Cómo implantar ISO 27001: pasos, plazos, roles y documentos obligatorios
Implantar ISO 27001 consiste en poner en marcha un SGSI que cumpla las cláusulas 4 a 10 de la norma: definir alcance y responsables, evaluar y tratar los riesgos, aplicar los controles necesarios y demostrar que el sistema se mide y mejora. Para certificarse, además, el SGSI debe haber funcionado el tiempo suficiente para completar al menos una auditoría interna y una revisión por la dirección.
Las fases de la implantación
| Fase | Qué se hace | Entregables principales |
|---|---|---|
| 1. Arranque | Compromiso de la dirección, nombramiento del responsable del SGSI, presupuesto y plan de proyecto | Acta de inicio, plan de proyecto |
| 2. Diagnóstico | Análisis de diferencias entre la situación actual y la norma | Informe de diagnóstico (gap analysis) |
| 3. Contexto y alcance | Cuestiones internas y externas, partes interesadas y sus requisitos, alcance del SGSI | Análisis de contexto, registro de partes interesadas, documento de alcance (4.3) |
| 4. Política y objetivos | Política de seguridad y objetivos medibles | Política (5.2), objetivos (6.2) |
| 5. Riesgos | Metodología, evaluación y tratamiento de riesgos | Metodología (6.1.2), informe de riesgos (8.2), plan de tratamiento (6.1.3) |
| 6. Declaración de Aplicabilidad | Decisión sobre los 93 controles del Anexo A | SoA (6.1.3 d) |
| 7. Implantación de controles | Políticas temáticas, procedimientos, medidas técnicas, formación | Políticas, procedimientos, registros de formación (7.2, 7.3) |
| 8. Operación y medición | Funcionamiento del SGSI y recogida de indicadores | Registros operativos (8.1), indicadores (9.1) |
| 9. Auditoría interna | Revisión independiente del cumplimiento | Programa e informe de auditoría (9.2) |
| 10. Revisión por la dirección | Análisis de resultados y decisiones | Acta de revisión (9.3) |
| 11. Mejora | Tratamiento de no conformidades | Registro de no conformidades y acciones (10.2) |
¿Cuánto se tarda en implantar ISO 27001?
La norma no fija un plazo. Depende del alcance, del número de sedes y procesos, de los controles que ya existan y de las personas que puedan dedicarse al proyecto.
Como referencia, el proveedor de servicios Bastion estima unos 3 meses para empresas de 10 a 50 empleados y de 4 a 5 meses para más de 150, con apoyo experto. Son cifras de un proveedor que vende ese servicio y suponen partir con cierta madurez. Una organización sin controles previos o con un alcance complejo necesitará más tiempo.
Lo que más alarga el proyecto:
- No tener un responsable con tiempo asignado.
- Un alcance demasiado amplio para la primera certificación.
- Controles técnicos pendientes de implantar, como autenticación multifactor o copias aisladas.
- Esperar a tener todo perfecto antes de empezar a operar y medir.
Antes de la auditoría de fase 2, la entidad de certificación comprobará que se han hecho al menos una auditoría interna y una revisión por la dirección. Conviene reservar tiempo para ello en el plan.
Roles necesarios en un SGSI
| Rol | Responsabilidades | Comentario |
|---|---|---|
| Alta dirección | Aprobar la política, asignar recursos, revisar el SGSI (5.1, 9.3) | Su implicación es un requisito, no una recomendación |
| Responsable del SGSI | Coordinar la implantación, el mantenimiento y los informes a la dirección (5.3) | Puede ser a tiempo parcial en pymes |
| Propietarios de riesgos | Aprobar el plan de tratamiento y aceptar los riesgos residuales (6.1.3 f) | Suelen ser responsables de área o proceso |
| Propietarios de activos | Mantener el inventario y aplicar la clasificación (A.5.9, A.5.12) | |
| Comité de seguridad | Coordinar áreas y tomar decisiones operativas | Opcional, útil a partir de cierto tamaño |
| TI y sistemas | Implantar y operar los controles técnicos | |
| RR. HH. | Selección, contratos, formación y bajas (A.6) | |
| Legal y delegado de protección de datos | Requisitos legales y contractuales, privacidad (A.5.31, A.5.34) | |
| Auditor interno | Auditar el SGSI con objetividad e imparcialidad (9.2) | Interno o externo, sin auditar su propio trabajo |
Documentos obligatorios de ISO 27001
ISO 27001 no exige un manual. Exige la siguiente información documentada:
| Documento o registro | Cláusula |
|---|---|
| Alcance del SGSI | 4.3 |
| Política de seguridad de la información | 5.2 |
| Proceso de evaluación de riesgos | 6.1.2 |
| Proceso de tratamiento de riesgos | 6.1.3 |
| Declaración de Aplicabilidad | 6.1.3 d) |
| Objetivos de seguridad de la información | 6.2 |
| Evidencias de competencia | 7.2 |
| Información documentada que la organización considere necesaria | 7.5.1 b) |
| Evidencias de que los procesos se ejecutan según lo planificado | 8.1 |
| Resultados de la evaluación de riesgos | 8.2 |
| Resultados del tratamiento de riesgos | 8.3 |
| Resultados del seguimiento y la medición | 9.1 |
| Programa y resultados de auditoría interna | 9.2.2 |
| Resultados de la revisión por la dirección | 9.3.3 |
| No conformidades, acciones tomadas y resultados | 10.2 |
A esta lista se suma la documentación que piden los controles aplicados del Anexo A, como el inventario de activos (A.5.9), los procedimientos operativos (A.5.37) o los registros de eventos (A.8.15).
Errores frecuentes al implantar ISO 27001
- Empezar por las plantillas en lugar de por el análisis de riesgos.
- Definir un alcance que no se corresponde con lo que se quiere demostrar a los clientes.
- Delegar todo en TI sin implicar a RR. HH., legal ni a la dirección.
- Llegar a la auditoría sin indicadores ni una auditoría interna real.
- Documentar controles que no se aplican en la práctica.
Preguntas frecuentes sobre la implantación
No. La norma no lo exige. Un consultor puede acortar plazos, pero el conocimiento del SGSI debe quedarse en la organización, que es quien lo mantiene.
Conseguir el compromiso de la dirección y definir el alcance. Sin esos dos puntos, el resto del trabajo se rehace.
Sí. Muchas organizaciones la usan como marco de buenas prácticas. La certificación solo es necesaria si hay que demostrarlo ante terceros.
No. Una herramienta ayuda a organizar riesgos, controles, documentos y evidencias, pero las decisiones y la operación del SGSI son de la organización.
