ISO 27001 explicada para gente técnica:
el SGSI sin humo consultor
Gobernanza y cumplimiento | unfantasmaenelsistema.com
Para mucha gente que administra sistemas, ISO 27001 es esa carpeta de documentos que aparece antes de una auditoría, se firma y se olvida hasta el año siguiente. Vista así es papeleo. Vista bien es otra cosa: un método para decidir, de forma repetible y defendible, qué riesgos de seguridad asume una organización y qué hace con el resto. El problema no es la norma, es cómo se suele contar.
Este artículo traduce ISO 27001 al lenguaje de quien toca la infraestructura: qué es un SGSI, qué piden realmente las cláusulas, qué son los 93 controles del Anexo A tras la revisión de 2022, qué es la declaración de aplicabilidad y qué mira un auditor. Sin promesas de «certificación en 30 días».
Qué aprenderás en este artículo
Qué es un SGSI y por qué el ciclo de mejora continua (PDCA) es su columna vertebral · Las cláusulas 4 a 10 explicadas una a una, sin jerga · El Anexo A e ISO 27002:2022: 93 controles en 4 grupos y qué cambió respecto a 2013 · Análisis de riesgos, declaración de aplicabilidad (SoA) y tratamiento del riesgo · Qué significa certificarse, qué mira el auditor y cómo encaja con ENS, NIS2 y SOC 2
1. Qué es un SGSI
SGSI son las siglas de Sistema de Gestión de la Seguridad de la Información (ISMS en inglés). No es un software ni un producto: es el conjunto de políticas, procesos, roles y registros con los que una organización gestiona la seguridad de su información de forma sistemática, en lugar de a base de heroicidades y apagafuegos.
ISO/IEC 27001 es la norma certificable que define los requisitos de ese sistema de gestión. Su compañera ISO/IEC 27002 es una guía de implementación de los controles: no se certifica, se usa como manual. La versión vigente de 27001 es la de 2022.
La idea de fondo es el ciclo PDCA (Plan-Do-Check-Act), común a todas las normas de sistemas de gestión de ISO:
| Fase | En un SGSI se traduce en |
|---|---|
| Plan (Planificar) | Entender el contexto y las partes interesadas, definir el alcance, hacer el análisis de riesgos y elegir los controles |
| Do (Hacer) | Implantar los controles y los procesos, formar a la gente, operar el sistema |
| Check (Verificar) | Medir, auditar internamente, revisar por la dirección, seguir indicadores e incidentes |
| Act (Actuar) | Corregir no conformidades, tratar las causas raíz, mejorar controles y procesos |
2. Las cláusulas 4 a 10, una a una
El cuerpo obligatorio de ISO 27001 son las cláusulas 4 a 10. Todo lo que aparece aquí con «debe» es exigible en auditoría. Resumidas:
Cláusula 4 — Contexto de la organización
Identificar las cuestiones internas y externas relevantes, las partes interesadas (clientes, reguladores, empleados, proveedores) y sus requisitos, y definir el alcance del SGSI: qué sedes, servicios, sistemas y equipos entran. Un alcance mal definido —demasiado amplio o con recortes artificiales— es el primer sitio donde falla un proyecto.
Cláusula 5 — Liderazgo
La dirección debe establecer la política de seguridad, asignar roles y responsabilidades, y demostrar compromiso real (recursos, prioridad). Es la cláusula que impide que el SGSI sea un proyecto huérfano del equipo de sistemas sin respaldo arriba.
Cláusula 6 — Planificación
El corazón técnico. Incluye el proceso de apreciación de riesgos (identificar, analizar y evaluar), el plan de tratamiento (mitigar, transferir, evitar o aceptar cada riesgo), la declaración de aplicabilidad y los objetivos de seguridad medibles. La versión 2022 añade explícitamente la planificación de cambios.
Cláusula 7 — Soporte
Recursos, competencia y concienciación del personal, comunicación, y información documentada (el término moderno para «documentos y registros»): qué hay que tener por escrito y cómo se controla su versión y acceso.
Cláusula 8 — Operación
Ejecutar lo planificado: operar los procesos, repetir la apreciación de riesgos a intervalos planificados o cuando haya cambios significativos, e implantar el plan de tratamiento.
Cláusula 9 — Evaluación del desempeño
Seguimiento y medición (indicadores), auditoría interna y revisión por la dirección a intervalos planificados. El auditor externo revisa que estas dos cosas se hayan hecho de verdad y con evidencias.
Cláusula 10 — Mejora
Gestión de no conformidades y acciones correctivas, y mejora continua. En 2022 el orden cambió: primero «mejora continua», luego «no conformidad y acción correctiva».
Lo que más se suspende en auditoría no es técnico
Alcance ambiguo o incoherente con lo que la organización dice hacer · Análisis de riesgos que nadie ha vuelto a mirar desde que se creó · Auditoría interna inexistente, hecha por quien no es independiente, o sin hallazgos (poco creíble) · Revisión por la dirección sin acta o sin decisiones · Acciones correctivas que cierran el síntoma sin tocar la causa raíz
3. El Anexo A y la revisión de 2022
El Anexo A de ISO 27001 es la lista de controles de referencia. En la versión de 2013 eran 114 controles en 14 dominios. La revisión de 2022 (alineada con ISO 27002:2022) los reorganizó en 93 controles agrupados en 4 temas:
| Grupo (2022) | Nº de controles | De qué va |
|---|---|---|
| 5. Organizativos | 37 | Políticas, roles, gestión de proveedores, clasificación de la información, gestión de incidentes, continuidad, cumplimiento legal |
| 6. Personas | 8 | Selección, condiciones de empleo, concienciación, teletrabajo, proceso disciplinario, salida de empleados |
| 7. Físicos | 14 | Perímetro, controles de entrada, seguridad de oficinas y equipos, escritorio despejado, soportes, mantenimiento |
| 8. Tecnológicos | 34 | Gestión de accesos, criptografía, seguridad de operaciones, protección frente a malware, gestión de vulnerabilidades, seguridad de red, desarrollo seguro, registro y supervisión |
La revisión introdujo 11 controles nuevos, casi todos de interés directo para perfiles técnicos:
- Inteligencia de amenazas (5.7)
- Seguridad de la información para el uso de servicios en la nube (5.23)
- Preparación de las TIC para la continuidad de negocio (5.30)
- Supervisión de la seguridad física (7.4)
- Gestión de la configuración (8.9)
- Borrado de información (8.10)
- Enmascaramiento de datos (8.11)
- Prevención de fuga de datos / DLP (8.12)
- Supervisión de actividades — logging y monitorización proactiva (8.16)
- Filtrado web (8.23)
- Codificación segura (8.28)
ISO 27002:2022 además etiqueta cada control con atributos (tipo de control, propiedades CID, concepto de ciberseguridad tipo NIST, capacidad operativa, dominio de seguridad) que permiten filtrar y mapear la lista a otros marcos.
4. Análisis de riesgos y declaración de aplicabilidad
El Anexo A no es una lista de la compra. No se implantan los 93 controles «porque sí». El flujo correcto es:
- Identificar los riesgos sobre la confidencialidad, integridad y disponibilidad de la información dentro del alcance. Puede ser por activos, por escenarios o por procesos
- Analizarlos y evaluarlos: probabilidad × impacto, con una escala y unos criterios de aceptación definidos de antemano
- Decidir el tratamiento de cada riesgo: reducir (aplicar controles), transferir (seguro, tercero), evitar (dejar de hacer la actividad) o aceptar (con aprobación formal del responsable del riesgo)
- Seleccionar los controles necesarios para el tratamiento. Aquí se usa el Anexo A como chequeo: ¿me he dejado algo? Se pueden añadir controles propios que no estén en la lista
- Redactar la declaración de aplicabilidad (SoA): para cada uno de los 93 controles, si aplica o no, la justificación, y si está implantado
La SoA es el documento que conecta el análisis de riesgos con la realidad y es el mapa que el auditor usa para recorrer la implantación. Excluir un control es legítimo si está justificado (por ejemplo, «no desarrollamos software, no aplica el ciclo de desarrollo seguro»); excluirlo sin motivo es un hallazgo.
5. Certificarse: qué mira el auditor
La certificación la emite una entidad acreditada, no ISO. El ciclo habitual dura tres años:
- Auditoría de fase 1: revisión documental y de madurez. ¿Existe el SGSI sobre el papel? ¿Está el alcance, la política, el análisis de riesgos, la SoA?
- Auditoría de fase 2: auditoría in situ de la implantación. Entrevistas, evidencias, muestreo de controles. De aquí sale la recomendación de certificación
- Auditorías de seguimiento anuales (años 1 y 2): revisión parcial
- Auditoría de recertificación en el año 3: revisión completa de nuevo
El auditor busca evidencia, no intención. Para un control técnico como «gestión de vulnerabilidades» no le vale la política: pedirá ver informes de escaneo con fecha, el registro de priorización, tickets de parcheo, y el indicador de tiempo de remediación. Para «registro y supervisión» querrá ver qué se registra, dónde se centraliza, cuánto se retiene y quién revisa las alertas.
Cómo lo vive un perfil técnico sin que sea una tortura
Convierte cada control tecnológico en una comprobación automatizable y en un panel, no en un Word · Reutiliza lo que ya haces: los logs del SIEM, el inventario de activos, el escáner de vulnerabilidades y la gestión de parches ya son evidencia de 27001 · Documenta las excepciones con fecha de revisión, en lugar de fingir un 100% de cumplimiento · Trata el análisis de riesgos como un documento vivo que se toca en cada cambio grande de arquitectura
6. Relación con ENS, NIS2 y SOC 2
| Marco | Qué es | Relación con ISO 27001 |
|---|---|---|
| ENS (RD 311/2022) | Marco español obligatorio para el sector público y sus proveedores, con medidas por niveles (bajo/medio/alto) y certificación propia | Muy solapado en controles; hay guías de correspondencia. Tener uno adelanta mucho el otro |
| NIS2 | Directiva europea que obliga a sectores esenciales e importantes a gestionar riesgos y notificar incidentes | ISO 27001 no es obligatoria, pero un SGSI certificado es la forma habitual de demostrar las medidas del artículo 21 |
| SOC 2 | Informe de auditoría estadounidense (AICPA) sobre los Trust Services Criteria; muy pedido por clientes SaaS de EE. UU. | Conceptualmente parecido (controles + evidencia). Se pueden auditar juntos; SOC 2 entrega un informe, 27001 un certificado |
Conclusión
ISO 27001 no te dice qué firewall comprar ni cómo configurar el SIEM. Te obliga a decidir, con método y por escrito, qué proteges, de qué, hasta qué punto y quién asume lo que queda sin cubrir. Esa disciplina de decisión es lo que la hace útil más allá del sello.
Para un equipo técnico, la forma de que no sea burocracia es anclar cada control tecnológico a algo que ya se mide y se automatiza, y mantener el análisis de riesgos y la SoA como documentos vivos. Hecho así, la auditoría deja de ser un examen sorpresa y pasa a ser una foto de algo que ya funciona.
Referencias
ISO/IEC 27001:2022 — Requisitos del sistema de gestión de la seguridad de la información · ISO/IEC 27002:2022 — Guía de implementación de los controles · ISO/IEC 27005 — Gestión de riesgos de seguridad de la información · ENISA e INCIBE — guías de implantación de SGSI para pymes · CCN-STIC 825 — correspondencia entre el ENS e ISO 27001 · Nuestros artículos sobre NIS2, gestión de vulnerabilidades y Zero Trust
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)