¿Qué es ISO 27001?

ISO 27001: definición y ámbito de aplicación

La norma ISO/IEC 27001 describe los requisitos de un SGSI. No es un producto, sino un sistema de gestión compuesto por reglas, responsabilidades, procesos y evidencias que protege la confidencialidad, la integridad y la disponibilidad de la información. La versión vigente es ISO/IEC 27001:2022; el periodo de transición para los certificados conforme a la versión anterior ha terminado.

La norma se aplica a organizaciones de cualquier tamaño y sector. La empresa decide por sí misma qué ámbito (scope) abarca el SGSI, por ejemplo una sede o solo un servicio. Además, ISO/IEC 27002 describe posibles controles. La certificación es voluntaria, pero con frecuencia la exigen los clientes y las cadenas de suministro.

Cómo funciona un SGSI

En el centro hay un ciclo de planificar, hacer, verificar y actuar. La empresa registra sus activos de información, evalúa los riesgos y elige controles adecuados del Anexo A de la norma, que contiene 93 controles en cuatro temas. En la declaración de aplicabilidad (Statement of Applicability) justifica cuáles utiliza. Las auditorías internas y las revisiones por la dirección aseguran el control.

La certificación la realiza en dos fases un organismo de certificación acreditado: revisión documental y auditoría in situ. El certificado es válido tres años y las auditorías de seguimiento anuales garantizan la eficacia continuada. Quien baje la guardia entretanto corre el riesgo de que el certificado se restrinja o se retire. El sistema debe vivirse de forma permanente, no solo el día de la auditoría.

• Organizativos: políticas, funciones, gestión de proveedores, planificación de contingencias
• Relativos a las personas: formación, compromisos, procesos de alta y baja
• Físicos: accesos, espacios, dispositivos, eliminación
• Tecnológicos: derechos de acceso, cifrado, parches, copias de seguridad, registro de eventos

Ejemplo práctico: un proveedor bajo la presión de un cliente

Un proveedor con 120 empleados recibe de un gran cliente la exigencia de acreditar la seguridad de la información. Hasta ahora solo hay medidas aisladas: antivirus, una copia de seguridad, una regla de contraseñas. Quién es responsable de qué, cómo se notifican los incidentes y qué proveedores tienen acceso no consta en ningún sitio.

La empresa define un ámbito, realiza un análisis de riesgos, cierra brechas en derechos de acceso, actualizaciones y planificación de contingencias y lo documenta todo. Tras la certificación, el SGSI forma parte del día a día. En la industria del automóvil se exige a menudo además TISAX, una acreditación específica del sector basada en un catálogo de requisitos propio.

Beneficios, esfuerzo y puesta en práctica

El beneficio está en responsabilidades claras, menos interrupciones y una prueba reconocida frente a los clientes. El esfuerzo es real: depende del ámbito, del grado de madurez y del tamaño, y absorbe sobre todo tiempo de la dirección y de TI. Los errores típicos son un ámbito demasiado amplio, papel sin práctica real y delegar todo solo en TI. Un SGSI ayuda también con los requisitos de NIS2, pero no sustituye la comprobación de las obligaciones legales.

Nano Concepts apoya la implantación técnica de los controles, como el refuerzo (hardening), la gestión de parches, las copias de seguridad, los derechos de acceso y el registro de eventos. El asesoramiento sobre el sistema de gestión y la propia certificación corren a cargo de consultores especializados y de un organismo de certificación acreditado. Así queda claro qué se implanta técnicamente y qué se audita de forma independiente.