¿Qué es un SGSI y cómo se implementa con ISO 27001?
Un SGSI (sistema de gestión de seguridad de la información) es el conjunto de políticas, procesos, responsabilidades y controles con que una organización decide, documenta y revisa cómo protege su información. ISO/IEC 27001:2022 define los requisitos de un SGSI en sus cláusulas 4 a 10 y ofrece en el Anexo A una lista de 93 controles de referencia; una organización puede certificarse si un organismo certificador verifica que su SGSI cumple esos requisitos.
¿Para qué sirve un SGSI?
Un SGSI ordena la seguridad de la información como un sistema de gestión: se definen objetivos, se evalúan riesgos, se aplican controles y se mide si funcionan. Así la seguridad deja de depender de esfuerzos aislados y se vuelve repetible, medible y demostrable ante clientes, auditores y reguladores.
La estructura de ISO/IEC 27001:2022
| Cláusula | Tema | Qué se trabaja |
|---|---|---|
| 4 | Contexto | Cuestiones internas y externas, partes interesadas y alcance del SGSI |
| 5 | Liderazgo | Compromiso de la dirección, política y roles |
| 6 | Planificación | Evaluación y tratamiento de riesgos, Declaración de Aplicabilidad y objetivos |
| 7 | Soporte | Recursos, competencia, concienciación, comunicación e información documentada |
| 8 | Operación | Ejecución de los controles y evaluaciones de riesgo periódicas |
| 9 | Evaluación del desempeño | Seguimiento y medición, auditoría interna y revisión por la dirección |
| 10 | Mejora | No conformidades, acciones correctivas y mejora continua |
Los 93 controles del Anexo A
La versión 2022 agrupa los controles en cuatro temas: 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos. No todos aplican a todas las organizaciones: la Declaración de Aplicabilidad indica cuáles se aplican, por qué y en qué estado están.
¿Qué documentos necesita un SGSI?
- Alcance del SGSI y política de seguridad de la información.
- Metodología y resultados de la evaluación de riesgos, y plan de tratamiento.
- Declaración de Aplicabilidad.
- Objetivos de seguridad de la información y evidencia de competencia del personal.
- Resultados de seguimiento y medición.
- Programa y resultados de auditoría interna, y revisión por la dirección.
- Registro de no conformidades y acciones correctivas.
Además, cada organización documenta lo que considere necesario para que el SGSI sea eficaz, por ejemplo políticas temáticas (control de acceso, copias de seguridad, proveedores) y procedimientos.
¿Cómo funciona la certificación?
La certificación la otorga un organismo certificador, normalmente en dos etapas: una revisión de la documentación y luego una auditoría de la implementación. El certificado se mantiene con auditorías de seguimiento anuales. La norma se compra a ISO o al organismo nacional de normalización; los kits de plantillas no la incluyen.
Por dónde empezar
Defina el alcance, consiga el compromiso de la dirección y haga la evaluación de riesgos: de ella salen los controles que necesita y la Declaración de Aplicabilidad. Usar plantillas editables ahorra tiempo en la redacción, pero cada documento debe adaptarse a la realidad de la organización. El kit NexoDocs reúne 84 archivos Word y Excel ordenados por etapas, y puede probar gratis su matriz de riesgos.
Preguntas frecuentes
¿SGSI e ISO 27001 son lo mismo?
No. El SGSI es el sistema de gestión de la organización; ISO/IEC 27001 es la norma que define los requisitos que ese sistema debe cumplir para poder certificarse.
¿Cuántos controles tiene ISO 27001:2022?
El Anexo A tiene 93 controles en cuatro temas: 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos.
¿Una pyme puede implementar un SGSI?
Sí. La norma es aplicable a organizaciones de cualquier tamaño; el alcance y la documentación se ajustan a la realidad de cada una.
¿Cuánto tarda implementar un SGSI?
Depende del alcance y los recursos; en pymes suele tomar varios meses entre la planificación, la implementación de controles y la primera auditoría interna.
Guías relacionadas
- Declaración de Aplicabilidad (SoA) ISO 27001: qué es y cómo hacerla
- Documentos obligatorios de ISO 27001:2022: lista por cláusula
- Matriz de riesgos ISO 27001: qué debe incluir y cómo usarla
Actualizado: 2026-10-20