ISMS

Un SGSI es un sistema de gestión, en el mismo sentido que un sistema de gestión de calidad o ambiental: un alcance definido, un análisis de riesgos, unos controles elegidos, unos procesos documentados y un ciclo de seguimiento y mejora. Arranca de lo que la organización protege (y por eso un inventario de activos es la base), evalúa los riesgos sobre esos activos, selecciona controles para tratarlos, deja constancia de esa selección en una declaración de aplicabilidad, y después opera un bucle continuo de medir, revisar y ajustar. ISO 27001 certifica ese sistema: no que exista una lista fija de controles, sino que la organización ejecuta un proceso vivo para identificar y tratar sus riesgos a lo largo del tiempo.

El malentendido habitual es creer que ISO 27001 es una lista de comprobación de controles, así que los equipos implantan los controles del anexo A y esperan un certificado, sin ver que la norma trata del sistema de gestión que decide, evidencia y mejora esos controles. Un SGSI que solo existe como documentos (un análisis de riesgos escrito una vez, una declaración de aplicabilidad que nadie revisa) satisface el papeleo y no gestiona nada. Desde el punto de vista de la seguridad el fallo es un sistema estático: los riesgos se evalúan al certificarse y nunca más, así que el SGSI no reacciona cuando cambian el parque y la amenaza, y los controles que seleccionó se desalinean de la realidad mientras el certificado sigue vigente.

Un SGSI necesita un análisis de riesgos anclado en lo que de verdad es explotable, y las pruebas técnicas aportan justo esa entrada: un pentesting o un red team convierten riesgos supuestos en riesgos medidos y alimentan con el resultado el tratamiento del riesgo. La evidencia demuestra además que los controles seleccionados operan, que es lo que exigen el sistema de gestión y su certificación. Enunciamos los hallazgos de forma que encajen en el proceso de riesgo del SGSI y en las obligaciones a las que también pueda servir, como NIS2 o el ENS. Esto forma parte de cómo las pruebas alimentan el proceso de riesgo de un SGSI.