La ISO 27001 es la norma internacional de referencia para gestionar la seguridad de la información. Cuando alguien habla de sus dominios se refiere a la forma en que la norma agrupa los controles de seguridad dentro de su Anexo A. Aquí aparece un matiz que genera bastante confusión, porque esa estructura cambió con la revisión de 2022 y el término dominio pertenece en realidad a la versión anterior.
En este artículo verás cuántos dominios tenía la norma, en qué se han convertido y para qué sirve cada bloque, tanto si partes de la versión de 2013 como si ya trabajas con la de 2022.
¿Qué son los dominios de la ISO 27001?
Los dominios son las grandes categorías en las que la ISO 27001 organiza los controles de seguridad de su Anexo A. Cada dominio agrupa los controles que abordan un mismo aspecto de la seguridad de la información, como el control de acceso, la seguridad física o la relación con proveedores.
Su función es dar estructura al Sistema de Gestión de Seguridad de la Información, el SGSI. En lugar de manejar un listado plano con decenas de controles sueltos, la organización trabaja por áreas temáticas, lo que facilita repartir responsabilidades, evaluar los riesgos por bloques y comprobar que no queda ningún frente sin cubrir.
Conviene tener clara una cosa desde el principio. La palabra dominio corresponde a la versión de 2013 de la norma. La revisión de 2022 reorganizó por completo el Anexo A y ahora habla de temas o categorías en lugar de dominios. Mucha gente sigue usando el término antiguo, así que a lo largo del artículo verás las dos estructuras y cómo se corresponden entre sí.
¿Cuántos dominios tiene la ISO 27001?
La respuesta depende de la versión de la norma.
La ISO 27001 de 2013 organizaba sus 114 controles en 14 dominios. La ISO 27001 de 2022, que es la versión vigente, reorganiza sus 93 controles en 4 temas. Por tanto, cuando alguien pregunta por los 14 dominios se refiere a la estructura de 2013, y cuando busca la clasificación actual son 4 grandes bloques.
La ISO 27001 de 2013 y sus 14 dominios
La versión de 2013 repartía sus 114 controles en 14 dominios, cada uno centrado en un aspecto concreto de la seguridad de la información. Estos eran los 14 dominios:
- Políticas de seguridad de la información
- Organización de la seguridad de la información
- Seguridad de los recursos humanos
- Gestión de activos
- Control de acceso
- Criptografía
- Seguridad física y del entorno
- Seguridad de las operaciones
- Seguridad de las comunicaciones
- Adquisición, desarrollo y mantenimiento de sistemas
- Relaciones con proveedores
- Gestión de incidentes de seguridad de la información
- Continuidad del negocio
- Cumplimiento
Aunque esta estructura ya no es la oficial, sigue siendo útil conocerla. Muchas organizaciones certificadas antes de la transición todavía la usan como referencia y buena parte de la documentación disponible se apoya en ella.
La ISO 27001 de 2022 y sus 4 temas
La versión de 2022 persigue los mismos objetivos de fondo, pero reordena los 93 controles en solo 4 temas más amplios. Estos son los cuatro.
- Controles organizativos (37 controles).
- Controles de personas (8 controles).
- Controles físicos (14 controles).
- Controles tecnológicos (34 controles).
Más abajo verás en detalle qué incluye cada uno de estos cuatro temas y cómo se corresponden con los antiguos dominios.
Los 4 temas de controles de la ISO 27001 en 2022
La versión de 2022 sustituye los 14 dominios por 4 temas que agrupan los 93 controles del Anexo A. Cada tema reúne los controles según el tipo de recurso o de responsable implicado. Si sumas los cuatro bloques obtienes los 93 controles del Anexo A vigente.
- Controles organizativos (37 controles): son los controles relacionados con la gobernanza, las políticas, los roles y la planificación de la seguridad. Aquí entran cuestiones como las políticas de seguridad, la gestión de riesgos, la relación con proveedores o la respuesta ante incidentes. Es el bloque más amplio y suele recaer en la dirección y en los responsables de área.
- Cotroles de personas (8 controles): reúnen todo lo relativo al factor humano, desde la selección y la formación del personal hasta las responsabilidades de cada empleado con la seguridad de la información y el trabajo en remoto.
- Controles físicos (14 controles): protegen las instalaciones y los soportes donde se almacena o se procesa la información. Incluyen el control de acceso a las instalaciones, la protección de los equipos y la vigilancia física.
- Controles tecnológicos (34 controles): agrupan las medidas técnicas que protegen sistemas, redes y datos, como el cifrado, la gestión de accesos lógicos, las copias de seguridad, el filtrado web o el desarrollo seguro.
De 14 dominios a 4 temas, ¿qué cambió en 2022?
La revisión de 2022 no se limitó a renombrar los dominios. Reorganizó el Anexo A a fondo con tres cambios principales.
- De 114 a 93 controles: el número total bajó porque se fusionaron los controles que se solapaban o resultaban redundantes. Simplemente se consolidó en un mismo control lo que antes estaba repartido en varios parecidos.
- Once controles nuevos: la norma incorporó 11 controles que no existían en 2013 y que responden a amenazas y tecnologías más recientes. Cubren áreas como la inteligencia de amenazas, la seguridad en los servicios en la nube, la preparación de la continuidad en las TIC, la monitorización de la seguridad física, la gestión de la configuración, el borrado de información, el enmascaramiento de datos, la prevención de fuga de datos, las actividades de monitorización, el filtrado web y la codificación segura.
- Los atributos: la versión de 2022 añade etiquetas a cada control para poder clasificarlos y filtrarlos de varias formas. Por ejemplo, por tipo de control, por propiedades de seguridad, por concepto de ciberseguridad, por capacidad operativa o por dominio de seguridad. Esto ayuda a adaptar los controles al contexto de cada organización y a conectarlos con otros marcos como el NIST.
¿Cómo implementar los dominios de la ISO 27001?
Implantar los controles del Anexo A, los llamados dominios o temas, sigue un proceso ordenado que arranca en el análisis de riesgos y no termina con la certificación. Estos son los pasos habituales para llevarlos a la práctica.
1. Haz el inventario de activos y el análisis de riesgos
Antes de tocar ningún control, la organización necesita saber qué protege y frente a qué. El punto de partida es un inventario de los activos de información, es decir, los datos, los sistemas, los equipos y los servicios que sostienen la actividad. Sobre ese inventario se identifican las amenazas a las que está expuesto cada activo y las brechas que existen respecto a la seguridad que ya se tiene.
Este análisis es la base de todo lo demás, porque determina qué controles necesitas de verdad y con qué prioridad. Sin él, se corre el riesgo de implantar medidas que no aportan nada y de dejar sin cubrir riesgos importantes.
2. Selecciona los controles y redacta la Declaración de Aplicabilidad
A partir del análisis de riesgos, la organización decide qué controles del Anexo A aplica y cuáles excluye, siempre con una justificación por escrito. Ese documento se llama Declaración de Aplicabilidad, conocida como SoA por sus siglas en inglés, y es uno de los que más revisa el auditor.
Conviene recordar que la norma no obliga a implantar los 93 controles. Solo debes aplicar aquellos que tu nivel de riesgo justifique, así que un buen análisis previo te ahorra trabajo y burocracia innecesaria más adelante.
3. Implanta las medidas, forma al equipo y documenta
Con los controles elegidos llega la puesta en marcha. Se despliegan las políticas y las medidas técnicas y organizativas, se asigna un responsable a cada control y se forma al personal implicado, porque muchos controles dependen del comportamiento de las personas para funcionar.
En paralelo, todo queda documentado. Cada política, procedimiento y decisión debe dejar constancia, ya que en una auditoría lo que no está documentado es como si no existiera. Mantener esa documentación ordenada y accesible es uno de los puntos donde más se atascan las organizaciones.
Aquí es donde una herramienta de gestión de IT y cumplimiento como Factorial IT marca la diferencia. Centralizar el inventario de activos, el control de los dispositivos y los accesos y la documentación del SGSI en un mismo sitio evita las hojas de cálculo dispersas y te permite llegar a la auditoría con todo localizable y al día.
4. Audita y mejora de forma continua
Por último, se realizan auditorías internas periódicas para comprobar que los controles funcionan como deberían y se corrige lo que haga falta. La ISO 27001 se apoya en la mejora continua, así que este ciclo de revisar, ajustar y volver a medir no termina con la certificación, se repite en el tiempo para adaptarse a nuevos riesgos y a los cambios de la organización.
