Implantar ISO 27001 no consiste únicamente en crear políticas de seguridad o reunir documentación.
Cómo implantar ISO 27001 paso a paso
El objetivo es construir un Sistema de Gestión de Seguridad de la Información capaz de identificar riesgos, aplicar controles adecuados, asignar responsabilidades, gestionar incidentes y mejorar de forma continua. En Hentya ayudamos a las organizaciones a adaptar ISO 27001 a su actividad, tamaño, riesgos, clientes y contexto tecnológico, evitando sistemas excesivamente burocráticos.
LAS 14 FASES
Entender y definir
Pasos 1 a 3
Riesgos y controles
Pasos 4 a 6
Documentar y organizar
Pasos 7 a 10
Evidencias, auditoría y certificación
Pasos 11 a 14
Paso 1 de 14
Paso 1. Entender la organización y su contexto
Antes de definir controles es necesario comprender:
- Actividad
- Servicios
- Clientes
- Información crítica
- Procesos
- Tecnología
- Proveedores
- Requisitos contractuales
- Obligaciones aplicables
- Dependencias externas
- Amenazas y riesgos
El sistema debe responder a la realidad de la organización.
Paso 2 de 14
Paso 2. Definir el alcance del SGSI
El alcance determina qué actividades, procesos, ubicaciones, sistemas, información y servicios quedan incluidos dentro del Sistema de Gestión de Seguridad de la Información (SGSI). Debe ser coherente con:
- La actividad real
- Los servicios prestados
- Los sistemas utilizados
- Los clientes
- Los requisitos contractuales
- Los riesgos existentes
Un alcance mal definido puede generar problemas durante la implantación y la auditoría.
Paso 3 de 14
Paso 3. Identificar qué información y activos deben protegerse
La organización debe entender qué elementos son importantes para su actividad. Por ejemplo:
- Información de clientes
- Datos internos
- Aplicaciones
- Equipos
- Infraestructura
- Comunicaciones
- Servicios en la nube
- Proveedores
- Documentación
- Personas
- Credenciales
- Sistemas críticos
No se trata únicamente de crear un inventario técnico, sino de entender qué necesita protección y por qué.
Paso 4 de 14
Paso 4. Realizar el análisis de riesgos
El análisis de riesgos permite identificar situaciones que podrían afectar a:
- Confidencialidad
- Integridad
- Disponibilidad
- Continuidad
- Cumplimiento de requisitos
El método debe ser proporcional a la organización. No es necesario utilizar una metodología excesivamente compleja si no aporta valor.
Paso 5 de 14
Paso 5. Definir el tratamiento de riesgos
Una vez identificados y evaluados los riesgos, la organización debe decidir cómo tratarlos. Las opciones pueden incluir:
- Reducir
- Evitar
- Transferir
- Aceptar
La elección depende del contexto y de los criterios definidos. Las decisiones deben quedar justificadas y relacionadas con controles adecuados.
Paso 6 de 14
Paso 6. Seleccionar y aplicar controles de seguridad
Los controles deben responder a los riesgos y necesidades de la organización. Pueden abarcar ámbitos como:
- Accesos
- Identidades
- Proveedores
- Copias de seguridad
- Incidentes
- Continuidad
- Configuración
- Cambios
- Seguridad física
- Recursos humanos
- Comunicaciones
- Desarrollo
- Dispositivos
- Servicios cloud
No se trata de copiar un listado de controles: cada uno debe analizarse para comprobar si aplica al contexto de la organización.
Paso 7 de 14
Paso 7. Preparar la información documentada necesaria
La documentación debe ser útil y proporcional. Puede incluir:
- Política de seguridad
- Alcance
- Metodología de riesgos
- Resultados del análisis
- Tratamiento de riesgos
- Responsabilidades
- Procedimientos
- Registros
- Evidencias
- Criterios operativos
- Documentación sobre incidentes y proveedores
No se trata de crear documentación por acumular archivos.
Paso 8 de 14
Paso 8. Definir responsabilidades y competencias
La organización debe saber quién:
- Gestiona riesgos
- Aprueba decisiones
- Administra accesos
- Gestiona incidentes
- Revisa proveedores
- Mantiene documentación
- Controla acciones
- Supervisa el SGSI
Las responsabilidades deben coincidir con la realidad de la empresa.
Paso 9 de 14
Paso 9. Gestionar proveedores y servicios externos
Muchos riesgos de seguridad dependen de terceros. Por eso conviene revisar:
- Proveedores críticos
- Servicios cloud
- Software
- Soporte
- Tratamiento de información
- Accesos externos
- Contratos
- Requisitos de seguridad
- Seguimiento
Paso 10 de 14
Paso 10. Preparar la gestión de incidentes
Ante incidentes de seguridad, la organización debe disponer de una forma clara de:
- Detectar
- Comunicar
- Registrar
- Evaluar
- Responder
- Aprender
El objetivo es reducir el impacto y mejorar la capacidad de respuesta.
Paso 11 de 14
Paso 11. Poner el SGSI en funcionamiento
Crear políticas y procedimientos no significa haber implantado ISO 27001. La organización debe demostrar que los controles y procesos funcionan realmente. Las evidencias pueden incluir:
- Registros
- Revisiones
- Accesos
- Controles
- Incidencias
- Evaluaciones
- Auditorías
- Acciones
- Formación
- Seguimiento de proveedores
Paso 12 de 14
Paso 12. Realizar la auditoría interna
Antes de la auditoría externa debe revisarse el SGSI para comprobar:
- Cumplimiento
- Implantación
- Evidencias
- Desviaciones
- Acciones pendientes
- Eficacia de controles
Tienes más detalle en nuestra guía de auditoría interna ISO.
Paso 13 de 14
Paso 13. Revisar el SGSI con la dirección
La dirección debe revisar periódicamente:
- Riesgos
- Incidentes
- Objetivos
- Auditorías
- Resultados
- Proveedores
- Cambios
- Acciones
- Recursos
- Oportunidades de mejora
La revisión debe servir para tomar decisiones.
Paso 14 de 14
Paso 14. Preparar la auditoría de certificación
Cuando el sistema ya está implantado, revisado y dispone de evidencias suficientes, puede prepararse la auditoría externa. Hentya actúa como consultora: la auditoría de certificación y la emisión del certificado corresponden a una entidad certificadora independiente.
Si necesitas orientación para elegirla, consulta cómo elegir una entidad certificadora ISO.
No confundir
ISO 27001 y ENS no son lo mismo
ISO 27001 y el Esquema Nacional de Seguridad pueden compartir determinados elementos, pero no deben presentarse como equivalentes. Una organización puede necesitar uno, otro o ambos en función de sus clientes, contratos y actividad.
Más información en ISO 27001 vs ENS: diferencias y cuál puede necesitar tu empresa.
Marco legal
ISO 27001 y NIS2
ISO 27001 puede ayudar a estructurar parte de la gestión de seguridad de una organización, pero no debe presentarse como cumplimiento automático de NIS2. La aplicabilidad y los requisitos legales deben analizarse de forma específica. Más información en ISO 27001 y NIS2: relación y diferencias.
Planificación
¿Cuánto tarda implantar ISO 27001?
El plazo depende de:
- Tamaño
- Alcance
- Complejidad tecnológica
- Situación de partida
- Número de centros
- Proveedores
- Madurez de seguridad
- Disponibilidad del equipo
- Tiempo necesario para generar evidencias
Por eso no se puede dar un plazo único sin conocer el punto de partida de cada organización. Lo explicamos en cuánto tarda una empresa en conseguir ISO 27001.
Inversión
¿Cuánto cuesta implantar ISO 27001?
El precio dependerá de:
- Alcance
- Tamaño
- Número de centros
- Complejidad
- Situación de partida
- Necesidades de consultoría
- Grado de implantación existente
Además, deben diferenciarse tres partidas:
- Consultoría
- Certificación
- Mantenimiento
Lo desarrollamos en cuánto cuesta implantar y certificar ISO 27001.
Tecnología
Implantación ISO 27001 apoyada en inteligencia artificial
Hentya está desarrollando Hentya ISO IA para apoyar tareas como:
- Análisis documental
- Clasificación de evidencias
- Seguimiento de controles
- Detección de pendientes
- Preparación de borradores
- Seguimiento de riesgos
- Preparación de auditorías
- Control de acciones
La IA debe utilizarse como apoyo. Las decisiones técnicas, de riesgo, legales o de seguridad que requieran criterio deben mantenerse bajo supervisión profesional.
Conoce más sobre Hentya ISO IA.
Modalidad
¿Puede implantarse ISO 27001 online?
Muchas fases pueden realizarse de forma digital mediante:
- Reuniones por Teams
- Revisión documental
- Análisis remoto
- Seguimiento de tareas
- Intercambio seguro de evidencias
- Automatización
Dependiendo de la actividad, el alcance y los riesgos pueden ser necesarias actuaciones adicionales.
Descubre nuestra consultoría ISO digital.
Acompañamiento
Cómo puede ayudarte Hentya
Podemos acompañarte durante:
- Diagnóstico
- Definición de alcance
- Análisis de riesgos
- Tratamiento
- Controles
- Documentación
- Implantación
- Auditoría interna
- Preparación para certificación
- Mantenimiento posterior
Consulta nuestro servicio de consultoría ISO 27001.
Resolvemos tus dudas
Preguntas frecuentes sobre cómo implantar ISO 27001
El proceso suele incluir definición del alcance, identificación de información y activos, análisis de riesgos, tratamiento, selección de controles, documentación, implantación, generación de evidencias, auditoría interna, revisión por la dirección y preparación para certificación.
No necesariamente. El modelo debe adaptarse al tamaño, actividad, estructura y riesgos de la organización.
No. La organización debe seleccionar medidas y controles adecuados a sus riesgos y contexto.
No. Pueden compartir elementos, pero deben analizarse de forma independiente.
No automáticamente. Puede ayudar a estructurar la gestión de seguridad, pero el cumplimiento legal debe analizarse específicamente.
La certificación la realiza una entidad certificadora independiente. Hentya actúa como consultora.
Hablemos
¿Quieres implantar ISO 27001?
Cuéntanos qué hace tu empresa, qué información gestiona, cuántas personas y centros tiene y cuál es tu situación actual.
Podemos analizar el punto de partida y proponerte un plan de implantación adaptado.
Sigue leyendo