Los nombres casi iguales generan una confusión frecuente: hay quien busca "certificarse en ISO 27002" o cree que son dos versiones de la misma norma. En realidad son dos documentos complementarios de la misma familia. Esta guía explica qué es cada uno, en qué se diferencian y cómo usarlos juntos.
Resumen rápido
- ISO 27001: requisitos del SGSI (cláusulas 4 a 10) y lista de 93 controles en el Anexo A. Es certificable.
- ISO 27002: guía de implementación de esos mismos 93 controles, con su propósito y recomendaciones. No es certificable.
- La relación: el Anexo A de ISO 27001 resume los controles; ISO 27002 los explica en detalle.
- Versiones vigentes: ISO/IEC 27001:2022 e ISO/IEC 27002:2022, alineadas entre sí.
- Cómo se usan: ISO 27001 define el sistema y la certificación; ISO 27002 ayuda a implementar bien cada control.
Qué es cada norma
- ISO/IEC 27001
Establece qué debe tener un sistema de gestión de seguridad de la información: contexto, liderazgo, evaluación de riesgos, operación, auditoría interna y mejora. Su Anexo A lista los controles de referencia en una línea cada uno.
- ISO/IEC 27002
Desarrolla cada control del Anexo A: para qué sirve, cómo implementarlo y qué tener en cuenta. Además, clasifica los controles con atributos que ayudan a organizarlos y filtrarlos.
ISO 27001 vs ISO 27002: comparación
| ISO 27001 | ISO 27002 | |
|---|---|---|
| Tipo de documento | Norma de requisitos | Guía de buenas prácticas |
| ¿Certificable? | Sí | No |
| Qué contiene | Requisitos del SGSI y lista de controles (Anexo A) | Guía detallada de cada control |
| Lenguaje | "Debe": requisitos que se auditan | "Debería": recomendaciones adaptables |
| Controles | 93, con una descripción breve | Los mismos 93, con propósito, guía y atributos |
| Para quién | Dirección, responsable del SGSI y auditores | Quienes implementan y operan los controles |
Descripción con palabras propias. Los textos oficiales de ambas normas se adquieren a ISO o al organismo de normalización de cada país.
Los atributos de ISO 27002
Una de las novedades de la versión 2022 es que cada control tiene atributos, que permiten mirarlos desde distintos ángulos. Son cinco:
- Tipo de control
Preventivo, detectivo o correctivo.
- Propiedad de seguridad
Confidencialidad, integridad o disponibilidad.
- Concepto de ciberseguridad
Identificar, proteger, detectar, responder o recuperar: cinco de las seis funciones del NIST Cybersecurity Framework 2.0, que en 2024 sumó “gobernar”.
- Capacidad operativa
Por ejemplo, gestión de activos, protección de la información o gestión de identidades.
- Dominio de seguridad
Gobernanza y ecosistema, protección, defensa o resiliencia.
Los atributos son útiles para armar vistas propias: por ejemplo, ver solo los controles detectivos, o mapear ISO 27001 con el NIST Cybersecurity Framework.
Cómo se usan juntas en la práctica
- ISO 27001 define el marco. El alcance, la evaluación de riesgos y el plan de tratamiento determinan qué controles hacen falta.
- El Anexo A sirve de lista de verificación. Se contrasta con los controles elegidos para no omitir ninguno necesario, y se arma la Declaración de Aplicabilidad.
- ISO 27002 guía la implementación. Para cada control aplicable, explica qué conviene hacer y qué tener en cuenta.
- El auditor evalúa contra ISO 27001. Verifica que los requisitos se cumplan; ISO 27002 es una referencia, no un requisito.
Una organización puede implementar un control de forma distinta a la que sugiere ISO 27002, siempre que trate el riesgo y lo justifique.
Confusiones frecuentes
- "Nos certificamos en ISO 27002"
No es posible: la certificación es siempre en ISO 27001.
- "Hay que cumplir todo ISO 27002"
No: es una guía, y los controles aplicables surgen de los riesgos de cada organización.
- "Son versiones distintas de la misma norma"
Son documentos distintos de la familia ISO/IEC 27000, con funciones distintas.
- "Con ISO 27001 alcanza para implementar"
Alcanza para saber qué controles existen; para implementarlos bien, ISO 27002 aporta mucho detalle.
Otras normas de la familia ISO 27000
| Norma | Para qué sirve |
|---|---|
| ISO/IEC 27000 | Vocabulario y visión general de la familia |
| ISO/IEC 27005 | Guía para la gestión de riesgos de seguridad de la información |
| ISO/IEC 27017 | Controles para servicios en la nube |
| ISO/IEC 27701 | Sistema de gestión de la privacidad; desde la edición 2025 es una norma independiente de ISO 27001 |
De todas ellas, solo ISO 27001 (y, en su caso, ISO 27701) llevan a una certificación de sistema de gestión.
Cómo ayuda Certenza a pasar de los requisitos a los controles
El salto difícil no es entender la diferencia entre las dos normas, sino convertir los requisitos en controles concretos, implementados y con evidencia. Certenza acompaña ese salto:
- De la norma a controles accionables
Los requisitos de ISO 27001 y los controles del Anexo A aparecen como tareas claras, con responsable, sin tener que interpretarlos desde cero.
- Políticas que bajan los controles a la práctica
La IA de Certenza ayuda a redactar políticas que reflejan cómo trabaja la empresa, en lugar de copiar recomendaciones genéricas.
- Evidencia de cada control implementado
Los registros que se reúnen desde las herramientas conectadas muestran que los controles funcionan, que es lo que evalúa el auditor.
El certificado ISO 27001 lo emite un organismo acreditado que se contrata por separado.
¿Querés ver los controles de ISO 27001 organizados?
Te mostramos cómo se trabaja la norma en Certenza.