Brecha Informada La información es poder
Contacto →
Normativas → ISO/IEC 27001:2022 (3ª Edición)
Enfoque de lectura:

ISO/IEC 27001:2022 · Sistemas de Gestión de la Seguridad de la Información (SGSI)

La norma ISO 27001 define cómo organizar y auditar la seguridad de la información dentro de una institución. Su método se basa en identificar cuáles son los datos y sistemas críticos del negocio, evaluar a qué riesgos están expuestos y aplicar controles concretos para resguardar su confidencialidad, integridad y disponibilidad.

Cláusulas 4 a 10
Requisitos de Gestión
Obligatorias sin exclusión para declarar conformidad.
93 Controles
Anexo A (Normativo)
Agrupados en 4 dominios (alineados con ISO/IEC 27002:2022).
11 Nuevos
Controles Edición 2022
Inteligencia de amenazas, Cloud, DLP, Codificación segura y más.
Anexo SL
Estructura Armonizada
Compatible con ISO 9001, ISO 22301 e ISO 27701.
Introducción · Cláusulas 0, 1, 2 y 3

Cómo se divide la norma y la Familia ISO 27000

Para no perderse leyendo la ISO 27001, lo primero es entender que el documento está dividido en dos partes muy distintas que se complementan entre sí:

// Enfoque Especialista: Cuerpo Normativo vs. Anexo A Las Cláusulas 4 a 10 definen los requisitos del sistema de gestión bajo la estructura de alto nivel (Anexo SL). Conforme a la Cláusula 1 (Alcance), no se acepta la exclusión de ninguno de los requisitos especificados en las Cláusulas 4 a 10. En cambio, los 93 controles del Anexo A se utilizan en el contexto de la Cláusula 6.1.3 como referencia para verificar que no se omitan controles necesarios; aquí sí es posible declarar controles como no aplicables en la Declaración de Aplicabilidad (SoA) con su debida justificación.
// Enfoque Ejecutivo: Gobernanza y Controles La norma separa la gestión directiva (Cláusulas 4 a 10: definir alcance, evaluar riesgos, capacitar al personal, auditar resultados y mejorar continuamente) de las medidas concretas de protección (Anexo A: 93 controles organizativos, de personas, físicos y tecnológicos). Las cláusulas de gestión son todas obligatorias, mientras que los controles técnicos y operativos se seleccionan de forma proporcional a los riesgos reales de la empresa.

Cláusulas 2 y 3 Referencias Normativas y Estándares de Apoyo

A los efectos de este documento, se aplican los términos y definiciones proporcionados en ISO/IEC 27000 (Tecnología de la información — Sistemas de gestión de la seguridad de la información — Visión general y vocabulario), complementados por la familia de estándares citados en su bibliografía:

ISO/IEC 27000
Vocabulario Normativo
Única referencia normativa obligatoria (Cláusula 2).
ISO/IEC 27002:2022
Guía de Implementación
Desarrolla en detalle cómo implementar los 93 controles del Anexo A.
ISO/IEC 27005 & ISO 31000
Gestión de Riesgos
Directrices metodológicas para las Cláusulas 6.1.2, 6.1.3, 8.2 y 8.3.
ISO/IEC 27003 & 27004
Diseño y Métricas
Guía de implementación del SGSI (27003) y monitoreo/medición (27004).
Cláusula 4 · Fase Planificar (PHVA)

4. Contexto de la organización

Establece los cimientos del SGSI identificando los factores internos y externos que condicionan a la organización, las exigencias de sus partes interesadas y los límites exactos de aplicación del sistema.

4.1 Entender la organización y su contexto

La organización debe determinar los problemas externos e internos que sean relevantes para su propósito y que afecten su capacidad para lograr los resultados esperados de su sistema de gestión de seguridad de la información (considerado en la Cláusula 5.4.1 de ISO 31000:2018).

// Criterio Especialista y Evidencia Elaborar un análisis formal de contexto interno (arquitectura tecnológica, deuda técnica, modelo operativo, recursos, cultura) y externo (marco regulatorio, panorama de amenazas del sector, dependencia de proveedores críticos). Evidencia: Matriz de Contexto (FODA/PESTEL) vinculada como entrada a la evaluación de riesgos (6.1.1).
// Lectura Ejecutiva Identifica las condiciones internas y del entorno comercial o legal que pueden afectar la seguridad de la empresa, asegurando que el plan de ciberseguridad responda a la realidad del negocio.

4.2 Comprender las necesidades y expectativas de las partes interesadas

La organización determinará: a) partes interesadas que son relevantes para el SGSI; b) los requisitos pertinentes de estas partes interesadas (incluyendo requisitos legales, reglamentarios y obligaciones contractuales); y c) cuál de estos requisitos se abordará a través del SGSI.

// Criterio Especialista y Evidencia Documentar la Matriz de Partes Interesadas (clientes, reguladores, accionistas, empleados, proveedores) desglosando sus requisitos específicos (SLAs, cláusulas de seguridad, leyes de protección de datos y ciberseguridad) y su trazabilidad con el control A.5.31.
// Lectura Ejecutiva Mapea qué exigen los clientes en sus contratos, qué obligan las leyes vigentes y qué esperan los socios y colaboradores en materia de protección de información.

4.3 Determinación del alcance del SGSI

Información Documentada Obligatoria

La organización debe determinar los límites y la aplicabilidad del SGSI para establecer su alcance, considerando las cuestiones internas/externas (4.1), los requisitos de partes interesadas (4.2) y las interfaces y dependencias entre las actividades realizadas por la organización y las de otras organizaciones.

// Criterio Especialista y Evidencia Redactar el Documento de Alcance definiendo con precisión los procesos de negocio, ubicaciones físicas/teletrabajo, infraestructura TI, aplicaciones y límites de interfaz con terceros (proveedores IaaS/SaaS). De este documento se desprende la redacción exacta que figurará en el certificado oficial.
// Lectura Ejecutiva Define exactamente qué procesos, áreas, sucursales o servicios de la empresa quedan cubiertos bajo el sistema de gestión y futura certificación.

4.4 Sistema de gestión de seguridad de la información

La organización debe establecer, implementar, mantener y mejorar continuamente un SGSI, incluidos los procesos necesarios y sus interacciones, de acuerdo con los requisitos de este documento.

// Criterio Especialista y Evidencia Definir el mapa de procesos del SGSI y su integración con los procesos corporativos existentes (Compras, RR.HH., Legal, TI, Operaciones), asegurando trazabilidad de entradas, salidas e indicadores.
// Lectura Ejecutiva Integra la seguridad de la información dentro del flujo habitual de trabajo de la empresa como un proceso permanente de gestión y mejora.
Cláusula 5 · Fase Planificar (PHVA)

5. Liderazgo

Establece las responsabilidades directas e indelegables de la Alta Dirección respecto a la alineación estratégica del SGSI, la aprobación de la Política de Seguridad y la asignación de autoridades.

5.1 Liderazgo y compromiso

La alta dirección deberá demostrar liderazgo y compromiso garantizando que la política y los objetivos estén establecidos y sean compatibles con la dirección estratégica, asegurando la integración de requisitos en los procesos, proveyendo los recursos necesarios, comunicando la importancia del cumplimiento y promoviendo la mejora continua.

// Criterio Especialista y Evidencia En auditoría de certificación, el auditor entrevista directamente a la Alta Dirección para validar su involucramiento. Evidencia: actas del Comité de Seguridad, asignación presupuestaria, revisión de objetivos estratégicos y comunicaciones institucionales patrocinadas por Dirección.
// Lectura Ejecutiva Exige el respaldo activo de la Gerencia General y el Directorio: alinear la seguridad con los objetivos del negocio, aprobar recursos y respaldar la autoridad del sistema ante todas las áreas.

5.2 Política

Información Documentada Obligatoria

La alta dirección debe establecer una política de seguridad de la información que: a) sea apropiada al propósito de la organización; b) incluya objetivos de seguridad o proporcione el marco para establecerlos; c) incluya el compromiso de satisfacer los requisitos aplicables; y d) incluya el compromiso de mejora continua del SGSI. Debe estar documentada, comunicada internamente y disponible a las partes interesadas.

// Criterio Especialista y Evidencia Verificar que el texto de la Política General contenga explícitamente los compromisos `a)` a `d)` exigidos por la subcláusula `5.2`. Evidencia: documento aprobado y firmado por la Alta Dirección, publicación en intranet/portal y registro de toma de conocimiento por el personal.
// Lectura Ejecutiva Es la declaración oficial firmada por la Alta Dirección que fija las directrices superiores de seguridad de la información y el compromiso de cumplimiento para toda la organización.

5.3 Funciones, responsabilidades y autoridades de la organización

La alta dirección debe asegurarse de que las responsabilidades y autoridades de los roles relevantes se asignen y comuniquen dentro de la organización, asignando la responsabilidad y autoridad para: a) garantizar que el SGSI se ajuste a los requisitos de este documento; y b) informar sobre el desempeño del SGSI a la alta dirección.

// Criterio Especialista y Evidencia Formalizar el nombramiento del responsable del SGSI (CISO / Oficial de Seguridad de la Información), Comité de Seguridad, Propietarios de Riesgo y Auditores Internos. Evidencia: acta de designación, organigrama y perfiles de cargo actualizados (vinculado con A.5.2).
// Lectura Ejecutiva Designa formalmente quién lidera el sistema de seguridad, quiénes integran el comité y qué responsabilidades tiene cada jefatura frente al cumplimiento de la norma.
Cláusula 6 · Fase Planificar (PHVA)

6. Planificación (Evaluación y Tratamiento de Riesgos, SoA y Objetivos)

Núcleo metodológico del SGSI: define los criterios de riesgo, la identificación y valoración de escenarios sobre la confidencialidad, integridad y disponibilidad, la selección de controles, la Declaración de Aplicabilidad (SoA) y los objetivos medibles.

6.1.1 y 6.1.2 Acciones para abordar riesgos y Evaluación de riesgos de seguridad

Información Documentada Obligatoria

Definir y aplicar un proceso de evaluación de riesgos que: a) establezca criterios de aceptación del riesgo y criterios para realizar evaluaciones; b) asegure que evaluaciones repetidas produzcan resultados consistentes, válidos y comparables; c) identifique riesgos asociados a la pérdida de confidencialidad, integridad y disponibilidad dentro del alcance e identifique a los propietarios del riesgo; d) analice consecuencias potenciales y probabilidad realista para determinar niveles de riesgo; y e) compare los resultados contra los criterios para priorizar el tratamiento.

// Criterio Especialista y Evidencia Documentar el Procedimiento/Metodología de Gestión de Riesgos (alineado con ISO/IEC 27005 e ISO 31000) definiendo escalas de impacto, escalas de probabilidad, fórmula de riesgo inherente y residual, umbral de apetito/aceptación del riesgo y asignación nominal de Propietarios de Riesgo por proceso o activo.
// Lectura Ejecutiva Establece una regla objetiva para identificar qué amenazas pueden afectar a los activos críticos del negocio, medir su impacto y probabilidad, definir qué nivel de riesgo es aceptable para la Dirección y asignar un responsable a cada riesgo.

6.1.3 Tratamiento de riesgos y Declaración de Aplicabilidad (SoA)

Información Documentada Obligatoria

Definir y aplicar un proceso de tratamiento de riesgos para: a) seleccionar opciones apropiadas de tratamiento; b) determinar todos los controles necesarios; c) compararlos con los del Anexo A verificando que no se hayan omitido controles necesarios; d) producir una Declaración de Aplicabilidad (SoA) que contenga los controles necesarios, justificación de inclusión, estado de aplicación y justificación de exclusiones; e) formular un plan de tratamiento de riesgos; y f) obtener la aprobación del plan y la aceptación de los riesgos residuales por los propietarios de riesgos.

// Criterio Especialista y Evidencia La Declaración de Aplicabilidad (SoA) es la pieza central de toda auditoría ISO 27001. Debe listar los 93 controles del Anexo A con trazabilidad hacia los riesgos que mitigan, justificación de inclusión/exclusión y estado de implementación. Asimismo, el Plan de Tratamiento de Riesgos (PTR) y el riesgo residual deben contar con aprobación formal documentada de los Propietarios del Riesgo (`6.1.3 f)`).
// Lectura Ejecutiva Para cada riesgo relevante se define una decisión (mitigarlo con controles, transferirlo, evitarlo o aceptarlo). Se documenta qué controles de los 93 de la norma aplica la empresa (Declaración de Aplicabilidad) y los dueños de cada área aprueban el plan de acción y el riesgo remanente.

6.2 y 6.3 Objetivos de seguridad de la información y Planificación de cambios

Información Documentada Obligatoria

Establecer objetivos de seguridad coherentes con la política, medibles (si es factible), monitoreados, comunicados y actualizados, determinando qué se hará, qué recursos se requerirán, quién será responsable, cuándo se completará y cómo se evaluarán los resultados (`6.2`). Cuando se determine la necesidad de cambios en el SGSI, estos deben llevarse a cabo de manera planificada (`6.3`).

// Criterio Especialista y Evidencia Documentar la Matriz de Objetivos del SGSI asegurando que cada objetivo contenga las cinco variables obligatorias (`6.2 h)` a `l)`): plan de acción, recursos asignados, responsable, plazo de cumplimiento y métrica de evaluación.
// Lectura Ejecutiva Traduce la política general en metas anuales cuantificables con responsable, presupuesto y fecha de cumplimiento, asegurando además que cualquier cambio estructural al sistema se ejecute de forma planificada.
Cláusula 7 · Fase Planificar / Hacer (PHVA)

7. Soporte (Recursos, Competencia, Conciencia y Control Documental)

Asegura que el SGSI disponga de los recursos humanos, técnicos y financieros, que el personal cuente con las competencias verificables y que la documentación del sistema esté controlada.

7.1 y 7.2 Recursos y Competencia

Información Documentada Obligatoria

Determinar y proporcionar los recursos necesarios (`7.1`); determinar la competencia necesaria de las personas que realizan trabajos bajo su control que afectan al desempeño del SGSI, garantizar que sean competentes por educación, formación o experiencia, tomar acciones para adquirir la competencia y evaluar la efectividad de dichas acciones, conservando información documentada como evidencia (`7.2`).

// Criterio Especialista y Evidencia Definir matriz de competencias para roles clave del SGSI (CISO, Administradores TI, Auditores Internos, Comité), respaldada por CVs, certificados profesionales, plan anual de capacitación y evaluación de eficacia post-capacitación.
// Lectura Ejecutiva Garantiza que las personas a cargo de operar y supervisar la seguridad cuenten con la formación y experiencia requeridas, conservando respaldo de sus calificaciones y capacitaciones.

7.3 y 7.4 Conciencia y Comunicación

Las personas que realicen trabajos bajo el control de la organización deben ser conscientes de la política de seguridad, su contribución a la eficacia del SGSI y las implicaciones de no cumplir (`7.3`). La organización debe determinar las comunicaciones internas y externas relevantes: qué comunicar, cuándo, con quién y cómo (`7.4`).

// Criterio Especialista y Evidencia Ejecutar campañas continuas de concientización y mantener una Matriz de Comunicación Interna y Externa del SGSI que especifique eventos disparadores, voceros autorizados, destinatarios y canales formales.
// Lectura Ejecutiva Asegura que todo el personal comprenda las políticas de seguridad y las consecuencias de incumplirlas, y define cómo se comunican los temas de seguridad dentro y fuera de la empresa.

7.5 Información documentada (7.5.1, 7.5.2 y 7.5.3)

Gobernanza Documental

El SGSI debe incluir la información documentada requerida por la norma y la necesaria para su eficacia (`7.5.1`), garantizando identificación, formato, revisión y aprobación al crearla o actualizarla (`7.5.2`), y controlando su disponibilidad, protección, distribución, acceso, almacenamiento, control de cambios, retención y disposición (`7.5.3`).

// Criterio Especialista y Evidencia Establecer el Procedimiento de Control de Información Documentada y el Listado Maestro de Documentos y Registros, controlando historial de versiones, flujos de aprobación, permisos de lectura/edición e identificación de documentos de origen externo.
// Lectura Ejecutiva Ordena y controla todas las políticas, procedimientos y registros para asegurar que el personal siempre utilice la versión vigente y autorizada.
Cláusula 8 · Fase Hacer (PHVA)

8. Operación

Ejecución práctica de los procesos del SGSI, control de cambios operativos, supervisión de servicios contratados externamente y aplicación periódica de la evaluación y el plan de tratamiento de riesgos.

8.1, 8.2 y 8.3 Planificación y control operativo, Evaluación y Tratamiento de riesgos

Información Documentada Obligatoria

Planificar, implementar y controlar los procesos necesarios para cumplir los requisitos, controlar los cambios planificados y no deseados, y controlar los procesos, productos o servicios proporcionados externamente (`8.1`); realizar evaluaciones de riesgos a intervalos planificados o ante cambios significativos (`8.2`); e implementar el plan de tratamiento de riesgos conservando información documentada de los resultados (`8.3`).

// Criterio Especialista y Evidencia Generar y resguardar la evidencia operativa continua del SGSI: tickets de gestión de cambios, reportes de vulnerabilidades, actas de pruebas de restauración de backups, revisiones de proveedores, actualizaciones de la Matriz de Riesgos y seguimiento del estado de ejecución del Plan de Tratamiento de Riesgos (PTR).
// Lectura Ejecutiva Pone en marcha la operación diaria de los controles planificados, controla los servicios tercerizados y mantiene actualizada la evaluación de riesgos frente a cualquier cambio relevante en la organización.
Cláusula 9 · Fase Verificar (PHVA)

9. Evaluación del desempeño

Verificación objetiva del funcionamiento y eficacia del SGSI a través de métricas de desempeño, auditorías internas independientes y la revisión formal por parte de la Alta Dirección.

9.1 Seguimiento, medición, análisis y evaluación

Información Documentada Obligatoria

Determinar qué procesos y controles monitorear y medir; los métodos de seguimiento, medición, análisis y evaluación para garantizar resultados válidos, comparables y reproducibles; cuándo y quién debe monitorear y medir; y cuándo y quién analizará y evaluará los resultados.

// Criterio Especialista y Evidencia Diseñar fichas de indicadores (KPIs/KRIs alineados con ISO/IEC 27004) que separen explícitamente la fórmula de medición, la frecuencia, el responsable de captura del dato (`9.1 d)`) y el responsable de análisis y evaluación (`9.1 f)`), conservando los reportes periódicos.
// Lectura Ejecutiva Mide con indicadores objetivos si los controles y procesos de seguridad están cumpliendo su propósito y entregando los resultados esperados.

9.2 Auditoría interna (9.2.1 y 9.2.2)

Información Documentada Obligatoria

Realizar auditorías internas a intervalos planificados para verificar si el SGSI es conforme con los requisitos propios de la organización y con los de la norma ISO/IEC 27001, planificando programas de auditoría, definiendo criterios y alcance, seleccionando auditores que garanticen objetividad e imparcialidad e informando los resultados a la dirección.

// Criterio Especialista y Evidencia Documentar el Programa Anual de Auditoría Interna, Plan de Auditoría, acreditación de competencia e independencia del equipo auditor (un responsable no puede auditar su propio trabajo) e Informe de Auditoría Interna cubriendo Cláusulas 4–10 y controles aplicables del Anexo A.
// Lectura Ejecutiva Revisa periódicamente y de forma imparcial todo el sistema de seguridad para detectar desviaciones y corregirlas antes de las auditorías externas de certificación.

9.3 Revisión por la dirección (9.3.1, 9.3.2 y 9.3.3)

Información Documentada Obligatoria

La alta dirección debe revisar el SGSI a intervalos planificados para garantizar su idoneidad, adecuación y eficacia continuas, considerando obligatoriamente las entradas especificadas en `9.3.2 a)` a `g)` y documentando las decisiones y oportunidades de mejora continua (`9.3.3`).

// Criterio Especialista y Evidencia Estructurar el Acta de Revisión por la Dirección conteniendo taxativamente cada punto de entrada de `9.3.2` (estado de revisiones previas, cambios de contexto y partes interesadas, desempeño de no conformidades, métricas, auditorías, objetivos, evaluación y plan de tratamiento de riesgos) y las decisiones ejecutivas de salida (`9.3.3`).
// Lectura Ejecutiva Instancia formal donde la Alta Dirección evalúa el desempeño integral del sistema de seguridad, revisa los riesgos e indicadores del periodo y aprueba las mejoras y recursos necesarios.
Cláusula 10 · Fase Actuar (PHVA)

10. Mejora

Cierra el ciclo de mejora continua exigiendo el tratamiento formal de las no conformidades mediante acciones inmediatas de corrección y análisis de causa raíz para prevenir su recurrencia.

10.1 y 10.2 Mejora continua, No conformidad y acción correctiva

Información Documentada Obligatoria

La organización debe mejorar continuamente la idoneidad, adecuación y eficacia del SGSI (`10.1`). Cuando ocurra una no conformidad, debe reaccionar para controlarla y corregirla, evaluar la necesidad de acciones para eliminar las causas (revisando la no conformidad, determinando sus causas y evaluando si existen o podrían ocurrir no conformidades similares), implementar las acciones necesarias y revisar la efectividad de las acciones correctivas tomadas (`10.2`).

// Criterio Especialista y Evidencia Distinguir en el registro de hallazgos entre Corrección (acción inmediata sobre el síntoma) y Acción Correctiva (acción sobre la causa raíz determinada mediante 5 Porqués o Ishikawa para impedir su repetición), documentando la verificación posterior de eficacia antes de cerrar el hallazgo.
// Lectura Ejecutiva Asegura que ante cualquier incumplimiento o hallazgo de auditoría no solo se solucione el problema puntual, sino que se corrija la causa de fondo en el proceso para que no vuelva a repetirse.
Referencia Rápida de Auditoría

Los 12 Documentos y Registros Obligatorios en ISO/IEC 27001:2022

Relación completa de las cláusulas donde el texto normativo exige expresamente conservar "información documentada":

Cláusula Información Documentada Exigida Propósito en el SGSI y Auditoría
4.3 Alcance del SGSI Delimitación de procesos, ubicaciones, activos e interfaces aplicables.
5.2 Política de Seguridad de la Información Directriz superior aprobada por la Alta Dirección y comunicada.
6.1.2 Proceso de Evaluación de Riesgos Metodología, escalas y criterios de aceptación de riesgo.
6.1.3 Proceso de Tratamiento de Riesgos Procedimiento de selección de controles y aprobación de riesgo residual.
6.1.3 d) Declaración de Aplicabilidad (SoA) Justificación de inclusión/exclusión y estado de los 93 controles del Anexo A.
6.2 Objetivos de Seguridad de la Información Metas medibles y planificación para alcanzarlas.
7.2 d) Evidencia de Competencia Respaldo de educación, formación o experiencia de roles clave.
8.1 Control Operacional Evidencia de que los procesos y controles se han ejecutado según lo planeado.
8.2 y 8.3 Resultados de Evaluación y Tratamiento de Riesgos Matriz de riesgos evaluada y estado de ejecución del Plan de Tratamiento.
9.1 Resultados de Seguimiento y Medición Registros de medición y evaluación de indicadores de desempeño.
9.2 Programa y Resultados de Auditoría Interna Planificación e informes de las auditorías internas ejecutadas.
9.3 y 10.2 Revisión por la Dirección y Acciones Correctivas Acta ejecutiva de revisión y registro de tratamiento de no conformidades.
Anexo A (Normativo) · Alineado con ISO/IEC 27002:2022

Explorador Completo de los 93 Controles del Anexo A

Referencia completa del Cuadro A.1 de ISO/IEC 27001:2022. Cada control presenta su texto normativo oficial y se adapta dinámicamente al enfoque seleccionado arriba (Especialista o Ejecutivo).

Mostrando 93 de 93 controles