Transición a ISO 27001:2022: el 55 % de las organizaciones subestima el esfuerzo de los nuevos controles

El análisis de 80 proyectos de transición de la versión 2013 a la 2022 de ISO/IEC 27001 en Argentina, Colombia, México y Perú mostró que el 55 % de las organizaciones enfrentó desviaciones de cronograma superiores al 30 % debido a la subestimación de la complejidad de los 11 nuevos controles. Los controles que generaron mayores dificultades de puesta en marcha fueron: Inteligencia de Amenazas (A.5.7) — el 62 % carecía de fuentes formales y proceso de análisis; Seguridad en la Nube (A.5.23) — el 48 % no tenía criterios de seguridad definidos para la selección y gestión de servicios cloud; y Gestión de Configuración (A.8.9) — el 53 % no contaba con líneas base de configuración documentadas ni herramientas de monitoreo de cambios. El estudio identificó que las organizaciones que abordaron la transición como un mero 'mapeo documental' (actualizar la Declaración de Aplicabilidad sin cambios operativos) tuvieron una tasa de hallazgos en auditoría externa 3 veces mayor que aquellas que realizaron un análisis de brechas operativo. Se desarrolló una guía de cumplimiento paso a paso para los 11 nuevos controles que reduce el tiempo de despliegue en un 25 % promedio.