¿Cómo implementar la ISO 27001 paso a paso?

Cuando una empresa se plantea la ISO 27001, la primera pregunta suele ser cómo certificarse. Pero antes de esa auditoría hay meses de trabajo interno que nadie te cuenta en la fase comercial. Antes de que un auditor externo pise tu empresa, alguien de tu equipo ha tenido que decidir qué se protege, qué riesgos existen y qué controles se aplican.

Ese trabajo previo es la implementación. En este artículo te explicamos qué tienes que construir y en qué orden para llegar a la auditoría con un sistema que funcione de verdad y no solo sobre el papel.

¿Qué significa implementar la ISO 27001?

Implementar la ISO 27001 significa poner en marcha un Sistema de Gestión de Seguridad de la Información, más conocido como SGSI. Se trata de construir un mecanismo que permita a tu organización identificar qué información es crítica, qué puede salir mal, qué medidas aplicas para evitarlo y cómo demuestras que esas medidas funcionan.

La norma no te dice qué tecnología usar ni qué proveedor contratar. Te exige que seas capaz de justificar tus decisiones con un método coherente y que puedas demostrarlas con evidencia. Por eso dos empresas del mismo sector pueden estar certificadas con sistemas muy distintos.

Diferencia entre implantar la norma y certificarse

Son dos cosas distintas y conviene tenerlo claro desde el principio porque marcan dos proyectos con calendarios y responsables diferentes.

• Implantar: es el trabajo interno. Definir el alcance, analizar riesgos, elegir controles, documentar el sistema y ponerlo a funcionar. Lo hace tu equipo, con o sin ayuda externa, y ocupa la mayor parte del tiempo total.
• Certificarse: es la validación externa. Una entidad acreditada audita tu SGSI y confirma que cumple con la norma. Es un proceso más corto y muy pautado que puedes revisar en detalle en nuestra guía sobre cómo obtener la certificación ISO 27001.

Una organización puede implantar la norma sin certificarse nunca. Lo que no puede hacer es certificarse sin haberla implantado antes.

¿Qué necesitas antes de implementar la ISO 27001?

Antes de tocar el primer documento hay tres condiciones que determinan si el proyecto avanza o se queda encallado a los dos meses.

• Compromiso real de dirección: la norma exige participación de la alta dirección, pero más allá del requisito formal, sin presupuesto asignado y sin tiempo liberado para las personas implicadas el proyecto compite con el día a día y siempre pierde. El apoyo tiene que traducirse en recursos, no en una firma.
• Un responsable con nombre y apellidos: alguien debe liderar el SGSI y tener capacidad de decisión sobre procesos que no son solo de IT. Uno de los errores más frecuentes es dejar el proyecto entero en manos del equipo técnico cuando la norma toca a recursos humanos, legal, operaciones y proveedores.
• Un análisis de brechas inicial: Antes de planificar nada conviene comparar lo que ya tienes con lo que la norma pide. Casi todas las empresas llegan con parte del camino hecho, políticas de acceso, copias de seguridad, gestión de incidentes o inventario de equipos. Saber de dónde partes es lo que te permite estimar el esfuerzo real y priorizar.

Las 10 fases para implementar la ISO 27001

No hay una lista oficial de fases en la norma, pero todos los proyectos acaban recorriendo más o menos estos diez pasos. Los primeros definen el terreno y los últimos son los que un auditor revisa con más detalle.

1. Definir el alcance del SGSI

El alcance delimita qué procesos, servicios, sedes, equipos y personas quedan cubiertos por el sistema. Es la decisión más determinante de todo el proyecto porque condiciona el trabajo de las nueve fases siguientes.

Un alcance demasiado amplio convierte el proyecto en inmanejable. Uno demasiado estrecho da un certificado que no sirve para lo que lo necesitabas, normalmente responder a un cliente o entrar en una licitación.

2. Identificar los activos de información

Dentro de ese alcance tienes que saber qué hay. Activos son las bases de datos, las aplicaciones, los servidores, los servicios cloud, los portátiles y móviles corporativos, la documentación en papel si la hay, y también los proveedores que tratan información por ti.

El inventario es el punto de partida del análisis de riesgos y es uno de los primeros documentos que revisa un auditor. Si se mantiene a mano en una hoja de cálculo, quedará desactualizado en cuestión de semanas.

3. Evaluar los riesgos

Para cada activo relevante identificas qué amenazas le afectan y qué vulnerabilidades tiene, y estimas la probabilidad y el impacto de que algo ocurra. El resultado es una lista priorizada que te dice dónde merece la pena invertir.

Lo importante aquí es la metodología. Tiene que ser explícita, repetible y proporcionada al tamaño de tu organización. Un análisis excesivamente académico y desconectado de la operación real es tan problemático como no tener ninguno, porque no orienta ninguna decisión.

4. Decidir cómo tratar cada riesgo

Con los riesgos priorizados, la organización decide qué hace con cada uno. Hay cuatro opciones: mitigarlo aplicando controles, transferirlo mediante un seguro o un tercero, evitarlo eliminando la actividad que lo genera, o aceptarlo de forma consciente y documentada.

Aceptar riesgos es perfectamente válido y muchas empresas no lo saben. Lo que no es válido es aceptarlos sin dejar constancia de quién lo decidió y con qué criterio.

5. Seleccionar los controles del Anexo A

El Anexo A de la norma recoge 93 controles agrupados en cuatro bloques: organizativos, de personas, físicos y tecnológicos. No tienes que implantarlos todos. Tienes que implantar los que respondan a los riesgos que has identificado.

Entre los que casi siempre acaban en la lista están el control de accesos, la autenticación multifactor, la gestión de privilegios, las copias de seguridad, la gestión de vulnerabilidades, la seguridad de proveedores y la gestión de incidentes.

6. Redactar la Declaración de Aplicabilidad

La Declaración de Aplicabilidad, o SoA por sus siglas en inglés, es el documento que recoge los 93 controles e indica cuáles aplicas, cuáles no y por qué. Es la pieza que conecta tu análisis de riesgos con tus decisiones y el primer documento que un auditor pide en la Fase 1.

Un SoA que se limita a marcar casillas sin justificación es una de las causas más habituales de no conformidad.

7. Documentar el sistema

La norma exige un conjunto mínimo de documentación. El alcance, la política de seguridad de la información, la metodología de riesgos, el plan de tratamiento, el SoA, los procedimientos asociados a los controles que aplicas y los registros de auditoría interna y revisión por la dirección.

Esta documentación tiene que servirte para gestionar el sistema en el día a día. Si nadie la abre nunca, está escrita para el auditor y no para tu empresa.

8. Implantar los controles y generar evidencia

Aquí es donde se ve si el SGSI funciona de verdad. No basta con tener una política de accesos, hay que poder enseñar cómo se conceden, revisan y revocan permisos. Y no basta con un procedimiento de copias de seguridad, hay que demostrar que se ejecutan y que alguien comprueba los resultados.

La evidencia se genera sobre la marcha o no se genera. Si empieza a aparecer dos semanas antes de la auditoría, el auditor lo va a notar.

9. Formar al equipo

La norma exige competencia y toma de conciencia. En la práctica esto significa que las personas de tu organización tienen que conocer las políticas que les afectan y saber qué hacer ante un incidente.

Importa más de lo que parece porque en la auditoría de certificación el auditor entrevista a empleados de distintas áreas, no solo al equipo técnico. La distancia entre lo que dicen los documentos y lo que sabe la gente sale a la luz en esas conversaciones.

10. Auditar internamente y revisar con dirección

Antes de llamar a una certificadora, la norma te obliga a auditarte a ti mismo. La auditoría interna busca las no conformidades antes de que las encuentre un tercero, y solo sirve si se hace con honestidad. Usarla como trámite significa llegar a la auditoría externa sin saber dónde estás fallando.

Después llega la revisión por la dirección, donde la alta dirección evalúa formalmente el desempeño del SGSI, los incidentes ocurridos, los resultados de la auditoría interna y las oportunidades de mejora.

¿Cuánto se tarda en implementar la ISO 27001?

No hay un plazo estándar. El tiempo depende sobre todo del tamaño de la organización, de la madurez previa en seguridad y de la amplitud del alcance elegido. Estos rangos son orientativos y responden a proyectos habituales, no a una exigencia de la norma.

Tres factores mueven mucho estos plazos. El primero es cuánta seguridad ya está ordenada antes de empezar. El segundo es la dedicación real del equipo, un proyecto a ratos libres se estira sin límite. Y el tercero es el grado de automatización, porque buena parte del tiempo se va en recopilar evidencia que en muchas empresas está dispersa entre hojas de cálculo, correos y herramientas sin conectar.

Errores más habituales al implementar la ISO 27001

Implantar la ISO 27001 no suele fallar por falta de conocimiento técnico. Los proyectos que se retrasan o que llegan a la auditoría a medias suelen repetir los mismos fallos, y casi todos tienen que ver con cómo se organiza el trabajo

• Tratar el proyecto como un ejercicio documental: la documentación es necesaria, pero la auditoría evalúa procesos y evidencias, no la calidad literaria de tus políticas.
• Copiar políticas y plantillas genéricas: ahorran tiempo al principio y lo multiplican después, porque describen una organización que no es la tuya y no encajan con tus riesgos reales.
• Definir el alcance a última hora: cambiar el perímetro a mitad de proyecto obliga a rehacer el inventario, el análisis de riesgos y buena parte de la documentación.
• Dejar la evidencia para el final: los registros de accesos, incidentes y formación se generan de forma continua o no se generan. No hay atajo.
• Dejarlo todo en manos de IT: la ISO 27001 toca contratación, salidas de empleados, proveedores, formación y decisiones de dirección. Sin esas áreas implicadas, el sistema tiene huecos desde el primer día.

¿Y después de implementar la ISO 27001?

Con el SGSI en funcionamiento tienes dos caminos. Puedes quedarte ahí, usando la norma como marco interno de gestión de la seguridad sin buscar el sello. O puedes dar el paso a la certificación, que es lo que hace la mayoría de organizaciones que llegan hasta aquí, normalmente porque un cliente, una licitación o un mercado lo exigen.

Si vas a certificarte, el siguiente paso es elegir una entidad acreditada y preparar la auditoría en dos fases. Lo explicamos en detalle en la guía sobre cómo obtener la certificación ISO 27001.

En cualquiera de los dos casos, el sistema no se puede congelar. Cada nueva herramienta, cada incidente y cada cambio organizativo debería traducirse en una revisión de riesgos y controles. Un SGSI que no se actualiza deja de reflejar la realidad de la empresa en cuestión de meses.

¿Cómo te ayuda Factorial IT a implementar la ISO 27001?

La parte más costosa de implementar la norma no suele ser decidir qué controles aplicar. Es sostener la evidencia de que se aplican, mes tras mes, sin que eso consuma el tiempo del equipo.

Factorial IT centraliza la gestión de dispositivos, accesos y seguridad de tu organización y convierte esa gestión en evidencia lista para auditoría.

• Un inventario que se mantiene solo: cada dispositivo corporativo entra en el registro en cuanto se asigna, así que la fase 2 de este artículo deja de depender de que alguien acuerde actualizar una hoja de cálculo.
• Altas y bajas de accesos desde un único panel: cuando alguien entra o sale del equipo, los permisos de todas las herramientas se ajustan a la vez y queda constancia de quién hizo el cambio y cuándo.
• Controles del Anexo A que se aplican sin intervención: bloqueo de equipos, cifrado y protección de endpoint se configuran una vez y se despliegan a toda la flota, en lugar de depender de cada persona.
• Historial desde el primer mes: los registros empiezan a acumularse en cuanto pones la plataforma en marcha, que es justo lo que te van a pedir cuando llegues a la fase 10.
• Menos horas de tu equipo en el proyecto: lo que pide el auditor se exporta en el momento, sin rehacerlo a partir de correos y ficheros sueltos.