Maurice Müller
Senior Content Manager
Maurice Müller es un periodista y estratega de contenidos con experiencia en medios impresos y digitales. En Formalize, traduce temas complejos sobre cumplimiento normativo y regulación en contenido claro y práctico para profesionales de cumplimiento, riesgos y seguridad en toda Europa.
Puntos clave:
ISO 27001 es la norma internacional para construir y operar un Sistema de Gestión de la Seguridad de la Información (SGSI).
Se basa en la tríada CID: confidencialidad, integridad y disponibilidad.
El Anexo A de la revisión de 2022 define 93 controles en cuatro áreas: organizativa, personal, física y tecnológica.
El cumplimiento significa alinearse con la norma; la certificación significa aprobar una auditoría independiente.
La certificación suele tardar entre 6 y 12 meses, dependiendo del tamaño de la empresa y las herramientas.
El coste medio de una brecha de datos alcanzó los 4,99 millones de dólares a nivel mundial en 2026. Esta cifra representa un récord histórico, según el informe Cost of a Data Breach de IBM. La presión regulatoria ha aumentado al mismo ritmo: las multas solo bajo el RGPD han superado los 6.000 millones de euros desde 2018, de acuerdo con el rastreador CMS GDPR Enforcement Tracker. Los clientes, socios y reguladores exigen cada vez más pruebas de que una organización se toma en serio la seguridad de la información, no solo una promesa en una página de ventas. La norma ISO 27001 ofrece a las organizaciones un marco probado y reconocido mundialmente para proteger sistemáticamente sus activos de información críticos. Sustituye las soluciones improvisadas y las hojas de cálculo dispersas por un proceso estructurado. Además, es el estándar más solicitado en los cuestionarios de seguridad para proveedores y en la contratación empresarial, lo que hace que comprenderlo resulte útil mucho más allá de los equipos de seguridad.
¿Qué es la ISO 27001?
ISO/IEC 27001 es la norma internacional para los sistemas de gestión de la seguridad de la información (SGSI). Proporciona un marco para gestionar y proteger los datos confidenciales mediante una gestión sistemática de riesgos. La norma establece los requisitos que debe cumplir una organización para identificar, abordar y supervisar continuamente los riesgos de seguridad de la información.
La norma es publicada conjuntamente por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). Por eso se escribe como «ISO/IEC 27001». La versión actual, ISO/IEC 27001:2022, reestructuró el conjunto de controles de la norma. También introdujo terminología actualizada para reflejar los desafíos de seguridad modernos, como los servicios en la nube y la inteligencia de amenazas.
La ISO 27001 es deliberadamente independiente del sector. Se aplica por igual a una empresa emergente (startup) de cinco personas que a una empresa multinacional. Esto se debe a que la norma define un proceso para gestionar el riesgo, no una lista fija de tecnologías que se deban desplegar. Esta es también la razón por la que se combina bien con requisitos específicos de cada sector. Una organización puede construir un único SGSI y mapearlo con la ISO 27001, además de con otros marcos como SOC 2 o normativas específicas de la industria, en lugar de gestionar cada uno de forma aislada. Esa flexibilidad es también la razón por la que la norma resulta relevante para lectores tan diversos. Los responsables de cumplimiento que dimensionan un proyecto de certificación, los CISO que deciden dónde priorizar las inversiones y los líderes empresariales que evalúan la postura de seguridad de un proveedor terminan preguntándose, en algún momento, qué exige realmente la ISO 27001.
Para examinar más de cerca los requisitos completos de la norma, consulte la guía sobre ISO 27001 de Formalize.
Los pilares fundamentales: La tríada CID en ISO 27001
La ISO 27001 se estructura en torno a la protección de tres principios fundamentales de la seguridad de la información, conocidos conjuntamente como la tríada CID. La norma no aborda la seguridad como un objetivo único. En su lugar, exige a las organizaciones sopesar tres objetivos distintos —y a veces contrapuestos— para cada activo de información:
Confidencialidad
Garantizar que solo el personal autorizado pueda acceder a la información confidencial.
Integridad
Proteger la precisión de los datos y evitar alteraciones o manipulaciones no autorizadas.
Disponibilidad
Garantizar que los sistemas y los datos estén accesibles para los usuarios autorizados cuando los necesiten.
Un SGSI eficaz equilibra los tres pilares. Invertir en exceso en uno perjudica a los demás. Por ejemplo, bloquear los datos de forma tan estricta que los usuarios autorizados no puedan hacer su trabajo invalida su propósito. Una evaluación de riesgos bajo la ISO 27001 plantea, para cada activo, cuál de los tres aspectos es más importante y qué podría comprometerlo. Esa pregunta es lo que transforma la tríada CID de un concepto abstracto en una herramienta práctica de priorización.
¿Qué es un Sistema de Gestión de la Seguridad de la Información (SGSI)?
Un SGSI es el mecanismo práctico detrás de la ISO 27001. Es un marco de gestión que conecta a las personas, los procesos, la tecnología y la gestión de riesgos organizativos en un sistema único y auditable. No es un proyecto de TI puntual.
Un SGSI define cómo identifica una organización los riesgos para sus activos de información. También determina qué controles aplicar, quién es el responsable de los mismos y cómo se evalúa su rendimiento a lo largo del tiempo. Este es un desafío significativamente distinto al de implementar un cortafuegos o una política de control de acceso de forma aislada. En la práctica, un SGSI abarca áreas tan variadas como la incorporación y salida de empleados (onboarding y offboarding), contratos de proveedores, acceso físico a las oficinas, prácticas de desarrollo de software y respuesta ante incidentes. Llega a cualquier lugar por donde fluya la información en la organización.
Dado que el alcance abarca a toda la empresa, la ISO 27001 exige responsabilidades claras. Alguien debe ser responsable del registro de riesgos. Alguien debe aprobar la Declaración de Aplicabilidad (Statement of Applicability). Y alguien debe evaluar si los controles siguen siendo efectivos a medida que surgen nuevos riesgos. Sin esa estructura, el trabajo de seguridad tiende a concentrarse en el departamento de TI. Sin embargo, muchos de los riesgos de mayor impacto, como el phishing o las brechas en proveedores, se encuentran fuera de él.
Aquí es también donde suelen fallar los enfoques basados en hojas de cálculo. Una hoja de cálculo puede contener un registro de riesgos o una lista de controles, pero no puede imponer responsabilidades, activar revisiones ni vincular evidencias con los controles de forma automática. A medida que el SGSI crece para cubrir más riesgos, controles, evidencias y partes interesadas, las hojas de cálculo se convierten en una carga en lugar de en un sistema de registro.
Componentes clave de la norma ISO 27001
La norma consta de dos partes principales. La primera es el conjunto de cláusulas obligatorias que definen cómo debe funcionar el propio SGSI. La segunda es el Anexo A, la lista de referencia de controles de seguridad de la que se nutre una organización. Los auditores comprueban cada cláusula obligatoria, pero solo revisan los controles del Anexo A que la organización haya seleccionado como relevantes.
Cláusulas 4 a 10 (el marco del SGSI)
Las cláusulas 4 a 10 son obligatorias para la certificación. Cubren el contexto de la organización, el compromiso del liderazgo, la planificación, el soporte, la operación, la evaluación del desempeño y la mejora continua. Los profesionales suelen mapear esta estructura con el ciclo Planificar-Hacer-Verificar-Actuar (PDCA, por sus siglas en inglés):
Planificar (Plan): Definir el alcance del SGSI, evaluar los riesgos y establecer objetivos.
Hacer (Do): Implementar el plan de tratamiento de riesgos y los controles seleccionados.
Verificar (Check): Supervisar, medir y auditar internamente el SGSI.
Actuar (Act): Corregir no conformidades y mejorar continuamente.
Este ciclo se repite de forma continua en lugar de ejecutarse una sola vez. Un riesgo identificado durante la fase de «Verificar» —por ejemplo, un nuevo proveedor con acceso a datos de clientes— se reincorpora a la planificación. Ese bucle de retroalimentación es lo que mantiene actualizado el SGSI a medida que la organización y su entorno de amenazas cambian. No es una foto fija realizada en la certificación inicial.
Controles del Anexo A
El Anexo A de la norma ISO/IEC 27001:2022 enumera 93 controles, organizados en cuatro áreas temáticas:
Controles organizativos (37): políticas, roles, relaciones con proveedores y gestión de incidentes.
Controles de personal (8): selección, concienciación y términos del empleo.
Controles físicos (14): protección de instalaciones, equipos y soportes de información.
Controles tecnológicos (34): control de acceso, criptografía y monitorización.
Actualización ISO/IEC 27001:2022: La revisión de 2022 consolidó los 114 controles anteriores distribuídos en 14 dominios (de la versión de 2013) en estos 93 controles divididos en cuatro áreas. El cambio refleja riesgos actuales como la seguridad en la nube y la inteligencia de amenazas. Las organizaciones no necesitan implementar todos los controles; seleccionan los relevantes para su evaluación de riesgos y documentan las exclusiones en una Declaración de Aplicabilidad (Statement of Applicability o SoA). La ventana de transición para los certificados ISO 27001:2013 existentes finalizó el 31 de octubre de 2025. La norma ISO/IEC 27001:2022 es ahora la única versión válida; cualquier certificado que aún haga referencia a la edición de 2013 ya no es reconocido.
El Anexo A funciona como una lista de referencia, no como una lista de verificación que deba completarse por completo. Durante la certificación, los auditores no esperan que los 93 controles estén implantados. Esperan que la SoA justifique cada exclusión y confirme que los controles que la organización ha seleccionado están operando en la práctica, no solo documentados en papel. Un fallo común es implementar controles simplemente porque aparecen en el anexo, en lugar de hacerlo porque un riesgo específico identificado los requiera.
¿Cuál es la diferencia entre el cumplimiento y la certificación de la ISO 27001?
Estos dos términos suelen utilizarse indistintamente, pero describen etapas diferentes:
El cumplimiento significa que una organización ha alineado sus prácticas y políticas internas de seguridad con la norma ISO 27001.
La certificación significa que un organismo de certificación externo y acreditado ha auditado formalmente a la organización y le ha expedido un certificado oficial ISO 27001.
Una organización puede cumplir con la norma sin estar certificada. Sin embargo, la certificación siempre exige un cumplimiento demostrado y verificado por un auditor externo. Algunas organizaciones operan con un SGSI en cumplimiento sin buscar la certificación formal, por ejemplo, mientras se preparan internamente. Aún así, la mayoría de los requisitos de clientes y compras solicitan específicamente el certificado en sí, ya que confirma que un tercero independiente ha verificado dicha afirmación.
Cómo lograr la certificación ISO 27001: 5 pasos
Definición del alcance y análisis de brechas (gap analysis). Identificar qué activos, sistemas, equipos y ubicaciones cubrirá el SGSI. A continuación, evaluar los controles de seguridad existentes con respecto a la norma para detectar dónde están las brechas. Definir el alcance correctamente desde el principio evita costosos reprocesos posteriores. Un alcance demasiado estrecho provocará que el certificado no cubra lo que los clientes realmente preguntan; un alcance demasiado amplio hará que el proyecto se estanque bajo su propio peso.
Evaluación y tratamiento de riesgos. Identificar las amenazas para cada activo dentro del alcance y calificar los riesgos según su probabilidad e impacto. Decidir cómo tratar cada uno (aceptar, mitigar, transferir o evitar). Luego, redactar una Declaración de Aplicabilidad (Statement of Applicability o SoA) que documente qué controles del Anexo A se aplican.
Implementación de controles. Poner en práctica los controles seleccionados del Anexo A: políticas, controles de acceso, diligencia debida de proveedores y otras salvaguardas. Recopilar evidencias a medida que se despliegan los controles, no a posteriori.
Auditoría interna y revisión por la dirección. Probar el SGSI internamente, idealmente por parte de alguien independiente de la operación diaria de los controles. Esto confirma que está funcionando según lo previsto y que está listo para la revisión externa. Posteriormente, la dirección revisa formalmente los resultados y los aprueba.
Auditorías externas de Fase 1 y Fase 2 (Stage 1 & Stage 2). Un organismo certificador acreditado revisa primero la documentación y la preparación (Fase 1). A continuación, evalúa la implementación y las evidencias en la práctica (Fase 2) antes de emitir la certificación. Posteriormente, se realizan auditorías anuales de seguimiento para mantenerla.
La mayoría de las organizaciones completan este proceso en un plazo de 6 a 12 meses. El cronograma depende del tamaño de la empresa, su complejidad y la cantidad de trabajo que se realice de forma manual en comparación con el soporte de herramientas dedicadas. La recertificación se lleva a cabo en un ciclo de tres años, con auditorías de seguimiento más ligeras en los años intermedios.
¿Cuáles son los beneficios de la ISO 27001?
La ISO 27001 puede ayudar a las organizaciones a:
Identificar y gestionar los riesgos de seguridad de la información de forma sistemática, en lugar de reaccionar ante los incidentes después de que ocurran.
Demostrar la madurez en seguridad ante clientes y socios, especialmente en las revisiones de seguridad de proveedores y en los procesos de contratación empresarial.
Reducir el coste y la frecuencia de los incidentes de seguridad, gracias a controles evaluados en la práctica y no solo documentados.
Adelantarse en el cumplimiento de otros marcos normativos. Un SGSI operativo ya cubre gran parte de lo que también exigen regulaciones como NIS2 y DORA.
Ofrecer a la dirección y al personal un proceso constante para la toma de decisiones en materia de seguridad, evitando criterios personales arbitrarios.
Agilización del cumplimiento de la ISO 27001 con Formalize
Formalize integra la norma oficial ISO/IEC 27001:2022 directamente en la plataforma, a través de una colaboración con UNE, el organismo nacional de normalización de España, formalizada en abril de 2026. Los equipos trabajan a partir del contenido oficial y con licencia, en lugar de utilizar un PDF adquirido por separado. Formalize es el primer proveedor de GRC en España, y uno de los primeros en Europa, en consolidar este tipo de colaboración directa con representantes de ISO/IEC.
Formalize también forma parte de un piloto oficial de IA con ISO y UNE. Este piloto está desarrollando una función de IA denominada Formalize IQ, concebida para transformar los requisitos estáticos de la ISO en flujos de trabajo nativos y accionables una vez que se lance.
El software para SGSI de Formalize centraliza la recopilación de evidencias y vincula los controles con los riesgos, en lugar de realizar el seguimiento en archivos desconectados. Mantiene a la organización continuamente preparada para auditorías, con una visibilidad que se actualiza entre los ciclos de certificación y no solo en las semanas previas a una auditoría. Esto resulta fundamental en el punto exacto donde las hojas de cálculo suelen fallar: cuando las responsabilidades deben ser claras, las evidencias deben ser trazables hasta un control específico y los revisores necesitan una visión actualizada sin tener que buscar la última versión de un archivo.
El riesgo de seguridad de la información rara vez existe de forma aislada. Por eso, Formalize conecta el trabajo de la ISO 27001 con el marco general de gestión de riesgos de la organización. Un incidente de phishing, por ejemplo, puede incorporarse directamente a la actualización de la evaluación de riesgos en lugar de quedar aislado en un registro de incidentes.
La ISO 27001 tampoco suele ser el único marco normativo de una organización. Formalize vincula sus controles del Anexo A directamente con otros marcos, incluyendo NIS2, y con normas nacionales como el ENS de España, CyFun de Bélgica y el BSI IT-Grundschutz de Alemania. Al actualizar un control una vez, la modificación se traslada a todos los marcos con los que esté vinculado. Esto evita tener que demostrar de nuevo el mismo control para cada regulador por separado, que es de donde procede la mayor parte del trabajo duplicado en las auditorías.
El modelo de precios de Formalize tampoco se basa en el número de licencias por usuario. Los equipos de seguridad pueden invitar directamente a la plataforma a los departamentos legal, de operaciones y a auditores externos sin pagar por accesos adicionales. El trabajo con la ISO 27001 involucra a las áreas legal y operativa de forma regular, y el coste por usuario suele ser una razón habitual por la que estas funciones quedan fuera de las herramientas de gestión.