La certificación ISO 27001 sirve para demostrar ante terceros, con un sello auditado por una entidad independiente, que tu empresa gestiona la seguridad de la información con un sistema ordenado y no a base de buena voluntad. Dicho sin rodeos: la ISO 27001 no es una ley que te obligue a nada, es un argumento comercial y un orden interno; se certifica el sistema de gestión, no tu servidor ni tu antivirus. En la práctica, la mayoría de las empresas españolas se plantean certificarse por un motivo muy concreto: un cliente grande, una licitación o un proveedor tecnológico se lo ha pedido por escrito. Esta guía te explica qué es, qué te aporta, qué pide la norma y cómo se consigue.
Qué es la ISO 27001 y qué certifica exactamente
La ISO/IEC 27001 es la norma internacional que fija los requisitos de un sistema de gestión de la seguridad de la información, lo que en castellano se abrevia como SGSI. La publican conjuntamente ISO e IEC, y la versión vigente es la de 2022, que lleva por título Seguridad de la información, ciberseguridad y protección de la privacidad.
La palabra clave es «gestión». La norma no te dice qué cortafuegos comprar ni qué proveedor de nube usar. Lo que te exige es que tengas un método: que sepas qué información manejas, qué riesgos la amenazan, qué has decidido hacer con cada riesgo, quién es responsable de qué y cómo compruebas que todo eso sigue funcionando el año que viene. Por eso dos empresas certificadas pueden tener tecnologías completamente distintas: lo que se audita es el proceso de decisión, no la herramienta.
Y una precisión que ahorra malentendidos: la certificación se emite sobre un alcance definido por ti. Puedes certificar toda la empresa o solo un servicio, una sede o un departamento. Cuando un cliente te pida el certificado, lo primero que mirará un técnico es justamente eso, el alcance, porque un certificado que cubre solo el departamento de administración no dice nada sobre el servicio que te está comprando.
Para qué sirve de verdad: tres usos concretos
Más allá del PDF para colgar en la web, la ISO 27001 se usa para tres cosas:
- Vender a clientes que te auditan. Grandes cuentas, banca, seguros, sanidad y administración incluyen cuestionarios de seguridad en sus procesos de compra. Con el certificado, muchos de esos cuestionarios se resuelven adjuntando un documento en lugar de dedicar semanas a responderlos uno por uno.
- Puntuar en licitaciones y concursos. En contratación pública y en grandes compras privadas es habitual que la seguridad de la información aparezca como criterio de solvencia técnica o como puntuación adicional. No siempre es excluyente, pero suele ser la diferencia entre entrar en la lista corta o no.
- Poner orden dentro de casa. Este es el beneficio que nadie pide y el que más se nota. Al implantar el sistema aparecen cosas incómodas: antiguos empleados con accesos activos, copias de seguridad que nadie ha restaurado nunca, proveedores sin contrato de tratamiento de datos, contraseñas compartidas en una hoja de cálculo. El valor está en cerrar esos agujeros.
Lo que la ISO 27001 no hace es volverte inmune a un incidente. Una empresa certificada puede sufrir un ataque igual que cualquier otra. Lo que cambia es que tiene detectada la amenaza, decidido quién responde y probado el plan de recuperación.
Qué pide la norma: el SGSI y los 93 controles del Anexo A
La norma tiene dos partes y conviene no confundirlas, porque es el error más repetido.
La primera son las cláusulas 4 a 10, que contienen los requisitos obligatorios. Ahí está lo que no se puede negociar: definir el contexto y el alcance, el compromiso de la dirección, los objetivos de seguridad, la evaluación y el tratamiento de riesgos, los recursos y la formación, la documentación, la medición, la auditoría interna, la revisión por dirección y la gestión de las no conformidades. Si falla algo de este bloque, no hay certificado.
La segunda es el Anexo A, que en la versión de 2022 recoge 93 controles agrupados en cuatro temas: 37 organizativos, 8 de personas, 14 físicos y 34 tecnológicos. La versión anterior, la de 2013, tenía 114 controles repartidos en 14 dominios; en la revisión se fusionaron solapamientos y se añadieron controles nuevos relacionados con la nube, la inteligencia de amenazas y el borrado seguro de información.
Aquí está la parte que más alivia a quien se asoma por primera vez: no tienes que implantar los 93 controles. Se seleccionan en función de tu evaluación de riesgos, y las inclusiones y exclusiones se justifican en un documento obligatorio llamado Declaración de Aplicabilidad. Si no tienes centro de datos propio, los controles físicos de sala se excluyen razonando por qué. Si quieres orientación sobre cómo implantar cada control, la norma hermana ISO/IEC 27002 es la que da ese detalle.
Cómo se consigue la certificación, paso a paso
El camino es bastante estándar y se recorre en este orden:
- Define el alcance. Qué servicios, qué sedes, qué sistemas. Cuanto más ajustado al principio, más barato y rápido; luego se amplía.
- Inventaría los activos de información. Qué datos manejas, dónde están, quién accede y de quién dependes. Suele ser la fase que más tiempo come y la que más valor aporta.
- Evalúa y trata los riesgos. Para cada riesgo, una decisión explícita: reducirlo, evitarlo, transferirlo o aceptarlo. Documentada y firmada por quien tenga autoridad.
- Implanta los controles y escribe las políticas. Aquí es donde el proyecto toca la tecnología: control de accesos, registro de actividad, copias de seguridad verificadas, cifrado, gestión de proveedores, respuesta a incidentes.
- Haz la auditoría interna y la revisión por dirección. Son requisitos de la norma, no un trámite: el auditor externo los va a pedir como evidencia.
- Pasa la auditoría de certificación. Se hace en dos etapas: primero una revisión documental y después la auditoría de implantación sobre el terreno, con entrevistas y muestreo de evidencias.
- Mantén el certificado. El certificado se emite por un ciclo de tres años, con auditorías de seguimiento anuales y una auditoría de renovación al final del ciclo.
Un detalle que marca la diferencia en el valor del sello: la auditoría debe hacerla una entidad de certificación acreditada. En España, el organismo que acredita a esas entidades es ENAC. Un certificado emitido por una entidad sin acreditación es mucho más difícil de defender ante un cliente exigente, así que comprueba la acreditación antes de contratar la auditoría.
Sobre el coste no te vamos a dar una cifra, porque depende del alcance, del número de empleados y del número de sedes, y cualquier rango genérico te induciría a error. Lo que sí puedes pedir desde el principio es que te separen en el presupuesto tres partidas: la consultoría de implantación, la auditoría de certificación y el mantenimiento anual. Son tres facturas distintas y a menudo de tres proveedores distintos, porque quien te implanta el sistema no puede auditarte.
ISO 27001 o ENS: cuál te están pidiendo en realidad
Es una confusión muy habitual en España y conviene resolverla antes de gastar dinero en la que no necesitas:
| Criterio | ISO 27001 | ENS |
|---|---|---|
| Naturaleza | Norma internacional voluntaria | Esquema regulado por normativa española |
| Quién la pide | Clientes privados y mercado en general | Obligatoria para el sector público y sus proveedores de servicios TIC |
| Alcance de los controles | Lo defines tú según tus riesgos | Categoría asignada según el impacto, no a tu elección |
| Reconocimiento | Internacional | Español |
Se solapan bastante en el fondo, y haber implantado una facilita mucho la otra, pero no son intercambiables. Si tu cliente es una administración pública española, lo que te van a exigir es la conformidad con el Esquema Nacional de Seguridad. Si tu cliente es una multinacional o vendes fuera de España, lo que te van a pedir es la ISO 27001. Si te pasan las dos cosas, lo eficiente es implantar un sistema único y certificarlo por los dos marcos.
Cuándo no te compensa certificarte
Un consejo que no suele darse: la certificación no es para todo el mundo y no siempre en este momento. Si nadie te la ha pedido, si no vendes a grandes cuentas ni a la administración, y si tu empresa tiene cinco personas y los deberes básicos de seguridad sin hacer, certificarte ahora es empezar por el tejado.
En ese caso hay un camino intermedio que da casi todo el beneficio interno sin el coste del sello: implantar los controles del Anexo A que te apliquen, documentarlos y pasar una auditoría interna, sin certificarte. Tienes el orden, tienes las evidencias para responder cuestionarios de cliente y, el día que alguien te exija el certificado, llegas a la auditoría con el trabajo hecho. La decisión de certificar debería responder a una demanda real del mercado, no a una intuición.
En resumen: un sello comercial que te obliga a ordenarte
La ISO 27001 sirve para probar con un sello auditado que gestionas la seguridad de la información de forma sistemática, y se usa sobre todo para vender a clientes que te auditan y para competir en licitaciones. Lo obligatorio son las cláusulas 4 a 10; los 93 controles del Anexo A se eligen según tus riesgos y se justifican en la Declaración de Aplicabilidad. Se certifica por ciclos de tres años con seguimiento anual, y el sello solo vale lo que valga la acreditación de quien lo emite. Si nadie te lo ha pedido, empieza por implantar y deja el certificado para cuando el mercado lo exija.
Buena parte del trabajo acaba aterrizando en tus sistemas: accesos por perfiles, trazas de actividad, copias verificadas, cifrado y retirada ordenada de permisos. Eso se implementa en tus aplicaciones, y es justo lo que hacemos en desarrollo web y de apps a medida. Si estás preparando la certificación y quieres saber qué te falta en la parte técnica, escríbenos y lo revisamos contigo.
Artículos relacionados
Preguntas frecuentes
Las dudas más comunes. Si la tuya no está, pregúntanos
En Tangram no queremos que la información pase por una cadena interminable de intermediarios donde se pierden los detalles importantes.
Contarás con un interlocutor que coordinará la comunicación y trasladará las decisiones al equipo responsable de tu proyecto.
Cuando sea necesario profundizar en cuestiones de estrategia, diseño o tecnología, podremos involucrar a los especialistas correspondientes.
Así tendrás una comunicación organizada, sin necesidad de gestionar personalmente a todos los profesionales que intervienen.
Queremos que tengas acceso al conocimiento de un equipo especializado, sin sufrir la complejidad de coordinarlo.
No tendrás que averiguar a quién escribir cada vez que tengas una duda.
En Tangram contemplamos la figura del Account Manager como interlocutor principal, encargado de acompañarte durante el proyecto, coordinar la comunicación y facilitar el seguimiento de las decisiones.
Nuestra metodología incluye reuniones de revisión, canales de comunicación y herramientas para que puedas participar en el trabajo.
La organización concreta, la frecuencia de las reuniones y los canales disponibles se establecerán según el proyecto contratado.
Lo importante es que sepas con quién hablar, en qué punto está tu proyecto y qué decisiones necesitan tu participación.
Sí, podemos valorar una colaboración con los profesionales que ya trabajan en tu empresa.
No siempre tiene sentido sustituir un equipo que conoce bien tu negocio. En muchas situaciones, lo más útil es complementar sus conocimientos con especialistas en determinadas áreas.
Podemos estudiar qué responsabilidades asumiría Tangram, cuáles mantendría tu equipo y cómo coordinar las decisiones para evitar duplicidades.
La forma concreta de colaboración dependerá de la organización, las herramientas y las necesidades del proyecto.
No se trata de reemplazar lo que ya funciona, sino de aportar el conocimiento que necesitas para llegar más lejos.
No tienes por qué cambiar de proveedor para explorar una colaboración con Tangram.
Durante nuestra trayectoria hemos trabajado con agencias y consultoras, participando en proyectos en los que cada empresa asumía una parte diferente del trabajo.
Esa experiencia nos permite comprender la importancia de definir responsabilidades y coordinar a los profesionales implicados.
Podemos valorar una colaboración para cubrir necesidades concretas que tu proveedor actual no ofrece o para reforzar determinadas áreas.
Si tienes una relación profesional que funciona, no queremos que la rompas sin motivo. Queremos encontrar dónde podemos aportar valor.
La confidencialidad es especialmente importante cuando hablamos de nuevas ideas de negocio, información económica, estrategias comerciales o desarrollos tecnológicos.
En Tangram tenemos experiencia trabajando en proyectos sujetos a acuerdos de confidencialidad, motivo por el que no podemos mostrar públicamente muchos de los trabajos en los que hemos participado.
Si tu proyecto requiere un acuerdo de confidencialidad (NDA) antes de compartir información sensible, podemos revisar sus condiciones y acordar cómo proteger esa información antes de entrar en los detalles.
Entendemos que la confianza empieza por respetar lo que todavía no quieres hacer público.