El alcance del sistema
Definir bien el alcance es una de las decisiones más importantes del proyecto. Determina qué procesos, ubicaciones y sistemas quedan cubiertos por el SGSI y, por tanto, por la certificación.
Consultoría ISO 27001
Consultoría ISO 27001 para implantar y certificar tu SGSI.
Te ayudamos a construir un sistema de gestión de seguridad de la información basado en riesgos, proporcionado a tu organización y preparado para superar la auditoría de certificación.
- ISO/IEC 27001:2022
- Enfoque basado en riesgos
- Implantación y mantenimiento
La seguridad de la información no es un proyecto tecnológico aislado: es un sistema de gestión que implica dirección, procesos y personas.
Basado en riesgos
Los controles responden a los riesgos reales, no a una lista genérica.
Proporcionado
Documentación y esfuerzo ajustados al tamaño de la organización.
Mantenible
Un sistema que el equipo puede gestionar una vez certificado.
Qué implica una consultoría ISO 27001
Implantar la ISO 27001 significa definir cómo la organización identifica, evalúa y trata los riesgos sobre la información que gestiona: datos de clientes, información interna, sistemas y servicios.
Como consultores ISO 27001, acompañamos todo el proceso: desde la definición del alcance hasta la preparación de la auditoría de certificación, trabajando con los responsables de cada área para que el sistema encaje con la forma real de trabajar.
La norma
¿Qué es la ISO 27001?
La ISO/IEC 27001 es la norma internacional que establece los requisitos para un sistema de gestión de seguridad de la información (SGSI). La versión vigente es la de 2022.
La norma combina requisitos de gestión (contexto, liderazgo, planificación, soporte, operación, evaluación y mejora) con un conjunto de controles de referencia recogidos en el Anexo A, organizados en cuatro temas.
A.5
Organizativos
Políticas, roles, gestión de activos, proveedores e incidentes.
A.6
De personas
Selección, concienciación, formación y responsabilidades.
A.7
Físicos
Protección de instalaciones, equipos y soportes.
A.8
Tecnológicos
Accesos, cifrado, copias, monitorización y desarrollo seguro.
Para quién es adecuada
La ISO 27001 es aplicable a cualquier organización, independientemente de su tamaño o sector. Es especialmente relevante cuando:
Clientes o licitaciones lo exigen
Cada vez más contratos y procesos de compra piden evidencia de gestión de la seguridad.
Gestionáis información sensible
Datos personales, información de clientes o conocimiento crítico del negocio.
Prestáis servicios tecnológicos
Empresas de software, servicios en la nube, soporte TI o externalización.
Queréis ordenar la seguridad
Pasar de medidas dispersas a un sistema coherente y revisable.
Beneficios de implantar un SGSI
- Confianza demostrable
- Una certificación reconocida internacionalmente ante clientes y socios.
- Riesgos bajo control
- Decisiones de seguridad tomadas con criterio y prioridades claras.
- Responsabilidades definidas
- Cada persona sabe qué le corresponde en materia de seguridad.
- Mejor respuesta a incidentes
- Procedimientos preparados antes de que ocurra nada.
- Base para otros requisitos
- Facilita el alineamiento con otros marcos y obligaciones de protección de datos.
- Mejora continua
- El sistema se revisa y actualiza de forma periódica.
Servicios relacionados con la ISO 27001
Podemos acompañar el proyecto completo o intervenir en fases concretas.
- Implantación
Implantación completa del SGSI
Desde el diagnóstico inicial hasta la preparación de la auditoría de certificación.
- Diagnóstico
Análisis de diferencias (gap analysis)
Evaluación de la situación actual respecto a los requisitos de la norma.
- Riesgos
Análisis y tratamiento de riesgos
Metodología, identificación de activos y amenazas, y plan de tratamiento.
- Auditoría
Auditoría interna ISO 27001
Revisión del sistema previa a la auditoría externa o en el ciclo de mantenimiento.
- Mantenimiento
Mantenimiento del sistema
Soporte continuo para revisar riesgos, indicadores y preparar las auditorías de seguimiento.
- Transición
Adaptación a la versión 2022
Actualización de sistemas basados en la versión anterior de la norma.
Proceso de implantación
Cómo implantamos la ISO 27001
Un recorrido por fases con entregables claros en cada etapa.
- 01
Diagnóstico y alcance
Entendemos el contexto, las partes interesadas y definimos el alcance del SGSI.
Informe de diagnóstico - 02
Análisis de riesgos
Identificamos activos, amenazas y vulnerabilidades y evaluamos los riesgos.
Registro de riesgos - 03
Tratamiento y SoA
Seleccionamos controles del Anexo A y justificamos su aplicabilidad.
Declaración de aplicabilidad - 04
Implantación
Desarrollamos políticas, procedimientos y controles y formamos al equipo.
Sistema operativo - 05
Auditoría interna y revisión
Verificamos el sistema y la dirección lo revisa formalmente.
Informe de auditoría - 06
Certificación
Acompañamos las fases de la auditoría con la entidad certificadora elegida.
Soporte a la auditoría
Medidas dispersas o sistema de gestión
La diferencia entre tener medidas de seguridad y gestionar la seguridad.
| Sin SGSI | Con un SGSI ISO 27001 |
|---|---|
| Medidas decididas caso por caso | Controles derivados de un análisis de riesgos |
| Responsabilidades poco claras | Roles y responsabilidades asignados |
| Documentación dispersa o inexistente | Documentación controlada y actualizada |
| Revisión cuando hay un problema | Auditorías y revisiones periódicas |
| Difícil de demostrar a terceros | Evidencia verificable por una entidad certificadora |
Preguntas frecuentes sobre la ISO 27001
¿Qué diferencia hay entre implantar y certificar la ISO 27001?
Implantar es poner en marcha el sistema de gestión dentro de la organización. Certificar es que una entidad de certificación independiente audite el sistema y verifique que cumple la norma. La consultoría acompaña la implantación y la preparación; la certificación la emite la entidad certificadora.
¿Cuánto tiempo requiere la implantación?
Depende del alcance, el tamaño de la organización y el punto de partida. Tras el diagnóstico inicial proponemos un calendario adaptado a cada caso.
¿Qué vigencia tiene el certificado?
El ciclo de certificación habitual es de tres años, con auditorías de seguimiento periódicas y una auditoría de renovación al final del ciclo.
¿Hace falta tener un departamento de TI propio?
No necesariamente. La norma también se puede aplicar cuando los servicios tecnológicos están externalizados; en ese caso la gestión de proveedores cobra más relevancia.
¿Se puede integrar con la ISO 9001 u otras normas?
Sí. Las normas ISO de sistemas de gestión comparten una estructura común, lo que permite integrar requisitos como la política, los objetivos, las auditorías internas o la revisión por la dirección.
Implantación ISO 27001: aspectos clave
El análisis de riesgos como eje
La ISO 27001 no impone una lista cerrada de medidas. Pide que la organización aplique una metodología de evaluación de riesgos coherente y que los controles elegidos respondan a los riesgos identificados.
La Declaración de aplicabilidad
La Declaración de aplicabilidad (SoA) recoge qué controles del Anexo A se aplican, cuáles se excluyen y por qué. Es un documento central que el auditor revisará con detalle.
Empecemos por tu punto de partida.
Cuéntanos tu situación actual y te propondremos cómo abordar la implantación de la ISO 27001.