Guía completa sobre qué es, para qué sirve y cómo aplicarla en empresas  

 Introducción 

La información es hoy uno de los activos más valiosos de cualquier organización. Sin embargo, también es uno de los más vulnerables. Pérdidas de datos, accesos no autorizados, errores humanos y ciberataques afectan cada vez más a empresas de todos los tamaños. 

Ante este escenario, ISO/IEC 27001 se ha convertido en el estándar internacional de referencia para la gestión de la seguridad de la información. 

Esta guía explica qué es ISO 27001, cómo funciona, qué exige realmente y cómo puede aplicarse de forma práctica en empresas, independientemente de su tamaño o sector. 

ISO 27001 es agnóstica al tamaño y sector. Aplica a: 

• PYMES y grandes empresas 

• Empresas de TI y no TI 

• Sector financiero, salud, educación, gobierno, industria 

• Organizaciones públicas y privadas 

Cualquier organización que gestione información sensible puede y debería aplicar ISO 27001. 

Confidencialidad 

La información solo es accesible para quien debe acceder a ella. 

                                Integridad 

La información es correcta, completa y no ha sido alterada sin autorización. 

                           Disponibilidad

La información está disponible cuando se necesita. 

La versión vigente es ISO/IEC 27001:2022. 

Principales cambios: 

 La versión 2022 es más clara, moderna y alineada al contexto digital actual.

    ISO 27001 incluye 93 controles, agrupados en 4 temas: 

Organizacionales 

Personas 

Físicos 

Tecnológicos 

    ⚠ Importante: 
NO es obligatorio implementar todos los controles. 

Solo se implementan los controles necesarios según el riesgo, lo cual se documenta en la Declaración de Aplicabilidad (SoA). 

La norma no impone una metodología específica, pero exige: 

Identificar riesgos  

Analizar impacto y probabilidad 

Evaluar nivel de riesgo 

Definir tratamiento 

Aceptar riesgos residuales 

        No exige marcas

        No exige software específico 

        No exige infraestructura costosa 

Exige controles adecuados al riesgo, que pueden ser: 

No es lo mismo. 

• Implementar ISO 27001: adoptar el SGSI 

• Certificarse: auditarlo con un organismo acreditado 

Muchas empresas implementan primero y se certifican después, cuando el sistema está maduro. 

Para el negocio 

• Confianza de clientes 

• Ventaja competitiva 
• Acceso a nuevos mercados 
  

Para operaciones 

• Procesos claros 

• Menos incidentes 
• Mejor control 
  

Para cumplimiento

• Evidencia ante auditorías 
• Reducción de riesgos legales
•  
  

Verla solo como TI  

Copiar plantillas sin adaptar 

Documentar sin aplicar  

Implementar controles sin análisis de riesgos