ISO 27001.
Establecer un sistema de gestión de la seguridad de la información, gestionar los riesgos y elegir la acreditación adecuada para clientes y socios contractuales.
- ISO/IEC 27001:2022 + Amd 1:2024
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 9 min.
Respuesta breve.
ISO 27001 es la norma internacional de sistemas de gestión de la seguridad de la información, o SGSI. Describe cómo organizar, operar y mejorar la seguridad según los riesgos. ISO/IEC 27001:2022 sirve para distintos tamaños y sectores. Un organismo independiente puede certificar la conformidad del sistema en su alcance definido; ISO no emite certificados.
ISO 27001 y SGSI.
ISO 27001 describe requisitos para gestionar la seguridad de la información. Un SGSI conecta las decisiones de la dirección con la gestión de información, personas, procesos y tecnología. Protege la confidencialidad, integridad y disponibilidad: ¿quién puede ver la información, cómo se mantiene fiable y cuándo debe estar disponible? La descripción pública de ISO/IEC 27001:2022 sitúa en el centro un enfoque basado en riesgos.
La edición básica publicada es ISO/IEC 27001:2022, a la que se añade Amd 1:2024. Esta enmienda incorpora la consideración de cuestiones climáticas en el contexto del sistema de gestión. Según el comunicado conjunto ISO/IAF de febrero de 2024, se trata de examinar su relevancia para cada sistema de gestión. De ello no se deriva un programa de medidas idéntico para todas las organizaciones.
El SGSI es el trabajo continuo de la organización; la certificación, una posible acreditación externa de ese trabajo. Una herramienta implantada, un cuestionario cumplimentado o un certificado de formación no sustituyen ni el funcionamiento del sistema de gestión ni su evaluación independiente.
A quién se dirige ISO 27001.
Según la descripción pública de ISO, ISO 27001 es adecuada para organizaciones de distintos tamaños y sectores. Son decisivas la información y las dependencias del ámbito elegido. Por ello, un pequeño proveedor de servicios puede necesitar responsabilidades y procedimientos distintos de los de una empresa con varias sedes, sin que cambie la tarea fundamental de gestionar la seguridad.
Los requisitos de los clientes suelen determinar el alcance de certificación necesario. Aclare si un socio contractual desea que se evalúe un servicio, una sede o una persona jurídica determinada. Un alcance delimitado conscientemente debe tener en cuenta las interfaces relevantes. Una actividad externalizada no desaparece del análisis de seguridad por el mero hecho de ejecutarla un proveedor.
Los requisitos de ISO 27001.
Los requisitos de ISO 27001 combinan el gobierno del SGSI con la operación de medidas de seguridad adecuadas. Los seis ámbitos de trabajo siguientes resumen con palabras propias los capítulos 4 a 10 de ISO/IEC 27001:2022 como orientación.
Definir el contexto y el ámbito de aplicación.
La organización delimita qué actividades e información abarca su SGSI. Esto incluye los requisitos relevantes de las partes interesadas y las dependencias con otras áreas. Para la implantación, conviene una descripción que comprendan tanto los responsables funcionales como los lectores externos: el nombre de un servicio por sí solo no explica sus sistemas de apoyo ni sus interfaces.
Afianzar el liderazgo y la responsabilidad.
La dirección proporciona orientación, autoridad y recursos al trabajo de seguridad. Los responsables deben poder tomar decisiones acordes con sus tareas. Una persona coordinadora central puede mantener la visión global; eso no le atribuye automáticamente todas las tareas de recursos humanos, compras, informática o desarrollo.
Valorar y tratar los riesgos.
La valoración y el tratamiento de riesgos determinan qué problemas se abordan primero. Los criterios de evaluación, las personas competentes y las decisiones trazables conectan el análisis con el trabajo concreto. La declaración de aplicabilidad, también denominada Statement of Applicability o SoA, registra la selección de controles y su justificación. El anexo A sirve como referencia de controles de seguridad.
Organizar los recursos y la documentación.
La competencia, la comunicación y la información documentada actualizada sostienen la operación. Defina de forma práctica quién aprueba una disposición, quién la aplica y dónde se encuentra la versión vigente. Una gran colección de documentos sirve de poco si sus afirmaciones difieren del trabajo real o los responsables desconocen sus tareas.
Aplicar las medidas en el trabajo diario.
Las medidas de seguridad deben funcionar realmente dentro del alcance elegido. Las medidas organizativas, de personal, físicas y técnicas se complementan. Como ayuda práctica, los responsables pueden registrar para cada control seleccionado qué proceso protege y qué registros demuestran su funcionamiento. El artículo sobre el anexo A profundiza en la selección y la operación de los controles.
Evaluar y mejorar.
Las auditorías internas, las revisiones por la dirección y el tratamiento de desviaciones mantienen activo el SGSI. La organización comprueba si su forma de trabajar se ajusta a los requisitos y favorece los resultados previstos. En la práctica, ayuda definir ya al planificar una corrección cómo se reconocerá posteriormente su efecto.
El camino hacia la certificación ISO 27001.
Acordar el objetivo y el alcance.
Como primer paso práctico, aclare qué acreditación se necesita para qué actividad y describa el ámbito de aplicación, incluidas sus dependencias relevantes.
Definir responsabilidades y capacidad.
Designe la dirección con facultad de decisión, la coordinación y los responsables de los procesos, y reserve tiempo para la implantación y el mantenimiento continuo.
Trabajar los riesgos y los controles.
Aplique un procedimiento de evaluación trazable, decida el tratamiento y documente la selección de controles en la declaración de aplicabilidad.
Conectar la operación y las evidencias.
Implante los controles seleccionados y conserve registros adecuados del funcionamiento real, en lugar de limitarse a rellenar plantillas documentales.
Evaluar internamente y corregir.
Utilice la auditoría interna y la revisión por la dirección para abordar las decisiones pendientes, las desviaciones y las necesidades de recursos antes de una auditoría externa.
Planificar la auditoría externa y la continuidad operativa.
Acuerde el alcance y el programa de auditoría con un organismo de certificación adecuado y siga operando el SGSI con las revisiones necesarias después de la decisión de certificación.
Qué acredita el certificado ISO 27001.
El certificado ISO 27001 confirma la conformidad evaluada del sistema de gestión dentro del ámbito indicado. Por ello, examine conjuntamente el alcance, la edición de la norma, el organismo emisor, la fecha de validez y el estado actual. El certificado no garantiza que se hayan incluido todas las áreas de la empresa ni que no puedan producirse incidentes de seguridad en el futuro.
Los organismos de certificación externos realizan la certificación; ISO no emite certificados. ISO/IEC 27006-1:2024 complementa los requisitos de esos organismos para certificar SGSI. La acreditación se refiere a su competencia y debe distinguirse del certificado de la organización auditada. La página pública de ISO sobre certificación explica cómo comprobar el estado de certificación y de acreditación.
La planificación no termina con la primera emisión. Pida a su organismo de certificación que explique el programa de auditoría, las condiciones de mantenimiento y el procedimiento de renovación. Para decidir el presupuesto, cuentan estos servicios recurrentes junto con la operación interna, además de la primera oferta.
Más información en el blog.
- ¿Qué es un SGSI?Conectar el trabajo de seguridad con las decisiones de la organización.
- Preparar la certificación ISO 27001Planificar con detalle la preparación, el esfuerzo y las auditorías.
- ISO 27001, anexo AIntegrar los controles seleccionados en la operación.
- Auditoría interna ISO 27001Organizar los criterios de auditoría, las evidencias y las correcciones.
- Lista de comprobación ISO 27001Ordenar previamente los ámbitos de trabajo y las ayudas iniciales disponibles.
Entender otros marcos.
ISO 27002 complementa ISO 27001 con orientaciones para implantar controles de seguridad de la información. IT-Grundschutz describe una metodología del BSI para el trabajo de seguridad y una vía propia de certificación. NIS2 establece obligaciones legales independientes para las entidades comprendidas; un certificado ISO 27001 no sustituye su análisis. TISAX utiliza un procedimiento propio de evaluación e intercambio para la cadena de suministro del automóvil.
En Secani.
Secani ofrece un catálogo de auditoría editorial propio sobre ISO/IEC 27001:2022 con la enmienda 1:2024. En el espacio de trabajo pueden abordarse conjuntamente controles, evidencias y tareas. El catálogo incluye orientaciones propias de implantación y no sustituye el texto de la norma sujeto a licencia; la evaluación técnica y la decisión de certificación siguen siendo tareas separadas.
Empezar con un ámbito de aplicación concreto.
Elija un servicio para el que se necesite una acreditación de seguridad trazable. Documente qué información, equipos participantes y proveedores comprende y quién puede decidir sobre los riesgos. Con esta base, podrán acordarse el alcance de la implantación y las expectativas respecto al certificado.
Solicite después una oferta de auditoría basada en el mismo alcance. Separe el esfuerzo interno, las mejoras necesarias y los costes de la auditoría externa. Así, las ofertas serán más comparables, sin prometer de antemano una fecha de certificación ni un resultado.
Fuentes.
- ENX: manual del participante de TISAX
- ISO/IEC 27001:2022: página pública de la norma
- ISO/IEC 27001:2022/Amd 1:2024
- Comunicado ISO/IAF sobre las incorporaciones relativas al clima, febrero de 2024
- ISO: certificación y acreditación
- ISO/IEC 27006-1:2024: requisitos de los organismos de certificación
- ISO/IEC 27002:2022: guía complementaria de implantación
Preguntas frecuentes.
No existe una obligación general de certificación ISO 27001 para todas las empresas. La exigencia de una acreditación concreta depende de los requisitos legales, contractuales o sectoriales aplicables.
No puede darse un precio único fiable sin conocer el alcance y la situación inicial. Presupueste por separado el esfuerzo interno, las mejoras necesarias y los costes de auditoría externa, así como el mantenimiento continuo.
La selección depende de los riesgos y los requisitos relevantes. La declaración de aplicabilidad documenta los controles necesarios, su estado de implantación y las exclusiones justificadas de controles de referencia.
Sí. Implantar un SGSI y certificarlo mediante un organismo externo son decisiones diferentes; ISO describe la certificación como una acreditación opcional.
No. Los organismos de certificación externos emiten los certificados; ISO desarrolla y publica las normas.
Aclarar el ámbito de aplicación.
Hable sobre cómo gestionar requisitos, controles y evidencias en Secani.
Esta página explica ISO 27001 con palabras propias y no sustituye el texto de la norma sujeto a licencia ni una evaluación especializada. Son determinantes las publicaciones originales y el procedimiento de certificación aplicable.