ISO 27001 no es un proyecto del área de sistemas: es un sistema de gestión para proteger la información de toda la organización, esté en servidores, en la nube, en papel o en la cabeza de las personas. Esta es la secuencia que seguimos al implementarla.
1. Compromiso de la dirección y alcance
La gerencia define qué se protegerá. El alcance puede ser toda la empresa o un servicio específico, como la plataforma que usan los clientes. Un alcance bien acotado hace viable el proyecto.
2. Contexto y partes interesadas
Se identifican las exigencias de clientes, reguladores y contratos, incluida la Ley N.° 29733 de Protección de Datos Personales cuando se tratan datos de personas.
3. Inventario de activos de información
Se listan los activos dentro del alcance: información, aplicaciones, equipos, servicios en la nube, proveedores y personas clave. Cada activo tiene un propietario responsable.
4. Análisis y tratamiento de riesgos
Es el corazón de la norma. Se identifican las amenazas y vulnerabilidades de cada activo y se evalúa el riesgo sobre la confidencialidad, integridad y disponibilidad. Lea nuestra guía de análisis de riesgos de seguridad de la información.
5. Declaración de Aplicabilidad
Se revisan los 93 controles del Anexo A y se documenta cuáles aplican, cuáles no y por qué. Es la Declaración de Aplicabilidad o SoA.
6. Políticas y controles
Se implementan los controles seleccionados: control de accesos, copias de respaldo, gestión de incidentes, seguridad de proveedores, trabajo remoto, entre otros.
7. Concientización
La mayoría de los incidentes empieza con una persona: un clic en un correo falso, una contraseña compartida. Todo el personal debe recibir formación práctica y periódica.
8. Operación y registro
El sistema debe funcionar varios meses para generar evidencia: revisiones de accesos, pruebas de restauración de respaldos, registro de incidentes.
9. Seguimiento y medición
Se definen indicadores, como el porcentaje de personal capacitado o el tiempo de respuesta a incidentes.
10. Auditoría interna y revisión por la dirección
Se verifica el sistema completo antes de la auditoría de certificación.
Dónde suelen atascarse los proyectos
- Un alcance demasiado amplio para un primer ciclo.
- Un análisis de riesgos tan detallado que nunca termina.
- Comprar tecnología antes de saber qué riesgo se quiere tratar.
ISO 27001 no garantiza que nunca habrá un incidente. Garantiza que la organización conoce sus riesgos, los trata de forma proporcional y sabe cómo responder.
Conozca los entregables y la duración estimada en nuestra página de implementación de ISO 27001.
