Los 93 Controles de Seguridad ISO 27001:2022 Explicados: Guía Completa para Empresas en México

La seguridad de la información ya no es opcional. Con el crecimiento de la nube, el teletrabajo, los ciberataques y la dependencia tecnológica, las organizaciones necesitan un marco sólido para proteger sus activos críticos. En este contexto, la ISO 27001:2022 se ha consolidado como el estándar internacional más adoptado para implementar un Sistema de Gestión de Seguridad de la Información (SGSI).

En esta guía completa, analizamos los 93 controles de seguridad ISO 27001, su función, cómo implementarlos y qué evidencias solicitará un auditor. Este es uno de los recursos más completos disponibles en español, diseñado para líderes de TI, compliance, seguridad, auditores internos y equipos de gobierno corporativo.

Los controles de seguridad ISO 27001 son un conjunto de requisitos técnicos, organizacionales, humanos y físicos diseñados para reducir riesgos y garantizar la protección de la información.

Prevenir accesos no autorizados

Reducir brechas de seguridad

Establecer procesos documentados

Proteger sistemas, personas y activos

Asegurar cumplimiento regulatorio y contractual

En la actualización 2022, ISO reorganiza los controles en una estructura más moderna y alineada a amenazas actuales.

La actualización de ISO/IEC 27001:2022 marca una evolución importante en la forma en que las organizaciones gestionan la seguridad de la información. Aunque la estructura general de la norma se mantiene, la nueva versión introduce cambios clave para responder a las amenazas modernas, los nuevos modelos de trabajo y las exigencias actuales de ciberseguridad:

Versión 2013		Versión 2022
114 controles		93 controles
14 dominios		4 temas
No incluía nube ni monitoreo moderno		Incluye controles de nube, amenazas y continuidad
Más rígida		Más flexible y basada en riesgos actuales

El cambio más importante: La ISO no redujo seguridad, la hizo más eficiente y actualizada.

La norma agrupa los controles en 4 grandes temas:

Organizacionales (37 controles)

Personas (8 controles)

Físicos (14 controles)

Tecnológicos (34 controles)

A continuación, un resumen estratégico de cada grupo.

A. Controles Organizacionales (37 controles)

Cubren políticas, roles, gestión documental, riesgos, proveedores y continuidad.

Controles Clave

Número		Descripción
A.5.1		Políticas de seguridad de la información Define la intención de la seguridad en la organización.
A.5.7		Seguridad en la gestión de proveedores Garantiza que terceros cumplan estándares mínimos.
A.5.12		Gestión de identidad y permisos Controla el acceso basado en necesidad y rol.
A.5.23		Continuidad del negocio Define cómo asegurar la operación ante incidentes.
A.5.34		Protección de datos personales Requisito crítico para cumplimiento legal en México.

Evidencias que pide un auditor:

Políticas firmadas

Matriz SoA

Matriz de riesgos

Contratos con proveedores alineados a seguridad

Documentos de continuidad y planes de recuperación

B. Controles de Personas (8 controles)

Reducen riesgos asociados al factor humano.

Controles Clave

Número		Descripción
A.6.1		Controles de selección Revisión de antecedentes cuando es aplicable.
A.6.3		Concientización y capacitación Capacitación continua en ciberseguridad.
A.6.5		Responsabilidades tras la baja laboral Cierre de accesos, retiro de equipos, firmas finales.

Evidencias que pide un auditor:

Contratos laborales

Registros de Training

Políticas firmadas por empleados

Procesos de offboarding

C. Controles Físicos (14 controles)

Protegen instalaciones y activos físicos.

Controles Clave

Número		Descripción
A.7.1		Perímetros físicos Control de accesos físicos a áreas sensibles.
A.7.4		Protección contra amenazas externas Incendio, inundación, clima extremo.
A.7.8		Seguridad del cableado Evitar acceso físico no autorizado a redes.
A.7.12		Resguardo seguro de equipos CCTV, cerraduras, racks con llave.

Evidencias que pide un auditor:

Bitácoras de visitantes

Reportes de monitoreo CCTV

Mapa de zonas seguras

Controles de acceso físico

D. Controles Tecnológicos (34 controles)

 El corazón técnico del SGSI. Abarca nube, monitoreo, incidentes, vulnerabilidades y criptografía.

Controles Clave

Número		Descripción
A.8.1		Gestión de configuración Políticas de hardening y línea base.
A.8.6		Gestión de vulnerabilidades Escaneo continuo y remediación.
A.8.9		Registro y monitoreo de eventos SIEM, syslog, alertamiento.
A.8.10		Detección de incidentes Sistemas para identificar anomalías.
A.8.11		Respuesta a incidentes Procesos, roles y tiempos de respuesta.
A.8.16		Seguridad en la nube Accesos, cifrado, responsabilidades, movimientos laterales.
A.8.21		Gestión de llaves criptográficas

Evidencias que pide un auditor:

Reportes del SIEM

Escaneos de vulnerabilidad

Documentación de incidentes

Certificados de cifrado

Configuraciones base

Implementar los controles de seguridad de ISO 27001 puede parecer complejo, pero con una metodología clara es posible avanzar de forma ordenada y efectiva. La norma no solo define controles, sino que exige integrarlos estratégicamente para proteger la información, reducir riesgos y cumplir con los requisitos. A continuación se presentan seis pasos esenciales que ofrecen una ruta práctica para implementar el SGSI y fortalecer la postura de seguridad de cualquier organización.

Realiza un análisis de riesgos (obligatorio)

Define amenazas, probabilidad, impacto y controles asociados.

Completa el SoA (Statement of Applicability)

El documento más importante para auditoría.

Diseña políticas y procesos

Incluye seguridad, accesos, proveedores, continuidad y privacidad.

Implementa controles técnicos y organizacionales

Cifrados, monitoreo, controles de identidad, etc.

Genera evidencia

Todo debe ser demostrable.

Ejecuta una auditoría interna

Antes de agenda tu certificación, revisa internamente.

Implementar ISO 27001 es un paso clave para fortalecer la seguridad de la información, pero muchas organizaciones tropiezan con errores que complican el proceso y retrasan la certificación. Desde una mala definición del alcance hasta la falta de evidencia o controles mal aplicados, estos fallos pueden afectar la efectividad del SGSI.

Aquí te presentamos los 10 errores más comunes para que puedas identificarlos y evitarlos desde el inicio.

C&A System acompaña a las organizaciones en:

Implementación del SGSI

Diseño de políticas y procesos

Gestión y remediación de vulnerabilidades

Monitoreo y respuesta a incidentes

Evaluación de proveedores

Auditoría interna y preparación para certificación

Integración de soluciones tecnológicas para cumplimiento

Transforma tu seguridad con un enfoque auditable, escalable y alineado a los estándares internacionales.

Los 93 controles de seguridad ISO 27001:2022 representan el estándar más robusto para proteger información sensible y construir una organización resiliente ante incidentes y ciberataques. Su correcta implementación no solo garantiza cumplimiento: crea ventaja competitiva, confianza y continuidad operativa.

Si deseas conocer más sobre esta guía y obtener más información sobre cómo implementar los controles de seguridad, contáctanos y nosotros podemos ayudarte: 

Contáctanos