Políticas que exige ISO 27001:2022: la obligatoria y las políticas por tema
ISO/IEC 27001:2022 exige una sola política de forma explícita en sus cláusulas: la política de seguridad de la información (cláusula 5.2), aprobada por la alta dirección, documentada y comunicada. El control 5.1 del Anexo A agrega las políticas específicas por tema (control de acceso, copias de seguridad, criptografía, proveedores, teletrabajo, etc.), que solo son exigibles si la Declaración de Aplicabilidad marca ese control como aplicable. En la práctica, una empresa mediana termina con la política general y entre 10 y 20 políticas por tema, según sus riesgos.
La política obligatoria: cláusula 5.2
La cláusula 5.2 pide a la alta dirección establecer una política de seguridad de la información que sea adecuada al propósito de la organización, que incluya objetivos de seguridad (o el marco para fijarlos) y que declare dos compromisos: cumplir los requisitos aplicables y mejorar continuamente el SGSI.
- Debe estar disponible como información documentada.
- Debe comunicarse dentro de la organización.
- Debe estar a disposición de las partes interesadas cuando corresponda (clientes, proveedores, auditores).
- Conviene que sea breve (2 a 4 páginas) y que remita a las políticas por tema para el detalle.
Un error frecuente es escribir una política general de 30 páginas con todas las reglas técnicas: cuesta aprobarla, nadie la lee y cada cambio obliga a pasar de nuevo por la dirección.
Las políticas por tema: control 5.1 del Anexo A
El control 5.1 pide definir la política de seguridad y las políticas específicas por tema, aprobarlas por la dirección, publicarlas, comunicarlas a quienes corresponda (y que estos acusen recibo) y revisarlas a intervalos planificados o cuando haya cambios importantes. La guía ISO/IEC 27002:2022 da como ejemplos de temas el control de acceso, la seguridad física, la gestión de activos, la transferencia de información, los dispositivos de usuario final, la seguridad de redes, los incidentes, las copias de seguridad, la criptografía, la clasificación de la información, las vulnerabilidades técnicas y el desarrollo seguro.
La norma no fija una lista cerrada ni un formato: puede tener una política por tema, agrupar varios temas en un documento o incluir las reglas en procedimientos. Lo que el auditor revisa es que cada control aplicable tenga reglas definidas, aprobadas, comunicadas y vigentes.
Kit de documentación SGSI ISO 27001
84 plantillas Word y Excel para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit completoLista de políticas por tema y controles que cubren
| Política | Controles del Anexo A | ¿Cuándo la necesita? |
|---|---|---|
| Política de seguridad de la información (general) | Cláusula 5.2 y 5.1 | Siempre. |
| Uso aceptable de activos | 5.10 | Casi siempre: todo el personal usa equipos y datos. |
| Inventario y gestión de activos | 5.9, 5.11 | Siempre que haya activos de información (es decir, siempre). |
| Clasificación y etiquetado de la información | 5.12, 5.13 | Si maneja información de distinta sensibilidad. |
| Control de acceso e identidades | 5.15 a 5.18, 8.2 a 8.5 | Siempre. |
| Seguridad de proveedores | 5.19 a 5.22 | Si terceros acceden a su información o sistemas. |
| Uso de servicios en la nube | 5.23 | Si usa correo, almacenamiento o sistemas en la nube. |
| Gestión de incidentes de seguridad | 5.24 a 5.28, 6.8 | Siempre. |
| Continuidad del negocio y preparación de TIC | 5.29, 5.30 | Casi siempre. |
| Cumplimiento legal y protección de datos personales | 5.31 a 5.34 | Siempre que trate datos personales. |
| Seguridad de recursos humanos | 6.1 a 6.6 | Siempre que tenga personal. |
| Teletrabajo | 6.7 | Si hay trabajo remoto o híbrido. |
| Escritorio y pantalla limpios | 7.7 | Si hay oficinas o espacios compartidos. |
| Medios de almacenamiento y eliminación segura | 7.10, 7.14, 8.10 | Si usa discos, pendrives o da de baja equipos. |
| Dispositivos de usuario final | 8.1 | Si el personal usa notebooks o teléfonos con datos de la empresa. |
| Protección contra malware | 8.7 | Siempre. |
| Gestión de vulnerabilidades técnicas | 8.8 | Siempre que tenga sistemas propios o administrados. |
| Copias de seguridad | 8.13 | Siempre. |
| Registro y monitoreo | 8.15, 8.16 | Si administra servidores, nube o aplicaciones. |
| Criptografía | 8.24 | Si cifra datos o comunicaciones (casi siempre). |
| Gestión de cambios y desarrollo seguro | 8.25 a 8.29, 8.32 | Si desarrolla software o cambia sistemas en producción. |
| Seguridad física y del entorno | 7.1 a 7.13 | Si tiene oficinas, sala de servidores o equipos propios. |
| Seguridad de redes y operaciones | 8.20 a 8.22 | Si administra redes propias. |
Esta es la estructura que usa nuestro kit ISO 27001: 1 política general y 22 políticas por tema, cada una con sus controles citados por número. La columna «¿cuándo la necesita?» es orientativa: la decisión final sale de su evaluación de riesgos y de la Declaración de Aplicabilidad.
Cómo decidir cuáles necesita su empresa
- Parta de la evaluación de riesgos (6.1.2) y de la Declaración de Aplicabilidad (6.1.3): cada control aplicable necesita reglas escritas en alguna parte.
- Agrupe temas cuando la empresa es pequeña: por ejemplo, teletrabajo, dispositivos y escritorio limpio pueden ir en una sola política de puesto de trabajo.
- No escriba políticas para controles excluidos: si no desarrolla software, justifique la exclusión de 8.25 a 8.28 en la SoA en lugar de inventar una política que nadie aplica.
- Escriba lo que de verdad hace: el auditor compara la política con la práctica y con los registros.
- Defina dueño, fecha de revisión y versión en cada política.
Qué revisa el auditor en las políticas
- Aprobación de la dirección (firma, acta o registro de aprobación) y versión vigente.
- Evidencia de comunicación: correo, intranet, inducción o acuse de recibo del personal.
- Revisión a intervalos planificados: fecha de la última revisión y cambios registrados.
- Coherencia con la Declaración de Aplicabilidad: no puede haber controles aplicables sin reglas ni políticas para controles excluidos.
- Que la práctica coincida con lo escrito: por ejemplo, si la política dice copias diarias probadas cada trimestre, debe haber registros de esas pruebas.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit de documentación SGSI ISO 27001
84 plantillas Word y Excel para documentar su SGSI según ISO/IEC 27001:2022.
Ver el kit completo
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿Cuántas políticas exige ISO 27001?
Una sola de forma explícita en las cláusulas: la política de seguridad de la información (5.2). Las políticas por tema del control 5.1 dependen de qué controles del Anexo A declare aplicables; no hay un número fijo.
¿Las políticas por tema tienen que ser documentos separados?
No. La norma pide que existan, estén aprobadas, comunicadas y revisadas, pero no fija el formato. Una empresa pequeña puede agrupar varios temas en un solo documento.
¿Cada cuánto hay que revisar las políticas?
A intervalos planificados y cuando haya cambios importantes. Lo habitual es una revisión anual, antes de la revisión por la dirección.
¿Sirve una plantilla de política?
Sí, como punto de partida: ahorra la estructura y la redacción base. Hay que adaptarla a lo que la empresa realmente hace; una plantilla sin adaptar es una falla típica de auditoría.
Guías relacionadas
Checklist de auditoría interna ISO 27001: plantilla Excel gratis
Checklist de auditoría interna ISO/IEC 27001:2022 en Excel gratis: cláusulas 4 a 10 y controles del Anexo A, cómo clasificar hallazgos y qué evidencia pedir.
Leer la guía →Declaración de Aplicabilidad ISO 27001 (SoA): ejemplo, plantilla y cómo hacerla
Qué debe contener la Declaración de Aplicabilidad de ISO/IEC 27001:2022, ejemplo con filas reales, cambios 2013 vs 2022, revisión del auditor y plantilla Excel.
Leer la guía →Documentos y registros obligatorios de ISO 27001:2022: checklist por cláusula
Checklist de documentos y registros que exige ISO/IEC 27001:2022, cláusula por cláusula, qué documentos del Anexo A aplican y fallas típicas de auditoría.
Leer la guía →Actualizado: 2026-10-25