La declaración de aplicabilidad conecta tu evaluación de riesgos con los controles que aplicas. En la edición 2022, el Anexo A tiene 93 controles agrupados en cuatro temas. Esta nota explica cómo se reparten y qué mira el auditor.
Declaración de aplicabilidad ISO/IEC 27001: los 93 controles del Anexo A y qué revisa el auditor
La edición 2022 agrupa 93 controles en cuatro temas. La declaración de aplicabilidad dice cuáles aplicas y por qué; es lo primero que mira el auditor.
文件控制
- 文件
- 技术说明
- 回顾
- 1.0
- 更新日期
- 2026年10月17日
- 下次审核
- 2027年1月17日
Los cuatro temas del Anexo A
Los controles organizacionales son la mayoría, seguidos por los tecnológicos. Los controles de personas y físicos son menos, pero suelen concentrar hallazgos porque dependen de la práctica diaria.
- Organizacionales37
- Tecnológicos34
- Físicos14
- De personas8
Fuente: ISO/IEC 27001:2022, Anexo A (cláusulas 5 a 8 de ISO/IEC 27002:2022).
Qué debe incluir la declaración
Para cada control del Anexo A:
- Si se aplica o no.
- Por qué se aplica: riesgo, requisito legal o contractual.
- Por qué se excluye, cuando corresponde.
- Si está implementado.
Qué revisa el auditor
El auditor contrasta tres cosas: que cada control aplicado responda a un riesgo identificado, que las exclusiones tengan justificación y que lo declarado funcione en la operación. Una exclusión sin fundamento o un control declarado sin evidencia son hallazgos frecuentes.
| Lo que se revisa | Evidencia típica |
|---|---|
| Relación riesgo–control | Plan de tratamiento que referencia los controles. |
| Exclusiones | Justificación escrita y coherente con el alcance. |
| 实施 | Registros: accesos revisados, copias probadas, incidentes tratados. |
| Versión vigente | Control de cambios de la declaración. |
Si vienes de la edición 2013
La edición 2022 reorganizó los controles y sumó algunos nuevos, como inteligencia de amenazas y seguridad en servicios en la nube. Tu declaración debe estar actualizada a la nueva estructura.
Tu siguiente paso
Si quieres certificar tu organización, define alcance, sedes y servicios y pide una propuesta. Si quieres aprender a diseñar y auditar un sistema de seguridad de la información, revisa la formación: son recorridos separados.
执行摘要
- El Anexo A 2022 tiene 93 controles en cuatro temas.
- Cada control aplicado debe responder a un riesgo o requisito.
- Las exclusiones sin justificación son hallazgo frecuente.
来源与参考文献
- ISO/IEC 27001:2022 — Information security management systemsISO · Ficha oficial: requisitos del sistema de gestión de seguridad de la información y Anexo A.
- The ISO Survey of Management System Standard CertificationsISO · Origen de las cifras de certificados y sitios citadas en la nota.
- ISO/IEC 27006-1 — Requirements for bodies providing audit and certification of ISMSISO · Requisitos específicos para los organismos que certifican ISO/IEC 27001.
计划审核日期： 2027年1月17日
继续阅读
- Seguridad de la información2026年3月12日阅读约 3 分钟ISO/IEC 27001: cuando la seguridad se vuelve argumento de venta
ISO/IEC 27001 permite presentar evidencia de un sistema de gestión de seguridad de la información sobre un alcance definido. Su utilidad comercial depende de lo que el comprador solicita y de que ese alcance cubra el servicio que evalúa.
阅读 - Seguridad de la información2025年1月17日阅读约 2 分钟Transición a ISO/IEC 27001:2022: qué cambió en el Anexo A
ISO/IEC 27001:2022 debe aplicarse mediante una evaluación de riesgos y una selección justificada de controles. Una comparación entre ediciones ayuda a revisar diferencias; la matriz de correspondencia no sustituye la evaluación del SGSI.
阅读 - Seguridad de la información2026年10月17日阅读约 2 分钟ISO/IEC 27001 en cifras: cuántas organizaciones certifican en el mundo y en Latinoamérica
Según el ISO Survey, los certificados ISO/IEC 27001 pasaron de 31.910 en 2018 a 96.709 en 2024. Así se reparten en el mundo y en la región.
阅读
从专业判断到具体咨询
如果此主题适用于您的组织，下一步是先了解流程并界定范围，再申请提案。