Software para ISO 27001
ISO 27001 es la norma de sistemas de gestión de la seguridad de la información y aplica a cualquier organización que trate información propia o de terceros con valor. Su exigencia propia está en la apreciación y el tratamiento del riesgo y en la declaración de aplicabilidad de los controles. Vigenta guarda esa declaración con su versión, sus justificaciones y la evidencia de cada control implantado.
Publicado · Última revisión
La norma, en una tabla
| Nombre completo | Gestión de la seguridad de la información |
|---|---|
| Edición vigente | 2022 |
| Organismo que la publica | ISO · Organización Internacional de Normalización |
| ¿Estructura de alto nivel? | Sí |
| A quién aplica | Proveedores de servicios digitales, áreas de tecnología y cualquier organización a la que sus clientes le auditen la seguridad. |
| Con qué normas se integra | ISO 27018 se certifica como extensión suya para el tratamiento de datos personales en la nube, e ISO 22301 cubre la continuidad que su control de disponibilidad exige. |
Qué exige, capítulo por capítulo
| Capítulo | Qué exige esta norma en concreto | Dónde se opera en Vigenta |
|---|---|---|
| 4 Contexto de la organización |
Sin exigencia propia
|
Operación de inocuidad |
| 5 Liderazgo |
Sin exigencia propia
|
Operación de inocuidad |
| 6 Planificación |
|
Riesgos y requisitos legales |
| 7 Apoyo |
Sin exigencia propia
|
Documentos vigentes |
| 8 Operación |
|
Registros firmados |
| 9 Evaluación del desempeño |
Sin exigencia propia
|
Indicadores |
| 10 Mejora |
Sin exigencia propia
|
Auditorías y no conformidades |
| A.5 Controles organizativos |
|
Registros firmados |
| A.5.9 Inventario de información y otros activos asociados |
|
Documentos vigentes |
| A.5.15 Control de acceso |
|
Registros firmados |
| A.5.19 Seguridad en las relaciones con proveedores |
|
Registros firmados |
| A.5.24 Planificación y preparación de la gestión de incidentes |
|
Documentos vigentes |
| A.5.30 Preparación de las TIC para la continuidad del negocio |
|
Registros firmados |
| A.5.31 Requisitos legales, estatutarios y contractuales |
|
Documentos vigentes |
| A.5.34 Privacidad y protección de datos personales |
|
Documentos vigentes |
| A.6.3 Concienciación, educación y formación en seguridad |
|
Registros firmados |
| A.7.4 Vigilancia de la seguridad física |
|
Registros firmados |
Los capítulos y sus cláusulas salen del catálogo normativo del producto. Vigenta describe qué exige cada uno; no reproduce el texto de la norma, que es del organismo que la publica.
Los capítulos marcados «Sin exigencia propia» no añaden nada sobre los capítulos comunes del anexo SL: se operan con las cláusulas comunes que aparecen debajo, y la columna de la derecha dice dónde.
Información documentada obligatoria
Los documentos y actas que esta norma pide mantener, cláusula por cláusula, tal como están modelados en el catálogo.
La información documentada común a todas las normas de sistema —política, alcance, objetivos, evidencia de competencia, programa de auditoría interna y acta de revisión por la dirección— tiene una sola página dueña y no se repite aquí. Ver cómo se opera
- 6.1.2 · Definir y aplicar un método de apreciación de riesgos de información con criterios de aceptación
- 6.1.3 · Mantener la declaración de aplicabilidad con la justificación de cada control incluido y excluido
- 6.1.3 · Mantener el plan de tratamiento de riesgos con responsable, plazo y riesgo residual aceptado
- A.5.9 · Mantener el inventario de activos de información con propietario y clasificación
- A.5.24 · Mantener el procedimiento de gestión de incidentes de seguridad con roles y escalamiento
- A.5.31 · Mantener el registro de requisitos legales y contractuales de seguridad y su forma de cumplimiento
- A.5.34 · Documentar el tratamiento de datos personales y las medidas que lo protegen
- A.8.24 · Documentar la política de uso de criptografía y la gestión del ciclo de vida de las claves
Módulo e industria
Vigenta opera hoy para ISO 27001 los capítulos 4 a 10 del HLS, el control documental, las auditorías y las acciones correctivas. Las herramientas específicas del sector no forman parte de la versión disponible.
Errores frecuentes en auditoría
Hallazgos redactados como los levanta un auditor, no como los describiría un vendedor.
- La declaración de aplicabilidad excluye controles sin justificación escrita, o la justificación es la misma frase repetida.
- El inventario de activos de información está desactualizado y no incluye los servicios de terceros que tratan datos.
- La apreciación de riesgos se hizo una vez y no se ha repetido tras cambios relevantes en el alcance.
- Los incidentes de seguridad se registran en la mesa de ayuda y no se enlazan con el tratamiento de riesgo que deberían actualizar.
Cumplir la norma es de la organización. Vigenta ayuda a evidenciarlo: guarda la información documentada, deja rastro de cada verificación y calcula qué parte del sistema está lista para auditoría.
Preguntas frecuentes
¿Qué tiene que contener la declaración de aplicabilidad?
Todos los controles del anexo, con la decisión de aplicarlos o no, la justificación de esa decisión y el estado de implantación. Un control excluido sin motivo es el hallazgo más rápido de esta norma.
¿Cada cuánto se repite la apreciación de riesgos?
En los intervalos planificados y siempre que cambie el alcance, la tecnología o el marco legal. Lo que se audita es que exista criterio, que se aplique igual y que las decisiones de tratamiento tengan dueño y fecha.
¿Cómo se acredita que un control del anexo está realmente implantado?
Con evidencia operativa, no con el procedimiento: registros de revisión de accesos, de respaldo verificado, de pruebas de restauración. El documento describe la intención; el registro demuestra la ejecución.
¿Qué relación tiene ISO 27001 con la ley mexicana de datos personales?
La norma no sustituye a la ley, pero buena parte de sus controles sirven de evidencia del deber de seguridad. La correspondencia entre control y obligación legal se lleva como cualquier otro requisito legal aplicable.
Pruébalo con tu propio sistema
Sin tarjeta y sin hablar con nadie. Al terminar la prueba la cuenta pasa a sólo lectura y no se cobra nada.
Empieza gratis, 14 días Demo de 30 min