Lo primero y lo más importante que pueden hacer los departamentos de recursos humanos cuando se trata de seguridad de la información es ser proactivos en lugar de reactivos. Concretamente, los empleados en ISO 27001 son una preocupación para el sistema que involucra capacitación, definición de roles y establecimiento de protocolos entre otras consideraciones.

Por supuesto, es necesario redactar políticas y procedimientos para los empleados en ISO 27001 que cubran a los trabajadores actuales, pero también a los que nuevos empleados o, incluso, a los que cambien de posición dentro de la organización.

Los requisitos de las partes interesadas en ISO 27001 aparecen en la cláusula 4.2 de la norma. En ella se señala que la organización debe identificar y comprender los requisitos de las partes interesadas en el sistema de gestión de seguridad de la información, tanto internas como externas, que puedan afectar la capacidad del sistema para alcanzar los resultados previstos, o aquellas que puedan influir en la dirección estratégica de la organización.

Además, la identificación de los requisitos de las partes interesadas en ISO 27001 está estrechamente vinculada a la definición del contexto interno y externo de la organización, tema abordado en la cláusula 4.1. de la norma. Sin embargo, tanto en un caso como en el otro, no se ofrece mucha orientación. Por ello, resulta de interés desglosar esta cuestión, para disponer de bases sólidas desde las que construir un SGSI que realmente satisfaga las necesidades de las partes interesadas en ISO 27001.