ISO 27001 es la norma internacional que define cómo montar un sistema de gestión de seguridad de la información (SGSI) y certificarlo ante un auditor. La publican ISO e IEC, y la versión vigente es la de 2022. Sirve para una cosa muy concreta: demostrar, con papeles y evidencias, que tu empresa protege los datos que maneja. No es un antivirus ni un cortafuegos. Es un marco de gestión. La norma ISO 27001 te obliga a identificar riesgos, decidir qué haces con cada uno y revisarlo periódicamente. Nada de intuición ni de "esto ya lo tenemos controlado, confía". Aquí hablamos de por qué existe, qué implica la certificación ISO 27001 y cómo se implementa sin morir en el intento ni en el papeleo.
Qué es exactamente un SGSI y por qué ISO 27001 lo estructura
Un SGSI es el conjunto de políticas, procesos y controles que gestionan la seguridad de la información de una organización. La norma no te dice "instala este software". Te dice "gestiona el riesgo de forma sistemática y demuéstralo".
La lógica es de mejora continua, el clásico ciclo PDCA (Planificar, Hacer, Verificar, Actuar). Defines objetivos, aplicas controles, mides si funcionan y corriges. Y vuelta a empezar. Un SGSI no se "termina", se mantiene vivo.
El corazón del sistema de gestión de seguridad de la información es el análisis de riesgos. Identificas tus activos (datos de clientes, servidores, código, la hoja de cálculo con las contraseñas que alguien todavía guarda, mal), evalúas amenazas y decides tratamiento: mitigar, aceptar, transferir o eliminar el riesgo.
Estructura de la norma
La norma ISO 27001 tiene dos partes que conviene no confundir:
- Cláusulas 4 a 10: los requisitos obligatorios del SGSI (contexto, liderazgo, planificación, soporte, operación, evaluación, mejora). Esto es lo que audita el certificador.
- Anexo A: un catálogo de controles de seguridad. En la versión 2022 son 93 controles agrupados en cuatro dominios (organizativos, de personas, físicos y tecnológicos). La versión anterior de 2013 tenía 114 en 14 dominios.
Los detalles de implementación de cada control viven en la norma hermana, la ISO 27002. Una es el "qué" certificable, la otra es la guía del "cómo".
Los pasos para implementar ISO 27001 en tu empresa
Implementar la norma sigue una secuencia bastante estable. El orden importa: saltarte el análisis de riesgos para ir directo a comprar herramientas es el error más caro y más común.
- Contexto y alcance: define qué parte de la organización entra en el SGSI. Puede ser toda la empresa o solo un departamento o servicio.
- Compromiso de dirección: sin apoyo de gerencia, esto no avanza. La norma lo exige explícitamente en la cláusula 5.
- Análisis y evaluación de riesgos: identifica activos, amenazas y vulnerabilidades. Una gestión de vulnerabilidades bien priorizada alimenta directamente esta fase.
- Plan de tratamiento de riesgos: decide qué controles del Anexo A aplicas y justifica los que descartas.
- Declaración de Aplicabilidad (SoA): el documento estrella. Lista los 93 controles y explica cuáles usas y por qué.
- Documentación y políticas: política de seguridad, gestión de accesos, respuesta a incidentes, continuidad de negocio.
- Implantación de controles: aquí sí entran las herramientas. Cifrado, control de accesos, copias de seguridad, protección perimetral.
- Formación y concienciación: el eslabón humano. Más del noventa por ciento de las brechas empiezan por un error humano, según informes recurrentes del sector. Formar al equipo no es opcional.
- Auditoría interna: revisas tú mismo antes de que venga el examinador de verdad.
- Auditoría de certificación: la realiza una entidad acreditada, en dos fases (revisión documental y auditoría in situ).
Entre control organizativo y control técnico, no descuides lo básico de infraestructura. Herramientas como Fail2ban para blindar tu servidor son evidencia tangible de que aplicas controles reales, no solo PDFs bonitos. Un auditor valora ver un log de intentos de fuerza bruta bloqueados más que una política de veinte páginas que nadie ha leído.
Cuánto cuesta y cuánto tarda la certificación ISO 27001
Aquí no hay cifra única, y desconfía de quien te la dé sin conocer tu empresa. El coste depende del tamaño, el alcance y de si tiras de consultora externa o lo haces con recursos internos.
Para una pyme, el proceso completo suele durar entre seis y doce meses, según estimaciones habituales del sector de la consultoría. Los costes se reparten en tres bloques: consultoría (si la contratas), implantación de controles técnicos y la auditoría de certificación en sí, que factura la entidad acreditada.
La certificación ISO 27001 no es para siempre. Tiene una validez de tres años con auditorías de seguimiento anuales. Es decir, el auditor vuelve. Cada año. Así que montar un SGSI de cartón piedra solo para pasar la primera vez es una pésima idea a medio plazo.
| Fase | Qué implica | Frecuencia |
|---|---|---|
| Certificación inicial | Auditoría en dos etapas | Una vez |
| Seguimiento | Revisión parcial del SGSI | Anual (años 1 y 2) |
| Recertificación | Auditoría completa | Cada 3 años |
Errores típicos que tiran meses de trabajo a la basura
La mayoría de proyectos ISO 27001 que fracasan comparten los mismos fallos. Van al grano:
- Documentar por documentar: generar cientos de páginas que nadie aplica. El auditor busca evidencias de que el sistema funciona, no una biblioteca.
- Copiar plantillas ajenas: una política de seguridad de otra empresa no refleja tus riesgos reales. Se nota a la legua.
- Ignorar el factor humano: puedes tener el mejor SGSI del mundo, que si un empleado pincha en un enlace de una tienda falsa desde el portátil corporativo, la brecha entra igual.
- Tratar la seguridad física como secundaria: el Anexo A dedica un dominio entero a ello. Un cajón sin llave con documentación sensible también es un hallazgo de auditoría.
Si estás digitalizando procesos o montando infraestructura nueva, tenerlo en cuenta desde el diseño ahorra rehacer. Un equipo que sabe de integrar seguridad en proyectos tecnológicos te evita parchear a posteriori, que siempre sale más caro.
ISO 27001 y su relación con el RGPD
No son lo mismo, aunque se toquen. El RGPD (Reglamento General de Protección de Datos, vigente en la UE desde 2018) es una ley de obligado cumplimiento. La ISO 27001 es una norma voluntaria de gestión.
La gracia es que implementar un SGSI te ayuda a cumplir el RGPD casi de rebote. El artículo 32 del reglamento exige "medidas técnicas y organizativas apropiadas". Un sistema de gestión de seguridad de la información certificado es una forma excelente de demostrar ante la AEPD que te tomas en serio la protección de datos personales. No te exime, pero suma mucho.
Preguntas frecuentes
¿Es obligatoria la ISO 27001?
No, es una norma voluntaria. Ninguna ley te obliga a certificarte. Ahora bien, muchos clientes grandes y administraciones públicas la exigen en sus licitaciones y contratos, así que en la práctica puede ser una barrera de entrada a ciertos mercados.
¿Cuánto tarda una empresa pequeña en certificarse?
Habitualmente entre seis y doce meses, según el punto de partida y los recursos que dediques. Si ya tienes controles básicos implantados y buena documentación de procesos, el plazo se acorta bastante. Empezar de cero lo alarga.
¿Qué diferencia hay entre ISO 27001 e ISO 27002?
La ISO 27001 contiene los requisitos certificables del SGSI y el catálogo de controles del Anexo A. La ISO 27002 es la guía detallada de cómo implementar cada uno de esos controles. Te certificas en la 27001; la 27002 la usas como manual de instrucciones.
¿Cuántos controles tiene la versión de 2022?
El Anexo A de la versión 2022 incluye 93 controles organizados en cuatro categorías: organizativos, de personas, físicos y tecnológicos. La revisión de 2013 tenía 114 controles repartidos en 14 dominios, así que la nueva versión simplifica la estructura.
¿Se puede perder la certificación?
Sí. Las auditorías de seguimiento son anuales y si aparecen no conformidades graves que no corriges, la entidad certificadora puede suspender o retirar el certificado. Mantener el SGSI activo no es opcional, forma parte del compromiso.
El siguiente paso
Coge una hoja y haz un inventario de tus activos de información: dónde guardas los datos de clientes, quién tiene acceso y qué pasaría si mañana desaparecieran. Ese inventario es la primera piedra de cualquier SGSI y lo puedes empezar hoy mismo, sin gastar un euro. A partir de ahí, la norma es solo estructura. Y si quieres afinar la protección de tu correo mientras montas todo esto, pásate por el resto del blog de MataSpam: el phishing sigue siendo la puerta de entrada favorita de los malos, ISO o no ISO.
