Cómo elegir controles de seguridad ISO 27001 según riesgos

1. ¿Qué relación existe entre un riesgo y un control de seguridad?

Un riesgo de seguridad de la información representa la posibilidad de que una situación o evento afecte la confidencialidad, integridad o disponibilidad de la información. Puede estar relacionado con amenazas externas, errores humanos, procesos deficientes, fallas tecnológicas o dependencias de terceros.

Un control de seguridad es una medida organizacional, humana, física o tecnológica que modifica ese riesgo y contribuye a mantenerlo dentro de los niveles aceptados por la organización.

El control no elimina necesariamente el riesgo. Su objetivo es reducir su probabilidad, sus consecuencias o ambas, y permitir que la organización evalúe el riesgo residual.

2. Los 93 controles de ISO/IEC 27001:2022

El Anexo A de ISO/IEC 27001:2022 contiene 93 controles agrupados en cuatro categorías. Esta organización facilita una evaluación integral de personas, procesos, instalaciones y tecnología.

¿Deben implementarse los 93 controles? No de manera automática. La organización debe determinar los controles necesarios a partir de sus riesgos y requisitos aplicables. La justificación de inclusión o exclusión de los controles del Anexo A se documenta en la Declaración de Aplicabilidad.

Para profundizar en la implementación tecnológica, consulta nuestra guía de controles de seguridad ISO 27001 con Microsoft Security.

3. Cómo seleccionar controles según los riesgos: metodología de seis pasos

La guía ISO/IEC 27005:2022 proporciona orientación para gestionar riesgos de seguridad de la información y complementar la implementación de un SGSI basado en ISO 27001.

4. Ejemplo de matriz de riesgos y controles ISO 27001

Una matriz útil debe vincular el escenario de riesgo con las medidas de tratamiento, los responsables y la evidencia que demuestra su ejecución.

La siguiente tabla presenta ejemplos ilustrativos que pueden servir como punto de partida. No sustituye una evaluación formal ni establece niveles universales de riesgo.

Campos adicionales recomendados: identificador de riesgo, activo o proceso, probabilidad, impacto, nivel de riesgo inicial, controles existentes, nivel residual, fecha objetivo, estado y decisión del propietario del riesgo.

La evaluación puede ser cualitativa, cuantitativa o mixta. Lo importante es utilizar criterios consistentes, documentados y adecuados al contexto de la empresa.

5. Declaración de Aplicabilidad: conectar riesgos y controles

La Declaración de Aplicabilidad, también conocida como SoA (Statement of Applicability), es uno de los elementos esenciales del tratamiento de riesgos conforme a ISO/IEC 27001.

Debe identificar los controles necesarios, justificar su inclusión, indicar su estado de implementación y justificar las exclusiones de controles del Anexo A.

Es recomendable relacionar la SoA con el registro de riesgos, el plan de tratamiento, los responsables y las evidencias de operación. De esta manera, el cumplimiento no se limita a una lista de controles, sino que refleja decisiones de seguridad justificadas.

6. Cómo demostrar que los controles funcionan

Uno de los errores más frecuentes consiste en considerar que disponer de una política equivale a tener un control eficaz.

Una política puede establecer lo que debe hacerse, pero la auditoría también requiere examinar cómo se ejecutan las actividades, quién participa, qué registros existen y cómo se corrigen las desviaciones.

Indicadores recomendados

• Porcentaje de controles evaluados según el plan de revisión.
• Porcentaje de revisiones de acceso completadas oportunamente.
• Porcentaje de pruebas de restauración satisfactorias.
• Tiempo de cierre de hallazgos de auditoría.
• Porcentaje de riesgos que superan el nivel aceptado.
• Cumplimiento del plan de tratamiento de riesgos.

Las metas deben definirse en función de la criticidad, las obligaciones aplicables y el nivel de madurez de la organización. No existe un porcentaje universal que demuestre por sí solo la conformidad con ISO 27001.

7. ISO 27001, ISO 27005 y NIST CSF 2.0: cómo se complementan

Los marcos de seguridad no tienen que utilizarse de manera aislada. Cada uno contribuye desde una perspectiva diferente.

Por ejemplo, una empresa puede utilizar ISO 27001 para estructurar su SGSI, ISO 27005 para profundizar en la evaluación de riesgos y NIST CSF 2.0 para comunicar capacidades de ciberseguridad a la dirección.

Esto no significa que los tres marcos sean equivalentes o que implementar uno garantice cumplir los demás.

Actualizaciones relevantes para 2026

La enmienda ISO/IEC 27001:2022/Amd 1:2024 incorpora la necesidad de determinar si el cambio climático es un asunto relevante para el contexto de la organización. Esto no equivale a imponer un control tecnológico específico para todas las empresas.

Además, ISO/IEC 27000:2026 proporciona una visión actualizada de los conceptos y relaciones dentro de la familia de normas. La referencia para los requisitos del SGSI sigue siendo ISO/IEC 27001:2022 y sus modificaciones aplicables.

8. Siete errores frecuentes al seleccionar controles de seguridad

1. Implementar controles por costumbre: copiar herramientas sin relacionarlas con riesgos concretos.
2. Confundir documentación con implementación: considerar suficiente una política que nadie ejecuta.
3. Asignar controles sin responsables: impedir que alguien rinda cuentas sobre su funcionamiento.
4. Ignorar dependencias de terceros: no evaluar proveedores críticos o servicios en la nube.
5. Omitir el riesgo residual: asumir que instalar una herramienta elimina el riesgo.
6. No generar evidencias: dificultar las auditorías y las evaluaciones de eficacia.
7. No actualizar la evaluación: mantener controles desconectados de nuevos procesos, amenazas o cambios tecnológicos.

El objetivo no es alcanzar una implementación documental perfecta, sino establecer un sistema capaz de medir, corregir y mejorar la seguridad de la información de forma continua.

9. ¿Cómo aplicar la selección de controles en empresas mexicanas?

La selección de controles debe responder al sector, los procesos, los datos y las obligaciones de cada empresa, no únicamente a su tamaño.

Una empresa que trabaja con clientes internacionales puede necesitar demostrar controles mediante auditorías, cuestionarios de seguridad, contratos y certificaciones. ISO 27001 facilita establecer una base de gestión verificable, aunque los requisitos concretos dependen de cada relación comercial.

10. De la evaluación de riesgos a controles operativos

Para traducir la gestión de riesgos en medidas concretas, una organización puede apoyarse en herramientas de identidad, protección de dispositivos, clasificación de información, auditoría y monitoreo.

En entornos Microsoft 365, tecnologías como Microsoft Entra ID, Intune, Defender y Purview pueden contribuir a implementar determinados controles, dependiendo de las licencias y configuraciones disponibles.

Sin embargo, una herramienta no equivale a certificación ISO 27001. También se requieren gobierno, responsabilidades, análisis de riesgos, procesos, auditorías y mejora continua.

Conoce cómo integrar estas capacidades en la implementación de ISO 27001 para empresas en México.

Preguntas frecuentes sobre riesgos y controles ISO 27001

Fuentes y referencias técnicas

Para profundizar y verificar la metodología, consulta las fuentes primarias y documentos especializados:

• ISO — ISO/IEC 27001:2022: requisitos del SGSI.
• ISO — ISO/IEC 27005:2022: gestión de riesgos.
• ISO — Enmienda ISO/IEC 27001:2022/Amd 1:2024.
• ISO — ISO/IEC 27000:2026: visión general de la familia de normas.
• NIST — Cybersecurity Framework 2.0.

Las tablas y ejemplos de este artículo son ilustrativos y no reproducen el texto íntegro de las normas. La selección final de controles requiere analizar el contexto y los requisitos de cada organización.

C&A SYSTEMS | CONSULTORIA Y SEGURIDAD

Convierte los controles ISO 27001 en seguridad verificable

Te ayudamos a identificar riesgos, definir controles, organizar evidencias y preparar tu Sistema de Gestión de Seguridad de la Información para auditorías y requisitos de clientes.