Toda empresa depende hoy de información que no puede perder, filtrar ni dejar de tener disponible: listas de precios, expedientes de clientes, nómina, diseños, contratos, credenciales de banca electrónica, datos del ERP. ISO 27001 es la norma internacional que permite gestionar la seguridad de la información de una empresa como un sistema, con riesgos identificados, controles proporcionales y evidencia verificable por un tercero independiente.
Esta guía está pensada para directores generales, gerentes de administración y finanzas, responsables de TI y de calidad de empresas de cualquier giro —distribución, manufactura, servicios profesionales, salud, educación— que necesitan entender qué exige realmente ISO/IEC 27001:2022, cómo se estructura un Sistema de Gestión de Seguridad de la Información (SGSI), cuánto esfuerzo implica y qué revisa el auditor. No necesitas ser especialista en ciberseguridad para seguirla.
Qué es ISO 27001 y qué protege en una empresa
ISO/IEC 27001:2022 establece los requisitos para establecer, implementar, mantener y mejorar continuamente un SGSI. Su objetivo es preservar tres propiedades de la información:
Confidencialidad
Que solo accedan quienes están autorizados. Ejemplo: que un vendedor no pueda descargar la base completa de clientes, o que un exempleado no conserve acceso al correo.
Integridad
Que la información sea exacta y completa. Ejemplo: que nadie modifique la cuenta CLABE de un proveedor sin autorización y trazabilidad.
Disponibilidad
Que la información esté accesible cuando se necesita. Ejemplo: que el ERP pueda restaurarse tras un ataque de ransomware dentro del tiempo que la operación tolera.
Enfoque de sistema
No es una lista de herramientas: es un ciclo de planificar, hacer, verificar y actuar, dirigido por la alta dirección y basado en riesgos.
Un punto clave: la norma no protege solo información digital. Expedientes en papel, conversaciones, conocimiento de personas clave e información en manos de proveedores también forman parte del alcance si son relevantes para el negocio.
La edición vigente es ISO/IEC 27001:2022, complementada por la Enmienda 1:2024 sobre cambio climático. El periodo de transición desde la edición 2013, fijado por el IAF en su documento MD 26, terminó el 31 de octubre de 2025; desde entonces los certificados contra la edición anterior ya no son válidos.
Estructura de la norma ISO 27001:2022: cláusulas 4 a 10
ISO/IEC 27001 sigue la Estructura Armonizada común a las normas de sistemas de gestión, por lo que se integra con ISO 9001, ISO 14001 o ISO 45001. Las cláusulas 4 a 10 contienen los requisitos obligatorios; ninguna puede excluirse.
| Cláusula | Tema | Qué debes lograr |
|---|---|---|
| 4 | Contexto de la organización | Entender cuestiones internas y externas, partes interesadas y sus requisitos, y definir el alcance del SGSI (§4.3) |
| 5 | Liderazgo | Compromiso de la dirección, política de seguridad (§5.2) y asignación de roles (§5.3) |
| 6 | Planificación | Apreciación y tratamiento de riesgos (§6.1.2, §6.1.3), Declaración de Aplicabilidad, objetivos (§6.2) y planificación de cambios (§6.3) |
| 7 | Apoyo | Recursos, competencia, toma de conciencia, comunicación e información documentada |
| 8 | Operación | Ejecutar lo planificado, repetir la apreciación de riesgos a intervalos y aplicar el tratamiento (§8.1 a §8.3) |
| 9 | Evaluación del desempeño | Medición (§9.1), auditoría interna (§9.2) y revisión por la dirección (§9.3) |
| 10 | Mejora | Mejora continua (§10.1) y no conformidades con acción correctiva (§10.2) |
Requisito normativo: el alcance define todo
El §4.3 pide determinar los límites y la aplicabilidad del SGSI considerando las cuestiones del contexto, los requisitos de las partes interesadas y las interfaces y dependencias con actividades realizadas por otras organizaciones. El alcance debe estar disponible como información documentada; el certificado reproducirá ese enunciado, así que redáctalo pensando en lo que tus clientes necesitan ver.
El Anexo A: 93 controles organizados en 4 temas
El Anexo A es un catálogo de referencia de controles de seguridad. No todos son obligatorios: la empresa selecciona los necesarios a partir de su tratamiento de riesgos y los compara con el Anexo A para verificar que no omitió ninguno relevante. El resultado se documenta en la Declaración de Aplicabilidad (SoA, por sus siglas en inglés).
| Tema | Numeración | Controles | Ejemplos |
|---|---|---|---|
| Organizacionales | 5.1 a 5.37 | 37 | Políticas (5.1), inventario de activos (5.9), control de acceso (5.15), proveedores (5.19), incidentes (5.24), requisitos legales (5.31) |
| De personas | 6.1 a 6.8 | 8 | Verificación de antecedentes (6.1), concientización y capacitación (6.3), trabajo remoto (6.7), reporte de eventos (6.8) |
| Físicos | 7.1 a 7.14 | 14 | Perímetros (7.1), escritorio y pantalla limpios (7.7), equipos fuera de las instalaciones (7.9), eliminación segura (7.14) |
| Tecnológicos | 8.1 a 8.34 | 34 | Dispositivos de usuario (8.1), malware (8.7), vulnerabilidades (8.8), respaldos (8.13), registro (8.15), criptografía (8.24) |
ISO/IEC 27002:2022 desarrolla cada control con su propósito y guía de implementación, y añade atributos que ayudan a filtrar y agrupar: tipo de control (preventivo, detectivo, correctivo), propiedad protegida (confidencialidad, integridad, disponibilidad), concepto de ciberseguridad (identificar, proteger, detectar, responder, recuperar), capacidad operativa y dominio de seguridad. Esos atributos son útiles para explicar el SGSI a la dirección en términos que ya conoce de otros marcos.
Los 11 controles nuevos de la edición 2022
5.7 Inteligencia de amenazas · 5.23 Seguridad en el uso de servicios en la nube · 5.30 Preparación de las TIC para la continuidad · 7.4 Monitoreo de seguridad física · 8.9 Gestión de la configuración · 8.10 Eliminación de información · 8.11 Enmascaramiento de datos · 8.12 Prevención de fuga de datos · 8.16 Actividades de monitoreo · 8.23 Filtrado web · 8.28 Codificación segura.
Gestión de riesgos de seguridad de la información paso a paso
La gestión de riesgos es el corazón de ISO 27001. La norma no impone un método, pero exige que los criterios estén definidos y que los resultados sean consistentes, válidos y comparables (§6.1.2 b). ISO/IEC 27005:2022 es la guía de referencia y es compatible con ISO 31000:2018.
- Definir criterios. La dirección aprueba escalas de probabilidad e impacto, la fórmula de nivel de riesgo y el umbral de aceptación. Sin criterios aprobados, ningún resultado posterior es defendible.
- Identificar riesgos. Puedes partir de activos (ERP, correo, expedientes) o de escenarios (ransomware, fraude por suplantación de proveedor, fuga por exempleado). Cada riesgo debe tener un dueño con autoridad para decidir sobre él (§6.1.2 c).
- Analizar. Estima consecuencias y probabilidad realistas considerando los controles que ya existen. Evita calificar todo como "alto": pierdes capacidad de priorizar.
- Evaluar. Compara cada nivel con los criterios de aceptación y ordena prioridades.
- Tratar. Elige opciones (modificar, evitar, compartir o retener el riesgo), determina controles, compáralos con el Anexo A y elabora el SoA y el plan de tratamiento (§6.1.3).
- Aprobar el riesgo residual. Los dueños de riesgo aprueban el plan y aceptan formalmente los riesgos residuales (§6.1.3 f).
- Repetir. Realiza la apreciación a intervalos planificados y cuando ocurran cambios significativos (§8.2).
Requisitos clave y evidencia que pide el auditor
Estos son los requisitos que con más frecuencia generan preguntas en una auditoría de certificación y la evidencia que suele resultar suficiente en una empresa mediana:
| Requisito | Pregunta típica del auditor | Evidencia |
|---|---|---|
| §4.3 Alcance | ¿Qué procesos, sedes y sistemas incluye y por qué? | Documento de alcance con interfaces y dependencias |
| §5.2 Política | ¿Cómo la conoce el personal? | Política aprobada, registros de comunicación, evidencia en inducción |
| §6.1.2 / §8.2 Apreciación de riesgos | ¿Con qué criterios evaluaron y quién es dueño de cada riesgo? | Metodología aprobada y resultados con fecha |
| §6.1.3 d) SoA | ¿Por qué excluyeron este control? | SoA con justificación de inclusión/exclusión y estado de implementación |
| §6.2 Objetivos | ¿Cómo miden su avance? | Objetivos medibles con responsable, recursos, plazo y método de evaluación |
| §7.2 / §7.3 Competencia y concientización | ¿Qué formación recibió el personal con acceso a información sensible? | Plan de capacitación, constancias, resultados de simulaciones de phishing |
| Anexo A 5.9 Inventario | ¿Dónde está la información crítica y quién es su dueño? | Inventario de activos de información con clasificación |
| Anexo A 5.18 Derechos de acceso | ¿Cómo se revocan accesos cuando alguien sale? | Procedimiento de altas y bajas, muestreo de bajas recientes |
| Anexo A 8.13 Respaldos | ¿Cuándo fue la última restauración probada? | Política de respaldos y registros de pruebas de restauración |
| §9.2 / §9.3 | ¿Qué decidió la dirección con los resultados? | Informe de auditoría interna, acta de revisión con decisiones y responsables |
La información documentada mínima que exige el cuerpo de la norma incluye: alcance (§4.3), política (§5.2), proceso de apreciación (§6.1.2) y de tratamiento de riesgos (§6.1.3), SoA (§6.1.3 d), objetivos (§6.2), evidencia de competencia (§7.2), información de planificación y control operacional (§8.1), resultados de apreciación y tratamiento (§8.2, §8.3), resultados de seguimiento y medición (§9.1), programa y resultados de auditoría (§9.2), resultados de revisión por la dirección (§9.3) y no conformidades y acciones (§10.2). A eso se suma lo que tu organización determine necesario según sus controles.
Ejemplo resuelto: SGSI en una empresa de distribución
Ejemplo aplicado: "Distribuidora Occidente", 120 colaboradores, comercializadora de refacciones
Contexto. Empresa ficticia con matriz en Guadalajara y dos sucursales. Opera un ERP en la nube, banca electrónica, tienda en línea y un centro de distribución. Un cliente corporativo exige ISO/IEC 27001 en su evaluación de proveedores y la empresa sufrió un intento de fraude por suplantación de proveedor.
Alcance definido. "Gestión de pedidos, facturación, cobranza y pagos a proveedores, incluidos el ERP, la tienda en línea y los procesos de TI que los soportan, en la matriz y sucursales."
| Riesgo | P × I inicial | Controles seleccionados | Residual |
|---|---|---|---|
| Cambio fraudulento de cuenta bancaria de proveedor por correo suplantado | 4 × 5 = 20 | Verificación por segundo canal (5.14), segregación de funciones en alta de cuentas (5.3), concientización (6.3), filtrado de correo (8.7) | 2 × 4 = 8 |
| Ransomware que cifra el ERP y las carpetas compartidas | 3 × 5 = 15 | Respaldos inmutables con restauración probada (8.13), gestión de vulnerabilidades (8.8), protección contra malware (8.7), mínimo privilegio (8.2) | 2 × 3 = 6 |
| Vendedor que se lleva la cartera de clientes al renunciar | 3 × 4 = 12 | Clasificación (5.12), prevención de fuga de datos (8.12), acuerdos de confidencialidad (6.6), revocación oportuna (5.18) | 2 × 3 = 6 |
Criterio de aceptación aprobado: nivel ≤ 8. El riesgo de fraude quedó exactamente en el umbral y el director de finanzas lo aceptó con revisión semestral. El SoA quedó con 84 controles aplicables; las exclusiones (por ejemplo, 8.28 codificación segura y 8.31 separación de ambientes de desarrollo) se justificaron porque la empresa no desarrolla software. Cifras ilustrativas.
Observa que dos de los tres riesgos principales se tratan con controles organizacionales y de personas, no con tecnología costosa. Esa es una lección recurrente: en empresas que no son de TI, los procesos y la concientización suelen dar el mayor retorno.
Indicadores para medir el desempeño del SGSI
| Indicador | Cálculo | Criterio sugerido |
|---|---|---|
| Bajas con acceso revocado a tiempo | Bajas revocadas en ≤ 24 h ÷ bajas totales | 100 % |
| Tasa de clic en simulaciones de phishing | Usuarios que hicieron clic ÷ usuarios evaluados | Tendencia descendente; meta fijada por la dirección |
| Restauraciones exitosas | Pruebas exitosas ÷ pruebas ejecutadas | 100 % dentro del tiempo objetivo |
| Parches críticos aplicados en plazo | Aplicados en plazo ÷ publicados | Plazo definido en tu política |
| Incidentes con causa raíz analizada | Incidentes con análisis ÷ incidentes significativos | 100 % |
| Avance del plan de tratamiento | Acciones cerradas en fecha ÷ acciones programadas | ≥ meta trimestral aprobada |
Hallazgos típicos de auditoría ISO 27001
| Hallazgo | Requisito | Corrección |
|---|---|---|
| Metodología de riesgos sin criterios de aceptación aprobados | §6.1.2 a) | Aprobar criterios en comité y reevaluar riesgos con ellos |
| SoA que declara controles implementados sin evidencia | §6.1.3 d) | Ajustar el estado real y planificar implementación |
| Objetivos de seguridad sin indicador ni seguimiento | §6.2 | Definir métrica, responsable, plazo y revisión periódica |
| Personal que no conoce cómo reportar un incidente | §7.3, Anexo A 6.8 | Canal único de reporte, comunicación y prueba con simulacro |
| Proveedores con acceso al ERP sin acuerdo de confidencialidad | Anexo A 5.19, 5.20, 6.6 | Formalizar cláusulas y revisar accesos de terceros |
| Respaldos que nunca se han restaurado | Anexo A 8.13 | Programa de pruebas de restauración con registro |
| Revisión por la dirección sin todas las entradas requeridas | §9.3.2 | Agenda estándar con todas las entradas y acta con decisiones |
| Acciones correctivas que solo corrigen el síntoma | §10.2 | Análisis de causa raíz y verificación de eficacia |
El error más caro: comprar herramientas antes de evaluar riesgos
Es común invertir en soluciones de seguridad sin saber qué riesgo atienden. El auditor no evalúa cuánto gastaste, sino si los controles responden a tus riesgos y funcionan. Primero la apreciación de riesgos; después, la inversión.
Proceso de certificación y vigencia
La certificación la otorga un organismo de certificación acreditado e independiente, que opera conforme a ISO/IEC 17021-1 e ISO/IEC 27006-1:2024. En México, la Entidad Mexicana de Acreditación (EMA) acredita organismos; también son válidos los acreditados por miembros del acuerdo de reconocimiento multilateral del IAF.
- Etapa 1: revisión de la documentación, del alcance y de la preparación para la etapa 2.
- Etapa 2: verificación de la implementación y eficacia del SGSI mediante entrevistas, muestreo de registros y observación.
- Vigilancias: al menos una vez por año calendario durante el ciclo de certificación.
- Recertificación: antes del vencimiento del certificado, que tiene un ciclo de tres años.
Para profundizar, revisa cuánto dura la certificación ISO, cuánto cuesta certificarse en México y cómo elegir organismo certificador. Si ya tienes ISO 9001, la integración es directa; consulta las ventajas de un sistema integrado.
Checklist para iniciar tu SGSI
- Patrocinio formal de la dirección y responsable del SGSI designado (§5.1, §5.3).
- Análisis de contexto y partes interesadas, incluida la consideración del cambio climático (§4.1, §4.2).
- Alcance documentado con interfaces y dependencias (§4.3).
- Política de seguridad aprobada y comunicada (§5.2).
- Criterios de riesgo aprobados, apreciación completa y dueños asignados (§6.1.2).
- SoA con los 93 controles evaluados y plan de tratamiento aprobado (§6.1.3).
- Objetivos medibles e indicadores definidos (§6.2, §9.1).
- Inventario y clasificación de activos de información (5.9, 5.12).
- Procedimiento de altas, bajas y revisión de accesos (5.15 a 5.18).
- Programa de concientización con simulaciones de phishing (6.3).
- Respaldos con pruebas de restauración registradas (8.13).
- Procedimiento de incidentes probado (5.24 a 5.28).
- Matriz de requisitos legales que incluya la LFPDPPP de 2025 (5.31, 5.34).
- Auditoría interna completa y revisión por la dirección antes de la etapa 1 (§9.2, §9.3).
Para casos sectoriales, consulta nuestras guías de ISO 27001 para empresas de software e ISO 27001 para fintech, y la página general de ISO 27001.
Cómo lo abordamos en Quality College
Comenzamos con un diagnóstico contra ISO/IEC 27001:2022 que identifica brechas en gestión y en controles, y lo traducimos a un plan priorizado por riesgo. Acompañamos la definición de alcance, metodología de riesgos y SoA; la implementación de controles con tu equipo; la formación de auditores internos; la auditoría interna y la revisión por la dirección; y las etapas 1 y 2 ante el organismo certificador acreditado. Los proyectos típicos van de 8 a 16 semanas según alcance y madurez.
Apoyamos la documentación con Qualitix Bot®, nuestra IA que genera borradores adaptados a tu operación y que siempre revisa un consultor, y la gestión diaria con ISO Track®, donde administras riesgos, auditorías, incidentes, acciones correctivas e indicadores. Hemos acompañado a más de 150 organizaciones desde 2018 y ofrecemos garantía contractual de certificación.