Objetivos de aprendizaje
- Entender qué es la seguridad de la información y qué protege un Sistema de Gestión de Seguridad de la Información (SGSI).
- Distinguir entre un enfoque de «medidas técnicas aisladas» y un enfoque de sistema de gestión basado en riesgos.
- Situar la ISO/IEC 27001 dentro de la familia ISO/IEC 27000 e identificar las normas de apoyo más útiles para el implantador.
- Conocer los beneficios reales (y los límites) de implantar y certificar un SGSI.
1. La información como activo
Cualquier organización depende de información para funcionar: datos de clientes, expedientes, código fuente, contratos, ofertas, nóminas, configuraciones de sistemas o conocimiento que solo está en la cabeza de algunas personas. Esa información existe en muchos formatos —en papel, en servidores, en servicios en la nube, en dispositivos móviles, en conversaciones o en una pizarra de una sala de reuniones— y tiene un valor para el negocio que justifica protegerla de forma proporcionada.
La seguridad de la información se entiende tradicionalmente como la preservación de tres propiedades:
| Propiedad | Qué significa | Ejemplo de pérdida |
|---|---|---|
| Confidencialidad | La información solo es accesible para quien está autorizado. | Un expediente municipal con datos personales enviado por error a un tercero. |
| Integridad | La información es exacta y completa, y solo se modifica de forma autorizada. | Un atacante altera el importe de una factura o el estado de un expediente. |
| Disponibilidad | La información y los sistemas están accesibles cuando se necesitan. | Un ransomware cifra la plataforma y los clientes no pueden trabajar durante dos días. |
A estas tres propiedades se suelen añadir otras, como la autenticidad (que una entidad es quien dice ser), la trazabilidad o rendición de cuentas (poder saber quién hizo qué y cuándo) y el no repudio. Quien trabaje con el Esquema Nacional de Seguridad reconocerá aquí sus cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.
2. ¿Qué es un SGSI?
Un Sistema de Gestión de Seguridad de la Información es el conjunto de políticas, procesos, roles, recursos, controles y registros mediante el cual una organización dirige y controla la seguridad de su información de forma sistemática y con mejora continua. La palabra clave es «gestión»: no se trata solo de instalar un cortafuegos o un antivirus, sino de decidir de forma razonada qué proteger, frente a qué, con qué medidas, quién es responsable, cómo se comprueba que funciona y cómo se corrige lo que falla.
Un SGSI responde a cinco preguntas de forma permanente:
- ¿Qué tenemos que proteger y por qué? Contexto, partes interesadas, requisitos legales y contractuales, alcance.
- ¿Qué nos puede pasar? Evaluación de riesgos de seguridad de la información.
- ¿Qué vamos a hacer al respecto? Tratamiento de riesgos, selección de controles, Declaración de Aplicabilidad.
- ¿Funciona? Seguimiento, medición, auditoría interna y revisión por la dirección.
- ¿Cómo mejoramos? No conformidades, acciones correctivas y mejora continua.
Este razonamiento sigue la lógica del ciclo de mejora Planificar–Hacer–Verificar–Actuar (PHVA). La ISO/IEC 27001:2022 ya no menciona expresamente el PHVA, pero su estructura de cláusulas lo refleja: planificación (cláusulas 4 a 6), apoyo y operación (7 y 8), evaluación del desempeño (9) y mejora (10).
Enfoque de medidas aisladas frente a enfoque de sistema
| Medidas aisladas | Sistema de gestión (SGSI) |
|---|---|
| Se compra tecnología según la moda o tras un incidente. | Las medidas se eligen por el resultado de la evaluación de riesgos. |
| La seguridad es «cosa de informática». | La Dirección asume la responsabilidad y asigna recursos y roles. |
| Nadie sabe si las medidas funcionan. | Hay indicadores, auditorías internas y revisión por la dirección. |
| Cada incidente se resuelve y se olvida. | Los incidentes y no conformidades alimentan acciones correctivas. |
| Difícil de demostrar a clientes y reguladores. | Evidencia documentada y, si se desea, certificación por tercera parte. |
3. La familia ISO/IEC 27000
La ISO/IEC 27001 es la única norma de la familia que contiene requisitos certificables para un SGSI. El resto de normas son guías que ayudan a cumplir esos requisitos o a aplicarlos en contextos concretos. Las más útiles para el implantador son:
| Norma | Contenido | Uso práctico en la implantación |
|---|---|---|
| ISO/IEC 27000 | Visión general y vocabulario de la familia. | Referencia de términos (riesgo, control, información documentada, alta dirección…). |
| ISO/IEC 27001:2022 | Requisitos del SGSI (cláusulas 4–10) y Anexo A con 93 controles de referencia. | Norma de certificación. Incluye la Modificación 1:2024 sobre cambio climático. |
| ISO/IEC 27002:2022 | Guía de implantación de los 93 controles, con atributos. | Cómo implantar cada control; base para redactar políticas y procedimientos. |
| ISO/IEC 27003 | Guía para la implantación del SGSI (cláusulas 4–10). | Interpretación de los requisitos del sistema de gestión. |
| ISO/IEC 27004 | Seguimiento, medición, análisis y evaluación. | Diseño de indicadores (cláusula 9.1). |
| ISO/IEC 27005:2022 | Gestión de riesgos de seguridad de la información. | Metodología de evaluación y tratamiento de riesgos (6.1.2, 6.1.3, 8.2, 8.3). |
| ISO/IEC 27006-1:2024 | Requisitos para las entidades que auditan y certifican SGSI. | Entender cómo será la auditoría de certificación (duración, etapas, muestreo). |
| ISO/IEC 27007 | Directrices para auditar SGSI (complementa a ISO 19011). | Auditoría interna del SGSI. |
| ISO/IEC 27017 y 27018 | Controles para servicios en la nube y protección de datos personales en nube pública. | Proveedores y clientes de servicios cloud. |
| ISO/IEC 27701 | Gestión de la información de privacidad. | Extensión de privacidad (RGPD) sobre el SGSI. |
| ISO/IEC 27031 / ISO 22301 | Preparación de las TIC para la continuidad / sistema de gestión de continuidad. | Controles 5.29 y 5.30. |
Fuera de la familia, dos normas complementan el trabajo: la ISO 31000:2018 (principios y directrices de gestión del riesgo, en la que se apoya ISO/IEC 27005) y la ISO 19011:2018 (directrices para la auditoría de sistemas de gestión).
Ojo con la terminología heredada
En la versión 2013 se hablaba de «objetivos de control» y de 114 controles en 14 dominios (A.5 a A.18). En la versión 2022 desaparecen los objetivos de control y los controles se reagrupan en 4 temas: organizacionales, de personas, físicos y tecnológicos. Si encuentra materiales que hablan de «A.9 Control de acceso» o de «A.12 Seguridad de las operaciones», están desactualizados.
4. Estructura armonizada
La ISO/IEC 27001 comparte con la ISO 9001, la ISO 14001, la ISO 22301 o la ISO/IEC 42001 la misma estructura de alto nivel, conocida como estructura armonizada (anteriormente «Anexo SL»): mismas cláusulas, mismos términos básicos y textos comunes. Esto tiene una ventaja práctica enorme: una organización que ya tenga, por ejemplo, un sistema de calidad puede integrar el SGSI aprovechando el mismo procedimiento de auditoría interna, la misma revisión por la dirección, el mismo control documental y el mismo tratamiento de no conformidades.
5. Beneficios y límites
Los beneficios más habituales que obtienen las organizaciones son:
- Confianza demostrable ante clientes, administraciones públicas e inversores; la certificación es un requisito frecuente en licitaciones y en contratos con grandes empresas.
- Decisiones de inversión razonadas: se invierte donde el riesgo lo justifica, no por intuición.
- Cumplimiento ordenado de obligaciones legales (RGPD, ENS, NIS2, DORA) reutilizando el mismo sistema.
- Resiliencia: mejor preparación ante incidentes, interrupciones y cambios.
- Cultura: responsabilidades claras y personal concienciado.
También conviene ser realista: un certificado no garantiza que no habrá incidentes. Garantiza que la organización gestiona sus riesgos de forma sistemática, detecta y responde a los incidentes, y aprende de ellos. Un SGSI «de papel», con documentos que nadie aplica, suele aflorar en la auditoría de certificación y, sobre todo, en el primer incidente serio.
Caso Nubia Servicios Digitales
Nubia Servicios Digitales, S.L. (Palma, 65 personas) opera una plataforma SaaS de gestión de expedientes para ayuntamientos. Hasta ahora la seguridad la llevaba el responsable de sistemas: copias de seguridad, antivirus y doble factor en Microsoft 365. Tres ayuntamientos han incluido en sus pliegos la conformidad con el ENS de categoría MEDIA y valoran la certificación ISO/IEC 27001. La Dirección decide implantar un SGSI que sirva para ambos marcos. A lo largo del curso acompañaremos a Nubia en cada paso de la implantación.
Ideas clave
- La seguridad de la información protege la confidencialidad, integridad y disponibilidad de la información en cualquier formato.
- Un SGSI es un sistema de gestión basado en riesgos, liderado por la Dirección y orientado a la mejora continua.
- ISO/IEC 27001 es la única norma certificable de la familia; ISO/IEC 27002, 27005 y 27003 son las guías de apoyo principales.
- La estructura armonizada facilita integrar el SGSI con otros sistemas de gestión ISO.
- El certificado demuestra gestión sistemática del riesgo, no ausencia de incidentes.