Entender la norma ISO/IEC 27001:2022
¿Qué es la ISO 27001 ? ¿Cómo funciona un SGSI, el enfoque basado en riesgos y el ciclo de mejora continua? Información clara y directa para responsables de la toma de decisiones y CISO.
¿Qué es la norma ISO/IEC 27001?
ISO/IEC 27001:2022 es la norma internacional que establece los requisitos para implantar un SGSI y, única de la familia ISO 27000, permite obtener la certificación por parte de un organismo acreditado.
ISO/IEC 27001:2022 es la norma internacional de referencia para la gestión de la seguridad de la información. Publicada conjuntamente por ISO e IEC, define los requisitos para establecer, implantar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información (SGSI). Su versión actual fue publicada por la ISO el 25 de octubre de 2022; la transición desde la edición de 2013 finalizó el 31 de octubre de 2025, y ahora solo son válidos los certificados de 2022. El certificado se expide por 3 años, con una auditoría de seguimiento cada 12 meses; para una pyme, se necesitan aproximadamente 8 meses desde el inicio del proyecto hasta la certificación.
A diferencia de un simple marco técnico, la ISO 27001 adopte une logique de management : elle ne dicte pas une liste figée de mesures à appliquer, mais impose une démarche structurée pour protéger la confidentialité, l'intégrité et la disponibilité de l'information, quelle que soit sa forme (numérique, papier, savoir-faire). C'est aussi la seule norme de la famille ISO 27000 sur laquelle une organisation peut être certifiée par un organisme accrédité. página de ISO/IEC 27001 de PECB, organismo de certificación asociado de BCIT.
¿Cuáles son los pilares de la norma?
El SGSI
Un marco de gobernanza que alinea la seguridad de la información con los objetivos y el contexto de la organización, bajo el impulso de la dirección.
El enfoque basado en riesgos
Identificar, analizar y tratar los riesgos para la información, en lugar de aplicar medidas al azar.
Anexo A / ISO 27002
Un catálogo de 93 controles de seguridad de referencia, que se seleccionan según los riesgos reales.
El ciclo PDCA
Planificar, Hacer, Verificar, Actuar: la seguridad se convierte en un proceso vivo, nunca estático.
¿Cómo funciona el enfoque basado en riesgos?
La organización identifica sus riesgos, decide reducirlos, aceptarlos, evitarlos o compartirlos y justifica cada decisión en la Declaración de Aplicabilidad (SoA).
El núcleo de la ISO 27001 es la evaluación de riesgos. La organización identifica las amenazas y vulnerabilidades que afectan a sus activos de información, evalúa su probabilidad y su impacto y decide cómo tratarlos:
- Reducir el riesgo, implantando una o varias medidas de seguridad del Anexo A.
- Aceptar el riesgo cuando su nivel se considera tolerable en el contexto.
- Evitar el riesgo, renunciando a la actividad o al tratamiento que lo expone.
- Compartir el riesgo, por ejemplo mediante un seguro o un tercero contractual.
Esta lógica garantiza que los esfuerzos y los presupuestos se concentren donde realmente importan. El resultado de este proceso se plasma, en particular, en la Declaración de Aplicabilidad (SoA), que justifica la inclusión o exclusión de cada control del Anexo A.
¿Qué relación tiene con la ISO/IEC 27002?
El Anexo A enumera 93 medidas en 4 temas; la ISO/IEC 27002 es la norma complementaria que detalla cómo implantarlas.
El Anexo A de la ISO 27001:2022 enumera 93 medidas de seguridad agrupadas en 4 temas:
- Organizativas: políticas, funciones, gestión de activos y proveedores, gestión de incidentes.
- Relativas a las personas: concienciación, formación, verificaciones, teletrabajo.
- Físicas: seguridad de las instalaciones, zonas seguras, protección de equipos.
- Tecnológicas: control de acceso, cifrado, registro de actividad, seguridad de la red.
| Tema | Número de medidas |
|---|---|
| Organizativas | 37 |
| Relativas a las personas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
Este anexo es solo un resumen: la norma complementaria ISO/IEC 27002:2022 que detalla, para cada control, su objetivo y las mejores prácticas de implantación. Seleccione los controles pertinentes según los resultados de su evaluación de riesgos. Nada se impone a ciegas.
La versión de 2022 simplificó considerablemente el Anexo A: la versión 2013 contaba con 114 medidas repartidas en 14 categorías; la revisión de 2022 las agrupó en solo 93 medidas y 4 temas, con una estructura más clara.
¿Cómo funciona el ciclo de mejora continua (PDCA)?
Plan: Planificar
Definir el alcance, la política y los objetivos, y evaluar los riesgos de seguridad de la información.
Do: Hacer
Implantar el plan de tratamiento de riesgos y los controles de seguridad seleccionados.
Check: Verificar
Supervisar, medir y realizar auditorías internas y la revisión por la dirección para evaluar la eficacia.
Act: Actuar
Corregir las no conformidades y mejorar continuamente el SGSI a partir de los hallazgos.
¿Cuánto tiempo es válido el certificado?
Una vez obtenido, el certificado tiene una validez de 3 años, sujeto a auditorías de seguimiento anuales realizadas por el organismo de certificación; al cabo de los 3 años, una auditoría de recertificación inicia un nuevo ciclo.
La ISO 27001 no sustituye a la normativa, pero cubre sus fundamentos. La directiva NIS 2 impone así 10 categorías de medidas (artículo 21), cuyo incumplimiento puede acarrear multas de hasta 10 000 000 € o 2 % de la facturación mundial para una entidad esencial, y de 7 000 000 € o 1,4 % para una entidad importante:
«Los Estados miembros velarán por que las entidades esenciales e importantes adopten las medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos que amenacen la seguridad de las redes y los sistemas de información que dichas entidades utilizan en el desarrollo de sus actividades o en la prestación de sus servicios» (Directiva (UE) 2022/2555, artículo 21, apartado 1).
- Políticas de análisis de riesgos y de seguridad de los sistemas de información
- Gestión de incidentes
- Continuidad de las actividades, copias de seguridad, recuperación y gestión de crisis
- Seguridad de la cadena de suministro
- Seguridad de la adquisición, el desarrollo y el mantenimiento de los sistemas, y tratamiento de vulnerabilidades
- Evaluación de la eficacia de las medidas
- Higiene cibernética básica y formación en ciberseguridad
- Criptografía y cifrado
- Seguridad de los recursos humanos, control de acceso y gestión de activos
- Autenticación multifactor y comunicaciones seguras
Las 93 medidas del Anexo A cubren estas 10 categorías, al igual que las 42 medidas de la guía de higiene informática de la ANSSI (publicada el 23 de enero de 2017), que la ANSSI presenta como «una hoja de ruta que responde a los intereses de toda entidad consciente del valor de sus datos».
¿Cuáles son los beneficios de la certificación ISO 27001?
Confianza & negocio
Una prueba reconocida internacionalmente que transmite confianza a clientes, socios y organismos de contratación, y facilita el acceso a licitaciones.
Cumplimiento normativo
Una base sólida para cumplir con RGPD, NIS2, DORA o HDS y reducir su exposición jurídica.
Gestión de riesgos
Menos incidentes, impactos mejor contenidos y mayor resiliencia frente a las ciberamenazas.
¿Quiere saber más sobre ISO 27001?
BCIT Formation le acompaña para comprender la norma y construir su SGSI y aspirar a la certificación — con una valoración de 4,7/5 en Trustpilot. Hablemos 15 minutos sobre su contexto y sus objetivos.
Entender la norma ISO/IEC 27001:2022
¿Qué es la ISO 27001 ? ¿Cómo funciona un SGSI, el enfoque basado en riesgos y el ciclo de mejora continua? Información clara y directa para responsables de la toma de decisiones y CISO.
¿Qué es la norma ISO/IEC 27001?
ISO/IEC 27001:2022 es la norma internacional que establece los requisitos para implantar un SGSI y, única de la familia ISO 27000, permite obtener la certificación por parte de un organismo acreditado.
ISO/IEC 27001:2022 es la norma internacional de referencia para la gestión de la seguridad de la información. Publicada conjuntamente por ISO e IEC, define los requisitos para establecer, implantar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información (SGSI). Su versión actual fue publicada por la ISO el 25 de octubre de 2022; la transición desde la edición de 2013 finalizó el 31 de octubre de 2025, y ahora solo son válidos los certificados de 2022. El certificado se expide por 3 años, con una auditoría de seguimiento cada 12 meses; para una pyme, se necesitan aproximadamente 8 meses desde el inicio del proyecto hasta la certificación.
A diferencia de un simple marco técnico, la ISO 27001 adopte une logique de management : elle ne dicte pas une liste figée de mesures à appliquer, mais impose une démarche structurée pour protéger la confidentialité, l'intégrité et la disponibilité de l'information, quelle que soit sa forme (numérique, papier, savoir-faire). C'est aussi la seule norme de la famille ISO 27000 sur laquelle une organisation peut être certifiée par un organisme accrédité. página de ISO/IEC 27001 de PECB, organismo de certificación asociado de BCIT.
¿Cuáles son los pilares de la norma?
El SGSI
Un marco de gobernanza que alinea la seguridad de la información con los objetivos y el contexto de la organización, bajo el impulso de la dirección.
El enfoque basado en riesgos
Identificar, analizar y tratar los riesgos para la información, en lugar de aplicar medidas al azar.
Anexo A / ISO 27002
Un catálogo de 93 controles de seguridad de referencia, que se seleccionan según los riesgos reales.
El ciclo PDCA
Planificar, Hacer, Verificar, Actuar: la seguridad se convierte en un proceso vivo, nunca estático.
¿Cómo funciona el enfoque basado en riesgos?
La organización identifica sus riesgos, decide reducirlos, aceptarlos, evitarlos o compartirlos y justifica cada decisión en la Declaración de Aplicabilidad (SoA).
El núcleo de la ISO 27001 es la evaluación de riesgos. La organización identifica las amenazas y vulnerabilidades que afectan a sus activos de información, evalúa su probabilidad y su impacto y decide cómo tratarlos:
- Reducir el riesgo, implantando una o varias medidas de seguridad del Anexo A.
- Aceptar el riesgo cuando su nivel se considera tolerable en el contexto.
- Evitar el riesgo, renunciando a la actividad o al tratamiento que lo expone.
- Compartir el riesgo, por ejemplo mediante un seguro o un tercero contractual.
Esta lógica garantiza que los esfuerzos y los presupuestos se concentren donde realmente importan. El resultado de este proceso se plasma, en particular, en la Declaración de Aplicabilidad (SoA), que justifica la inclusión o exclusión de cada control del Anexo A.
¿Qué relación tiene con la ISO/IEC 27002?
El Anexo A enumera 93 medidas en 4 temas; la ISO/IEC 27002 es la norma complementaria que detalla cómo implantarlas.
El Anexo A de la ISO 27001:2022 enumera 93 medidas de seguridad agrupadas en 4 temas:
- Organizativas: políticas, funciones, gestión de activos y proveedores, gestión de incidentes.
- Relativas a las personas: concienciación, formación, verificaciones, teletrabajo.
- Físicas: seguridad de las instalaciones, zonas seguras, protección de equipos.
- Tecnológicas: control de acceso, cifrado, registro de actividad, seguridad de la red.
| Tema | Número de medidas |
|---|---|
| Organizativas | 37 |
| Relativas a las personas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
Este anexo es solo un resumen: la norma complementaria ISO/IEC 27002:2022 que detalla, para cada control, su objetivo y las mejores prácticas de implantación. Seleccione los controles pertinentes según los resultados de su evaluación de riesgos. Nada se impone a ciegas.
La versión de 2022 simplificó considerablemente el Anexo A: la versión 2013 contaba con 114 medidas repartidas en 14 categorías; la revisión de 2022 las agrupó en solo 93 medidas y 4 temas, con una estructura más clara.
¿Cómo funciona el ciclo de mejora continua (PDCA)?
Plan: Planificar
Definir el alcance, la política y los objetivos, y evaluar los riesgos de seguridad de la información.
Do: Hacer
Implantar el plan de tratamiento de riesgos y los controles de seguridad seleccionados.
Check: Verificar
Supervisar, medir y realizar auditorías internas y la revisión por la dirección para evaluar la eficacia.
Act: Actuar
Corregir las no conformidades y mejorar continuamente el SGSI a partir de los hallazgos.
¿Cuánto tiempo es válido el certificado?
Una vez obtenido, el certificado tiene una validez de 3 años, sujeto a auditorías de seguimiento anuales realizadas por el organismo de certificación; al cabo de los 3 años, una auditoría de recertificación inicia un nuevo ciclo.
La ISO 27001 no sustituye a la normativa, pero cubre sus fundamentos. La directiva NIS 2 impone así 10 categorías de medidas (artículo 21), cuyo incumplimiento puede acarrear multas de hasta 10 000 000 € o 2 % de la facturación mundial para una entidad esencial, y de 7 000 000 € o 1,4 % para una entidad importante:
«Los Estados miembros velarán por que las entidades esenciales e importantes adopten las medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos que amenacen la seguridad de las redes y los sistemas de información que dichas entidades utilizan en el desarrollo de sus actividades o en la prestación de sus servicios» (Directiva (UE) 2022/2555, artículo 21, apartado 1).
- Políticas de análisis de riesgos y de seguridad de los sistemas de información
- Gestión de incidentes
- Continuidad de las actividades, copias de seguridad, recuperación y gestión de crisis
- Seguridad de la cadena de suministro
- Seguridad de la adquisición, el desarrollo y el mantenimiento de los sistemas, y tratamiento de vulnerabilidades
- Evaluación de la eficacia de las medidas
- Higiene cibernética básica y formación en ciberseguridad
- Criptografía y cifrado
- Seguridad de los recursos humanos, control de acceso y gestión de activos
- Autenticación multifactor y comunicaciones seguras
Las 93 medidas del Anexo A cubren estas 10 categorías, al igual que las 42 medidas de la guía de higiene informática de la ANSSI (publicada el 23 de enero de 2017), que la ANSSI presenta como «una hoja de ruta que responde a los intereses de toda entidad consciente del valor de sus datos».
¿Cuáles son los beneficios de la certificación ISO 27001?
Confianza & negocio
Una prueba reconocida internacionalmente que transmite confianza a clientes, socios y organismos de contratación, y facilita el acceso a licitaciones.
Cumplimiento normativo
Una base sólida para cumplir con RGPD, NIS2, DORA o HDS y reducir su exposición jurídica.
Gestión de riesgos
Menos incidentes, impactos mejor contenidos y mayor resiliencia frente a las ciberamenazas.
¿Quiere saber más sobre ISO 27001?
BCIT Formation le acompaña para comprender la norma y construir su SGSI y aspirar a la certificación — con una valoración de 4,7/5 en Trustpilot. Hablemos 15 minutos sobre su contexto y sus objetivos.