Los requisitos de la ISO/IEC 27001 están en las cláusulas 4 a 10 y se completan con los controles del Anexo A. En una auditoría se revisa evidencia: el alcance, la metodología y los resultados de la evaluación de riesgos, la Declaración de Aplicabilidad, el plan de tratamiento, los registros de controles operando, la auditoría interna y la revisión por la dirección.
- 01Contexto y alcance (4)partes interesadas, límites e interfaces del SGSI.
- 02Liderazgo (5)política de seguridad, roles asignados y compromiso visible de la dirección.
- 03Planificación (6)metodología de riesgos, evaluación, tratamiento y objetivos medibles.
- 04Apoyo (7)competencias, concientización, comunicación e información documentada.
- 05Operación (8)ejecución del plan de tratamiento y reevaluación periódica de riesgos.
- 06Evaluación (9) y mejora (10)mediciones, auditoría interna, revisión por la dirección y acciones correctivas.
Cómo leer los requisitos
Cada requisito se traduce en una pregunta: ¿qué registro muestra que esto ocurre? El auditor no busca que exista una política, sino que la política se aplique y se pueda comprobar.
Requisito por requisito
- Contexto y alcance (4): partes interesadas, límites e interfaces del SGSI.
- Liderazgo (5): política de seguridad, roles asignados y compromiso visible de la dirección.
- Planificación (6): metodología de riesgos, evaluación, tratamiento y objetivos medibles.
- Apoyo (7): competencias, concientización, comunicación e información documentada.
- Operación (8): ejecución del plan de tratamiento y reevaluación periódica de riesgos.
- Evaluación (9) y mejora (10): mediciones, auditoría interna, revisión por la dirección y acciones correctivas.
La evidencia que más se pide
- Inventario de activos de información con responsables.
- Evaluación de riesgos y plan de tratamiento aprobados.
- Declaración de Aplicabilidad con justificación de inclusiones y exclusiones.
- Registros de accesos, copias de seguridad, cambios e incidentes.
- Evaluación de proveedores que tratan información.
- Informe de auditoría interna y acta de revisión por la dirección.
Dónde suele estar la brecha
La brecha más común está entre la Declaración de Aplicabilidad y la operación: controles marcados como aplicados que no dejan registro, o riesgos evaluados una vez y nunca revisados.
Preguntas frecuentes
¿Cuántos documentos exige la ISO 27001?
La norma pide información documentada concreta, pero no fija una cantidad. Lo que se audita es si los registros muestran que el sistema opera.
¿Sirve una plantilla comprada?
Puede ordenar el trabajo, pero un auditor busca evidencia de la operación real. Un sistema copiado que no describe cómo trabaja la organización suele caer en la etapa 2.
¿Qué es evidencia objetiva?
Información verificable que respalda que algo se cumple: registros, entrevistas, observaciones y datos que un tercero puede comprobar.
Para seguir leyendo
La misma pregunta, en otras normas