Noventa días es un plazo ambicioso, pero alcanzable para organizaciones de tamaño medio con entre 50 y 300 empleados. El requisito no es velocidad: es constancia y una secuencia de trabajo bien ordenada. Este artículo describe la hoja de ruta más práctica que hemos aplicado, fase a fase, con las trampas habituales en cada etapa.
Mes 1 (días 1-30): construir los cimientos
El primer mes es el más denso en trabajo intelectual y el menos visible en resultados tangibles. Aquí se toman las decisiones estructurales que condicionarán todo lo demás.
Contexto organizacional (cláusula 4)
La norma ISO 27001:2022 exige en su cláusula 4 que la organización comprenda su contexto interno y externo, así como las necesidades y expectativas de las partes interesadas. En la práctica, esto significa documentar qué factores externos (legislación aplicable, requisitos de clientes, dependencias de proveedores críticos) e internos (cultura organizativa, recursos disponibles, estructura departamental) afectan a la seguridad de la información.
Una sesión de trabajo de medio día con los responsables de área, guiada por un facilitador, suele ser suficiente para capturar la información necesaria. El resultado debe ser un documento de contexto que se convertirá en el punto de partida de todo el análisis posterior.
Liderazgo y política (cláusula 5)
Sin el compromiso activo de la dirección, el SGSI no avanza. La cláusula 5 no pide declaraciones genéricas: exige que la alta dirección establezca una política de seguridad de la información real, asigne roles y responsabilidades específicos y participe en las revisiones periódicas del sistema.
En este primer mes debe quedar nombrado formalmente el responsable de seguridad de la información (CISO o equivalente), aprobada la política y constituido, si aplica, el comité de seguridad. Estas decisiones deben quedar documentadas mediante actas o resoluciones formales.
Alcance del SGSI
Delimitar el alcance es, probablemente, la decisión más estratégica de toda la implementación. Un alcance demasiado amplio dispara el esfuerzo; uno demasiado estrecho limita el valor de la certificación y puede generar problemas con organismos auditores.
El alcance debe describir qué procesos, sistemas, ubicaciones físicas y personal quedan dentro del SGSI, y debe ser coherente con las interfaces y dependencias respecto a lo que queda fuera. El documento de alcance es uno de los primeros que revisará el auditor de certificación.
Inventario de activos y análisis de riesgos inicial
El Anexo A de ISO 27001:2022 ya no exige formalmente un inventario de activos como control independiente, pero el análisis de riesgos (cláusula 6.1.2) requiere identificar los activos de información relevantes para el alcance. En la práctica, construir el inventario sigue siendo el camino más ordenado para identificar dónde están los riesgos.
El inventario debe incluir, como mínimo: sistemas de información, aplicaciones críticas, bases de datos, equipos de red, documentación sensible y los servicios en la nube utilizados. A cada activo se le asigna un propietario responsable. Sobre este inventario se realiza el análisis de riesgos inicial, identificando amenazas y vulnerabilidades y estimando el nivel de riesgo inherente.
Mes 2 (días 31-60): planificar y arrancar la implementación
Declaración de aplicabilidad
La declaración de aplicabilidad (SoA, por sus siglas en inglés) es el documento central del SGSI. Recoge los 93 controles del Anexo A de ISO 27001:2022 organizados en cuatro secciones temáticas, indicando para cada uno si es aplicable, la justificación de su inclusión o exclusión, el estado de implementación y la referencia a la política o procedimiento que lo sustenta.
Redactar la SoA no es un ejercicio burocrático: es la oportunidad de ser explícito sobre qué controles son relevantes para los riesgos identificados y cuáles no aplican al contexto de la organización. Un control excluido sin justificación sólida será un hallazgo en la auditoría.
Plan de tratamiento de riesgos
El plan de tratamiento de riesgos (PTR) recoge, para cada riesgo identificado que supere el umbral de aceptación establecido por la dirección, qué control o controles del Anexo A se van a implementar para reducirlo, quién es responsable de hacerlo y en qué plazo. El PTR es el nexo entre el análisis de riesgos y la implementación concreta.
Implementación de los controles más prioritarios
Con el PTR aprobado, comienza la implementación. En este segundo mes el objetivo es tener operativos los controles de mayor prioridad, que suelen coincidir con los de mayor cobertura de riesgo. Los controles que más frecuentemente encabezan esta lista en organizaciones de tamaño medio son:
- A.8.2 — Derechos de acceso con revisión periódica y principio de mínimo privilegio.
- A.8.5 — Autenticación segura, incluyendo autenticación de doble factor en sistemas críticos.
- A.8.7 — Protección frente a malware en endpoints y servidores.
- A.8.12 — Prevención de fuga de datos (DLP básico).
- A.8.24 — Uso de criptografía y gestión de claves.
- A.5.10 — Política de uso aceptable de la información.
- A.6.3 — Formación y concienciación en seguridad de la información.
La formación inicial al equipo debe realizarse en este mes. No se trata de una formación exhaustiva: el objetivo es que los empleados conozcan la política de seguridad, sus obligaciones básicas y cómo reportar incidentes.
Mes 3 (días 61-90): completar, verificar y preparar la certificación
Completar los controles pendientes
Los controles que no pudieron implementarse en el mes 2 deben completarse en la primera quincena del mes 3. Es habitual que algunos controles requieran adquisición de herramientas o cambios en procesos organizativos que tardan más de lo previsto. Si algún control no puede implementarse en el plazo, debe quedar registrado en el PTR con una fecha revisada y la justificación del retraso.
Auditoría interna
La cláusula 9.2 exige que la organización realice auditorías internas a intervalos planificados. En el contexto de una implementación inicial, la auditoría interna previa a la certificación tiene una doble función: verificar que el SGSI cumple los requisitos de la norma y detectar los hallazgos que el auditor externo encontraría, para poder corregirlos antes.
El auditor interno debe ser alguien con conocimiento de la norma que no sea responsable directo de las áreas auditadas, para garantizar la imparcialidad. En organizaciones pequeñas, esto a menudo implica recurrir a un profesional externo para realizar la auditoría interna.
Revisión por la dirección
La cláusula 9.3 exige una revisión formal por la alta dirección que debe cubrir, entre otros aspectos, el estado de los objetivos de seguridad, el desempeño del SGSI, los resultados de las auditorías y los cambios en el contexto organizacional. Esta reunión debe quedar documentada en acta.
Preparación para la auditoría de certificación
Los organismos de certificación acreditados realizan el proceso en dos fases. La fase 1 (revisión documental) evalúa que el SGSI está correctamente documentado y que su alcance y política son adecuados. La fase 2 (auditoría de implementación) verifica sobre el terreno que los controles están operativos.
Antes de solicitar la auditoría de certificación conviene tener toda la documentación obligatoria compilada y accesible: política de seguridad, alcance, análisis de riesgos, PTR, SoA, procedimientos operativos clave, registros de formación, informe de auditoría interna y acta de revisión por la dirección.
Recursos necesarios
La dedicación mínima realista para una organización de 50-150 personas es de una persona a tiempo completo durante los tres meses más el tiempo de los responsables de área para reuniones y revisión de documentación. Si no se dispone de personal con conocimiento de ISO 27001, es habitual apoyarse en una consultora especializada que guíe el proceso y reduzca el tiempo de aprendizaje.
En cuanto a herramientas, no es imprescindible contar con un software GRC desde el inicio. Una suite ofimática colaborativa (para documentación), una herramienta de gestión de tareas (para seguimiento del PTR) y un repositorio documental con control de acceso son suficientes para las primeras etapas.
Cuándo el plazo de 90 días no es realista
Este calendario presupone una organización con entre 50 y 300 personas, un alcance limitado a uno o dos procesos principales, dirección comprometida desde el primer día y la posibilidad de dedicar recursos humanos suficientes. Si alguno de estos factores no se cumple, el plazo se extiende.
Para organizaciones con más de 500 empleados, sistemas heredados complejos o múltiples ubicaciones geográficas, un plazo de 6 a 12 meses es más realista. Lo mismo aplica si el alcance incluye desarrollo de software (donde entran en juego controles adicionales de A.8.25 a A.8.34) o si la organización opera en sectores regulados que imponen requisitos adicionales de seguridad.
El siguiente paso: la certificación
Completados los 90 días, la organización estará en condiciones de solicitar la auditoría de certificación a un organismo acreditado por ENAC bajo la norma ISO/IEC 17021. La certificación tiene una vigencia de tres años, con auditorías de seguimiento anuales. La primera renovación a los tres años implica una auditoría de recertificación de alcance similar a la inicial.
El certificado ISO 27001 no es el final del camino: es el comienzo del ciclo de mejora continua que la norma exige. Las organizaciones que mantienen el SGSI vivo, con revisiones periódicas del análisis de riesgos y auditorías internas regulares, son las que obtienen más valor de su inversión en seguridad de la información.
¿Tu organización necesita implantar ISO 27001?
Nuestro equipo guía organizaciones de todos los tamaños a través del proceso de implementación y certificación, adaptando el ritmo y los recursos al contexto de cada cliente.
Hablar con un consultor ISO 27001 →