Una implementación de ISO 27001 tiene muchas piezas: alcance, riesgos, controles, políticas, capacitaciones, auditorías. Sin un orden claro, es fácil avanzar en paralelo en todo y no terminar nada. Esta checklist ordena el camino en 17 pasos, explica qué hay que lograr en cada uno y qué entregable deja, y se puede descargar para trabajarla con el equipo.
Resumen rápido
- Fase 1, planificación: hoja de ruta, alcance y equipo.
- Fase 2, riesgos: inventario, evaluación, registro y tratamiento.
- Fase 3, controles: Declaración de Aplicabilidad, controles y políticas.
- Fase 4, personas y documentación: capacitación y documentos.
- Fase 5, auditorías: auditoría interna, revisión por la dirección, auditoría de certificación, no conformidades y mantenimiento.
Antes de empezar: cuatro decisiones previas
La checklist funciona mejor si antes de arrancar están resueltas estas cuatro preguntas:
- ¿Para qué certificamos?
Un cliente, una licitación o un mercado. El motivo define la urgencia y el alcance.
- ¿Quién lidera?
Una persona responsable con tiempo asignado y el respaldo de la dirección.
- ¿Cómo vamos a trabajar?
Con equipo propio, consultores, una plataforma o una combinación de los tres.
- ¿Cuánto podemos invertir?
La auditoría, la implementación y el mantenimiento anual. Mirá la guía de costos.
Fase 1: planificación (pasos 1 a 3)
Define para qué se certifica, qué abarca el sistema y quién lo lleva adelante. Una buena planificación evita la mayoría de los retrasos posteriores.
- 1. Elaborar la hoja de ruta. Documentá el motivo (un cliente, una licitación, un mercado), una fecha objetivo para la auditoría, los recursos disponibles y las etapas del proyecto, con la aprobación de la dirección.Entregable: plan del proyecto aprobado.
- 2. Definir el alcance del SGSI. Indicá qué productos, procesos, sedes, equipos y sistemas cubre, y qué queda afuera con su justificación. Empezá por lo que evalúan tus clientes.Entregable: documento de alcance (cláusula 4.3).
- 3. Conformar el equipo. Designá un responsable del SGSI con autoridad y sumá referentes de tecnología, recursos humanos, legales y operaciones.Entregable: matriz de roles y responsabilidades.
Fase 2: gestión de riesgos (pasos 4 a 7)
Es el núcleo de la norma: de esta fase salen los controles que hay que implementar.
- 4. Inventariar los activos de información. Listá datos, sistemas, servicios en la nube, dispositivos y proveedores, cada uno con su responsable y su clasificación.Entregable: inventario de activos.
- 5. Evaluar los riesgos. Definí una metodología con escalas de probabilidad e impacto y un criterio de aceptación, e identificá amenazas y vulnerabilidades por activo.Entregable: metodología de evaluación de riesgos (6.1.2).
- 6. Elaborar el registro de riesgos. Consolidá cada riesgo con su activo, responsable, nivel, controles existentes y riesgo residual.Entregable: registro con los resultados de la evaluación (8.2).
- 7. Definir el tratamiento de los riesgos. Para cada riesgo relevante, elegí mitigar, transferir, evitar o aceptar, con responsable y plazo, y obtené la aprobación del plan y del riesgo residual por parte de los responsables de cada riesgo.Entregable: plan de tratamiento de riesgos (6.1.3).
Fase 3: controles (pasos 8 y 9)
Convierte las decisiones sobre riesgos en medidas concretas y verificables.
- 8. Completar la Declaración de Aplicabilidad. Recorré los 93 controles del Anexo A e indicá cuáles aplican, cuáles no y por qué, y cómo se implementa cada uno.Entregable: Declaración de Aplicabilidad (6.1.3 d).
- 9. Implementar controles y políticas. Asigná un responsable a cada control, aprobá las políticas que surgen del análisis de riesgos y empezá a guardar evidencia desde el primer día.Entregable: políticas aprobadas y evidencia de los controles.
Fase 4: personas y documentación (pasos 10 y 11)
Asegura que el sistema no dependa de una sola persona y que todo esté listo para mostrar.
- 10. Capacitar al personal. Comunicá a cada rol sus responsabilidades y capacitá sobre amenazas frecuentes como el phishing o las contraseñas débiles.Entregable: registros de capacitación (7.2 y 7.3).
- 11. Consolidar la documentación. Verificá que estén todos los documentos y registros obligatorios, aprobados y con control de versiones.Entregable: documentación completa del SGSI.
Fase 5: auditorías y mantenimiento (pasos 12 a 17)
Comprueba que el sistema funciona, lo somete a una evaluación independiente y lo mantiene vigente. La revisión por la dirección va después de la auditoría interna, porque sus resultados son una de las entradas que exige la norma.
- 12. Realizar la auditoría interna. Una persona objetiva e imparcial revisa el SGSI completo antes de la auditoría externa.Entregable: programa e informe de auditoría interna (9.2).
- 13. Realizar la revisión por la dirección. Con los resultados de la auditoría interna, la alta dirección revisa el desempeño del SGSI, los riesgos y los recursos, y deja registro de sus decisiones.Entregable: acta de revisión por la dirección (9.3).
- 14. Superar la auditoría externa. Un organismo de certificación acreditado audita en dos etapas: primero la documentación y después el funcionamiento de los controles.Entregable: informe de auditoría de certificación.
- 15. Resolver las no conformidades. Analizá la causa de cada hallazgo, aplicá acciones correctivas y verificá su eficacia dentro del plazo acordado con el organismo.Entregable: registro de acciones correctivas (10.2).
- 16. Planificar las auditorías siguientes. El certificado dura tres años y requiere auditorías de seguimiento anuales y una recertificación al final del ciclo.Entregable: calendario de auditorías.
- 17. Automatizar las tareas recurrentes. Revisiones de accesos, recolección de evidencia, capacitaciones y seguimiento de riesgos se repiten todo el año. Automatizarlas evita que el sistema se abandone entre auditorías.Entregable: calendario de actividades con responsables.
Cuánto lleva cada fase
En una empresa chica, la preparación suele llevar entre 3 y 9 meses hasta la auditoría de certificación. La duración real depende del alcance, del punto de partida y del tiempo que el equipo le puede dedicar. Como referencia de la distribución del esfuerzo:
| Fase | Peso relativo | Qué la acelera |
|---|---|---|
| 1. Planificación | Bajo | Un alcance acotado y una fecha objetivo clara |
| 2. Riesgos | Alto | Una metodología simple y un inventario actualizado |
| 3. Controles | El más alto | Políticas propias y evidencia recolectada de forma continua |
| 4. Personas y documentación | Medio | Capacitaciones planificadas desde el inicio |
| 5. Auditorías | Medio | Reservar el organismo certificador con anticipación |
Errores frecuentes al usar una checklist
- Tildar sin evidencia. Un paso está completo cuando existe el entregable, no cuando alguien dice que lo hizo.
- Saltear la fase de riesgos. Ir directo a escribir políticas genera controles que no responden a los riesgos reales.
- Dejar la auditoría interna para último momento. Sin tiempo para corregir, sus hallazgos llegan a la auditoría externa.
- Pensar que el paso 14 es el final. Después de certificar empiezan las auditorías de seguimiento anuales.
Qué tener en cuenta en Latinoamérica
- Requisitos legales: en los pasos 2 y 5, identificá como requisito y como fuente de riesgo las leyes de protección de datos de cada país donde operás y las normas de tus reguladores sectoriales.
- Proveedores en la nube: en el paso 4, inventariá los servicios de nube y SaaS, y documentá qué controla cada proveedor y qué sigue en tus manos.
- Organismo certificador: en el paso 14, verificá que esté acreditado para ISO 27001. La acreditación puede ser local (OAA, INN, EMA, ONAC, INACAL) o extranjera (UKAS, ANAB).
- Agenda de auditores: la disponibilidad varía según el país y la época del año. Reservá la fecha cuando termines la fase 2.
¿Querés la checklist completa?
Los 17 pasos con todas sus tareas y la tabla de documentos obligatorios, en PDF.