Cláusula 4.1 de ISO 27001: comprensión de la organización y su contexto
La cláusula 4.1 de ISO/IEC 27001:2022 pide a la organización identificar las cuestiones internas y externas que influyen en su propósito y en la capacidad del SGSI para conseguir los resultados previstos. Desde la enmienda de 2024, también debe decidir si el cambio climático es una cuestión pertinente.
Es el punto de partida del sistema. Lo que se identifique aquí condiciona las partes interesadas (4.2), el alcance (4.3) y la evaluación de riesgos (6.1).
La cláusula 4.1 en resumen
La cláusula 4.1 en resumen
| Aspecto | Detalle |
|---|---|
| Qué exige | Identificar cuestiones internas y externas pertinentes para el propósito de la organización y para los resultados del SGSI |
| Novedad 2024 | Determinar si el cambio climático es una cuestión pertinente (Amd 1:2024) |
| ¿Documento obligatorio? | No. La norma no exige información documentada en esta cláusula, aunque el auditor necesitará ver evidencia de que se ha hecho |
| Referencia de apoyo | La propia norma remite al apartado 5.4.1 de ISO 31000:2018 para establecer el contexto |
| Alimenta a | 4.2 Partes interesadas · 4.3 Alcance · 6.1 Riesgos y oportunidades · 9.3 Revisión por la dirección |
¿Qué significa en la práctica?
Una cuestión es cualquier circunstancia que puede ayudar o dificultar que la seguridad de la información funcione. No hace falta listar todo lo que pasa en la empresa: solo lo que afecta a la información y a los objetivos del SGSI.
La pregunta útil es: ¿qué tendría que saber alguien que llega nuevo para entender por qué protegemos la información como lo hacemos?
