La ISO/IEC 27001 sirve para gestionar la seguridad de la información de forma sistemática: identificar qué información importa, evaluar sus riesgos, elegir controles proporcionados y verificar que funcionan. El certificado muestra que un tercero lo comprobó; el valor está en las decisiones que el sistema obliga a tomar.
- 01PlanificarContexto, riesgos, objetivos y responsables.
- 02HacerOperar los procesos con criterios conocidos.
- 03VerificarMedir, auditar y revisar con la dirección.
- 04ActuarCorregir causas y mejorar el sistema.
Qué ordena la norma
La ISO/IEC 27001 es la norma internacional de sistemas de gestión de seguridad de la información (SGSI). Pide entender el contexto, definir un alcance, evaluar y tratar los riesgos sobre la confidencialidad, la integridad y la disponibilidad de la información.
Su Anexo A, en la edición 2022, reúne 93 controles en cuatro temas: organizacionales, de personas, físicos y tecnológicos. La organización justifica cuáles aplica en la Declaración de Aplicabilidad.
Para qué sirve en la práctica
- Riesgo a la vista: la dirección sabe qué activos son críticos y qué amenaza a cada uno.
- Controles proporcionados: se invierte donde el riesgo lo justifica, no por moda.
- Requisito comercial: clientes, licitaciones y cadenas de suministro piden demostrar seguridad.
- Respuesta ordenada: los incidentes se registran, se analizan y dejan aprendizaje.
- Proveedores bajo control: la norma alcanza también a terceros que tratan información.
Lo que la ISO 27001 no resuelve
La norma no hace invulnerable a nadie ni reemplaza el conocimiento técnico de ciberseguridad. Un SGSI certificado puede sufrir un incidente; lo que cambia es cómo se detecta, se responde y se aprende.
Tampoco funciona si el alcance se recorta para dejar afuera lo difícil. Un alcance que excluye el proceso crítico produce un certificado que no responde la pregunta del cliente.
Cómo saber si el sistema funciona
Hay evaluaciones de riesgo actualizadas, una Declaración de Aplicabilidad coherente con ellas, registros de controles operando, incidentes tratados y una dirección que revisa indicadores y decide.
Preguntas frecuentes
¿Es obligatorio certificar ISO 27001?
No. Es voluntaria. Suele exigirla un cliente, una licitación o un marco regulatorio que pide demostrar gestión de la seguridad.
¿La ISO 27001 sirve para organizaciones chicas?
Sí. Los requisitos se aplican según el tamaño, el contexto y los riesgos de cada organización; cambia el nivel de formalidad, no el principio.
¿Quién otorga el certificado ISO 27001?
Un organismo de certificación independiente, después de una auditoría de tercera parte. Quien asesora o implementa el sistema no debería certificarlo.
Para seguir leyendo
- ISO 27001 · Glosario
- Lo que no es una certificación
- Ciberseguridad y continuidad de negocio en Latinoamérica
- Revisión independiente ISO 27001
La misma pregunta, en otras normas