ISO 27001 (Sistema de Gestión de Seguridad de la Información)

Qué es ISO 27001

La norma ISO/IEC 27001 es publicada conjuntamente por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). La versión vigente es la ISO/IEC 27001:2022, que introdujo una reestructuración del Anexo A con 93 controles agrupados en cuatro dominios.

La norma específica los requisitos para establecer, implementar, mantener y mejorar de forma continua un Sistema de Gestión de Seguridad de la Información (SGSI), incorporando la gestión de riesgos como eje central del proceso. No es una lista de verificación técnica, sino un marco de gestión que exige un ciclo continuo de mejora (ciclo PDCA: Plan-Do-Check-Act).

La certificación es otorgada por organismos de certificación acreditados (como AENOR, Bureau Veritas o Lloyd’s Register) tras una auditoría de tercera parte independiente.

Estructura del SGSI

Un SGSI conforme a ISO 27001 abarca:

• Contexto de la organización: identificación de partes interesadas, alcance del SGSI, factores internos y externos que afectan a la seguridad
• Liderazgo: compromiso de la alta dirección, política de seguridad, roles y responsabilidades
• Planificación: metodología de evaluación y tratamiento de riesgos, declaración de aplicabilidad (Statement of Applicability)
• Soporte: recursos, competencias, concienciación, comunicación y documentación
• Operación: aplicación del proceso de gestión de riesgos y de los controles seleccionados
• Evaluación del desempeño: monitorización, auditorías internas, revisión por la dirección
• Mejora continua: tratamiento de no conformidades y acciones correctivas

El Anexo A: controles de seguridad

La norma ISO/IEC 27001:2022 incluye en su Anexo A un catálogo de 93 controles organizados en cuatro dominios:

• Controles organizacionales (37 controles): políticas, gestión de activos, relaciones con proveedores, continuidad del negocio…
• Controles de personas (8 controles): selección de personal, formación, responsabilidades tras el cese…
• Controles físicos (14 controles): seguridad de instalaciones, perímetros, protección del hardware…
• Controles tecnológicos (34 controles): control de acceso, criptografía, gestión de vulnerabilidades, registro de actividad, seguridad de redes…

Entre las novedades de la versión 2022 destacan controles específicos para inteligencia de amenazas, seguridad en la nube y eliminación segura de información.

Proceso de certificación

El proceso típico de certificación consta de las siguientes etapas:

1. Diagnóstico inicial (gap analysis): comparación del estado actual con los requisitos de la norma
2. Implementación: diseño del SGSI, elaboración de documentación, implantación de controles
3. Auditoría interna: verificación del funcionamiento del sistema antes de la auditoría externa
4. Revisión por la dirección: validación al más alto nivel
5. Auditoría de certificación (Fase 1 + Fase 2): el organismo certificador revisa la documentación y luego verifica la implantación real
6. Certificación: válida por 3 años, con auditorías de seguimiento anuales y recertificación al tercer año

Relación con otras normas y regulaciones

ISO 27001 es una norma ampliamente reconocida como base para cumplir con regulaciones específicas:

• NIS2: la directiva europea de ciberseguridad reconoce explícitamente las normas ISO como referencia para las medidas de gestión de riesgos
• RGPD/LOPD: el artículo 32 del RGPD exige medidas de seguridad técnicas y organizativas apropiadas; ISO 27001 proporciona el marco estructurado para demostrar ese cumplimiento
• DORA: las entidades financieras pueden apalancar su SGSI ISO 27001 para cubrir parte de los requisitos de gestión del riesgo TIC

Beneficios para la empresa

Más allá del cumplimiento normativo, la certificación ISO 27001 aporta ventajas competitivas concretas: acredita la madurez en ciberseguridad ante clientes y licitaciones públicas, reduce la prima de seguros de ciberriesgos, estructura la respuesta ante incidentes y genera confianza en el mercado. Para empresas que manejan datos de clientes o gestionan información confidencial, es el estándar de facto que demuestra diligencia debida (due care) frente a reclamaciones o investigaciones regulatorias.