ISO/IEC 27001: seguridad de la información y certificación
ISO/IEC 27001 establece los requisitos para implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información. Ayuda a las organizaciones a identificar y tratar riesgos que pueden afectar la confidencialidad, integridad y disponibilidad de la información.
La norma puede aplicarse a organizaciones de cualquier tamaño y sector, independientemente de que su información se encuentre en sistemas digitales, documentos físicos, servicios en la nube, dispositivos, instalaciones o conocimiento de las personas.
Explorar todas las certificaciones ISO →
¿Qué es ISO/IEC 27001 y para qué sirve?
ISO/IEC 27001 es la norma internacional que define los requisitos para un Sistema de Gestión de Seguridad de la Información, también conocido como SGSI. Su propósito es integrar la seguridad de la información dentro de la gestión de la organización mediante un enfoque basado en riesgos.
Un SGSI permite determinar qué información necesita protección, comprender las amenazas y vulnerabilidades relevantes, seleccionar tratamientos, asignar responsabilidades, evaluar resultados y mejorar continuamente.
La certificación evalúa el sistema de gestión dentro de un alcance definido. No garantiza que nunca ocurran incidentes, filtraciones o interrupciones.
ISO/IEC 27001 de un vistazo
Datos esenciales sobre la edición vigente, el alcance del SGSI y su relación con los controles de seguridad.
| Nombre | ISO/IEC 27001 — Sistemas de gestión de la seguridad de la información |
|---|---|
| Edición vigente | ISO/IEC 27001:2022, tercera edición |
| Enmienda | ISO/IEC 27001:2022/Amd 1:2024 |
| Ediciones anteriores | ISO/IEC 27001:2005 e ISO/IEC 27001:2013, retiradas |
| Tipo de certificación | Certificación de un sistema de gestión dentro de un alcance definido |
| Aplicación | Organizaciones de cualquier tamaño, sector o naturaleza |
| Enfoque | Gestión de riesgos de seguridad de la información |
| Principios centrales | Confidencialidad, integridad y disponibilidad |
| Anexo A | Conjunto de referencia de 93 controles |
| Temas de controles | Organizacionales, personas, físicos y tecnológicos |
| Documento clave | Declaración de Aplicabilidad |
| Integración | Puede coordinarse con otros sistemas de gestión ISO |
ISO/IEC 27001:2022 y su Enmienda 1:2024 constituyen la referencia publicada vigente. La edición 2013 está retirada y no debe presentarse como la versión actual.
Confidencialidad, integridad y disponibilidad
La seguridad de la información no consiste únicamente en impedir accesos. El SGSI busca preservar propiedades necesarias para que la información mantenga su valor y pueda utilizarse de manera confiable.
Confidencialidad
La información solo debe ser accesible para personas, procesos, servicios o sistemas autorizados.
- Control de acceso
- Clasificación de información
- Autenticación
- Cifrado
- Acuerdos de confidencialidad
Integridad
La información debe mantenerse exacta, completa y protegida frente a modificaciones no autorizadas, errores o destrucción indebida.
- Control de cambios
- Validaciones
- Registros
- Firmas digitales
- Protección frente a malware
Disponibilidad
La información y los recursos asociados deben estar accesibles para las partes autorizadas cuando sean necesarios.
- Respaldo
- Redundancia
- Continuidad
- Capacidad
- Recuperación
Según el contexto, también pueden resultar relevantes propiedades como autenticidad, trazabilidad, responsabilidad y no repudio.
¿Qué información puede proteger un SGSI?
La información puede existir y circular en múltiples formatos. Limitar el SGSI a servidores o computadoras dejaría fuera riesgos relacionados con documentos, personas, terceros y procesos.
Información digital
Bases de datos, archivos, correos electrónicos, aplicaciones, configuraciones, registros y propiedad intelectual.
Información física
Contratos, expedientes, planos, reportes, archivos, respaldos y documentos impresos.
Conocimiento de las personas
Experiencia, procesos, credenciales, decisiones, relaciones comerciales e información aprendida durante el trabajo.
Servicios y plataformas
Servicios en la nube, software como servicio, centros de datos, telecomunicaciones y plataformas de terceros.
Proveedores
Información compartida, accesos remotos, servicios externalizados, cadenas de suministro y dependencias críticas.
Dispositivos e infraestructura
Equipos, redes, dispositivos móviles, medios removibles, instalaciones y sistemas de soporte.
El alcance del SGSI debe definir con claridad qué unidades, procesos, ubicaciones, activos, tecnologías y relaciones quedan cubiertos.
¿Cómo gestiona ISO/IEC 27001 los riesgos de seguridad?
El enfoque de ISO/IEC 27001 parte del contexto y de los riesgos de cada organización. No existe una lista universal de controles que deba aplicarse exactamente de la misma manera en todos los casos.
- 01
Definir criterios
Establecer cómo se identificarán, analizarán, evaluarán y aceptarán los riesgos.
- 02
Identificar riesgos
Reconocer información, amenazas, vulnerabilidades, eventos y consecuencias relevantes.
- 03
Analizar riesgos
Valorar probabilidad, impacto y nivel de riesgo mediante criterios consistentes.
- 04
Evaluar riesgos
Comparar los resultados con los criterios y determinar prioridades de tratamiento.
- 05
Seleccionar tratamiento
Decidir si el riesgo se modifica, evita, comparte o retiene según las condiciones aplicables.
- 06
Determinar controles
Seleccionar medidas necesarias y compararlas con el conjunto de referencia del Anexo A.
- 07
Evaluar resultados
Dar seguimiento a riesgos, controles, incidentes, cambios y desempeño del SGSI.
Definir criterios
Identificar riesgos
Analizar riesgos
Evaluar riesgos
Seleccionar tratamiento
Determinar controles
Evaluar resultadosEl objetivo no es eliminar todos los riesgos, sino gestionarlos de acuerdo con criterios, responsabilidades y niveles de aceptación definidos.
¿Cuáles son los principales requisitos de ISO/IEC 27001?
Los requisitos certificables se organizan en los capítulos 4 a 10. Este resumen facilita su comprensión y no sustituye el texto oficial de la norma.
4. Contexto de la organización
Comprender factores internos y externos, identificar requisitos de las partes interesadas, definir el alcance y establecer el SGSI.
5. Liderazgo
Demostrar compromiso de la dirección, establecer una política y asignar responsabilidades y autoridades.
6. Planificación
Abordar riesgos y oportunidades del SGSI, evaluar riesgos de seguridad, definir su tratamiento y establecer objetivos.
- Criterios de riesgo
- Evaluación de riesgos
- Plan de tratamiento
- Objetivos de seguridad
- Declaración de Aplicabilidad
7. Apoyo
Proporcionar recursos, competencia, toma de conciencia, comunicación e información documentada.
8. Operación
Planificar, ejecutar y controlar los procesos necesarios, realizar evaluaciones de riesgos y aplicar el tratamiento previsto.
9. Evaluación del desempeño
Dar seguimiento, medir, analizar y evaluar resultados, además de realizar auditorías internas y revisión por la dirección.
10. Mejora
Atender no conformidades, aplicar acciones correctivas y mejorar continuamente la pertinencia, adecuación y eficacia del SGSI.
Los requisitos concretos deben evaluarse con base en el texto oficial de ISO/IEC 27001 y en el alcance definido por la organización.
¿Qué es el Anexo A de ISO/IEC 27001?
El Anexo A contiene un conjunto de referencia de 93 controles de seguridad de la información. Su función es ayudar a comprobar que, durante el tratamiento de riesgos, no se hayan omitido controles necesarios.
Los controles se organizan en cuatro temas. La organización debe determinar cuáles son necesarios, justificar su aplicabilidad y considerar controles adicionales cuando sus riesgos o requisitos lo exijan.
Controles organizacionales
Incluyen políticas, roles, gestión de activos, relaciones con proveedores, incidentes, continuidad, cumplimiento y otros elementos de gobierno.
Controles de personas
Consideran responsabilidades antes, durante y después de la relación laboral, toma de conciencia, trabajo remoto y reporte de eventos.
Controles físicos
Abordan perímetros, accesos, áreas seguras, equipos, medios, servicios de soporte y protección física.
Controles tecnológicos
Incluyen identidades, autenticación, accesos, configuración, malware, respaldos, registros, redes, desarrollo seguro y protección de datos.
Los 93 controles no constituyen una lista automática de implementación. Su selección debe derivarse de los riesgos, requisitos y decisiones de tratamiento de la organización.
¿Qué es la Declaración de Aplicabilidad?
La Declaración de Aplicabilidad, conocida como SoA por sus siglas en inglés, relaciona los controles necesarios para tratar los riesgos de seguridad de la información dentro del alcance del SGSI.
- Qué controles son necesarios
- Por qué se incluyen
- Por qué se excluyen controles de referencia
- Cuál es su estado de implementación
- Cómo se relacionan con el tratamiento de riesgos
La Declaración de Aplicabilidad no es una copia del Anexo A ni una lista para marcar controles. Debe reflejar las decisiones reales de riesgo y tratamiento de la organización.
Diferencia entre ISO/IEC 27001 e ISO/IEC 27002
ISO/IEC 27001
Establece requisitos para crear, operar, mantener y mejorar un SGSI. Es la norma utilizada para evaluar y certificar el sistema de gestión.
ISO/IEC 27002
Proporciona orientación y buenas prácticas para seleccionar, implementar y gestionar controles de seguridad de la información.
ISO/IEC 27001 define qué debe cumplir el sistema de gestión. ISO/IEC 27002 ayuda a comprender y aplicar controles, pero no sustituye los requisitos certificables de ISO/IEC 27001.
Seguridad de la información y ciberseguridad: ¿son lo mismo?
Seguridad de la información
Protege información en cualquier formato y considera personas, procesos, documentos físicos, tecnología, instalaciones y proveedores.
Ciberseguridad
Se concentra especialmente en riesgos relacionados con sistemas, redes, servicios digitales, dispositivos y actividades en el ciberespacio.
La ciberseguridad forma parte importante de la seguridad de la información, pero un SGSI ISO/IEC 27001 tiene un alcance organizacional más amplio.
Beneficios que puede aportar ISO/IEC 27001
Los resultados dependen del contexto, la madurez y la aplicación efectiva del SGSI. ISO/IEC 27001 puede contribuir a:
Gestión de requisitos legales y contractuales
Ayuda a identificar, organizar y dar seguimiento a requisitos de seguridad de la información aplicables a la organización.
Mayor confianza de clientes y socios
Permite demostrar que la organización gestiona la seguridad mediante un sistema evaluado dentro de un alcance definido.
Mejor preparación ante incidentes
Puede reducir la probabilidad o el impacto de determinados incidentes mediante controles, responsabilidades, seguimiento y mejora.
Procesos y responsabilidades más claros
Favorece la definición de políticas, roles, decisiones, documentación y mecanismos de seguimiento relacionados con la seguridad.
¿Qué organizaciones pueden aplicar ISO/IEC 27001?
ISO/IEC 27001 puede aplicarse a organizaciones de cualquier tamaño, sector o naturaleza. La necesidad de un SGSI depende de la información gestionada, los servicios ofrecidos, las obligaciones, los riesgos y las expectativas de las partes interesadas.
- Tecnología
- Servicios en la nube
- Finanzas
- Seguros
- Salud
- Gobierno
- Educación
- Telecomunicaciones
- Manufactura
- Logística
- Retail
- Servicios profesionales
- Comercio electrónico
- Centros de datos
- Organizaciones sin fines de lucro
- Proveedores de servicios
Tecnología
Servicios en la nube
Finanzas
Seguros
Salud
Gobierno
Educación
Telecomunicaciones
Manufactura
Logística
Retail
Servicios profesionales
Comercio electrónico
Centros de datos
Organizaciones sin fines de lucro
Proveedores de serviciosEl alcance puede cubrir toda la organización o una parte claramente delimitada, siempre que sus interfaces, dependencias y exclusiones sean comprensibles.
Versiones de ISO/IEC 27001
La edición de 2022 es la referencia publicada vigente. Las versiones de 2005 y 2013 están retiradas.
ISO/IEC 27001:2005
- Primera edición
- Publicada en 2005
- Antecedente histórico
- Sustituida posteriormente
ISO/IEC 27001:2013
- Segunda edición
- Publicada en 2013
- Alineada con la estructura de sistemas de gestión
- Sustituida por ISO/IEC 27001:2022
ISO/IEC 27001:2022
- Tercera edición
- Publicada en octubre de 2022
- Referencia vigente para certificación
- Complementada por la Enmienda 1:2024
Las nuevas evaluaciones y certificaciones deben tomar como referencia ISO/IEC 27001:2022 junto con su Enmienda 1:2024.
Implementación frente a certificación
Diseñar y operar un SGSI es responsabilidad de la organización. Evaluar su conformidad corresponde al organismo de certificación.
| Implementación — organización | Certificación — organismo independiente |
|---|---|
| Define el contexto y el alcance. | Evalúa el alcance y los requisitos aplicables. |
| Identifica información, riesgos y requisitos. | Revisa evidencias y la aplicación del SGSI. |
| Evalúa y trata riesgos. | Realiza auditorías de etapa 1 y etapa 2. |
| Selecciona e implementa controles. | Registra hallazgos y no conformidades. |
| Elabora la Declaración de Aplicabilidad. | Revisa la atención de no conformidades. |
| Asigna responsabilidades y recursos. | Emite una decisión independiente. |
| Opera, mide y mejora el SGSI. | Realiza vigilancia y recertificación. |
Lloyd International evalúa y certifica el SGSI. La organización es responsable de implementarlo, operarlo, mantenerlo y mejorarlo.
¿Cómo es el proceso de certificación ISO/IEC 27001?
El proceso se adapta al alcance, tamaño y complejidad de la organización. La siguiente secuencia es una referencia general.
Solicitud inicial
La organización proporciona información sobre su operación, alcance y SGSI.
OrganizaciónDefinición del alcance
Se delimitan unidades, ubicaciones, procesos, tecnologías y servicios incluidos.
ConjuntoRevisión de información
Se analiza la información necesaria para preparar la propuesta y la evaluación.
LloydPlaneación
Se establece el plan de auditoría según el alcance y la complejidad.
ConjuntoAuditoría de etapa 1
Se revisan el alcance, la preparación, la información documentada y elementos clave del SGSI.
LloydAuditoría de etapa 2
Se evalúan la implementación y eficacia del sistema dentro del alcance.
LloydAtención de no conformidades
La organización analiza y atiende los hallazgos aplicables.
OrganizaciónRevisión y decisión
Se lleva a cabo una revisión independiente y se toma la decisión de certificación.
LloydVigilancia
Se realizan auditorías periódicas durante el ciclo de certificación.
LloydRecertificación
Al concluir el ciclo se realiza una nueva evaluación para renovar la certificación.
Lloyd
El proceso no implica la emisión automática del certificado. La decisión depende de los resultados de la evaluación y de la atención de los hallazgos.
¿Cuánto cuesta y cuánto tarda la certificación ISO/IEC 27001?
No existe un precio ni un plazo únicos. La cotización y la duración dependen del alcance, la complejidad, la preparación del SGSI y las características de la organización.
- Número de personas
- Ubicaciones
- Alcance del SGSI
- Procesos incluidos
- Tecnologías utilizadas
- Servicios en la nube
- Desarrollo de software
- Centros de datos
- Proveedores externos
- Turnos
- Complejidad de redes y sistemas
- Información crítica
- Requisitos legales y contractuales
- Nivel de integración
- Estado de implementación
- Atención de hallazgos
Para preparar una estimación adecuada es necesario definir el alcance y proporcionar información sobre la organización y su SGSI.
ISO/IEC 27001: introducción a la seguridad de la información
Conoce de manera breve cómo ISO/IEC 27001 ayuda a estructurar la gestión de riesgos y la protección de la información dentro de una organización.
¿Por qué certificar ISO/IEC 27001 con Lloyd International?
El proceso de evaluación se desarrolla con orden, trazabilidad y comunicación clara, manteniendo la independencia necesaria para una certificación.
Alcance claramente definido
La evaluación parte de las unidades, procesos, ubicaciones, tecnologías y servicios incluidos.
Planeación proporcional
La auditoría considera el tamaño, complejidad y características del SGSI.
Comunicación de etapas
Las actividades y responsabilidades de cada fase se comunican de manera clara.
Evaluación basada en evidencias
Los hallazgos se documentan con base en información verificable.
Decisión independiente
La decisión de certificación se realiza mediante una revisión separada de la auditoría.
Seguimiento del ciclo
El SGSI se evalúa posteriormente mediante vigilancia y recertificación.
Preguntas frecuentes sobre ISO/IEC 27001
¿Qué es ISO/IEC 27001?
ISO/IEC 27001 es la norma internacional que establece los requisitos para implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información basado en riesgos.
¿Cuál es la versión vigente de ISO/IEC 27001?
La versión vigente es ISO/IEC 27001:2022, tercera edición, complementada por la Enmienda 1:2024. Las ediciones de 2005 y 2013 están retiradas.
¿Qué significa SGSI?
SGSI significa Sistema de Gestión de Seguridad de la Información. Es el conjunto de políticas, procesos, responsabilidades, recursos y controles utilizados para gestionar los riesgos de seguridad dentro de un alcance definido.
¿Qué protege ISO/IEC 27001?
Ayuda a proteger la confidencialidad, integridad y disponibilidad de la información, independientemente de que se encuentre en formato digital, físico o en el conocimiento de las personas.
¿Qué diferencia existe entre ISO/IEC 27001 e ISO/IEC 27002?
ISO/IEC 27001 establece requisitos certificables para un SGSI. ISO/IEC 27002 proporciona orientación y buenas prácticas para seleccionar, implementar y gestionar controles de seguridad.
¿Qué es el Anexo A?
El Anexo A contiene un conjunto de referencia de 93 controles organizados en cuatro temas: organizacionales, personas, físicos y tecnológicos. La organización determina cuáles son necesarios según sus riesgos y requisitos.
¿Qué es la Declaración de Aplicabilidad?
Es el documento que relaciona los controles necesarios para el tratamiento de riesgos, justifica su inclusión o exclusión y refleja su estado de implementación.
¿Es obligatorio aplicar los 93 controles?
No necesariamente. La organización debe seleccionar los controles necesarios según sus riesgos, requisitos y tratamiento, justificar las exclusiones del conjunto de referencia y considerar controles adicionales cuando correspondan.
¿Cualquier organización puede certificarse?
Puede solicitar la certificación cualquier organización que tenga implementado un SGSI y cuente con evidencia suficiente de su funcionamiento dentro del alcance definido.
¿ISO/IEC 27001 garantiza que no habrá incidentes?
No. La certificación no garantiza la ausencia de incidentes. Evalúa si la organización cuenta con un sistema para identificar, tratar, supervisar y mejorar la gestión de sus riesgos de seguridad de la información.
¿Cuánto cuesta la certificación ISO/IEC 27001?
No existe una tarifa única. El costo depende del alcance, las personas, ubicaciones, procesos, tecnologías, servicios, proveedores y complejidad de la organización.
¿Cuánto tarda la certificación?
La duración depende de la preparación del SGSI, el alcance, la complejidad de la organización y la atención de los hallazgos. No existe un plazo único aplicable a todos los casos.
Cotiza la certificación ISO/IEC 27001
Comparte los datos generales de tu organización y el alcance del SGSI que deseas certificar para recibir información sobre el proceso de evaluación.
Teléfono: 55 9000 4190 · Correo: negocios@lloyd-international.com
La solicitud de información no garantiza la certificación. La decisión depende de los resultados del proceso de evaluación.