El Anexo A es la parte de ISO 27001 que más se consulta y la que más dudas genera: ¿hay que implementar los 93 controles? ¿Qué pasa si una empresa no tiene oficinas? ¿Qué cambió con la versión 2022? Esta guía responde esas preguntas, explica cada control en lenguaje simple y muestra cómo elegirlos en una empresa de Latinoamérica.
Resumen rápido
- Cuántos son: 93 controles en la versión 2022, frente a 114 en la de 2013.
- Cómo se agrupan: organizacionales (37), de personas (8), físicos (14) y tecnológicos (34).
- ¿Son obligatorios? No todos. Se eligen según los riesgos y cada exclusión se justifica en la Declaración de Aplicabilidad.
- Novedades de 2022: 11 controles nuevos, como inteligencia de amenazas, seguridad en la nube y codificación segura.
- Cómo implementarlos: ISO/IEC 27002 explica cada control en detalle.
Qué es el Anexo A de ISO 27001
El Anexo A es una lista de controles de seguridad de la información de referencia. Un control es una medida que reduce un riesgo: una política, un proceso, una configuración técnica o una protección física.
La norma lo usa como verificación. Después de analizar sus riesgos y decidir cómo tratarlos, la organización compara los controles que eligió con los del Anexo A para asegurarse de no haber omitido ninguno necesario (cláusula 6.1.3). La lista no es cerrada: si un riesgo lo requiere, se pueden sumar controles que no figuran en el anexo.
El Anexo A solo enuncia cada control en una o dos líneas. La guía para implementarlos está en ISO/IEC 27002:2022, que desarrolla el propósito y la forma de aplicar cada uno.
¿Son obligatorios los 93 controles?
No. Lo obligatorio es el proceso: analizar los riesgos, decidir qué controles hacen falta y documentarlo en la Declaración de Aplicabilidad. Ese documento recorre los 93 controles y, para cada uno, indica si se aplica, por qué y si está implementado.
Las exclusiones tienen que estar justificadas. Un auditor acepta que una empresa sin desarrollo propio excluya el control de codificación segura, pero va a cuestionar una exclusión sin fundamento o que contradiga el análisis de riesgos.
Una empresa 100% remota no puede excluir automáticamente todos los controles físicos. Algunos siguen aplicando, como el escritorio y la pantalla limpios, los equipos fuera de las instalaciones o la eliminación segura de equipos. Otros se cubren a través del proveedor de nube, y eso también se documenta.
Qué cambió en el Anexo A con la versión 2022
| ISO 27001:2013 | ISO 27001:2022 | |
|---|---|---|
| Cantidad de controles | 114 | 93 |
| Agrupación | 14 dominios (A.5 a A.18) | 4 temas (A.5 a A.8) |
| Controles nuevos | — | 11 |
| Atributos | No tenía | 5 atributos en ISO 27002 para clasificar los controles |
La reducción no significa menos exigencia: la mayoría de los controles anteriores se fusionaron o reorganizaron. Los 11 controles nuevos responden a riesgos que crecieron en la última década: inteligencia de amenazas (5.7), seguridad en servicios en la nube (5.23), preparación de las TIC para la continuidad (5.30), monitoreo de la seguridad física (7.4), gestión de la configuración (8.9), eliminación de información (8.10), enmascaramiento de datos (8.11), prevención de fuga de datos (8.12), actividades de monitoreo (8.16), filtrado web (8.23) y codificación segura (8.28).
El período de transición terminó en octubre de 2025, así que los certificados vigentes corresponden a la versión 2022.
Controles organizacionales (A.5): 37 controles
Son el grupo más grande. Cubren las políticas, la gestión de activos, los accesos, los proveedores, los incidentes, la continuidad y el cumplimiento legal. Los controles nuevos aparecen resaltados.
| N.º | Control | Qué pide en la práctica |
|---|---|---|
| 5.1 | Políticas de seguridad de la información | Definir, aprobar, comunicar y revisar la política general y las políticas específicas. |
| 5.2 | Roles y responsabilidades | Asignar quién se ocupa de cada aspecto de la seguridad. |
| 5.3 | Segregación de funciones | Evitar que una sola persona controle de punta a punta una tarea crítica. |
| 5.4 | Responsabilidades de la dirección | Que los líderes exijan el cumplimiento de las políticas en sus equipos. |
| 5.5 | Contacto con las autoridades | Saber a qué organismos avisar ante un incidente y cómo hacerlo. |
| 5.6 | Contacto con grupos de interés especial | Participar en foros y comunidades de seguridad para mantenerse al día. |
| 5.7 | Inteligencia de amenazas (nuevo) | Recolectar y analizar información sobre amenazas relevantes para la organización. |
| 5.8 | Seguridad en la gestión de proyectos | Incluir requisitos de seguridad en todos los proyectos, no solo en los de tecnología. |
| 5.9 | Inventario de información y activos | Mantener un inventario de la información y los activos asociados, con su responsable. |
| 5.10 | Uso aceptable | Establecer reglas para el uso de la información y los activos. |
| 5.11 | Devolución de activos | Recuperar equipos e información cuando una persona deja la organización. |
| 5.12 | Clasificación de la información | Clasificar la información según su confidencialidad, integridad y disponibilidad. |
| 5.13 | Etiquetado de la información | Marcar la información de acuerdo con su clasificación. |
| 5.14 | Transferencia de información | Proteger la información que se envía por cualquier medio, interno o externo. |
| 5.15 | Control de accesos | Definir reglas de acceso físico y lógico según los requisitos del negocio y de seguridad. |
| 5.16 | Gestión de identidades | Administrar el ciclo de vida completo de las identidades. |
| 5.17 | Información de autenticación | Gestionar contraseñas y otros secretos de forma segura. |
| 5.18 | Derechos de acceso | Otorgar, revisar, modificar y quitar accesos de manera controlada. |
| 5.19 | Seguridad en las relaciones con proveedores | Gestionar los riesgos que introducen los proveedores. |
| 5.20 | Seguridad en los acuerdos con proveedores | Incluir requisitos de seguridad en los contratos. |
| 5.21 | Seguridad en la cadena de suministro TIC | Gestionar los riesgos de los productos y servicios tecnológicos que se adquieren. |
| 5.22 | Seguimiento de los servicios de proveedores | Supervisar a los proveedores y gestionar los cambios en sus servicios. |
| 5.23 | Seguridad en el uso de servicios en la nube (nuevo) | Gestionar la adquisición, el uso y la salida de servicios en la nube. |
| 5.24 | Planificación de la gestión de incidentes | Definir procesos, roles y responsabilidades para responder a incidentes. |
| 5.25 | Evaluación de eventos de seguridad | Analizar cada evento y decidir si se trata como incidente. |
| 5.26 | Respuesta a incidentes | Responder a los incidentes según los procedimientos definidos. |
| 5.27 | Aprendizaje de los incidentes | Usar lo aprendido para reforzar los controles. |
| 5.28 | Recolección de evidencia | Identificar y preservar evidencia relacionada con incidentes. |
| 5.29 | Seguridad durante una interrupción | Mantener un nivel adecuado de seguridad durante una crisis. |
| 5.30 | Preparación de las TIC para la continuidad (nuevo) | Planificar, probar y mantener la capacidad de recuperación tecnológica. |
| 5.31 | Requisitos legales, regulatorios y contractuales | Identificar y cumplir las obligaciones legales y contractuales que aplican. |
| 5.32 | Derechos de propiedad intelectual | Proteger la propiedad intelectual propia y respetar la de terceros. |
| 5.33 | Protección de los registros | Proteger los registros contra pérdida, alteración o acceso no autorizado. |
| 5.34 | Privacidad y protección de datos personales | Cumplir los requisitos de protección de datos personales. |
| 5.35 | Revisión independiente de la seguridad | Revisar el enfoque de seguridad de forma independiente y planificada. |
| 5.36 | Cumplimiento de políticas y normas | Verificar que se cumplan las políticas y normas de seguridad. |
| 5.37 | Procedimientos operativos documentados | Documentar los procedimientos de operación y ponerlos a disposición de quien los necesita. |
Controles de personas (A.6): 8 controles
Acompañan todo el ciclo de las personas en la organización: antes del ingreso, durante el trabajo y después del egreso.
| N.º | Control | Qué pide en la práctica |
|---|---|---|
| 6.1 | Verificación de antecedentes | Verificar a los candidatos antes de su incorporación y, cuando corresponda, de forma periódica, siempre proporcional al rol y dentro de lo que permite la ley. |
| 6.2 | Términos y condiciones de empleo | Incluir las responsabilidades de seguridad en los contratos. |
| 6.3 | Concientización, educación y capacitación | Capacitar al personal de forma periódica según su rol. |
| 6.4 | Proceso disciplinario | Definir y comunicar las consecuencias de incumplir las políticas. |
| 6.5 | Responsabilidades tras el egreso o cambio de puesto | Mantener vigentes las obligaciones que siguen después de la salida. |
| 6.6 | Acuerdos de confidencialidad | Firmar y revisar acuerdos de confidencialidad con personal y terceros. |
| 6.7 | Trabajo remoto | Proteger la información a la que se accede fuera de las oficinas. |
| 6.8 | Reporte de eventos de seguridad | Ofrecer un canal para que cualquier persona reporte eventos de forma rápida. |
Controles físicos (A.7): 14 controles
Protegen las instalaciones, los equipos y los medios donde se guarda la información.
| N.º | Control | Qué pide en la práctica |
|---|---|---|
| 7.1 | Perímetros de seguridad física | Delimitar y proteger las áreas que contienen información y activos. |
| 7.2 | Controles de ingreso | Permitir el acceso físico solo a personas autorizadas. |
| 7.3 | Seguridad de oficinas e instalaciones | Proteger oficinas, salas e instalaciones. |
| 7.4 | Monitoreo de la seguridad física (nuevo) | Vigilar las instalaciones para detectar accesos no autorizados. |
| 7.5 | Protección contra amenazas físicas y ambientales | Prevenir daños por incendios, inundaciones, cortes y otros eventos. |
| 7.6 | Trabajo en áreas seguras | Definir reglas para trabajar en áreas protegidas. |
| 7.7 | Escritorio y pantalla limpios | Evitar que la información quede expuesta en papel o en pantalla. |
| 7.8 | Ubicación y protección de equipos | Ubicar los equipos de forma segura. |
| 7.9 | Seguridad de activos fuera de las instalaciones | Proteger laptops y dispositivos que salen de la oficina. |
| 7.10 | Medios de almacenamiento | Gestionar los medios durante todo su ciclo de vida. |
| 7.11 | Servicios de suministro | Proteger contra fallas de energía y otros servicios esenciales. |
| 7.12 | Seguridad del cableado | Proteger el cableado de energía y datos. |
| 7.13 | Mantenimiento de equipos | Mantener los equipos para asegurar su disponibilidad e integridad. |
| 7.14 | Eliminación o reutilización segura de equipos | Borrar de forma segura la información antes de desechar o reutilizar equipos. |
Controles tecnológicos (A.8): 34 controles
Cubren la infraestructura, los accesos técnicos, el monitoreo, la criptografía y el desarrollo de software. Para una empresa de tecnología suelen ser los que más trabajo requieren.
| N.º | Control | Qué pide en la práctica |
|---|---|---|
| 8.1 | Dispositivos de usuario | Proteger la información en laptops, celulares y otros dispositivos. |
| 8.2 | Derechos de acceso privilegiado | Restringir y gestionar los accesos de administrador. |
| 8.3 | Restricción del acceso a la información | Limitar el acceso según la política de control de accesos. |
| 8.4 | Acceso al código fuente | Controlar quién puede leer y modificar el código. |
| 8.5 | Autenticación segura | Implementar mecanismos de autenticación robustos, como el MFA. |
| 8.6 | Gestión de la capacidad | Monitorear y ajustar los recursos según la demanda. |
| 8.7 | Protección contra malware | Prevenir, detectar y responder al software malicioso. |
| 8.8 | Gestión de vulnerabilidades técnicas | Identificar, evaluar y corregir vulnerabilidades. |
| 8.9 | Gestión de la configuración (nuevo) | Definir, documentar y controlar las configuraciones seguras. |
| 8.10 | Eliminación de información (nuevo) | Borrar la información cuando ya no se necesita. |
| 8.11 | Enmascaramiento de datos (nuevo) | Ocultar datos sensibles cuando no hace falta verlos completos. |
| 8.12 | Prevención de fuga de datos (nuevo) | Detectar y evitar la salida no autorizada de información. |
| 8.13 | Copias de respaldo | Hacer backups y probar su restauración. |
| 8.14 | Redundancia | Contar con instalaciones redundantes para asegurar la disponibilidad. |
| 8.15 | Registro de eventos | Generar, proteger y analizar registros de actividad. |
| 8.16 | Actividades de monitoreo (nuevo) | Monitorear redes, sistemas y aplicaciones para detectar comportamientos anómalos. |
| 8.17 | Sincronización de relojes | Sincronizar los relojes de los sistemas con una fuente confiable. |
| 8.18 | Uso de utilitarios privilegiados | Restringir las herramientas que pueden saltear controles. |
| 8.19 | Instalación de software en sistemas en producción | Controlar qué software se instala en producción. |
| 8.20 | Seguridad de las redes | Proteger y gestionar las redes y sus dispositivos. |
| 8.21 | Seguridad de los servicios de red | Definir y monitorear los requisitos de seguridad de los servicios de red. |
| 8.22 | Segregación de redes | Separar grupos de servicios, usuarios y sistemas. |
| 8.23 | Filtrado web (nuevo) | Restringir el acceso a sitios web maliciosos o no permitidos. |
| 8.24 | Uso de criptografía | Definir reglas para el cifrado y la gestión de claves. |
| 8.25 | Ciclo de vida de desarrollo seguro | Incorporar la seguridad en todo el desarrollo de software. |
| 8.26 | Requisitos de seguridad de las aplicaciones | Definir requisitos de seguridad al desarrollar o adquirir aplicaciones. |
| 8.27 | Arquitectura y principios de ingeniería segura | Aplicar principios de diseño seguro en los sistemas. |
| 8.28 | Codificación segura (nuevo) | Aplicar prácticas de programación segura. |
| 8.29 | Pruebas de seguridad en desarrollo y aceptación | Probar la seguridad antes de pasar a producción. |
| 8.30 | Desarrollo tercerizado | Supervisar el desarrollo que hacen terceros. |
| 8.31 | Separación de entornos | Separar los entornos de desarrollo, prueba y producción. |
| 8.32 | Gestión de cambios | Controlar los cambios en sistemas e instalaciones. |
| 8.33 | Información de prueba | Seleccionar y proteger los datos que se usan en pruebas. |
| 8.34 | Protección durante las pruebas de auditoría | Planificar las auditorías técnicas para no afectar la operación. |
Los atributos de los controles
ISO/IEC 27002:2022 asigna a cada control cinco atributos que permiten ordenarlos desde distintas perspectivas. No son obligatorios, pero ayudan a explicar el programa de seguridad a distintas audiencias.
| Atributo | Valores |
|---|---|
| Tipo de control | Preventivo, detectivo, correctivo |
| Propiedades de la información | Confidencialidad, integridad, disponibilidad |
| Conceptos de ciberseguridad | Identificar, proteger, detectar, responder, recuperar |
| Capacidades operativas | Gobernanza, gestión de activos, gestión de identidades y accesos, entre otras |
| Dominios de seguridad | Gobernanza y ecosistema, protección, defensa, resiliencia |
Los conceptos de ciberseguridad coinciden con cinco de las seis funciones del NIST Cybersecurity Framework 2.0, que en 2024 sumó la función “gobernar”. Eso facilita relacionar ambos marcos.
Cómo seleccionar los controles que te aplican
- Partí del análisis de riesgos. Los controles responden a riesgos concretos, no a una lista para completar.
- Definí el tratamiento de cada riesgo. Mitigar, transferir, evitar o aceptar. Mitigar requiere controles directos, pero las otras opciones también pueden necesitarlos: transferir un riesgo a un proveedor, por ejemplo, exige cláusulas de seguridad en el contrato.
- Elegí los controles necesarios. Pueden salir del Anexo A, de otros marcos o de tu propia experiencia.
- Compará con el Anexo A. Recorré los 93 controles para confirmar que no falte ninguno relevante.
- Documentá la Declaración de Aplicabilidad. Para cada control: si aplica, por qué y en qué estado está.
- Asigná un responsable a cada control. Sin dueño, un control no se mantiene.
Controles con impacto especial en Latinoamérica
- 5.31 y 5.34: requisitos legales y datos personales
Obligan a identificar y cumplir las leyes de protección de datos de cada país donde se opera y las normas de los reguladores sectoriales.
- 5.5: contacto con las autoridades
Conviene tener identificados los equipos nacionales de respuesta a incidentes (CSIRT) y las autoridades de protección de datos de cada país.
- 5.19 a 5.23: proveedores y nube
En empresas que operan sobre AWS, Google Cloud, Microsoft y herramientas SaaS, documentar qué controla cada proveedor es parte central del sistema.
- 6.1: verificación de antecedentes
Tiene que ser proporcional al rol y respetar la legislación laboral y de datos personales de cada país.
Qué evidencia pide el auditor
Para cada control aplicable, el auditor busca pruebas de que funciona. Algunos ejemplos frecuentes:
| Control | Evidencia habitual |
|---|---|
| 5.9 Inventario de activos | Inventario actualizado con responsables |
| 5.18 Derechos de acceso | Registros de las revisiones periódicas de accesos |
| 5.24 a 5.27 Incidentes | Procedimiento aprobado y registro de incidentes |
| 6.3 Capacitación | Registros de asistencia y contenidos |
| 8.5 Autenticación segura | Configuración de MFA en las herramientas críticas |
| 8.8 Vulnerabilidades | Resultados de escaneos y seguimiento de las correcciones |
| 8.13 Copias de respaldo | Configuración de backups y pruebas de restauración |
| 8.32 Gestión de cambios | Cambios aprobados y revisados antes de pasar a producción |
La norma no fija cada cuánto se ejecutan estas actividades: la organización define los intervalos planificados y el auditor verifica que se cumplan.
Quién es responsable de los controles
Menos de la mitad de los controles son tecnológicos. Los organizacionales y de personas involucran a la dirección, recursos humanos, legales, compras y finanzas. Por eso conviene asignar cada control a la persona que realmente lo ejecuta, y que el responsable del SGSI coordine y verifique, en lugar de concentrar todo en el área de sistemas.
¿Cuánto cuesta certificar ISO 27001?
Costos obligatorios, caminos de implementación y escenarios con precios de Latinoamérica.