ISO/IEC 27001:2022
Implantación de ISO 27001
Estándar voluntario y certificable
ISO/IEC 27001 es la norma internacional de referencia para gestionar la seguridad de la información. Te acompañamos para implantar un sistema de gestión útil, proporcionado a tu tamaño y preparado para superar la auditoría de certificación.
Una norma de gestión, no una lista de productos
ISO/IEC 27001 no obliga a comprar ninguna tecnología concreta. Exige algo más valioso: que la organización conozca sus riesgos, decida cómo tratarlos, aplique controles coherentes con esa decisión, mida si funcionan y mejore de forma continua. Es lo que se conoce como sistema de gestión de seguridad de la información (SGSI).
La versión vigente es ISO/IEC 27001:2022, cuyo Anexo A recoge 93 controles organizados en cuatro temas: organizativos, de personas, físicos y tecnológicos.
Es voluntaria, pero muchas veces imprescindible
A diferencia de NIS2, el ENS o DORA, la ISO 27001 no es una obligación legal. Es un estándar voluntario y certificable. Aun así, se ha convertido en un requisito comercial habitual: grandes clientes, licitaciones y socios internacionales la piden como garantía.
Cómo la implantamos
- Diagnóstico frente a la norma y definición de un alcance sensato.
- Análisis de riesgos con una metodología que tu equipo pueda mantener.
- Declaración de aplicabilidad y plan de tratamiento.
- Implantación de controles y documentación proporcionada.
- Funcionamiento real del sistema, con indicadores y registros.
- Auditoría interna y revisión por la dirección.
- Auditoría de certificación con la entidad que elijáis.
Un marco que sirve para más
Un SGSI bien implantado facilita la adecuación a NIS2, al ENS o a DORA, porque comparte gran parte de sus controles. Diseñamos el sistema para que pueda reutilizarse en esos marcos y evitar duplicar esfuerzos.
Alcance
Qué incluye
-
Alcance y contexto
Qué procesos, sedes y sistemas entran en el sistema de gestión, y qué esperan las partes interesadas.
-
Análisis y tratamiento de riesgos
Metodología sencilla y defendible, con un plan de tratamiento aprobado por la dirección.
-
Declaración de aplicabilidad
Justificación de los controles del Anexo A que aplican y de los que se excluyen.
-
Documentación proporcionada
Políticas y procedimientos que se usan de verdad, sin burocracia innecesaria.
-
Auditoría interna y revisión por la dirección
Requisitos previos imprescindibles para acudir a la certificación.
-
Acompañamiento en la certificación
Preparación de las fases 1 y 2 de la auditoría con la entidad certificadora que elijáis.
Resultado
Lo que recibes
- Sistema de gestión de seguridad de la información (SGSI) documentado
- Análisis de riesgos y plan de tratamiento
- Declaración de aplicabilidad
- Informe de auditoría interna
- Plan de mantenimiento tras la certificación
Método
Cómo trabajamos
-
01Conocer
Diagnóstico
Entrevistas con dirección e IT y revisión técnica y documental. Obtienes una fotografía clara de tu nivel de seguridad y de las obligaciones que te afectan.
-
02Priorizar
Hoja de ruta
Convertimos los hallazgos en un plan ordenado por riesgo, esfuerzo y coste, con responsables y plazos que tu organización puede asumir.
-
03Implantar
Implantación
Ejecutamos o coordinamos las medidas: accesos, copias, configuraciones, políticas y formación. Sin imponer herramientas que no necesitas.
-
04Sostener
Acompañamiento continuo
Revisiones periódicas, indicadores comprensibles, gestión de incidentes y adaptación a nuevos riesgos y obligaciones. La seguridad deja de ser un proyecto y se convierte en un hábito.
Preguntas frecuentes
Dudas habituales sobre ISO 27001
¿Cuánto se tarda en obtener la certificación?
Depende del alcance y del punto de partida. Para una pyme con un alcance acotado, es razonable plantear varios meses de implantación más el periodo necesario para que el sistema funcione y pueda auditarse. Lo concretamos tras el diagnóstico.
¿Vosotros emitís el certificado?
No. La certificación la emite una entidad certificadora independiente, preferiblemente acreditada. Nosotros te preparamos para la auditoría; separar ambos papeles es lo que da valor al certificado.
¿Qué cambia en la versión 2022?
Se reorganizan los controles del Anexo A en cuatro temas (organizativos, de personas, físicos y tecnológicos), se reducen a 93 y se incorporan controles nuevos, como inteligencia de amenazas, seguridad en servicios en la nube o prevención de fuga de datos.
ISO 27001
Preparar la certificación ISO 27001
Cuéntanos qué parte de la organización quieres certificar y si existe alguna fecha objetivo. Te propondremos un plan realista.