¿Qué es la ISO/IEC 27001 y para qué sirve?
ISO/IEC 27001 es la norma internacional para sistemas de gestión de seguridad de la información (SGSI). Define cómo una organización identifica los riesgos para la seguridad de la información, elige controles para tratarlos y mejora el sistema de forma continua.
La edición actual, ISO/IEC 27001:2022, contiene los requisitos del sistema de gestión en las cláusulas 4–10 y 93 controles de referencia en el Anexo A, agrupados en cuatro temas: organizativos, de personas, físicos y tecnológicos. El certificado lo emite un organismo de certificación acreditado tras una auditoría en dos etapas y se mantiene con auditorías de seguimiento anuales en un ciclo de tres años.
¿Quién necesita la certificación ISO 27001?
- Empresas SaaS y de TI cuyos clientes piden pruebas de seguridad en licitaciones y cuestionarios de proveedores
- Empresas de desarrollo de software y outsourcing con clientes en la UE, Reino Unido o EE. UU.
- Fintech, empresas cripto y de pagos que se preparan para DORA o para la due diligence de socios
- Centros de datos, hosting y proveedores de servicios gestionados
- Organizaciones que deben cumplir el Esquema Nacional de Seguridad (ENS) o NIS2 y quieren un marco reconocido
Qué comprueba la autoevaluación gratuita de ISO 27001
Las preguntas siguen la estructura que usa el auditor, así que los resultados se corresponden con lo que se revisará en la auditoría ISO 27001:
- Contexto, alcance y partes interesadas (cláusula 4)
- Liderazgo, política de seguridad de la información y roles (cláusula 5)
- Evaluación y tratamiento de riesgos y declaración de aplicabilidad (cláusula 6)
- Recursos, competencia, concienciación e información documentada (cláusula 7)
- Controles del Anexo A: control de acceso, gestión de activos, seguridad de proveedores, incidentes, copias de seguridad, desarrollo seguro y más
- Seguimiento, auditoría interna y revisión por la dirección (cláusula 9) y acciones correctivas (cláusula 10)
Brechas típicas antes de una auditoría ISO 27001
Estos son los problemas que con más frecuencia acaban en no conformidades. La autoevaluación muestra cuáles le afectan para que pueda corregirlos antes de pagar una auditoría.
- Existe una evaluación de riesgos, pero la declaración de aplicabilidad no coincide con ella
- Las políticas están escritas, pero no hay evidencias de que se apliquen: registros, logs, formación
- No se ha hecho auditoría interna ni revisión por la dirección antes de la etapa 1
- No se evalúa la seguridad de proveedores y servicios en la nube
- Los permisos de acceso no se revisan y los antiguos empleados siguen teniendo acceso
ISO 27001 y el Esquema Nacional de Seguridad (ENS)
Las empresas que prestan servicios al sector público en España deben cumplir el ENS (Real Decreto 311/2022). El ENS y la ISO 27001 comparten buena parte de las medidas de seguridad: análisis de riesgos, control de accesos, gestión de incidentes, continuidad y proveedores.
Si ya trabaja con un SGSI según ISO 27001, la adecuación al ENS es mucho más sencilla, aunque el ENS tiene su propia categorización de sistemas (básica, media y alta) y medidas específicas. La autoevaluación ISO 27001 es un buen punto de partida para ver dónde está.
De la autoevaluación a la certificación
La autoevaluación es el primer paso. Si quiere ir más allá, BALTUM, nuestro auditor de IA, realiza una entrevista de auditoría simulada: pide evidencias de cada respuesta y emite un informe de hallazgos con las no conformidades clasificadas como lo haría un auditor.
baltum.ai es un software independiente, no un organismo de certificación. El certificado lo emite el organismo de certificación acreditado que usted elija, y nada en la plataforma influye en su decisión.