La certificación ISO 27001 se recorre en cinco etapas prácticas: definir el alcance del Sistema de Gestión de Seguridad de la Información (SGSI), realizar el análisis de riesgos, elaborar la Declaración de Aplicabilidad, implementar los controles aplicables del Anexo A y superar la auditoría externa en dos etapas. Esta guía muestra qué hacer en cada fase y qué suele verificar el auditor, para que el equipo llegue a la certificación con menos retrabajo.
La norma importa porque convierte la seguridad de la información en un proceso auditable, con responsables, registros y plazos, en lugar de buenas intenciones repartidas en hojas de cálculo. Para los clientes y el directorio, el certificado es una evaluación independiente de que la organización gestiona los riesgos de la información de forma sistemática dentro del alcance certificado.
Qué es la ISO 27001 y por qué importa
La ISO/IEC 27001 es la norma internacional, publicada conjuntamente por ISO e IEC, que especifica los requisitos para establecer, implementar, mantener y mejorar continuamente un SGSI. La edición vigente es la de 2022 (ISO/IEC 27001:2022), complementada en 2024 por la Enmienda 1, que trata del cambio climático en el contexto de la organización (ISO/IEC 27001:2022/Amd 1:2024). El Anexo A de la propia norma contiene la lista de controles de referencia. Si tu duda es más básica, qué exige la norma y para qué sirve, empieza por la guía qué es la ISO 27001.
El valor práctico es directo. Según las cláusulas 4 a 10, la organización debe conocer su contexto y sus partes interesadas, identificar los riesgos sobre la información y aplicar controles proporcionales a esos riesgos, con la participación formal de la alta dirección. El resultado es un lenguaje común entre el área técnica y el liderazgo: el CISO habla de exposición, el CRO de riesgo corporativo y el directorio de decisiones, todos apoyados en la misma estructura de evidencias.
Las cifras ayudan a justificar la inversión. Según la edición 2026 del IBM Cost of a Data Breach Report, el costo medio global de una filtración de datos llegó a USD 4,99 millones, un 12% más que el año anterior. Un SGSI que funciona no elimina los incidentes, pero ayuda a reducir la probabilidad de que ocurran y a responder mejor cuando ocurren.
La certificación no es obligatoria por ley en Brasil, pero aparece con frecuencia en contratos, licitaciones y procesos de due diligence de clientes. También ayuda a demostrar las medidas de seguridad, técnicas y administrativas, que el art. 46 de la Ley General de Protección de Datos de Brasil (LGPD, Ley n.º 13.709/2018) exige a quien trata datos personales. Para la parte de la LGPD, consulta el checklist de adecuación a la LGPD.
Alcance, análisis de riesgos y Declaración de Aplicabilidad
El primer paso concreto es delimitar el alcance (cláusula 4.3). Define qué unidades de negocio, procesos, sistemas y sedes quedan dentro del SGSI, y debe estar documentado. Un alcance bien diseñado evita dos errores opuestos: intentar certificar toda la empresa sin madurez para ello o restringirlo tanto que el certificado pierde credibilidad ante los clientes.
Con el alcance definido llega el análisis de riesgos, el corazón de la norma (cláusulas 6.1.2 y 6.1.3). Antes de evaluar el primer riesgo, la organización debe definir por escrito los criterios de evaluación y de aceptación del riesgo. Después, el trabajo sigue una secuencia clara:
- Identificar los riesgos para la confidencialidad, la integridad y la disponibilidad de la información dentro del alcance, cada uno con un responsable (propietario del riesgo). Muchos equipos parten del inventario de activos, amenazas y vulnerabilidades.
- Analizar las consecuencias y la probabilidad de cada riesgo para estimar su nivel.
- Evaluar los riesgos frente a los criterios definidos y priorizarlos para el tratamiento.
- Elegir el tratamiento: mitigar con controles, compartir o transferir (seguro, contrato), aceptar o evitar la actividad que genera el riesgo, con la aprobación de los propietarios del riesgo para el plan y para el riesgo residual.
Esa priorización decide dónde poner el esfuerzo. Criterios documentados de probabilidad y consecuencia, aplicados de forma consistente, son lo que separa un análisis defendible de una lista genérica que el auditor va a cuestionar. La norma no exige un método específico; la ISO/IEC 27005 describe un camino posible, y la matriz 5×5 es una convención de mercado con límites conocidos, tratados en el artículo sobre por qué la matriz 5×5 no dice cuánto cuesta el riesgo.
El producto final de esta fase es la Declaración de Aplicabilidad, conocida por la sigla en inglés SoA (cláusula 6.1.3 d). Incluye los controles necesarios, la justificación de su inclusión, si están implementados y la justificación de la exclusión de los controles del Anexo A que quedaron fuera. En la práctica, la SoA es uno de los primeros documentos que examina el auditor: conecta los riesgos identificados con las decisiones de control y sirve de mapa para el resto de la verificación.
Controles del Anexo A y cómo implementarlos
El Anexo A de la versión 2022 contiene 93 controles organizados en cuatro temas: organizativos, de personas, físicos y tecnológicos. No todos tienen que aplicarse. La selección se deriva del análisis de riesgos y queda registrada en la Declaración de Aplicabilidad. La lista completa, con el número por tema y los once controles nuevos de 2022, está en el checklist de los 93 controles del Anexo A.
Algunos ejemplos por tema lo hacen más tangible:
- Organizativos: políticas de seguridad de la información, seguridad en las relaciones con proveedores y clasificación de la información.
- De personas: selección en la contratación, concienciación y responsabilidades tras la desvinculación o el cambio de puesto.
- Físicos: controles de entrada a las instalaciones y seguridad de los equipos.
- Tecnológicos: gestión de vulnerabilidades técnicas, uso de criptografía, registro de logs y copias de seguridad.
La implementación no termina cuando el control queda configurado. La norma exige información documentada como evidencia de que los procesos se ejecutaron según lo planificado, y el auditor pedirá registros de operación a lo largo del tiempo: aprobaciones, logs, tickets, revisiones y actas. Aquí tropiezan muchos equipos: el control existe, pero la evidencia está dispersa en correos, hojas de cálculo y carpetas sin trazabilidad.
La gestión de proveedores merece atención especial. En la edición 2026 del Data Breach Investigations Report, Verizon señala la participación de terceros en el 48% de las filtraciones analizadas (Verizon DBIR 2026). Estructurar este control con criterios claros de evaluación en la contratación y seguimiento durante toda la relación le da al auditor algo concreto que verificar.
Preparación para la auditoría de certificación ISO 27001
La auditoría de certificación la realiza un organismo de certificación independiente. Conviene elegir uno acreditado por un miembro del IAF (International Accreditation Forum): eso es lo que da al certificado un reconocimiento amplio. Las reglas del proceso provienen de la ISO/IEC 17021-1, y la auditoría se realiza en dos etapas.
En la Etapa 1, el auditor revisa la documentación y la preparación del SGSI: alcance, política, criterios y resultados del análisis de riesgos, Declaración de Aplicabilidad y la información documentada que exige la norma. Es una evaluación de preparación que señala brechas antes de la verificación en profundidad.
En la Etapa 2, el auditor evalúa la implementación y la eficacia del SGSI, de forma presencial o remota. Selecciona muestras, entrevista a los responsables y confirma que los controles descritos en la SoA realmente operan. Las no conformidades se clasifican en mayores y menores. Para las mayores, el organismo debe verificar las correcciones y acciones correctivas antes de decidir la certificación; para las menores, en general basta con que acepte el plan de acción.
Antes de llamar al organismo certificador, tres preparaciones reducen el riesgo de sorpresas:
- Realizar una auditoría interna que cubra todo el alcance (cláusula 9.2) y tratar los hallazgos.
- Hacer la revisión por la dirección (cláusula 9.3), con los indicadores del SGSI presentados al liderazgo.
- Consolidar las evidencias de operación de los controles en un repositorio organizado y trazable.
El ciclo de certificación dura tres años. En ese periodo hay auditorías de seguimiento al menos una vez al año y, antes del vencimiento, la recertificación. El periodo de transición de la versión 2013 terminó el 31 de octubre de 2025 y los certificados antiguos dejaron de ser válidos, así que cualquier proyecto nuevo apunta a la versión 2022. Mantener la conformidad es, por tanto, una actividad continua que sigue después de emitido el certificado.
Cómo una plataforma de GRC ayuda a mantener la conformidad
Gran parte del esfuerzo de la ISO 27001 está en sostener la operación de los controles y la recolección de evidencias año tras año, sobre todo cuando la misma organización también debe cumplir la LGPD, SOC 2 y el NIST CSF. Hacerlo en hojas de cálculo separadas duplica el trabajo y abre brechas de trazabilidad.
Una plataforma de GRC reduce esa fricción al centralizar el catálogo de controles y reutilizarlo entre marcos. El Eagle, de Futture, fue pensado para eso: mapear un control una vez y reutilizarlo entre ISO 27001, LGPD, SOC 2, NIST CSF y otros marcos, con trazabilidad hasta cada requisito. También ayuda a automatizar recolecciones y flujos repetitivos, monitorea controles y evidencias de forma continua y usa un modelo human-in-the-loop, en el que la IA sugiere relaciones y prioridades y la decisión queda en manos del equipo. Conviene dejarlo claro: el Eagle no certifica a nadie ni garantiza la aprobación. Quien audita y emite el certificado es el organismo de certificación; la plataforma apoya la preparación y el mantenimiento del SGSI.
En lugar de recrear evidencias en cada ciclo de auditoría, el equipo mantiene un flujo continuo, más cerca de estar listo cuando llega el auditor. Para quien evalúa una herramienta, el criterio decisivo es la trazabilidad de punta a punta entre riesgo, control y evidencia. Los puntos que importan en esa elección están en la guía software GRC: qué es y cómo elegirlo.
Próximo paso
Si la certificación ISO 27001 está en tu horizonte, empieza por el alcance y el análisis de riesgos: esos dos artefactos definen todo lo que viene después y son los que más retrasan los proyectos cuando quedan para el final. Con el alcance delimitado y los riesgos priorizados, define cómo se recolectarán y guardarán las evidencias antes de llamar al organismo certificador, para que la auditoría encuentre un SGSI ya en operación y no un esfuerzo armado a las apuradas.
Para profundizar: Plataforma de GRC en Brasil: cómo elegir la adecuada.
Preguntas frecuentes
¿Cuánto tiempo lleva obtener la certificación ISO 27001?
Depende de la madurez y del tamaño de la organización. Para una empresa mediana sin SGSI previo, el plazo típico va de 6 a 12 meses, porque la Etapa 2 de la auditoría exige que el sistema ya esté en operación, con registros, al menos una auditoría interna y una revisión por la dirección.
¿Cuántos controles tiene el Anexo A de la ISO 27001:2022?
Son 93 controles en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34). No todos tienen que aplicarse; la Declaración de Aplicabilidad registra cuáles son necesarios, por qué, si están implementados y la justificación de cada exclusión.
¿La certificación ISO 27001 es obligatoria en Brasil?
Ninguna ley la exige de forma general. Suele pedirse en contratos, licitaciones y procesos de due diligence de clientes, y el SGSI ayuda a demostrar las medidas de seguridad, técnicas y administrativas, que el art. 46 de la LGPD, la Ley General de Protección de Datos de Brasil, exige a los agentes de tratamiento.
¿Cuál es la diferencia entre la ISO 27001 y la LGPD?
La ISO/IEC 27001 es una norma voluntaria de gestión de la seguridad de la información; la LGPD (Ley n.º 13.709/2018) es la ley brasileña de protección de datos personales. La certificación no equivale a cumplir la LGPD, pero el SGSI ayuda a demostrar las medidas de seguridad que la ley pide.
¿Una plataforma de GRC certifica a la empresa en ISO 27001?
No. Solo un organismo de certificación, preferiblemente acreditado, emite el certificado tras la auditoría. Una plataforma de GRC apoya la preparación y el mantenimiento: organiza controles, evidencias y planes de acción, pero no sustituye la auditoría ni garantiza la aprobación.
Referencias oficiales
- ISO/IEC 27001:2022 — ISO
- ISO/IEC 27001:2022/Amd 1:2024 — ISO
- IAF MD 26:2023 — Transition requirements for ISO/IEC 27001:2022
- ISO/IEC 17021-1:2015 — ISO
- IBM — Cost of a Data Breach Report 2026
- Verizon — 2026 Data Breach Investigations Report (comunicado, mayo de 2026)
- Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (LGPD)