Requisitos de ISO 27001: guía cláusula por cláusula

Cómo se organizan los requisitos de ISO 27001

Los requisitos de ISO 27001 están en dos partes: las cláusulas 4 a 10, que definen el sistema de gestión y son todas obligatorias, y el Anexo A, con 93 controles de referencia que se aplican según los riesgos y se justifican en la Declaración de Aplicabilidad. Las cláusulas 0 a 3 son introductorias y no contienen requisitos.

Las cláusulas 4 a 10 siguen la misma estructura que otras normas de sistemas de gestión, como ISO 9001 o ISO 42001, lo que facilita integrarlas. Sus requisitos siguen la lógica de planificar, hacer, verificar y actuar, aunque la norma no lo nombre de forma explícita.

Un error frecuente es pensar que se pueden “excluir” cláusulas. No es así: las exclusiones solo aplican a controles del Anexo A, y cada una debe estar justificada en la Declaración de Aplicabilidad.

Cláusula 4: contexto de la organización

Pide entender a la organización antes de proteger su información: qué la afecta, a quién le rinde cuentas y qué va a cubrir el SGSI.

• 4.1 Contexto. Identificar las cuestiones internas y externas que influyen en la seguridad: el mercado, la tecnología, la regulación, la estructura. Desde la enmienda de 2024, también hay que determinar si el cambio climático es una cuestión relevante.
• 4.2 Partes interesadas. Identificar a clientes, reguladores, empleados, proveedores y accionistas, sus requisitos y cuáles se van a abordar a través del SGSI. La enmienda de 2024 aclara que esos requisitos pueden incluir algunos relacionados con el cambio climático.
• 4.3 Alcance. Definir y documentar qué procesos, sedes, equipos y sistemas cubre el SGSI, y sus interfaces con lo que queda afuera.
• 4.4 Sistema de gestión. Establecer, implementar, mantener y mejorar el SGSI, incluidos sus procesos y cómo interactúan.

Qué revisa el auditor: que el alcance esté documentado y sea coherente con lo que la empresa vende, y que las partes interesadas y sus requisitos estén identificados.

Cláusula 5: liderazgo

La seguridad no puede depender solo del área técnica. Esta cláusula exige que la alta dirección se involucre de forma visible.

• 5.1 Liderazgo y compromiso. La dirección asegura que la política y los objetivos sean compatibles con la estrategia, que el SGSI tenga recursos y que se integre a los procesos del negocio.
• 5.2 Política. Aprobar y comunicar una política de seguridad de la información adecuada al propósito de la organización, que incluya objetivos (o el marco para fijarlos), el compromiso de cumplir los requisitos aplicables y el de mejora continua.
• 5.3 Roles y responsabilidades. Asignar y comunicar quién es responsable del SGSI y de informar su desempeño a la dirección.

Qué revisa el auditor: la política aprobada y difundida, la asignación formal de roles y evidencia de que la dirección participa, por ejemplo en las revisiones del sistema.

Cláusula 6: planificación

Es el núcleo técnico de la norma: define cómo se identifican y tratan los riesgos y qué objetivos persigue el SGSI.

• 6.1.2 Evaluación de riesgos. Definir un proceso con criterios de aceptación, que produzca resultados coherentes y comparables, e identificar, analizar y valorar los riesgos con sus responsables.
• 6.1.3 Tratamiento de riesgos. Elegir opciones de tratamiento, determinar los controles necesarios, compararlos con el Anexo A, elaborar la Declaración de Aplicabilidad, formular el plan de tratamiento de riesgos y obtener la aprobación del plan y del riesgo residual por parte de sus responsables.
• 6.2 Objetivos. Fijar objetivos de seguridad medibles, con responsables, plazos y recursos.
• 6.3 Planificación de cambios. Requisito nuevo de la versión 2022: los cambios en el SGSI deben hacerse de forma planificada.

Qué revisa el auditor: la metodología de riesgos, el registro de riesgos, el plan de tratamiento, la Declaración de Aplicabilidad y los objetivos con su seguimiento.

Cláusula 7: soporte

Asegura que el SGSI tenga lo necesario para funcionar: personas, conocimiento, comunicación y documentos.

• 7.1 Recursos. Asignar presupuesto, tiempo y herramientas.
• 7.2 Competencia. Determinar qué competencias necesita cada rol, asegurar que las personas las tengan y conservar evidencia.
• 7.3 Concientización. Que todo el personal conozca la política, su contribución al SGSI y las consecuencias de no cumplirlo.
• 7.4 Comunicación. Definir qué se comunica, cuándo, a quién y quién lo hace.
• 7.5 Información documentada. Crear, actualizar y controlar los documentos y registros que exige la norma y los que la organización considere necesarios.

Qué revisa el auditor: registros de capacitación y competencias, el plan de comunicación y el control de versiones y aprobaciones de los documentos.

Cláusula 8: operación

Lleva el plan a la práctica. Lo que se definió en la cláusula 6 tiene que ejecutarse y dejar rastro.

• 8.1 Planificación y control operacional. Ejecutar los procesos del SGSI según lo planificado, controlar los cambios y los procesos o servicios provistos por terceros que sean relevantes.
• 8.2 Evaluación de riesgos. Repetirla a intervalos planificados y cuando haya cambios significativos.
• 8.3 Tratamiento de riesgos. Implementar el plan de tratamiento y conservar los resultados.

Qué revisa el auditor: evidencia de que los controles funcionan en la práctica, evaluaciones de riesgo actualizadas y el avance del plan de tratamiento.

Cláusula 9: evaluación del desempeño

Obliga a comprobar si el SGSI funciona, en lugar de suponerlo.

• 9.1 Seguimiento y medición. Definir qué se mide, cómo, cuándo y quién analiza los resultados.
• 9.2 Auditoría interna. Planificar y realizar auditorías internas a intervalos planificados, con auditores objetivos e imparciales, y conservar el programa y los resultados.
• 9.3 Revisión por la dirección. La alta dirección revisa el SGSI a intervalos planificados y deja registro de sus decisiones.

Qué revisa el auditor: indicadores con sus resultados, el programa y los informes de auditoría interna y las actas de revisión por la dirección.

Cláusula 10: mejora

Cierra el ciclo: los problemas detectados tienen que corregirse y el sistema tiene que mejorar con el tiempo.

• 10.1 Mejora continua. Mejorar de forma continua la idoneidad, la adecuación y la eficacia del SGSI.
• 10.2 No conformidad y acción correctiva. Reaccionar ante cada no conformidad, analizar su causa, aplicar acciones para que no se repita y verificar su eficacia.

Qué revisa el auditor: el registro de no conformidades, el análisis de causa y la evidencia de que las acciones correctivas se cerraron.

Los controles del Anexo A

El Anexo A reúne 93 controles de referencia, agrupados en cuatro temas. No hay que implementarlos todos: la organización compara los controles que surgen de su análisis de riesgos con esta lista para asegurarse de no omitir ninguno necesario.

Los 11 controles nuevos de la versión 2022

Inteligencia de amenazas (5.7), seguridad en servicios en la nube (5.23), preparación de las TIC para la continuidad del negocio (5.30), monitoreo de la seguridad física (7.4), gestión de la configuración (8.9), eliminación de información (8.10), enmascaramiento de datos (8.11), prevención de fuga de datos (8.12), actividades de monitoreo (8.16), filtrado web (8.23) y codificación segura (8.28).

La Declaración de Aplicabilidad

Es el documento que une los riesgos con los controles. Para cada uno de los 93 controles indica si se aplica, por qué se incluye o se excluye y si está implementado. Es uno de los documentos que más revisa el auditor.

La documentación obligatoria de ISO 27001

La norma exige conservar información documentada en puntos concretos. Esta es la lista mínima:

Además, varios controles del Anexo A suelen requerir documentos propios, como el inventario de activos, la política de uso aceptable, el procedimiento de gestión de incidentes y el registro de requisitos legales y contractuales.

Los requisitos en el contexto de Latinoamérica

Requisitos legales y partes interesadas

La cláusula 4.2 y el control 5.31 piden identificar los requisitos legales, regulatorios y contractuales. En la región, eso incluye las leyes de protección de datos de cada país donde se opera, las normas de los reguladores sectoriales (por ejemplo, los bancos centrales y superintendencias financieras) y las cláusulas de seguridad que imponen los clientes en sus contratos.

Nube y proveedores

Muchas empresas de la región operan casi por completo sobre servicios en la nube y herramientas SaaS. El control 5.23, nuevo en 2022, exige gestionar la seguridad de esos servicios, y la cláusula 8.1 pide controlar los procesos provistos por terceros. En la práctica, significa documentar qué controla cada proveedor y qué sigue en manos de la empresa.

Versiones en español

Varios organismos nacionales de normalización publican la norma en español, como IRAM en Argentina, INN en Chile, ICONTEC en Colombia o INACAL en Perú. Son útiles para trabajar con el equipo, pero conviene verificar que correspondan a la edición 2022.

Certificación acreditada

El cumplimiento de estos requisitos lo verifica un organismo certificador acreditado para ISO 27001. La acreditación puede otorgarla una entidad local, como el OAA, el INN, la EMA, el ONAC o el INACAL, o una extranjera, como UKAS o ANAB.

Desafíos frecuentes al cumplir los requisitos