ISO 27002.
Las directrices de controles de seguridad de la información: qué organiza ISO 27002, cómo aplicarla y qué evidencias se generan.
- ISO/IEC 27002:2022
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 8 min.
Respuesta breve.
ISO 27002 es la guía internacional de implantación de controles de seguridad de la información. ISO/IEC 27002:2022 organiza sus controles en temas organizativos, de personas, físicos y tecnológicos y explica su aplicación. Las organizaciones adaptan las directrices a sus riesgos y operación. No existe certificación independiente ISO 27002; ISO 27001 contiene los requisitos certificables de un SGSI.
ISO 27002:2022 como guía de implantación.
ISO 27002 explica controles de seguridad, mientras que ISO 27001 describe requisitos de un sistema de gestión de seguridad de la información, o SGSI. El término inglés Controls designa medidas para influir en los riesgos de seguridad. Incluye tanto procedimientos organizativos como medidas técnicas o físicas. Por ello, un catálogo de controles no describe una simple lista de productos ni únicamente el trabajo de un departamento informático.
La página pública del editor presenta ISO/IEC 27002:2022 como tercera edición de febrero de 2022 y menciona una versión inglesa corregida de marzo de 2022. El artículo de las editoras en SC 27 Journal, edición de diciembre de 2022, explica en las páginas 13 a 15 la estructura de 93 controles en cuatro temas y los atributos complementarios. Esta orientación no sustituye el trabajo con la norma adquirida legalmente.
Las directrices se aplican en el contexto de la propia organización. La descripción del producto de IEC menciona tanto el uso dentro de un SGSI como el desarrollo de políticas de seguridad específicas de la organización. Adoptar un catálogo por sí solo todavía no define qué entorno se protege, quién opera un control ni si realmente funciona.
A quién se dirige ISO 27002.
Según la descripción pública de ISO, ISO 27002 se dirige a organizaciones de distintos tamaños y sectores. Puede apoyar el trabajo con controles de un SGSI existente o servir de orientación para la seguridad. No requiere aspirar a una certificación. Antes de introducirla, debe aclararse si se necesita un lenguaje técnico común, una mejor implantación o una acreditación ante un destinatario concreto.
En su aplicación suelen participar varias funciones. Como reparto práctico, los responsables de seguridad pueden coordinar la selección; los responsables de servicios, explicar el entorno afectado; y las áreas funcionales, asumir la implantación. Compras, recursos humanos, gestión de edificios y desarrollo participan cuando el control concreto afecta a sus procesos. Este reparto es una recomendación organizativa, no una asignación universal de funciones extraída de la norma.
Los controles de ISO 27002 como base de trabajo.
Cuatro temas estructuran los controles; la selección y los atributos ayudan a aplicarlos. Los seis ámbitos de trabajo siguientes conectan esa estructura con decisiones prácticas, sin representar seis capítulos oficiales de la norma ni una lista completa de controles.
Responsabilidad organizativa.
Los controles organizativos constituyen un tema propio. Para la implantación práctica, aclare dónde se toma, aprueba y revisa una decisión. Una disposición comprensible conecta el servicio protegido con la función competente; la mera existencia de un documento de política todavía no explica esa relación.
Personas y procedimientos de trabajo.
Los controles relativos a personas consideran la seguridad en relación con las personas y su trabajo. Al aplicarlos, examine qué sucesos cotidianos desencadenan una actuación y quién la asume. Una formación y un cambio de función necesitan implantaciones diferentes, aunque los acompañe la misma área funcional.
Entorno físico.
Los controles físicos afectan al entorno donde se utilizan la información y los medios de apoyo. En la delimitación práctica, distinga las sedes propias de los servicios de proveedores. Por ejemplo, una evidencia sobre el centro de datos no resuelve automáticamente las cuestiones de gestión de dispositivos en la propia oficina.
Implantación tecnológica.
Los controles tecnológicos forman el cuarto tema. Para aplicarlos, describa primero qué sistemas e información debe cubrir una medida técnica. Después puede comprobarse si encajan configuración, procedimiento operativo y supervisión. Una función activada es un punto de partida para el examen, no una conclusión completa sobre su eficacia.
Conectar la selección con el riesgo.
La aplicación debe partir de las necesidades de protección y los riesgos de la operación examinada. Como recomendación práctica, documente qué decisión fundamenta un control y qué dependencias se consideraron. Así sigue siendo trazable por qué dos servicios pueden necesitar implantaciones diferentes aunque se orienten por la misma directriz.
Utilizar los atributos para obtener vistas comprensibles.
Según el artículo de las editoras, los atributos permiten distintas vistas del conjunto de controles. Utilícelas, por ejemplo, para coordinar la organización de seguridad y los responsables operativos. La clasificación facilita la navegación; no sustituye ni la decisión de aplicación ni la evidencia de que un control está implantado o es eficaz.
Aplicar ISO 27002 en la operación.
Elegir un alcance manejable.
Como primer paso práctico, delimite un servicio con su información, sistemas y participantes, para que la implantación posterior tenga unos límites verificables.
Documentar la base de decisión.
Describa los riesgos relevantes y los requisitos empresariales, legales o contractuales antes de recurrir a directrices adecuadas para el trabajo con controles.
Leer las directrices en su contexto.
Examine con la norma adquirida legalmente qué orientaciones encajan en su entorno y no trate una descripción breve como una instrucción completa de implantación.
Determinar la implantación y la responsabilidad.
Acuerde qué debe ocurrir en la operación examinada, quién es responsable y con qué proceso existente se conecta el trabajo.
Verificar las afirmaciones con evidencias.
Elija registros o pruebas que cubran realmente el alcance descrito y documente el resultado, la fecha de comprobación y las acciones posteriores necesarias.
Reevaluar los cambios.
Defina motivos adecuados de revisión, como un cambio de servicio o un incidente, y actualice la decisión de implantación con los responsables afectados.
Acreditación sin certificado ISO 27002.
Según las preguntas frecuentes del producto de ISO, no se prevé una certificación independiente ISO 27002. Quien necesite acreditar un SGSI certificado debe considerar ISO 27001 y el alcance concreto de certificación. ISO no realiza esas certificaciones; según su página sobre certificación, corresponden a organismos externos. Por ello, tampoco existe una vigencia general de certificado para esta guía de implantación.
Para organizar las propias evidencias, conviene formular una afirmación clara: ¿qué implantación se pretende acreditar y en qué entorno? Un procedimiento puede describir la forma de trabajo prevista, mientras que un registro muestra su ejecución. Una prueba examina, a su vez, una expectativa concreta. Estos tipos de evidencias pueden complementarse, pero responden a preguntas diferentes.
Antes de compartir una evidencia, examine su procedencia, período y alcance. Una configuración actual no acredita la operación histórica; una muestra no explica automáticamente todas las excepciones. Documente la cobertura limitada y el trabajo derivado, en lugar de deducir un compromiso completo de seguridad o conformidad de un solo documento.
Más información en el blog.
Entender otros marcos.
ISO 27001 describe requisitos del SGSI; ISO 27002 apoya el trabajo con controles dentro de él. IT-Grundschutz ofrece una metodología propia del BSI con estándares y compendio. Las obligaciones legales de las entidades comprendidas en la BSIG deben seguir examinándose por separado; usar una guía de implantación no confirma la conformidad con NIS2.
En Secani.
Secani incluye un catálogo editorial de trabajo sobre ISO/IEC 27002:2022 con datos de perfil, entre otros, sobre servicios en la nube, desarrollo de software y trabajo móvil. El catálogo sirve para trabajar de forma estructurada y no es un texto normativo oficial. Las decisiones de aplicabilidad necesitan justificación; la herramienta editorial no sustituye una evaluación especializada independiente.
Empezar con una implantación trazable.
Elija un servicio cuyos responsables y dependencias se conozcan. Documente una decisión concreta de seguridad con su motivo, la implantación prevista y una vía adecuada de verificación. Aclare después con los participantes si esa descripción coincide con el trabajo realmente practicado. Solo entonces podrá trasladarse razonablemente el enfoque a otros servicios.
Fuentes.
- ISO/IEC 27002:2022: página pública de la norma y preguntas frecuentes
- ISO/IEC 27001:2022: requisitos del SGSI y certificación
- ISO/IEC SC 27 Journal, vol. 2, n.º 2: artículo de las editoras, págs. 13–15
- IEC: ISO/IEC 27002:2022, edición y finalidad
- ISO: certificación y organismos de certificación externos
Preguntas frecuentes.
No. ISO 27002 es una guía de implantación; para acreditar un sistema de gestión de seguridad de la información certificado, ISO 27001 es la norma de requisitos pertinente.
No. La implantación concreta depende del contexto y los riesgos del entorno examinado; una referencia común no implica un modelo operativo idéntico para todas las organizaciones.
No. Los atributos permiten distintas vistas de los controles y ayudan a ordenarlos; no sustituyen una decisión de aplicabilidad ni una evidencia de implantación.
No. Una política comprensible o un procedimiento operativo puede apoyar varios controles si la implantación y la responsabilidad de cada uno siguen siendo trazables.
Trabajar los controles de forma trazable.
Organice riesgos, responsabilidades y evidencias en Secani.
Esta página explica la guía de implantación. Son determinantes las normas adquiridas legalmente y el contexto concreto de aplicación.