ISO 27001: guía de la norma de seguridad de la información
Qué es la ISO/IEC 27001, cómo está estructurada la versión 2022, qué controles incluye su Anexo A y cómo aprovechar el trabajo hecho para el Esquema Nacional de Seguridad.
¿Qué es la ISO 27001?
La ISO/IEC 27001 es la norma internacional que define los requisitos de un sistema de gestión de la seguridad de la información (SGSI). Su objetivo es proteger la confidencialidad, la integridad y la disponibilidad de la información mediante un proceso sistemático de gestión de riesgos y mejora continua.
La versión vigente es la ISO/IEC 27001:2022. El periodo de transición desde la versión de 2013 ya ha terminado, de modo que todos los certificados deben estar emitidos según la edición de 2022. Como la ISO 9001, en 2024 incorporó una enmienda para considerar el cambio climático en el contexto de la organización.
Es voluntaria y aplicable a cualquier organización, pero se ha convertido en un requisito habitual para proveedores de servicios tecnológicos, empresas que tratan datos sensibles y cadenas de suministro exigentes.
Estructura: requisitos y Anexo A
Los capítulos 4 a 10 siguen la misma estructura que la ISO 9001; el Anexo A recoge 93 controles agrupados en cuatro temas.
Capítulos 4 a 10
Contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora del SGSI.
Gestión de riesgos
Identificar, analizar y tratar los riesgos de seguridad es el núcleo de la norma (apartados 6.1 y 8).
Declaración de Aplicabilidad
Documento que justifica qué controles del Anexo A se aplican, cuáles no y por qué.
37 controles organizativos
Políticas, roles, gestión de activos, proveedores, incidentes, continuidad y cumplimiento.
8 controles de personas
Selección, concienciación y formación, procesos disciplinarios y teletrabajo.
14 físicos y 34 tecnológicos
Seguridad de instalaciones y equipos, control de accesos, cifrado, copias de seguridad y monitorización.
ISO 27001 y ENS: cómo aprovechar el esfuerzo
La ISO 27001 y el Esquema Nacional de Seguridad comparten la misma lógica: análisis de riesgos, selección de medidas, documentación, auditoría y mejora continua. Muchas medidas del ENS tienen un control equivalente en el Anexo A, y el CCN publica guías que relacionan ambos marcos.
- Si trabajas con la Administración pública española, el ENS es obligatorio; la ISO 27001 te aporta además reconocimiento internacional.
- Si ya tienes la ISO 27001, gran parte de la documentación, el análisis de riesgos y los controles te servirán para adecuarte al ENS.
- Si tienes un sistema ISO 9001, ya conoces la estructura: política, objetivos, auditorías internas y revisión por la dirección funcionan igual.
Cómo implantar un SGSI
- Definir el alcance y el contexto.
- Aprobar la política de seguridad y los roles.
- Inventariar activos y analizar riesgos.
- Seleccionar controles y redactar la Declaración de Aplicabilidad.
- Implantar, formar y registrar evidencias.
- Auditoría interna, revisión por la dirección y auditoría de certificación.
Gestiona tu SGSI con las mismas herramientas
Los módulos de Qualiteasy para documentación, riesgos y oportunidades, auditorías, indicadores, formación y revisión por la dirección sirven también para un sistema de seguridad de la información o un sistema integrado con la ISO 9001. Y lo hacemos desde una plataforma certificada en el ENS en categoría MEDIA.
Cómo cubrirlo con GuardianHubX
Algunos controles del Anexo A se resuelven mejor con herramientas específicas. GuardianHubX, nuestra área de ciberseguridad, cubre los más habituales.
A.5.7 y A.8.16 Amenazas y monitorización
GuardianRadar aporta inteligencia de amenazas y alertas sobre filtraciones que afectan a tu organización.
A.8.13 Copias de seguridad
Backup en la nube de Microsoft 365, Google Workspace y servidores, con pruebas de recuperación.
A.6.3 Concienciación y formación
Simulaciones de phishing y formación continua para todo el personal.
A.5.17 Información de autenticación
Passwork gestiona y cifra las contraseñas compartidas con control de acceso por usuario.
A.8.1 Dispositivos de usuario
Faronics Deep Freeze mantiene los equipos en un estado conocido y seguro.
A.6.7 Trabajo en remoto
SmartLayer protege dispositivos y accesos remotos desde una consola centralizada.
Preguntas frecuentes sobre la ISO 27001
Respuestas rápidas a las dudas más comunes.
¿Cuánto dura el certificado ISO 27001?
Tres años, con auditorías de seguimiento anuales por parte de la entidad certificadora y una auditoría de renovación al final del ciclo.
¿Es obligatorio aplicar los 93 controles?
No. Se aplican los controles necesarios para tratar los riesgos identificados; los que se excluyen deben justificarse en la Declaración de Aplicabilidad.
¿Se puede integrar con la ISO 9001?
Sí. Comparten la estructura de capítulos, así que la política, los objetivos, las auditorías internas y la revisión por la dirección pueden gestionarse en un único sistema integrado. Consulta nuestra guía de la ISO 9001.
¿La ISO 27001 sustituye al ENS?
No. Para el sector público español y sus proveedores, el ENS es obligatorio. Tener la ISO 27001 facilita mucho la adecuación, pero no exime de la conformidad con el ENS.
¿Qué diferencia hay con la ISO 27002?
La ISO 27001 contiene los requisitos certificables del SGSI; la ISO/IEC 27002 es una guía que desarrolla cómo aplicar cada uno de los controles del Anexo A.
Sigue aprendiendo
Más guías sobre normas y seguridad.
Guía del ENS
Qué exige el Esquema Nacional de Seguridad y cómo certificarse.
Guía de la ISO 9001
Requisitos, implantación y certificación del sistema de gestión de la calidad.
Software de gestión ISO
Una sola plataforma para todos tus sistemas de gestión.