Cómo certificar ISO/IEC 27001 paso a paso: alcance, riesgos y auditoría

Certificar ISO/IEC 27001 es demostrar que gestionas los riesgos de la información de forma sistemática, no que eres inmune a los incidentes. Estas son las etapas, desde definir el alcance hasta recibir el certificado.

Indica qué servicios, procesos, sedes e infraestructura entran en el sistema, incluidos los servicios en la nube y los proveedores críticos. Un alcance que deja afuera lo que el cliente quiere proteger no le sirve.

La norma pide un método repetible para identificar, analizar y evaluar riesgos, y un plan para tratarlos. Los controles que elijas salen de ese análisis, no de una lista que se copia.

Es el documento que lista los 93 controles del Anexo A de la edición 2022, indica cuáles aplicas, por qué, y justifica las exclusiones. El auditor la usa como mapa de la auditoría.

Antes de la auditoría externa, el sistema debe funcionar: indicadores, gestión de incidentes, revisión de accesos, una auditoría interna completa y una revisión por la dirección con registros.

En la etapa 1 el auditor revisa si estás listo; en la etapa 2, si los controles funcionan en la práctica. Una instancia independiente del auditor decide la certificación. El certificado indica alcance, sedes, versión de la declaración de aplicabilidad y vigencia, y se mantiene con seguimientos anuales durante tres años.

Si quieres certificar tu organización, define alcance, sedes y servicios y pide una propuesta. Si quieres aprender a diseñar y auditar un sistema de seguridad de la información, revisa la formación: son recorridos separados.