Guía ISO 27001: ¿cómo cumplir con la normativa?

¿Qué es ISO 27001?

ISO 27001 describe cómo gestionar la seguridad de la información de forma sistemática. El núcleo de la norma no es una lista de herramientas, sino un proceso: comprender el contexto, identificar los activos y los riesgos, decidir cómo tratarlos, implementar las medidas y verificar que funcionan.

La norma distingue entre los requisitos del SGSI (cláusulas 4 a 10, obligatorias para la certificación) y las medidas de seguridad del Anexo A (un catálogo de controles a seleccionar en función de los riesgos). Esta arquitectura hace que el enfoque sea adaptable a cualquier organización.

La versión 2022 modernizó el Anexo A: 93 controles agrupados en cuatro temáticas (organizativa, humana, física y tecnológica), con nuevos controles que reflejan el cloud, la amenaza cibernética y la protección de datos.

¿Quién está afectado?

ISO 27001 está dirigida a cualquier organización que desee estructurar y demostrar su seguridad de la información. Es especialmente relevante para los actores que manejan datos sensibles o venden a clientes exigentes.

• Editores de software y SaaS, para quienes la certificación suele ser un prerrequisito comercial.
• ESN, alojadores y proveedores IT que gestionan los sistemas de sus clientes.
• Empresas sujetas a NIS2 o DORA, que capitalizan sobre el SGSI.
• Cualquier organización que maneje datos sensibles o estratégicos.

Las medidas del Anexo A (versión 2022)

Los 93 controles del Anexo A están agrupados en cuatro temas. No se aplican todos de forma indiscriminada: se seleccionan los que responden a los riesgos identificados y se justifica dicha selección en la SoA.

La Declaración de Aplicabilidad (SoA) recoge todos los controles y justifica cada inclusión o exclusión.

Los documentos clave del SGSI

ISO 27001 exige una base documental precisa, núcleo de la evidencia en auditoría.

• El alcance del SGSI y la política de seguridad.
• El método y los resultados de la evaluación de riesgos.
• El plan de tratamiento de riesgos.
• La Declaración de Aplicabilidad (SoA).
• Los procedimientos operativos y las evidencias de implementación.
• Los informes de auditoría interna y de revisión por la dirección.

¿Qué sanciones se aplican en caso de incumplimiento?

ISO 27001 es una norma voluntaria: sin multas, pero con importantes implicaciones comerciales y regulatorias. La certificación es cada vez más un criterio de acceso a los mercados.

Cómo lograr la conformidad: la hoja de ruta en 7 pasos

Paso 1 — Definir el contexto y el alcance

Identifique los factores internos y externos, las partes interesadas y sus expectativas, y delimite el alcance del SGSI. Un alcance bien definido (una entidad, un producto, un sitio) hace que la primera certificación sea alcanzable.

El alcance debe ser coherente: incluya únicamente lo que puede controlar y demostrar de forma efectiva.

• Analice el contexto y las partes interesadas.
• Delimite un alcance realista.
• Identifique los requisitos legales y contractuales aplicables.

Paso 2 — Obtener el compromiso de la dirección

La dirección debe respaldar la política de seguridad, fijar los objetivos, asignar los recursos y designar las responsabilidades. Sin este respaldo, el SGSI permanece en el plano teórico y fracasa en la auditoría.

Formalice la gobernanza: comité de seguridad, roles, reporting periódico.

• Haga que la dirección valide la política de seguridad.
• Establezca objetivos de seguridad medibles.
• Designe los roles y asigne los recursos.

Paso 3 — Realizar la evaluación de riesgos

Elija una metodología, inventaríe sus activos, identifique amenazas y vulnerabilidades, y evalúe y priorice los riesgos. Este es el núcleo de la norma: todo lo demás se deriva de él.

Documente la metodología y los criterios de aceptación del riesgo, exigidos por los auditores.

• Inventaríe sus activos de información.
• Identifique y evalúe amenazas y vulnerabilidades.
• Priorice los riesgos según criterios documentados.

Paso 4 — Establecer el plan de tratamiento y la SoA

Decida, para cada riesgo, si tratarlo, aceptarlo, transferirlo o evitarlo. Seleccione los controles del Anexo A pertinentes y formalice la Declaración de Aplicabilidad (SoA), que justifica cada inclusión o exclusión.

La SoA es un documento central que los auditores examinan en profundidad.

• Formalice el plan de tratamiento de riesgos.
• Seleccione los controles pertinentes del Anexo A.
• Redacte y justifique la Declaración de Aplicabilidad.

Paso 5 — Implantar los controles

Implemente las medidas organizativas, humanas, físicas y tecnológicas seleccionadas: políticas, concienciación, control de acceso, cifrado, registro de eventos, gestión de incidentes y de proveedores.

Documente la implementación: en una auditoría, lo que cuenta son las evidencias, no las intenciones.

• Implante los controles seleccionados y sus procedimientos.
• Conciencia y forme a los colaboradores.
• Recopile las evidencias de funcionamiento.

Paso 6 — Auditar y revisar

Realice auditorías internas para verificar la eficacia del SGSI, celebre una revisión por la dirección y corrija las desviaciones. Este es el motor de mejora continua exigido por la norma.

Estos ejercicios preparan directamente la auditoría de certificación.

• Planifique y lleve a cabo auditorías internas.
• Celebre una revisión por la dirección.
• Corrija las no conformidades y registre las acciones.

Paso 7 — Superar la certificación y mantenerla

Elija un organismo acreditado, supere la auditoría de etapa 1 (revisión documental) y la de etapa 2 (implementación), levante las no conformidades y obtenga el certificado, válido por tres años.

Manténgalo mediante auditorías de seguimiento anuales y una auditoría de renovación: la seguridad es un esfuerzo continuo.

• Seleccione un organismo de certificación acreditado.
• Supere las auditorías de etapa 1 y etapa 2.
• Mantenga el certificado mediante auditorías de seguimiento.

Los errores frecuentes que hay que evitar

• Aspirar a un alcance demasiado amplio para una primera certificación, lo que alarga y complica el proceso.
• Tratar el SGSI como un proyecto documental desconectado de las prácticas reales.
• Descuidar la evaluación de riesgos, que condiciona la coherencia de todo el sistema.
• Descuidar la SoA o justificar de forma débil las exclusiones de controles.
• Olvidar la concienciación, cuando el factor humano es central.
• Considerar la certificación como un punto de llegada en lugar de un ciclo que hay que mantener.