Seguridad de la información
ISO 27001
ISO/IEC 27001
ISO/IEC 27001 es la norma mundial para un sistema de gestión de seguridad de la información (SGSI). Le acompañamos desde la primera brecha hasta un certificado emitido por un organismo acreditado.
Qué es ISO 27001
ISO/IEC 27001 es la norma internacional para establecer, operar y mejorar de forma continua un sistema de gestión de seguridad de la información. Exige que evalúe sus riesgos, aplique un conjunto de controles para tratarlos y gestione todo ello como un sistema controlado, con liderazgo, objetivos, auditoría interna y revisión por la dirección.
El conjunto de controles del Anexo A le ofrece una lista de referencia de la que seleccionar en función de su evaluación de riesgos, con el detalle expuesto en ISO/IEC 27002. La certificación la concede un organismo de certificación independiente y acreditado, no una consultoría, tras una auditoría en dos etapas.
La estructura de la norma
Cláusula 4 · Contexto de la organización
Define el alcance del SGSI y las cuestiones internas y externas y las partes interesadas que lo configuran.
Cláusula 5 · Liderazgo
La alta dirección asume la política de seguridad de la información y compromete los recursos y la rendición de cuentas que el sistema necesita.
Cláusula 6 · Planificación
Realiza la evaluación de riesgos, decide cómo tratar cada riesgo, fija objetivos y elabora la declaración de aplicabilidad.
Cláusula 7 · Apoyo
Proporciona las personas, la competencia, la concienciación, la comunicación y la información documentada que mantienen el sistema en funcionamiento.
Cláusula 8 · Operación
Lleva a la práctica la evaluación de riesgos y el plan de tratamiento de riesgos y controla los cambios que los afectan.
Cláusulas 9 y 10 · Evaluación y mejora
Supervisa, mide, audita internamente y revisa el sistema, y luego actúa sobre los hallazgos y las no conformidades para mejorarlo.
Anexo A · Controles de referencia
La edición de 2022 enumera 93 controles agrupados en cuatro temas, organizativo, de personas, físico y tecnológico, entre los que selecciona en función de su riesgo.
Quién lo necesita
- Organizaciones cuyos clientes o reguladores esperan una norma de seguridad reconocida y auditable
- Empresas que venden a escala internacional, donde ISO 27001 es el lenguaje común para el aseguramiento de la seguridad
- Equipos que desean un sistema de gestión duradero en lugar de un informe puntual
Qué obtiene
- Un SGSI acotado con evaluación de riesgos y plan de tratamiento de riesgos
- Un conjunto de documentación que incluye la declaración de aplicabilidad
- Evidencias de auditoría interna, prueba de penetración y revisión por la dirección
- Preparación y apoyo durante las auditorías de certificación de la Etapa 1 y la Etapa 2
Los plazos dependen de su alcance y de lo maduros que ya sean sus controles. Lo acotamos con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
La edición actual es ISO/IEC 27001:2022, que reorganizó el Anexo A en los cuatro temas y 93 controles descritos anteriormente. La transición desde la edición de 2013 ya ha concluido, por lo que los certificados se emiten y mantienen frente al texto de 2022. La guía de apoyo de ISO/IEC 27002:2022 se actualizó en paralelo y aporta el detalle de implantación que hay detrás de cada control del Anexo A. Si su SGSI se construyó sobre la edición anterior, el cambio es un ejercicio de correspondencia y de restablecimiento de la línea base más que una reconstrucción, y podemos ayudarle a llevarlo a cabo.
Qué cuesta
Aquí conviven dos costes. tr3labs cobra unos honorarios de asesoría e implantación acotados, presupuestados por adelantado una vez que entendemos su tamaño, su alcance y su punto de partida. El certificado en sí lo emite un organismo de certificación independiente y acreditado, que factura por separado según su propia tarifa por las auditorías de la Etapa 1 y la Etapa 2 y la vigilancia anual posterior; tr3labs nunca es ese certificador ni ese auditor. Preferimos acotar el trabajo con usted antes que presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Alcance y análisis de brechas
Definimos el alcance del SGSI, realizamos la evaluación de riesgos y medimos su estado actual frente a la norma y al Anexo A para que sepa exactamente qué falta.
Construir el sistema de gestión
Le ayudamos a elaborar la documentación requerida, la declaración de aplicabilidad y el plan de tratamiento de riesgos, y a implantar las políticas y los controles técnicos que la norma espera.
Probar y demostrar
Realizamos auditorías internas, pruebas de penetración y una revisión por la dirección para que el sistema esté operativo y evidenciado antes de que llegue un auditor externo.
Apoyo a la certificación
Le preparamos para las auditorías de la Etapa 1 y la Etapa 2 por parte del organismo de certificación acreditado que elija y le acompañamos hasta el certificado y durante el ciclo de vigilancia posterior.
ISO/IEC 27001 vs SOC 2
Ambos demuestran que se toma la seguridad en serio, por lo que los compradores a menudo los tratan como intercambiables cuando responden a públicos diferentes de maneras diferentes.
| ISO/IEC 27001 | SOC 2 | |
|---|---|---|
| Idea central | Un sistema de gestión de seguridad de la información certificado | Un informe de atestiguamiento sobre controles frente a los Trust Services Criteria |
| Cubre | Todo el SGSI y los controles del Anexo A seleccionados | Los criterios pertinentes para el servicio que presta |
| Quién lo pide | Una base de compradores mundial e internacional | Principalmente compradores empresariales de EE. UU. |
| Modelo de auditoría | Auditoría en dos etapas por un organismo de certificación acreditado | Examen por una firma de contadores públicos (CPA) autorizada |
| Qué obtiene | Un certificado en un ciclo de tres años con vigilancia | Un informe de un momento concreto o de un periodo de tiempo que renueva |
| A menudo se tiene junto con | SOC 2, NIST CSF, ISO 42001 | ISO/IEC 27001 para alcance internacional |
Preguntas frecuentes sobre ISO 27001
- ¿Quién emite el certificado ISO 27001?
- Un organismo de certificación independiente, acreditado para conceder ISO/IEC 27001, emite el certificado tras una auditoría en dos etapas. tr3labs le prepara, construye el SGSI y las evidencias, y le acompaña durante la auditoría; no somos un organismo de certificación.
- ¿Cuál es la diferencia entre ISO 27001 y SOC 2?
- ISO 27001 certifica un sistema de gestión frente a una norma internacional y es adecuado para un público mundial. SOC 2 es un informe de atestiguamiento de un contador público (CPA) frente a los Trust Services Criteria y es la expectativa predeterminada de los compradores empresariales de EE. UU. Muchas organizaciones persiguen ambos y reutilizan gran parte de la misma evidencia.
- ¿El certificado dura para siempre?
- No. Un certificado ISO 27001 se rige por un ciclo de tres años con auditorías de vigilancia anuales y una auditoría de recertificación al final. Le ayudamos a mantenerse preparado durante todo el ciclo, no solo para la primera auditoría.
Los servicios que te llevan hasta allí
Normas relacionadas
Lectura relacionada
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura
¿Qué es ISO 27001? Una guía en lenguaje sencillo sobre el estándar de seguridad de la información
Una introducción clara y sin jerga a ISO 27001 para fundadores y equipos técnicos: qué es un ISMS, las cláusulas 4 a 10, los controles del Annex A de 2022, cómo funciona la certificación en dos etapas y cómo prepararse.
8 min de lectura
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura