Confidencialidad
Que la información esté disponible únicamente para personas autorizadas.
En la práctica: controlar quién consulta expedientes de clientes y retirar los accesos cuando alguien cambia de puesto o sale de la empresa.
GUÍA PRÁCTICA PARA EMPRESAS EN MÉXICO
ISO 27001: qué exige y cómo empezar en tu empresa
¿Un cliente te solicita evidencias de seguridad o necesitas preparar una auditoría? Conoce los requisitos de ISO/IEC 27001:2022, identifica tus brechas y define una ruta de implementación.
Gestión de riesgos Controles y evidencias Preparación para auditoría
C&A Systems te acompaña en la preparación e implementación del SGSI. La certificación corresponde a un organismo certificador independiente.
DE LA NORMA A LA OPERACIÓN
¿Qué es ISO 27001 y qué cambia en tu empresa?
ISO/IEC 27001 establece los requisitos de un Sistema de Gestión de Seguridad de la Información (SGSI): una forma organizada de identificar riesgos, definir responsables, aplicar controles y comprobar que funcionan. Protege información digital, física y compartida con proveedores.
Integridad
Preservar la exactitud y la integridad de la información.
En la práctica: registrar y autorizar cambios en datos bancarios de proveedores para reducir errores y modificaciones indebidas.
Disponibilidad
Que las personas autorizadas puedan acceder a la información cuando la necesitan.
En la práctica: probar la restauración de respaldos y documentar cómo recuperar los servicios críticos ante una falla.
¿Cuándo conviene evaluar tu SGSI?
- Un cliente pide evidencias: necesitas responder cuestionarios de seguridad o acreditar controles para participar como proveedor.
- La operación depende de información crítica: una pérdida, alteración o interrupción afectaría tus servicios.
- Crece el uso de nube, IA y terceros: necesitas revisar accesos, intercambio de datos y responsabilidades.
- Se acerca una auditoría: tienes políticas, pero necesitas comprobar su aplicación y atender las brechas.
Los ejemplos son orientativos. Los controles necesarios se determinan según el alcance del SGSI, los riesgos y los requisitos aplicables a cada organización.
CHECKLIST INICIAL ISO 27001
¿Qué tan preparada está tu empresa para implementar un SGSI?
Revisa estas seis preguntas con las áreas responsables. Para cada respuesta, identifica una evidencia: un registro, una aprobación o una prueba reciente. Si no existe o está desactualizada, tienes un punto de partida para evaluar una posible brecha.
01 · ALCANCE Y RESPONSABLES
¿Está definido qué vas a proteger y quién lo dirige?
Identifica los servicios, procesos, ubicaciones e información que incluirá el SGSI, sus dependencias y los responsables de tomar decisiones.
Evidencia a revisar: alcance documentado, responsabilidades asignadas y compromiso de la dirección.
02 · INFORMACIÓN Y ACTIVOS
¿Sabes dónde está la información crítica?
Considera sistemas, documentos físicos, equipos, servicios en la nube y datos compartidos con clientes o proveedores.
Evidencia a revisar: inventario actualizado, responsables de los activos y criterios de clasificación.
03 · RIESGOS Y TRATAMIENTO
¿Tus prioridades de seguridad responden a riesgos evaluados?
Revisa cómo identificas y evalúas riesgos, quién los acepta y qué acciones se han definido para tratarlos.
Evidencia a revisar: evaluación de riesgos, plan de tratamiento y Declaración de Aplicabilidad (SoA).
04 · ACCESOS Y TERCEROS
¿Controlas quién accede y qué información comparte?
Examina altas, cambios y bajas de usuarios, permisos privilegiados y responsabilidades de proveedores con acceso a información.
Evidencia a revisar: autorizaciones de acceso, revisiones de permisos y acuerdos de seguridad con terceros.
05 · INCIDENTES Y RECUPERACIÓN
¿Tu equipo sabe cómo responder y recuperar la operación?
Comprueba cómo se reporta un incidente, quién coordina la respuesta y cómo se recuperan los servicios prioritarios.
Evidencia a revisar: registros de incidentes, pruebas de recuperación y seguimiento de lecciones aprendidas.
06 · EVALUACIÓN Y MEJORA
¿Se revisa la efectividad del SGSI y se corrigen las fallas?
Revisa los objetivos, indicadores, auditorías internas, decisiones de la dirección y seguimiento de acciones correctivas.
Evidencia a revisar: resultados de medición, informes de auditoría, revisión por la dirección y acciones cerradas.
¿Encontraste respuestas sin evidencia?
Un diagnóstico de brechas ayuda a contrastar tu situación con los requisitos aplicables y priorizar acciones según el riesgo, el alcance y los compromisos de tu empresa.
Esta revisión es orientativa: no cubre todos los requisitos de ISO/IEC 27001 ni sustituye una auditoría. La preparación no se determina por el número de respuestas afirmativas, sino por la conformidad y efectividad del SGSI dentro de su alcance.
RUTA DE IMPLEMENTACIÓN DEL SGSI
Cómo pasar del diagnóstico a un SGSI que puedas demostrar
La implementación requiere decisiones de negocio, participación de las áreas y evidencia de operación. Esta ruta orientativa muestra qué trabajar en cada etapa y qué resultados revisar antes de avanzar.
ETAPA 01
Definir alcance y evaluar brechas
Delimitar los servicios, procesos, ubicaciones y dependencias del SGSI. Revisar el contexto de la organización, los requisitos de las partes interesadas y la situación actual.
Resultados esperados: alcance documentado, diagnóstico de brechas y plan inicial con prioridades y responsables.
Tu empresa aporta: un patrocinador, responsables de procesos y acceso a la información necesaria.
ETAPA 02
Evaluar riesgos y decidir su tratamiento
Establecer criterios de evaluación, identificar riesgos y seleccionar las medidas necesarias para tratarlos, considerando también requisitos legales y contractuales.
Resultados esperados: evaluación de riesgos, plan de tratamiento y Declaración de Aplicabilidad con justificaciones y estado de implementación.
Tu empresa decide: prioridades, recursos y aceptación de los riesgos residuales por sus responsables.
ETAPA 03
Implementar controles y generar evidencias
Aplicar las medidas definidas, desarrollar las competencias necesarias y operar los procesos. Revisar accesos, proveedores, incidentes y recuperación según corresponda al alcance.
Resultados esperados: documentación controlada, registros de operación, formación y seguimiento de objetivos e indicadores.
Tu equipo participa: ejecutando los controles, conservando evidencias y reportando desviaciones.
ETAPA 04
Evaluar resultados y preparar la auditoría
Realizar la auditoría interna con objetividad e imparcialidad, efectuar la revisión por la dirección y atender las no conformidades y oportunidades de mejora.
Resultados esperados: informe de auditoría, decisiones de la dirección y acciones correctivas con verificación de efectividad.
Si buscas certificación: coordinar la evaluación con un organismo certificador independiente y atender sus hallazgos.
¿Qué determina el tiempo y el costo?
El alcance, la cantidad de sedes y procesos, la madurez de los controles, las brechas técnicas y la disponibilidad de tu equipo. Una estimación útil debe explicar estos supuestos y las responsabilidades de ambas partes.
¿Qué debe aclarar una propuesta?
Los entregables, criterios de aceptación, dedicación requerida y gastos incluidos. Conviene distinguir consultoría, herramientas, adecuaciones técnicas y costos del organismo certificador.
Define el siguiente paso según tu punto de partida
Cuéntanos si comienzas desde cero, ya operas un SGSI o necesitas prepararte para una auditoría. Revisemos qué acompañamiento requiere tu empresa.
Las etapas pueden solaparse y requieren seguimiento continuo. La certificación depende de la evaluación y decisión del organismo certificador; después, el SGSI debe mantenerse y mejorar.
CONTROLES Y EVIDENCIAS DEL SGSI
¿Cómo demostrar que la seguridad funciona en tu operación?
Una política establece lo que debe hacerse. Los registros y las pruebas permiten comprobar su aplicación y evaluar sus resultados. Estos ejemplos muestran cómo relacionar un riesgo con una medida de seguridad y su evidencia.
Accesos de colaboradores
Riesgo: una persona conserva acceso a información después de salir de la empresa.
Medida: coordinar las bajas entre Recursos Humanos, responsables de sistemas y dueños de la información.
Evidencia útil: solicitud de baja, registro de revocación y verificación de las cuentas y permisos afectados.
Respaldos y recuperación
Riesgo: existen respaldos, pero no permiten recuperar un servicio cuando ocurre una falla.
Medida: definir necesidades de recuperación y realizar pruebas para comprobar que pueden cumplirse.
Evidencia útil: informe de restauración, tiempos obtenidos, validación de la información recuperada y seguimiento de fallas.
Proveedores y servicios en la nube
Riesgo: se comparte información con terceros sin responsabilidades de seguridad claramente definidas.
Medida: evaluar al proveedor y acordar condiciones de acceso, protección de información y atención de incidentes.
Evidencia útil: evaluación del proveedor, acuerdos vigentes y registros de revisión del servicio.
Uso de inteligencia artificial
Riesgo: un colaborador introduce información confidencial en una herramienta de IA sin autorización.
Medida: evaluar las herramientas y definir usos permitidos, información restringida y condiciones de acceso.
Evidencia útil: evaluación de riesgos, herramientas autorizadas, reglas comunicadas y revisiones de su aplicación.
Respuesta a incidentes
Riesgo: una alerta queda sin atender porque el equipo desconoce cómo reportarla o quién debe responder.
Medida: establecer canales de reporte, criterios de evaluación y responsables de respuesta.
Evidencia útil: registro del incidente, decisiones, acciones realizadas y lecciones aprendidas; ejercicios cuando corresponda.
Cambios en sistemas críticos
Riesgo: una modificación introduce una falla o expone información de clientes.
Medida: evaluar, probar y autorizar los cambios, con un procedimiento de reversión cuando sea necesario.
Evidencia útil: solicitud de cambio, resultados de pruebas, aprobación y registro de implementación.
¿Qué documenta la Declaración de Aplicabilidad?
La SoA identifica los controles necesarios, explica su inclusión y señala si están implementados. También justifica la exclusión de controles del Anexo A. Debe mantener coherencia con el tratamiento de riesgos y los requisitos aplicables.
¿Cómo organizar las evidencias?
Relaciona cada registro con su proceso, responsable, fecha y resultado. Define dónde se conserva, quién puede consultarlo y cuánto tiempo debe mantenerse. Puedes aprovechar las herramientas que tu empresa ya utiliza.
¿Tienes controles, pero te cuesta demostrar su aplicación?
Revisemos cómo relacionar riesgos, controles y evidencias para identificar pendientes y preparar tu siguiente evaluación.
Los ejemplos son orientativos y no constituyen una lista completa de requisitos. Las medidas para el uso de IA se determinan según los riesgos y el contexto; no representan un control independiente denominado “IA” en ISO/IEC 27001.
ACOMPAÑAMIENTO ISO 27001 EN MÉXICO
¿Qué apoyo necesita tu empresa para avanzar?
El punto de partida cambia según tu organización. C&A Systems puede acompañarte desde la evaluación de brechas hasta la implementación y mejora del SGSI, con un alcance definido según tus riesgos, recursos y objetivos de negocio.
QUIERES SABER POR DÓNDE EMPEZAR
Diagnóstico de brechas
Para empresas que necesitan conocer su situación antes de definir un proyecto, responder a un cliente o preparar una evaluación.
- Revisión del alcance propuesto y requisitos aplicables.
- Entrevistas y revisión de documentación y evidencias disponibles.
- Identificación de brechas y recomendaciones priorizadas.
Objetivo: contar con una base para decidir qué atender primero y cómo dimensionar el esfuerzo.
Solicitar diagnósticoNECESITAS CONSTRUIR TU SGSI
Implementación integral
Para organizaciones que requieren estructurar el proyecto e incorporar la gestión de seguridad a sus procesos con la participación de sus áreas.
- Definición del SGSI, evaluación de riesgos y plan de tratamiento.
- Acompañamiento en controles, documentación y generación de evidencias.
- Preparación para evaluar resultados y atender las brechas.
Objetivo: establecer un sistema que tu equipo pueda operar, mantener y mejorar.
Consultar implementaciónYA TIENES AVANCES O UN SGSI
Acompañamiento especializado
Para equipos que necesitan apoyo en actividades específicas, mejorar sus evidencias o atender hallazgos antes de una próxima auditoría.
- Revisión de riesgos, controles y Declaración de Aplicabilidad.
- Apoyo para analizar causas y dar seguimiento a acciones correctivas.
- Fortalecimiento de indicadores, registros y revisión por la dirección.
Objetivo: resolver necesidades concretas y fortalecer la efectividad del sistema existente.
Consultar acompañamientoSeguridad conectada con tu operación
La experiencia de C&A Systems en desarrollo de software, servicios cloud y gestión de TI permite abordar la seguridad junto con los procesos y tecnologías que sostienen tu negocio. Las adecuaciones técnicas se definen según las necesidades y el alcance contratado.
Prepara tu primera conversación
Para orientar la consulta, comparte:
- Qué te impulsa: cliente, auditoría o mejora interna.
- Qué procesos o servicios deseas incluir.
- Qué avances tienes y si existe una fecha objetivo.
Las actividades, entregables, tiempos y responsabilidades se precisan en la propuesta de servicio. La certificación corresponde a un organismo certificador independiente.
RESUELVE TUS DUDAS
Preguntas frecuentes sobre implementar ISO 27001
Antes de comenzar, aclara el alcance, la participación de tu equipo y la diferencia entre implementar el SGSI y obtener una certificación.
¿Cuánto cuesta implementar ISO 27001?
Depende del alcance, las sedes, los procesos, los controles existentes y las brechas por atender. Solicita una propuesta que distinga consultoría, dedicación interna, herramientas, adecuaciones técnicas y costos del organismo certificador.
¿Cuánto tiempo requiere la implementación?
El plazo depende del punto de partida, la complejidad del alcance y la disponibilidad de los responsables. El plan debe contemplar la implementación, la operación del SGSI, la evaluación de resultados y la atención de hallazgos. Una fecha objetivo debe revisarse contra estas actividades.
¿Una PYME puede implementar un SGSI?
Sí. El sistema debe adecuarse al contexto, los riesgos y el alcance de la organización. Una empresa pequeña también necesita asignar responsabilidades, disponer de recursos y demostrar que sus procesos de seguridad funcionan.
¿Necesito comprar un software para gestionar el SGSI?
La norma no prescribe una marca o plataforma específica. Puedes aprovechar herramientas existentes si permiten controlar la información documentada, protegerla y conservar los registros necesarios. La elección depende de tus necesidades de operación y seguimiento.
¿Qué diferencia hay entre implementar y certificarse?
Implementar significa establecer, operar, mantener y mejorar el SGSI. La certificación implica una evaluación y una decisión de un organismo certificador independiente. C&A Systems puede acompañar la preparación e implementación; la contratación de consultoría no garantiza la certificación.
¿Debo aplicar todos los controles del Anexo A?
Debes determinar los controles necesarios para tratar los riesgos y atender los requisitos aplicables, contrastarlos con el Anexo A y documentar su selección en la Declaración de Aplicabilidad. Las exclusiones de controles del Anexo A requieren justificación; también pueden necesitarse controles adicionales.
¿Tener servicios en la nube certificados cubre a mi empresa?
La certificación del proveedor corresponde a su propio alcance. Tu organización conserva responsabilidades sobre el uso del servicio, la información, los usuarios y las configuraciones que administra. Debes revisar los acuerdos y la distribución de responsabilidades para cada servicio.
¿Qué necesito para solicitar una primera evaluación?
Comparte tu objetivo, los procesos o servicios que deseas incluir, tus avances y cualquier fecha requerida por un cliente o auditoría. Esto permite orientar la conversación y definir el alcance de un posible diagnóstico.
DEFINE TU SIGUIENTE PASO
Identifica qué necesita tu empresa para avanzar con ISO 27001
Cuéntanos si necesitas responder a un cliente, comenzar la implementación o fortalecer un SGSI existente. Revisemos el acompañamiento adecuado para tu organización.
Solicita una conversación con C&A Systems
En el mensaje indica “Diagnóstico ISO 27001” y describe brevemente tu objetivo y situación actual.
Contactar sobre ISO 27001El alcance, los entregables y las condiciones del servicio se definen en la propuesta.