6.ISO/IEC 27001

ISO/IEC 27001 es una norma internacional que dice cómo organizar la seguridad de la información de forma ordenada y comprobable. Una organización puede certificarse: un auditor externo revisa que cumple la norma y le da un certificado reconocido en todo el mundo.

Es como un sistema de calidad, pero para la seguridad: no te dice qué candado comprar, sino cómo decidir qué proteger, cómo hacerlo, cómo comprobar que funciona y cómo mejorarlo cada año.

En términos técnicos

• La versión vigente es ISO/IEC 27001:2022.
• Define un SGSI (Sistema de Gestión de Seguridad de la Información): políticas, procesos, responsables y controles basados en la gestión de riesgos.
• Sigue el ciclo Planificar – Hacer – Verificar – Actuar (PDCA).
• Sus requisitos están en las cláusulas 4 a 10; el Anexo A lista 93 controles agrupados en 4 temas.
• Se complementa con ISO/IEC 27002 (guía detallada de cada control) e ISO/IEC 27005 (gestión de riesgos).

¿Dónde la vas a encontrar?

En proveedores de software y nube, bancos, empresas de tecnología, centros de datos, hospitales y, cada vez más, en instituciones educativas. Muchos contratos y licitaciones la piden como requisito.

Un caso verosímil

Una empresa que ofrece un sistema escolar en la nube quiere venderlo a una red de colegios. La red exige garantías de que los datos de sus alumnos estarán protegidos. La empresa tiene buenas prácticas, pero no puede demostrarlas: no hay políticas escritas, nadie revisa los accesos y nunca se probaron los respaldos. Pierde el contrato frente a un competidor certificado.

Qué se perdió

• Un cliente importante por no poder demostrar su seguridad.
• La oportunidad de descubrir sus propios huecos antes de que alguien los aprovechara.

Qué lo habría evitado

Implantar un SGSI: escribir lo que ya hacían, cerrar las brechas que aparecieran en la evaluación de riesgos y someterse a una auditoría. La norma convierte la seguridad en algo medible y verificable por terceros.

Las cláusulas (requisitos obligatorios)

Los 93 controles del Anexo A

El camino a la certificación

1. Definir el alcance (p. ej. «el sistema escolar en línea»).
2. Hacer la evaluación de riesgos y la declaración de aplicabilidad.
3. Implementar los controles y la documentación.
4. Hacer una auditoría interna y la revisión por la dirección.
5. Auditoría de certificación en dos etapas por un organismo acreditado.
6. El certificado dura tres años, con auditorías de seguimiento anuales.

Por nivel

ISO/IEC 27001 y el NIST CSF son complementarios: el CSF organiza los resultados de seguridad en seis funciones; ISO/IEC 27001 define el sistema de gestión para lograrlos y certificarlos. El NIST publica correspondencias (Informative References) entre las categorías del CSF y los controles de ISO/IEC 27001.

• La certificación no garantiza que nunca habrá un incidente: garantiza que hay un sistema para gestionar los riesgos y mejorar.
• Revisa el alcance del certificado de un proveedor: puede cubrir solo una parte de sus servicios.
• La versión 2013 ya no es válida: el periodo de transición a la versión 2022 terminó en octubre de 2025.
• La norma tiene costo: se compra en ISO o en el organismo nacional de normalización.
• No es solo papel: un auditor busca evidencias de que lo escrito se hace.

• ISO/IEC. ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements. https://www.iso.org/standard/27001
• ISO/IEC. ISO/IEC 27002:2022 — Information security controls.
• NIST. CSF 2.0 Informative References (correspondencias con otros marcos). https://www.nist.gov/informative-references
• IAF. Transition requirements for ISO/IEC 27001:2022 (documento de transición de la acreditación).