¿Qué es ISO 27001? Una guía en lenguaje sencillo sobre el estándar de seguridad de la información

ISO 27001 es un estándar internacional, publicado conjuntamente por la Organización Internacional de Normalización y la Comisión Electrotécnica Internacional, que establece los requisitos para un sistema de gestión de la seguridad de la información. La versión actual es ISO/IEC 27001:2022.

La idea clave es el sistema de gestión, que suele abreviarse como ISMS. Un ISMS no es un producto que instalas. Es un conjunto de políticas, procesos, responsabilidades y registros que, en conjunto, permiten a tu organización gestionar la seguridad de la información de forma deliberada y repetible. Al estándar le importa menos qué herramientas concretas usas y más si entiendes tus riesgos, has decidido qué hacer con ellos y puedes demostrar que el sistema sigue funcionando con el tiempo.

Como está basado en el riesgo, ISO 27001 no te entrega una lista fija de cosas que toda empresa debe hacer. En cambio, te pide que evalúes los riesgos para tu información, decidas cómo tratarlos y justifiques tus decisiones. Por eso dos organizaciones certificadas pueden verse muy distintas por dentro y ser ambas plenamente conformes.

Conviene separar dos números que verás. ISO 27001 es el estándar certificable, los requisitos frente a los que se te mide. ISO 27002 es un documento de orientación complementario que explica cómo se pueden implementar los controles. Te certificas en 27001; lees 27002 para obtener consejo.

El cuerpo principal de ISO 27001 está organizado en cláusulas. Las cláusulas 1 a 3 son introductorias. Los requisitos frente a los que realmente se te audita residen en las cláusulas 4 a 10, y juntas describen el ciclo de vida de operar un ISMS.

Cláusula 4, Contexto de la organización. Defines qué cubre tu ISMS, quiénes son tus partes interesadas, como clientes, reguladores y personal, y qué esperan de ti. Aquí también estableces el alcance, la frontera de lo que se incluye y lo que no.

Cláusula 5, Liderazgo. La alta dirección tiene que asumir la responsabilidad del ISMS, establecer una política de seguridad de la información y asignar roles y responsabilidades claros. La seguridad no puede ser algo que se delega en silencio a un solo ingeniero y se olvida.

Cláusula 6, Planificación. Este es el corazón del estándar. Realizas una evaluación de riesgos para identificar qué podría salir mal, y luego un plan de tratamiento de riesgos para decidir qué hacer con cada riesgo. También estableces objetivos de seguridad medibles.

Cláusula 7, Soporte. Los recursos, las personas, las competencias, la concienciación y la información documentada necesarios para que el sistema funcione. Esto incluye formar al personal y mantener los registros bajo control.

Cláusula 8, Operación. Hacer de verdad lo que planificaste: ejecutar la evaluación y el tratamiento de riesgos según un calendario y conservar la evidencia de que los controles operan en el día a día.

Cláusula 9, Evaluación del desempeño. Medir si el ISMS está funcionando mediante el seguimiento, las auditorías internas y una revisión formal por la dirección.

Cláusula 10, Mejora. Gestionar lo que sale mal mediante acciones correctivas, y mejorar continuamente el sistema. ISO 27001 espera que el ISMS mejore con el tiempo, no que se quede quieto tras la certificación.

Las cláusulas 4 a 10 te dicen cómo operar el sistema de gestión. El Annex A es el menú de controles de seguridad del que eliges cuando decides cómo tratar tus riesgos. La edición de 2022 reorganizó y modernizó esta lista.

Ahora hay 93 controles, agrupados en cuatro temas en lugar de las muchas categorías que se usaban en la versión anterior de 2013. Los cuatro temas son controles organizativos, controles de personas, controles físicos y controles tecnológicos.

Los controles organizativos, 37 en total, cubren políticas, roles, relaciones con proveedores, gestión de incidentes y temas de gobernanza similares. Los controles de personas, 8 en total, cubren la verificación, la concienciación, las responsabilidades y la conducta del personal. Los controles físicos, 14 en total, cubren oficinas, equipos, áreas seguras y acceso físico. Los controles tecnológicos, 34 en total, cubren las medidas técnicas como el control de acceso, el cifrado, el registro, las copias de seguridad y el desarrollo seguro.

La actualización de 2022 también introdujo varios controles más nuevos que reflejan cómo trabajan las organizaciones hoy, incluidos la inteligencia de amenazas, la seguridad de la información para servicios en la nube, el enmascaramiento de datos, la prevención de fugas de datos y la codificación segura.

Lo fundamental es que no tienes que implementar todos los controles. Revisas cada uno frente a tu evaluación de riesgos y registras cuáles aplican, cuáles no y por qué, en un documento llamado Statement of Applicability (declaración de aplicabilidad). El Statement of Applicability es uno de los artefactos centrales que examinará un auditor, porque muestra el razonamiento detrás de tus decisiones.

La certificación ISO 27001 la otorga un organismo de certificación independiente, no quien te haya ayudado a prepararte. Una consultoría o un estudio puede orientarte, construir el ISMS contigo y realizar una auditoría de prueba, pero no puede emitir el certificado. Esa separación es deliberada y es lo que da credibilidad al certificado.

Los organismos que pueden emitir un certificado reconocido están ellos mismos acreditados por un organismo nacional de acreditación, que supervisa su competencia e independencia. Cuando eliges un organismo de certificación, comprobar que está debidamente acreditado importa, porque un certificado no acreditado tiene mucho menos peso ante los clientes.

La evaluación ocurre en dos etapas. La Etapa 1 es una revisión documental. El auditor comprueba que tu ISMS existe sobre el papel, que tu alcance, tus políticas, tu evaluación de riesgos y tu Statement of Applicability están en su sitio y son coherentes, y que estás listo para la auditoría más profunda. A menudo saca a la luz brechas que todavía tienes tiempo de corregir.

La Etapa 2 es la auditoría principal. El auditor reúne evidencia de que tu ISMS no solo está escrito sino que realmente opera: que los controles funcionan, que se conservan registros, que se gestionan los incidentes y que se realizan las revisiones por la dirección. Si la superas, el organismo emite un certificado, normalmente válido durante tres años.

La certificación no es un evento único. Durante esos tres años el organismo realiza auditorías de seguimiento, por lo general anuales, para confirmar que el ISMS sigue funcionando, y una auditoría completa de recertificación al final del ciclo. El estándar presupone que mantienes vivo el sistema, no que te preparas una vez y te relajas.

ISO 27001 es voluntario. No hay ninguna ley que obligue a una empresa típica a tenerlo. En la práctica, la demanda la impulsan los clientes y los mercados, más que los reguladores.

Tiende a importar sobre todo a los proveedores de software y a las empresas SaaS que venden a organizaciones más grandes, a los proveedores de servicios gestionados, a los encargados del tratamiento de datos y a cualquier negocio cuyos clientes realicen revisiones formales de seguridad de proveedores. En muchos procesos de compra empresariales y del sector público, un certificado ISO 27001 acreditado acorta o sustituye un largo cuestionario de seguridad.

También es habitual al expandirse internacionalmente, porque ISO 27001 se reconoce en todo el mundo y ofrece una respuesta única y portátil a la pregunta de si te tomas la seguridad en serio.

Probablemente aún no lo necesites si no tienes clientes que lo pidan, manejas pocos datos sensibles y tienes riesgos de producto más urgentes. Dicho esto, adquirir buenos hábitos de seguridad pronto hace que la eventual certificación sea mucho menos dolorosa, y la disciplina de las cláusulas 4 a 10 es valiosa incluso antes de perseguir un certificado.

Conviene señalar en qué se diferencia ISO 27001 de SOC 2, con el que los lectores a menudo lo confunden. ISO 27001 certifica que tu sistema de gestión cumple un estándar definido y lo emite un organismo de certificación acreditado. SOC 2 es un informe de atestación producido por una firma de CPA autorizada frente a unos criterios de confianza definidos. Se solapan mucho en su contenido, pero difieren en el formato y en quién emite el resultado.

La preparación es más manejable de lo que sugiere la densa redacción del estándar. Gran parte consiste en poner por escrito y seguir de forma coherente lo que tu equipo ya hace, y luego cerrar las brechas genuinas.

Define tu alcance primero. Decide qué productos, sistemas, equipos y ubicaciones cubre el ISMS. Un alcance más ajustado y honesto es más fácil de certificar que uno demasiado ambicioso.

Consigue que el liderazgo se implique de verdad. La cláusula 5 no es una formalidad; los auditores notan cuando la dirección ha firmado una política pero no está comprometida. Asigna un responsable claro para el ISMS.

Realiza una evaluación de riesgos de verdad. Identifica tus activos de información y qué podría amenazarlos, y luego decide para cada riesgo si lo tratas, lo aceptas, lo transfieres o lo evitas. Esto impulsa todo lo demás, incluidos los controles del Annex A que selecciones.

Redacta los documentos centrales: una política de seguridad de la información, la evaluación de riesgos y el plan de tratamiento, y el Statement of Applicability. Mantenlos legibles, porque las personas tienen que seguirlos.

Implementa los controles que seleccionaste y luego opéralos el tiempo suficiente para producir evidencia. Los auditores quieren ver el sistema en funcionamiento, así que acumula unos meses de registros, logs y reuniones de revisión antes de la auditoría de Etapa 2.

Realiza una auditoría interna y una revisión por la dirección antes de que llegue el organismo de certificación. Encontrar y corregir tus propias brechas primero es exactamente lo que piden las cláusulas 9 y 10, y hace que la auditoría externa sea mucho más fluida.

Un estudio especializado como tr3labs, fundado en 2024, puede ayudarte a definir el alcance del ISMS, realizar la evaluación de riesgos, construir la documentación y prepararte para la auditoría. El certificado en sí siempre proviene de un organismo de certificación independiente y acreditado, nunca de la firma que te ayudó a prepararte.