requiere la ISO 27001, es una imagen fuerte, tanto interna como externa. Perder la confianza interna (o de las partes interesadas) a veces es peor que perder su imagen pública. Arriesgas la implosión.