Preguntas frecuentes sobre ISO 27001

Question 1

¿Qué es ISO/IEC 27001?

Accepted Answer

ISO/IEC 27001 es la norma internacional para implantar un Sistema de Gestión de Seguridad de la Información, también conocido como SGSI. Su objetivo es proteger la información que gestionan las organizaciones, ya sea propia, de clientes, empleados, proveedores u otras partes interesadas. La norma permite identificar riesgos relacionados con la seguridad de la información, establecer controles adecuados y mejorar de forma continua conforme a las dimensiones de confidencialidad, integridad y disponibilidad. ISO/IEC 27001 no se limita a la seguridad informática, sino que aborda personas, procesos, tecnología, documentación, proveedores, accesos, continuidad, incidentes y gobierno de la seguridad.

Question 2

¿Para qué sirve implantar ISO 27001?

Accepted Answer

Implantar ISO 27001 sirve para gestionar de forma sistemática los riesgos que pueden afectar a la información que maneja una organización. Ayuda a prevenir accesos no autorizados, pérdidas de información, ciberataques, errores humanos, interrupciones de servicio, fugas de datos, problemas con proveedores e incumplimientos contractuales o normativos. También permite demostrar ante clientes, administraciones, socios, grupos empresariales y auditores que la empresa dispone de un sistema estructurado para proteger la información con la que opera. En muchos casos, un SGSI ISO 27001 se convierte en una ventaja competitiva para acceder a licitaciones, procesos de homologación, contratos tecnológicos o servicios en los que la seguridad de la información es un requisito crítico. Un SGSI eficaz no debe limitarse a una carpeta documental o a una lista de procedimientos, sino integrarse en la gestión real de la empresa, ayudar a tomar decisiones sobre riesgos, asignar responsabilidades, controlar accesos, gestionar incidentes, proteger activos de información y demostrar que la organización mantiene la seguridad de la información bajo control.

Question 3

¿Qué requisitos principales establece ISO 27001?

Accepted Answer

Un SGSI ISO 27001 establece requisitos relacionados con el contexto de la organización, las partes interesadas, el liderazgo, la planificación, la gestión de riesgos y oportunidades, los objetivos de seguridad de la información, los recursos, la competencia, la comunicación, la información documentada, la operación del sistema, la evaluación del desempeño, la auditoría interna y la mejora continua. La norma exige realizar una identificación y evaluación de riesgos de seguridad de la información, definir un plan de tratamiento de riesgos, seleccionar los controles de seguridad adecuados y justificar su aplicación mediante la Declaración de Aplicabilidad o SoA. Estos requisitos deben adaptarse a la actividad, tamaño, procesos, sistemas, activos de información, proveedores, clientes y obligaciones de cada organización.

Question 4

¿Cómo se implanta un SGSI ISO 27001?

Accepted Answer

La implantación de ISO 27001 comienza con un diagnóstico inicial para conocer la actividad de la organización, sus procesos, sistemas de información, activos, servicios, proveedores, requisitos contractuales, obligaciones legales y nivel de madurez en seguridad. A continuación, se define el alcance del SGSI y se identifican los activos de información relevantes. Después se realiza la identificación y evaluación de riesgos de seguridad de la información, se define el plan de tratamiento de riesgos, se seleccionan los controles aplicables y se implantan las medidas organizativas, técnicas y operativas. El proceso debe incluir formación, generación de evidencias, seguimiento de indicadores y revisión del sistema. Posteriormente se define la Declaración de Aplicabilidad o SoA, se realiza una auditoría interna del SGSI y, cuando la organización decide certificarse, se lleva a cabo una auditoría externa de certificación.

Question 5

¿Qué es el análisis de riesgos en ISO 27001?

Accepted Answer

El análisis de riesgos en ISO 27001 es el proceso mediante el cual la organización identifica las amenazas que pueden afectar a sus activos de información, las vulnerabilidades existentes y los impactos que tendría un posible incidente sobre la confidencialidad, integridad o disponibilidad de la información. Este análisis permite priorizar riesgos y definir medidas de tratamiento proporcionadas mediante un plan de tratamiento de riesgos. Pueden analizarse riesgos relacionados con accesos indebidos, pérdida de datos, ransomware, errores de configuración, fallos de proveedores, indisponibilidad de servicios, uso inadecuado de dispositivos, ingeniería social, fuga de información o falta de copias de seguridad eficaces.

Question 6

¿Qué son los controles de ISO 27001?

Accepted Answer

Los controles de ISO 27001 son las medidas que la organización aplica para tratar los riesgos de seguridad de la información identificados. Estos controles pueden ser organizativos, tecnológicos, físicos o relacionados con las personas. Entre ellos pueden incluirse políticas de seguridad, control de accesos, gestión de identidades, copias de seguridad, cifrado, seguridad en redes, gestión de vulnerabilidades, protección frente a malware, clasificación de la información, gestión de proveedores, seguridad en el desarrollo, registro de eventos, continuidad, gestión de incidentes, formación y concienciación. La clave para disponer de un SGSI eficaz no es aplicar controles de forma genérica, sino seleccionarlos y adaptarlos adecuadamente según los riesgos y necesidades de la organización.

Question 7

¿Qué es la Declaración de Aplicabilidad o SoA en ISO 27001?

Accepted Answer

La Declaración de Aplicabilidad, también conocida como SoA, es uno de los documentos clave de ISO 27001. En ella se identifica qué controles de seguridad son aplicables, cuáles no lo son, cuál es la justificación de cada decisión y cuál es el estado de implantación de los controles seleccionados. Este documento conecta la evaluación de riesgos con las medidas reales implantadas por la organización. Una Declaración de Aplicabilidad adecuada debe demostrar coherencia entre los riesgos identificados, los controles seleccionados, las evidencias disponibles y las decisiones adoptadas en materia de seguridad.

Question 8

¿ISO 27001 ayuda al cumplimiento legal y contractual?

Accepted Answer

ISO 27001 ayuda a gestionar obligaciones legales, contractuales y de cumplimiento relacionadas con la seguridad de la información, la protección de datos, la confidencialidad, la continuidad del servicio, la gestión de proveedores, los accesos, la trazabilidad y la respuesta ante incidentes. La norma no sustituye el cumplimiento de la legislación aplicable ni otros marcos específicos, pero aporta una sistemática para identificar riesgos, establecer controles operativos, conservar evidencias, revisar el cumplimiento y actuar ante posibles desviaciones. ISO 27001 puede integrarse con otros marcos o referenciales de seguridad de la información, como la normativa de protección de datos, el Esquema Nacional de Seguridad, la continuidad de negocio o los requisitos contractuales de clientes.

Question 9

¿Cuánto tiempo se necesita para implantar ISO 27001?

Accepted Answer

El tiempo necesario para implantar ISO 27001 depende del tamaño de la organización, el alcance del SGSI, la complejidad tecnológica, el número de activos de información, los servicios prestados, la madurez previa en seguridad, los proveedores implicados, los requisitos contractuales y el nivel de documentación y evidencias disponible. De manera general, una implantación puede requerir varios meses de trabajo. El plazo real debe definirse tras un diagnóstico inicial, especialmente cuando el alcance incluye varios centros, infraestructuras cloud, servicios críticos, desarrollo de software, datos sensibles, múltiples proveedores o requisitos particulares de clientes o administraciones.

Question 10

¿Cómo ayuda GLOBAL O2 en la implantación de ISO 27001?

Accepted Answer

GLOBAL O2 acompaña a cada cliente en el diseño, implantación, auditoría, mantenimiento y mejora de su Sistema de Gestión de Seguridad de la Información ISO 27001. Analizamos en detalle la actividad de la organización, sus procesos, los activos de información incluidos, los sistemas, los proveedores vinculados con los sistemas de información, las obligaciones legales y contractuales aplicables, los riesgos, los controles existentes y la documentación relacionada. Nuestro objetivo es implantar un SGSI práctico, proporcionado, personalizado y adaptado a la realidad de cada organización. El sistema debe servir para gestionar riesgos, proteger la información, mejorar la seguridad, preparar auditorías, generar evidencias, reforzar la confianza de clientes y convertir la seguridad de la información en una ventaja competitiva.

Question 11

¿Cuál es la diferencia entre ISO 27001 y el Esquema Nacional de Seguridad (ENS)?

Accepted Answer

ISO 27001 y el Esquema Nacional de Seguridad son marcos relacionados con la seguridad de la información, pero no son equivalentes. ISO 27001 es una norma internacional que permite implantar un Sistema de Gestión de Seguridad de la Información basado en la gestión de riesgos y aplicable a organizaciones de cualquier sector y país. El ENS es un marco normativo español regulado por el Real Decreto 311/2022, orientado a garantizar la seguridad de los sistemas de información utilizados por el sector público y, en determinados casos, por entidades privadas que prestan servicios o proporcionan soluciones a las administraciones públicas. En la práctica, ISO 27001 estructura la gestión global de la seguridad de la información, mientras que el ENS establece requisitos específicos para cumplir el marco de seguridad exigido en el ámbito público español. Ambos marcos pueden ser complementarios: una organización puede implantar ISO 27001 para gestionar su SGSI y, además, adaptar sus sistemas, controles y evidencias para cumplir con el ENS.

Cookie	Descripción	Duración	Tipo
_gat	Se usa para limitar el porcentaje de solicitudes.	1 minutos	Analítica
_ga	Esta cookie se usa para identificar usuarios procedentes de LinkedIn o Twitter. También es utilizada por Google para distinguir usuarios únicos. La primera vez que un usuario entre en el sitio web a través de un navegador se instalará esta cookie. Cuando este usuario vuelva a entrar en la web con el mismo navegador, la cookie considerará que es el mismo usuario. Solo en el caso de que el usuario cambie de navegador, se considerará otro usuario.	2 años	Analítica
_gat_gtag_UA_*	Utilizada por Google Analytics para controlar la tasa de peticiones.	Sesión	Analítica
_gid	Cookie fijada por analytics.js; librería JavaScript propiedad de Google. La librería analytics.js forma parte de Google Universal Analytics y utiliza esta cookie de origen que contiene un identificador anónimo usado para distinguir idiomas.	24 horas	Analítica

ISO 56001 - GESTIÓN DE INNOVACIÓN Consultoría | Auditoría | Formación | Mantenimiento

ISO 42001- GESTIÓN INTELIGENCIA ARTIFICIAL Consultoría | Auditoría | Mantenimiento

ISO 50001 - GESTIÓN DE ENERGÍA Consultoría | Auditoría | Mantenimiento

EMPRESA SALUDABLE Consultoría | Auditoría | Mantenimiento

Consultoría ISO/IEC 27001 en Sistemas de Seguridad de la Información

CONTACTO

Gestiona riesgos de la información

Gestión de riesgos y oportunidades

Declaración de Aplicabilidad

Análisis del contexto

Comunicación interna y externa

Control del desempeño

Integración con otros sistemas

Auditoría y certificación externa

Control de contratistas externos

CONSULTORÍA

AUDITORÍA

MANTENIMIENTO

FORMACIÓN

Reducción de los riesgos de negocio

Reducción de costes

Cumplimiento de legislación

Confianza en protección de información

Mejora en licitaciones y concursos

Diferenciación positiva

Integrable con otros sistemas

ISO 9001

ENS

ISO 22301

NIS 2

ISO 42001

Auditoría e Inspección