ISO 27001: entender los 93 controles del Anexo A

ISO/IEC 27001 arrastra una reputación de inaccesibilidad: larga, cara, reservada a las grandes cuentas. Esa reputación procede sobre todo de una confusión sobre lo que la norma pide realmente.

La certificación no se juega en el Anexo A. Se juega en las cláusulas 4 a 10, que describen el sistema de gestión. El Anexo A, por su parte, es un catálogo de controles entre los que seleccionar — no una lista que haya que marcar entera. Entender esa distinción lo cambia todo en la forma de vender y de conducir un encargo.

¿Qué pide realmente la certificación ISO 27001?#

La ISO 27001 certifica un SGSI — un sistema de gestión de la seguridad de la información. Dicho de otro modo: un proceso, no un nivel técnico.

Un auditor no viene a comprobar que usted tiene el cortafuegos correcto. Viene a comprobar que usted sabe:

• cuál es su alcance y su contexto (cláusula 4);
• que la dirección se compromete y asigna recursos (cláusula 5);
• que identifica y trata sus riesgos (cláusula 6);
• que tiene competencias, concienciación y documentación (cláusula 7);
• que opera lo que ha planificado (cláusula 8);
• que mide y audita (cláusula 9);
• que corrige y mejora (cláusula 10).

Una pyme con una infraestructura modesta pero un sistema de gestión honesto es certificable. Una empresa muy bien equipada pero incapaz de demostrar un proceso no lo es.

¿Cómo está estructurado el Anexo A desde 2022?#

La revisión de 2022 reorganizó el Anexo A a fondo. Se pasó de 114 controles repartidos en 14 ámbitos a 93 controles repartidos en 4 temas.

La reorganización no suprimió gran cosa: sobre todo fusionó controles redundantes y añadió once controles nuevos, varios de los cuales reflejan la evolución de las prácticas.

¿Qué controles añadió el Anexo A en 2022?#

Con la revisión de 2022 aparecieron once controles. Merecen una atención particular, porque son los que descubren en la transición las organizaciones certificadas antes de 2022:

• Inteligencia sobre amenazas (threat intelligence)
• Seguridad de la informática en la nube
• Preparación de las TIC para la continuidad de la actividad
• Supervisión de la seguridad física
• Gestión de la configuración
• Eliminación de la información
• Enmascaramiento de datos
• Prevención de la fuga de datos
• Actividades de supervisión
• Filtrado web
• Codificación segura

Siete de los once se refieren directamente a asuntos que un prestador informático ya opera para sus clientes. Ahí hay un ángulo comercial: esos controles no son una obra más, son sus servicios existentes, que hay que documentar como controles.

¿Para qué sirve la declaración de aplicabilidad (SoA)?#

La declaración de aplicabilidad (SoA, Statement of Applicability) es el único documento que todo auditor abre primero. Recoge los 93 controles y, para cada uno:

• si es aplicable al alcance — y si no, por qué;
• si está implantado, y en qué grado;
• dónde está la prueba.

El error clásico consiste en declarar los 93 controles aplicables «por prudencia». Es la forma más segura de crear 93 obligaciones de prueba, buena parte de ellas sin objeto. Una exclusión justificada es perfectamente aceptable; una exclusión sin justificar es una no conformidad.

Una SoA honesta, con diez exclusiones argumentadas, pasa mejor que una SoA exhaustiva en la que la mitad de las pruebas están vacías.

¿Cómo debe abordar un prestador un encargo ISO 27001?#

Reutilizando lo que ya existe en casa del cliente, y cualificando lo que este busca de verdad.

No volver a empezar de cero. Un cliente que ya ha hecho un diagnóstico de seguridad — por ejemplo sobre las 42 medidas de higiene de la ANSSI — ya ha respondido, sin saberlo, a buena parte del Anexo A. Las medidas de higiene básicas, el control de accesos, el registro de eventos, las copias de seguridad: todo eso se traslada.

Hacer que el cliente rellene un segundo cuestionario de 93 líneas después de uno de 42 es la mejor manera de perder el encargo. El enfoque correcto consiste en derivar la SoA del diagnóstico ya realizado, y plantear solo las preguntas realmente nuevas.

La certificación no siempre es el objetivo. Muchas pymes no necesitan el certificado. Necesitan responder a un cuestionario de cliente que pregunta «¿están alineados con la ISO 27001?». Es un encargo más corto, más barato y mucho más frecuente.

Vender sistemáticamente el recorrido completo de certificación a clientes que solo quieren superar una auditoría de proveedor es un error de cualificación. Proponga los dos niveles:

1. Alineamiento — SoA cumplimentada, carencias identificadas, pruebas reunidas. Unas semanas.
2. Certificación — SGSI completo, cláusulas 4 a 10, auditoría interna, revisión por la dirección, auditoría de certificación. Varios meses.

Si sus clientes también están sujetos a la directiva NIS2, tenga en cuenta que las diez medidas del artículo 21 se solapan ampliamente con el Anexo A: una sola base de pruebas puede servir a ambas exigencias. La rejilla francesa que materializa esas expectativas es el referencial ReCyF de la ANSSI, cada uno de cuyos 20 objetivos indica los controles del Anexo A correspondientes — lo justo para saber, control a control, qué reutiliza una evaluación ReCyF de un trabajo ISO ya iniciado.

¿Cuánto tiempo lleva una certificación ISO 27001?#

Para una pyme de 50 a 200 personas, sin historial de gestión de la seguridad, un recorrido de certificación honesto rara vez cabe en menos de nueve a doce meses. Los puntos que más tiempo llevan casi nunca son técnicos:

• constituir un inventario de activos que refleje la realidad;
• conseguir que una revisión por la dirección se celebre de verdad;
• producir una auditoría interna que no sea de complacencia;
• reunir pruebas fechadas en lugar de capturas de pantalla de la semana de la auditoría.

¿Qué errores salen caros en un proyecto ISO 27001?#

Confundir la ISO 27001 con la ISO 27002. La 27001 es la norma certificable; la 27002 es la guía de implantación que detalla cada control. Uno se certifica en la 27001.

Tratar el análisis de riesgos como un trámite. Es el corazón de la cláusula 6, y es lo que justifica sus elecciones del Anexo A. Un análisis chapucero debilita toda la SoA aguas abajo.

Documentar para el auditor y no para la explotación. Una política que nadie aplica es una no conformidad anunciada, no una prueba.

Olvidar la supervisión continua. La auditoría de certificación es solo el principio: después vienen auditorías de seguimiento, normalmente anuales, en un ciclo de tres años.