Análisis de brechas ISO 27001: cómo saber cuánto le falta a su SGSI
El análisis de brechas ISO 27001 (o autodiagnóstico inicial) compara lo que la organización ya hace en seguridad de la información con lo que pide ISO/IEC 27001:2022. Se revisa cada requisito de las cláusulas 4 a 10 y cada uno de los 93 controles del Anexo A, se marca si cumple, cumple en parte o no cumple, se anota la evidencia que existe hoy y el resultado es un porcentaje de cumplimiento por área y una lista de brechas que se convierte en el plan del proyecto. La norma no lo exige, pero es el primer paso de casi todas las implementaciones.
¿El análisis de brechas es obligatorio en ISO 27001?
No. Ninguna cláusula de ISO/IEC 27001:2022 pide un análisis de brechas y el organismo certificador no lo revisará como información documentada obligatoria. Se hace porque responde tres preguntas antes de gastar tiempo y dinero: cuánto falta, qué falta primero y cuánto puede tardar el proyecto.
También sirve como línea base. Repetido unos meses después, el mismo archivo muestra a la dirección cuánto avanzó el SGSI sin preparar informes aparte. Si la organización ya tiene otra norma ISO de sistemas de gestión (por ejemplo ISO 9001), varias cláusulas de la 4 a la 10 se pueden ampliar en vez de empezar desde cero.
Qué se revisa: cláusulas 4 a 10 y Anexo A
El autodiagnóstico del kit NexoDocs (SGSI-DIA-01) divide la norma en dos hojas. Las preguntas y los títulos de los controles son redacción propia y referencial: la norma se cita por número de cláusula y de control, no se copia.
| Parte de la norma | Qué se verifica | Filas en el autodiagnóstico |
|---|---|---|
| Cláusula 4 · Contexto | Cuestiones internas y externas (incluida la pregunta sobre cambio climático de la enmienda Amd 1:2024), partes interesadas, alcance, sistema de gestión | 5 |
| Cláusula 5 · Liderazgo | Compromiso de la dirección, política de seguridad, roles y autoridades | 3 |
| Cláusula 6 · Planificación | Riesgos y oportunidades, evaluación y tratamiento de riesgos, Declaración de Aplicabilidad, objetivos, cambios | 7 |
| Cláusula 7 · Soporte | Recursos, competencia, toma de conciencia, comunicación, información documentada | 5 |
| Cláusula 8 · Operación | Control operacional, ejecución de la evaluación y del tratamiento de riesgos | 3 |
| Cláusula 9 · Evaluación del desempeño | Seguimiento y medición, programa y ejecución de la auditoría interna, revisión por la dirección | 4 |
| Cláusula 10 · Mejora | Mejora continua, no conformidades y acciones correctivas | 2 |
| Anexo A · 93 controles | Organizacionales (37), de personas (8), físicos (14) y tecnológicos (34) | 93, con la columna «¿Aplica?» |
En total son 29 preguntas para las cláusulas y 93 para los controles. El archivo señala los 11 controles que fueron nuevos en la versión 2022, como inteligencia de amenazas (5.7), seguridad en servicios en la nube (5.23), gestión de la configuración (8.9), prevención de fuga de datos (8.12) y codificación segura (8.28): suelen ser las brechas más frecuentes en organizaciones que venían de la versión 2013.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit completoCómo hacer el análisis de brechas paso a paso
- Defina un alcance provisorio: qué procesos, sedes, sistemas y servicios entran. Sin alcance, el diagnóstico mezcla cosas que después quedarán fuera.
- Reúna a quienes conocen la práctica real: responsable del SGSI, TI, dueños de los procesos principales, recursos humanos y, si existe, legal o cumplimiento.
- En las cláusulas 4 a 10, elija para cada pregunta uno de tres estados: cumple, parcial o no cumple. No hay opción «no aplica» porque estas cláusulas no admiten exclusiones.
- En el Anexo A, indique primero si el control aplica (decisión preliminar) y después su estado. La decisión definitiva se toma más adelante, en la Declaración de Aplicabilidad.
- Anote la evidencia actual: documento, registro, ticket o configuración. Si no puede mostrarla, marque «parcial» aunque la actividad se haga.
- Revise el resumen: porcentaje por área, requisitos sin evaluar y controles marcados como no aplicables.
- Lleve las brechas en rojo al plan del proyecto con responsable y fecha, empezando por las cláusulas 4 a 6, de las que depende el resto.
Cómo se puntúa el cumplimiento
En la plantilla, cada fila suma un puntaje según su estado y el porcentaje de cada área es el promedio de las filas evaluadas:
| Estado | Puntaje | Cuándo usarlo |
|---|---|---|
| Cumple | 100 % | Existe, está documentado cuando corresponde y se aplica, con evidencia |
| Parcial | 50 % | Incompleto, sin documento o sin registros que lo demuestren |
| No cumple | 0 % | No se hace o no hay ninguna evidencia |
| No aplica (solo Anexo A) | Fuera del promedio | Control excluido de forma preliminar, que luego se justifica en la Declaración de Aplicabilidad |
Ejemplo: si en la cláusula 7 (5 preguntas) hay 2 que cumplen, 2 parciales y 1 que no cumple, el resultado es (100 + 100 + 50 + 50 + 0) / 5 = 60 %. El resumen usa un semáforo: rojo bajo 50 %, amarillo de 50 a 79 % y verde desde 80 %. Las filas sin evaluar no cuentan en el porcentaje, por eso el resumen muestra aparte cuántas quedan pendientes.
Qué hacer con el resultado
- Priorice por dependencia, no por facilidad: sin contexto (4.1), alcance (4.3) y metodología de riesgos (6.1.2) no se pueden decidir bien los controles.
- Use el estado preliminar del Anexo A como borrador de la Declaración de Aplicabilidad, pero confírmelo con la evaluación de riesgos.
- Agrupe las brechas en paquetes de trabajo (gobierno, riesgos, políticas y controles, personas, proveedores, evaluación y mejora) y llévelos al plan con fechas.
- Estime la duración con el resultado: muchas áreas en rojo en las cláusulas 4 a 10 suelen alargar más el proyecto que algunos controles técnicos pendientes.
- Repita el autodiagnóstico antes de la auditoría de certificación y contrástelo con la auditoría interna (9.2): una autoevaluación tiende a ser optimista.
Errores comunes en el diagnóstico
- Marcar «cumple» porque «se hace», sin evidencia que lo muestre.
- Usar «no aplica» en cláusulas 4 a 10, que no admiten exclusiones.
- Excluir controles del Anexo A por comodidad, sin relación con los riesgos: después no se podrá justificar en la Declaración de Aplicabilidad.
- Hacerlo solo desde TI, sin recursos humanos, compras ni los dueños de los procesos.
- Dejar el diagnóstico en un cajón: si no se convierte en plan con responsables y fechas, no sirve.
Plantilla: el autodiagnóstico de brechas del kit ISO 27001
El kit ISO 27001 de NexoDocs incluye el autodiagnóstico SGSI-DIA-01: un Excel sin macros con las 29 preguntas de las cláusulas 4 a 10 y los 93 controles del Anexo A ya cargados, la evidencia que suele pedir el auditor y el documento del kit que cubre cada fila, lista desplegable de estados, cálculo automático y un resumen por área con semáforo. Completarlo toma de una a dos horas. Es la primera tarea del plan del proyecto con diagrama de Gantt (SGSI-PRY-01) del mismo kit, y el resultado alimenta la evaluación de riesgos y la Declaración de Aplicabilidad. Si quiere ver el formato antes, puede descargar gratis la muestra del checklist de auditoría interna.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit de documentación SGSI ISO 27001
84 archivos para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit completo
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿Cuánto toma un análisis de brechas ISO 27001?
Completar la plantilla toma de una a dos horas si están las personas correctas. Reunir y revisar la evidencia de cada respuesta puede tomar algunos días más en una organización mediana.
¿Qué diferencia hay entre análisis de brechas y auditoría interna?
El análisis de brechas es una autoevaluación para planificar, sin formato obligatorio. La auditoría interna (cláusula 9.2) es obligatoria, la hacen personas objetivas e imparciales con un programa definido y sus hallazgos se registran como no conformidades u observaciones.
¿Sirve si venimos de ISO 27001:2013?
Sí. Es una buena forma de preparar la transición: el archivo señala los controles nuevos de la versión 2022 y la pregunta de cambio climático de la enmienda de 2024, que son lo que más suele faltar.
¿El análisis de brechas reemplaza la evaluación de riesgos?
No. El diagnóstico mide el estado de los requisitos y controles; la evaluación de riesgos (6.1.2) es obligatoria y es la que justifica qué controles se aplican.
¿Un 100 % en el diagnóstico significa que aprobaremos la auditoría?
No. La certificación la decide un organismo certificador después de su auditoría; el diagnóstico es una autoevaluación que ordena el trabajo y muestra el avance.
Guías relacionadas
Documentos y registros obligatorios de ISO 27001:2022: checklist por cláusula
Checklist de documentos y registros que exige ISO/IEC 27001:2022, cláusula por cláusula, qué documentos del Anexo A aplican y fallas típicas de auditoría.
Leer la guía →Matriz de riesgos ISO 27001: qué debe incluir y cómo usarla
Matriz de riesgos en Excel para ISO/IEC 27001:2022: columnas mínimas, cómo calcular el nivel de riesgo y errores que ven los auditores. Descargue la muestra gratis.
Leer la guía →Checklist de auditoría interna ISO 27001: plantilla Excel gratis
Checklist de auditoría interna ISO/IEC 27001:2022 en Excel gratis: cláusulas 4 a 10 y controles del Anexo A, cómo clasificar hallazgos y qué evidencia pedir.
Leer la guía →Actualizado: 2026-10-29