De acuerdo con lo establecido en la medida de seguridad [mp.per.4], del Anexo II del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, “formación”, establece que la organización garantizará la formación regular de todo el personal en materias relacionadas con la seguridad de la información, de forma proporcional a las funciones que desempeñe cada personal.
Asimismo, conforme al artículo 16.3 del ENS, la organización determinará y documentará los requisitos de formación y experiencia necesarios para cada puesto de trabajo, asegurando que el personal disponga de las competencias adecuadas para el desempeño seguro de sus funciones.
A continuación, se presenta la formación adecuada sobre el Esquema Nacional de Seguridad según el rol de cada cargo dentro de la empresa:
|
Rol |
Formación requerida |
Curso apropiado del Instituto Superior de Ciberseguridad (*) |
|
Responsable de la Información |
Formación sobre los requisitos fundamentales del ENS (curso de 20 – 30 horas). |
|
|
Responsable del Servicio |
||
|
Responsable del Sistema |
Formación sobre los requisitos fundamentales del ENS (curso de 20-30 horas) y formación sobre las tecnologías que utiliza la organización. |
|
|
Responsable de la Seguridad de la Información |
Formación profunda sobre la implantación y operación del ENS (curso de 90-100 horas). |
|
|
Administrador de Seguridad |
Formación sobre los requisitos fundamentales del ENS (curso de 20-30 horas) y formación sobre las tecnologías de seguridad que utiliza la organización. |
|
|
Delegado de Protección de Datos |
Formación sobre los requisitos fundamentales del ENS (curso de 20-30 horas) y formación profunda en protección de datos personales. |
|
|
Coordinador de Protección de Datos |
Formación sobre los requisitos fundamentales del ENS (curso de 20-30 horas) y formación en protección de datos personales. |
Curso Esquema Nacional de Seguridad (30h)
Curso Experto en el Reglamento General de Protección de Datos de Europa (RGPD) (60h) |
|
Persona de Contacto para las AAPP (POC) |
Formación profunda sobre la implantación y operación del ENS (curso de 90-100 horas). |
|
|
Todos los usuarios de la organización |
Curso básico de seguridad de la información, para que conozcan las amenazas que existen en Internet y el uso de la tecnología y cómo hacer un uso seguro de Internet y las tecnologías (curso de 4 horas). |
|
|
Usuarios que tratan datos personales |
Curso básico de protección de datos personales para no incumplir la normativa por desconocimiento (curso de 4 horas). |
La norma ISO 27001 en la cláusula 7.2 “competencia” estipula que las empresas deben asegurarse de que las personas que componen su organización sean “competentes, basándose en la educación, formación o experiencia adecuadas”.
Además, en el control 6.3 del Anexo A de la norma ISO 27001:2022, cuyo título es “concienciación, educación y formación en seguridad de la información” recoge que es fundamental que el personal y las partes interesadas relevantes conozcan y cumplan sus responsabilidades en materia de seguridad de la información. Indica también que una concienciación, educación y capacitación inicial puede ofrecerse al personal nuevo y a los que se trasladan a nuevos puestos o roles con requisitos de seguridad de la información sustancialmente diferentes.
En concreto se detalla que la organización debería identificar, preparar e implementar un plan de formación y concienciación para que el personal sea consciente de sus responsabilidades en la seguridad de la información, de las amenazas que existen y de cómo hacer un uso seguro de Internet y los medios tecnológicos.
La organización también debería preparar un plan de formación adecuado para los equipos técnicos cuyos roles requieran destrezas y experiencia específicos. Los equipos técnicos deberán tener las habilidades para configurar y mantener el nivel de seguridad requerido para dispositivos, sistemas, aplicaciones y servicios. Si faltan habilidades para ello, la organización debería tomar medidas para que las adquieran.
¿Qué formación es la adecuada para los empleados de la organización para cumplir la ISO 27001?
|
Rol |
Formación requerida |
Curso apropiado del Instituto Superior de Ciberseguridad (*) |
|
Responsable de la Seguridad de la Información (ISO 27001) |
Formación profunda sobre la implantación y operación de la ISO 27001:2022 (curso de 50-60 horas). |
|
|
Todos los usuarios |
Curso básico de seguridad de la información, para que conozcan las amenazas que existen en Internet y el uso de la tecnología y cómo hacer un uso seguro de Internet y las tecnologías (curso de 4 horas). |
|
|
Usuarios que tratan datos personales |
Curso básico de protección de datos personales para no incumplir la normativa por desconocimiento (curso de 4 horas). |
La formación en seguridad de la información es un aspecto clave tanto en el Esquema Nacional de Seguridad (ENS) como en la norma ISO 27001. El Real Decreto 311/2022, de 3 de mayo, que regula el ENS, establece de manera clara que todas las organizaciones deben garantizar la capacitación continua de su personal, adaptada a las funciones y responsabilidades de cada rol. De esta manera, se asegura que el personal puede comprender los principios de seguridad y, además, puedan aplicarlos de manera efectiva. Requisitos similares contiene la norma ISO 27001.
Asimismo, la formación diferenciada según el nivel de responsabilidad permite crear una cultura de ciberseguridad en la organización.
Invertir en formación es una medida que fortalece la seguridad de la organización y garantiza el cumplimiento de las normativas, con el fin de evitar riesgos y proyectar una buena imagen de cara a clientes y/o potenciales clientes.
En el Instituto Superior de Ciberseguridad ofrecemos formación adaptada a cada nivel de responsabilidad dentro de la organización desde cursos básicos para usuarios hasta programas avanzados para responsables de seguridad, totalmente bonificables por FUNDAE, para que las empresas puedan cumplir con el ENS y la ISO 27001 de manera eficaz, incrementando, además, de forma notable el nivel de ciberseguridad de la organización.