ISO 27001

La ISO 27001 es la norma internacional que fija los requisitos para establecer, implantar, mantener y mejorar de forma continua un sistema de gestión de la seguridad de la información (SGSI) dentro de una organización. Es un marco para gestionar el riesgo, no una lista de controles que se marcan.

Sus rasgos definitorios son cuatro. Parte del riesgo: hay que identificar, evaluar y tratar los riesgos de seguridad de forma sistemática. Exige mejora continua, con revisiones periódicas del SGSI. Ayuda al cumplimiento legal y regulatorio dando una estructura donde encajan los controles. Y la certificación, que la emite un organismo independiente, es lo que una organización enseña a sus clientes.

ISO/IEC 27001 certifica un SGSI, un sistema de gestión de la seguridad de la información. Los requisitos de la norma van sobre el sistema: definir el alcance, evaluar el riesgo, seleccionar controles para tratarlo, documentar la selección en una declaración de aplicabilidad y mantener un ciclo continuo de seguimiento y mejora. Los controles en sí viven en el Anexo A, y la revisión de 2022 reestructuró ese anexo en noventa y tres controles agrupados bajo cuatro temas (organizativos, de personas, físicos y tecnológicos). Una norma acompañante, ISO/IEC 27002, da la guía detallada para implantar esos controles. El certificado acredita que el sistema de gestión existe y funciona, decidido por riesgo y evidenciado en operación; no acredita una lista fija de medidas técnicas.

La versión importa porque los certificados y los controles cambian de una edición a otra, y citar ISO 27001 sin la edición deja al cliente sin el único detalle accionable: la norma vigente es la revisión de 2022. Más allá de eso, el malentendido común es tratar la norma como una lista de controles y no como un sistema de gestión, con lo que un equipo implanta los controles del Anexo A y se pierde que la certificación va del proceso que los selecciona, los evidencia y los mejora. Desde el punto de vista de seguridad, el fallo es un SGSI estático: riesgo evaluado una vez al certificarse, controles elegidos y nunca revisados, con lo que el sistema no gestiona nada mientras el certificado sigue en vigor. El valor de la norma es el bucle, y un bucle que da una vuelta no es un bucle.

Varios controles del Anexo A tratan de probar la seguridad y de gestionar las vulnerabilidades técnicas, y la norma exige evidencia de que los controles seleccionados operan de forma eficaz. Las pruebas técnicas aportan esa evidencia: una evaluación demuestra si los controles en los que se apoya el SGSI resisten de verdad un ataque, y el informe se convierte en la prueba que necesitan tanto una entidad de certificación como un proceso interno de riesgo. Nombramos la edición de 2022 en el trabajo y planteamos los hallazgos para que alimenten el tratamiento del riesgo y cualquier obligación vecina, como el ENS o NIS2. Esto son las pruebas que evidencian que tus controles de ISO 27001 funcionan.