Veamos las partes 7.2 de la norma ISO veinti siete mil uno que trata de los requisitos del Sistema de
Gestión de Seguridad de la información frente a la competencia recuerda que este curso prepara para
los exámenes de certificación de fundamentos auditor y consultor implementadores de ISO veinti siete
mil uno también Netshoes University desde Miami podrá ofrecerte un bache sobre este master class en
este punto se refiere a que las personas deben ser competentes no solo en lo que respecta a la seguridad
sino que todo el personal debe serlo en su rol.
Si se tiene un administrador de firewall se debe asegurar de que este administrador conoce de seguridad
conoce de redes conoce la herramienta muy seguramente ha hecho cursos de certificación sobre esta herramienta.
Lo importante es que tenga los conocimientos y el nivel de competencia lo mismo para el área de desarrollo
para quien está llevando el control de las bases de datos para quienes está dando soporte a las aplicaciones.
Ese es el nivel de competencia que se habla que se debe garantizar para el SGS y cuando se realizan
auditorías ya sea desde el punto de vista 27000 o PC y cuando se realizan las entrevistas con los administradores
también se mide el conocimiento la experiencia y el nivel de competencia para poder gestionar el componente
sino que se debe reportar como un hallazgo como implementadores debe recomendar el cumplimiento de este
requisito como auditor del SGS y no se debe ser experto en la herramienta cuando se está en el rol de
auditor se encuentra con la persona que administra el componente se solicita ver la configuración de
seguridad de ese o si se necesita ver la lista de acceso.
La persona que audita debe tener el conocimiento para saber qué comando le puede mostrar la información
que solicita.
Básicamente en una auditoría uno no debe solicitar accesos o intervención de otra persona.
La idea es que el auditor haga la evaluación junto con la persona que usa la herramienta y de ese modo
elevar la parte de la competencia.
La norma requiere específicamente que se determine la competencia necesaria de las personas que realizan
bajo su control un trabajo que afecta su desempeño de la seguridad de la información.
También se debe asegurar de que estas personas sean competentes basándose en la educación formación
o experiencia adecuadas.
Por eso hablamos de temas por ejemplo de certificación.
Además cuando sea aplicable se deben tomar acciones para adquirir la competencia necesaria y evaluar
la eficacia de las acciones tomadas.
Es decir evaluar el aprendizaje real también en este numeral 7.2 de la norma la organización deberá
conservar la información documentada apropiada como evidencia de la competencia.
Existe una nota en la norma para este numeral y consiste en que todas las acciones aplicables pueden
incluir por ejemplo la formación la tutoría o la reasignación de las personas empleadas actualmente
o la contratación de personas competentes.
Relacionado a la nota se refiere a que cuando exista un hallazgo especificado debemos saber cómo reaccionar.