Alcance que representa la operación
Definí qué servicios, personas, ubicaciones y tecnologías entran en el sistema. Revisá las dependencias con proveedores y áreas externas al alcance para entender dónde puede interrumpirse la protección.
ISO/IEC 27001 · Seguridad de la información
La seguridad se demuestra cuando el riesgo cambia.
ISO/IEC 27001 establece requisitos para un sistema de gestión de seguridad de la información basado en riesgos. El valor aparece cuando podés demostrar cómo protegés la confidencialidad, la integridad y la disponibilidad de la información que sostiene tu actividad.
Conversar sobre ISO/IEC 27001
Qué mirar en el sistema
De la intención a la evidencia.
Riesgos y decisiones explícitas
Relacioná amenazas y consecuencias con criterios de evaluación. Documentá qué riesgos tratás, cuáles aceptás, quién decide y qué cambios obligan a revisar esa decisión.
Controles que funcionan
Contrastá las políticas con accesos, registros, restauraciones, capacitación e incidentes. Un control necesita evidencia de operación y seguimiento para sostener la decisión que justificó implementarlo.
ISO/IEC 27001
La seguridad alcanza a toda la organización
La información vive en aplicaciones, contratos, conversaciones y personas. Por eso, un sistema de gestión de seguridad de la información exige mirar más allá del equipo de tecnología. Compras interviene en los proveedores; recursos humanos, en altas y bajas; la dirección, en prioridades y recursos. La auditoría debe conectar esas responsabilidades con el alcance definido. Si el servicio depende de terceros, sus compromisos y su seguimiento también importan. Una herramienta de seguridad puede aportar protección, pero el sistema necesita explicar quién la administra, qué riesgo trata y cómo se comprueba su eficacia.
La declaración de aplicabilidad debe explicar decisiones
La selección de controles debe responder al tratamiento de los riesgos y a los requisitos aplicables. La declaración de aplicabilidad permite documentar esa relación y las decisiones sobre los controles. El análisis pierde fuerza cuando se convierte en una lista copiada sin conexión con la operación. Para auditarla, conviene seguir un riesgo concreto hasta su tratamiento: decisión, responsable, control, evidencia y evaluación. Ese recorrido revela si el documento representa el sistema actual o una fotografía que quedó desactualizada mientras cambiaron los servicios, las personas y las amenazas.
ISO/IEC 27001
Preparación para certificar la seguridad
Si buscás una certificación inicial, empezá por precisar el alcance y el estado real del sistema. Si ya tenés un certificado, reuní la edición, el organismo emisor, su vigencia y los antecedentes de auditoría. Esa información permite evaluar la solicitud de mantenimiento o transferencia según las condiciones correspondientes. Para cualquier propuesta, la edición aplicable y los requisitos de transición deben confirmarse en fuentes oficiales vigentes. La certificación se refiere al sistema y a su alcance: no garantiza ausencia de incidentes. Lo que debe sostener es una gestión capaz de evaluar, responder y mejorar.
Evidencia que conviene reunir
- Alcance del sistema vinculado con servicios, ubicaciones y dependencias reales.
- Evaluación y tratamiento de riesgos, con criterios y responsables identificados.
- Declaración de aplicabilidad coherente con los riesgos y controles seleccionados.
- Registros de accesos, incidentes, revisiones y pruebas pertinentes de recuperación.
- Auditorías internas, revisión de la dirección y acciones correctivas con seguimiento.
Una primera revisión
¿Por dónde empezar?
Marcá lo que ya podés respaldar con registros. Vas a obtener una lista de próximos focos.
Preguntas que importan
¿Qué es ISO/IEC 27001?
Es una norma de requisitos para un sistema de gestión de seguridad de la información. Su enfoque permite identificar riesgos, decidir tratamientos y evaluar la mejora dentro de un alcance definido.
¿Es una certificación exclusiva para empresas de tecnología?
No. La información es un activo para organizaciones de distintos sectores. La pertinencia depende de sus riesgos, obligaciones, servicios y necesidades de protección.
¿Se deben implementar todos los controles del Anexo A?
La selección y las exclusiones deben justificarse según riesgos y requisitos aplicables. La declaración de aplicabilidad documenta esas decisiones y el estado de los controles necesarios.
¿Puedo consultar por una transferencia de certificado?
Sí. Indicá organismo emisor, alcance, edición y vigencia. La viabilidad depende de la revisión del certificado y los antecedentes, antes de confirmar condiciones.
Fuentes para verificar
ISO/IEC 27001 · Información oficial de ISO ISO/IEC 27001:2022 · Catálogo oficial de ISOFuentes consultadas el 12 de octubre de 2026.
Una conversación, un próximo paso
Conversemos sobre lo que importa.
ConversemosPrensa y otros temas: contact@fernandoarrieta.org