Marco
ISO/IEC 27001:2022
Qué es
La norma internacional para un sistema de gestión de seguridad de la información (SGSI). Las cláusulas 4–10 son requisitos obligatorios del sistema de gestión; el Anexo A enumera 93 controles de referencia, seleccionados mediante el tratamiento de riesgos y justificados en una Declaración de Aplicabilidad.
Quién lo necesita
Organizaciones que necesitan una prueba de seguridad reconocida internacionalmente: es habitual en empresas de software y de servicios que venden a grandes empresas y al sector público, especialmente fuera de EE. UU.
Cómo se evalúa
Un organismo de certificación acreditado realiza una auditoría de Etapa 1 (documentación) y otra de Etapa 2 (implementación). El certificado tiene una validez de tres años, con auditorías de seguimiento en el primer y el segundo año. Consulte cómo obtener la certificación.
Leer la guía: Cómo obtener la certificación ISO 27001 →
123
Controles del Anexo A y cláusulas del SGSI
123
Con correspondencia con otro marco
100%
Temas cubiertos (50/50)
Recuentos: cláusulas contabilizadas en su nivel más bajo (6.1.1–6.1.3, no 6.1).
Comparativas
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
Requisitos
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
| ID | Requisito | Temas | Con correspondencia en |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | Política de gobernanza | 9 de 13 |
| A.5.2 | Information security roles and responsibilities | Funciones y responsabilidades | 9 de 13 |
| A.5.3 | Segregation of duties | — | 3 de 13 |
| A.5.4 | Management responsibilities | Funciones y responsabilidades | 9 de 13 |
| A.5.5 | Contact with authorities | Notificación | 12 de 13 |
| A.5.6 | Contact with special interest groups | Comunicación | 8 de 13 |
| A.5.7 | Threat intelligence | Inteligencia de amenazas | 7 de 13 |
| A.5.8 | Information security in project management | — | 1 de 13 |
| A.5.9 | Inventory of information and other associated assets | Gestión de activos | 13 de 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 de 13 |
| A.5.11 | Return of assets | Gestión de activos | 13 de 13 |
| A.5.12 | Classification of information | Clasificación de datos | 9 de 13 |
| A.5.13 | Labelling of information | Clasificación de datos | 9 de 13 |
| A.5.14 | Information transfer | Protección de datos, Seguridad del correo electrónico | 12 de 13 |
| A.5.15 | Access control | Control de acceso, Confianza cero | 11 de 13 |
| A.5.16 | Identity management | Control de acceso | 11 de 13 |
| A.5.17 | Authentication information | — | 2 de 13 |
| A.5.18 | Access rights | Control de acceso | 11 de 13 |
| A.5.19 | Information security in supplier relationships | Riesgo de la cadena de suministro, Gestión de riesgos de proveedores | 10 de 13 |
| A.5.20 | Addressing information security within supplier agreements | Gestión de riesgos de proveedores | 10 de 13 |
| A.5.21 | Managing information security in the ICT supply chain | Riesgo de la cadena de suministro | 9 de 13 |
| A.5.22 | Monitoring, review and change management of supplier services | Gestión de riesgos de proveedores | 10 de 13 |
| A.5.23 | Information security for use of cloud services | Seguridad en la nube | 11 de 13 |
| A.5.24 | Information security incident management planning and preparation | Respuesta a incidentes | 12 de 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, Respuesta a incidentes | 12 de 13 |
| A.5.26 | Response to information security incidents | Respuesta a incidentes, Mitigación, Comunicaciones y restauración | 12 de 13 |
| A.5.27 | Learning from information security incidents | Lecciones aprendidas | 9 de 13 |
| A.5.28 | Collection of evidence | Análisis forense | 7 de 13 |
| A.5.29 | Information security during disruption | Planificación de la recuperación, Continuidad del negocio | 9 de 13 |
| A.5.30 | ICT readiness for business continuity | Planificación de la recuperación, Continuidad del negocio, Recuperación ante desastres | 10 de 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Cumplimiento | 10 de 13 |
| A.5.32 | Intellectual property rights | — | 2 de 13 |
| A.5.33 | Protection of records | — | 2 de 13 |
| A.5.34 | Privacy and protection of PII | — | 2 de 13 |
| A.5.35 | Independent review of information security | — | 3 de 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | Cumplimiento | 10 de 13 |
| A.5.37 | Documented operating procedures | Política de gobernanza | 9 de 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | Amenaza interna | 9 de 13 |
| A.6.2 | Terms and conditions of employment | — | 2 de 13 |
| A.6.3 | Information security awareness, education and training | Concienciación y formación | 10 de 13 |
| A.6.4 | Disciplinary process | Amenaza interna | 9 de 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 de 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 de 13 |
| A.6.7 | Remote working | Seguridad móvil | 7 de 13 |
| A.6.8 | Information security event reporting | Notificación | 12 de 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | Seguridad física | 8 de 13 |
| A.7.2 | Physical entry | Seguridad física | 8 de 13 |
| A.7.3 | Securing offices, rooms and facilities | Seguridad física | 8 de 13 |
| A.7.4 | Physical security monitoring | Seguridad física | 8 de 13 |
| A.7.5 | Protecting against physical and environmental threats | Seguridad física | 8 de 13 |
| A.7.6 | Working in secure areas | Seguridad física | 8 de 13 |
| A.7.7 | Clear desk and clear screen | — | 2 de 13 |
| A.7.8 | Equipment siting and protection | Seguridad física | 8 de 13 |
| A.7.9 | Security of assets off-premises | — | 1 de 13 |
| A.7.10 | Storage media | — | 2 de 13 |
| A.7.11 | Supporting utilities | Seguridad física | 8 de 13 |
| A.7.12 | Cabling security | Seguridad física | 8 de 13 |
| A.7.13 | Equipment maintenance | — | 2 de 13 |
| A.7.14 | Secure disposal or re-use of equipment | Gestión de activos | 13 de 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | Protección de endpoints, Seguridad móvil | 10 de 13 |
| A.8.2 | Privileged access rights | Acceso privilegiado | 10 de 13 |
| A.8.3 | Information access restriction | Control de acceso | 11 de 13 |
| A.8.4 | Access to source code | — | 1 de 13 |
| A.8.5 | Secure authentication | Autenticación multifactor, Confianza cero, Seguridad de APIs | 10 de 13 |
| A.8.6 | Capacity management | — | 2 de 13 |
| A.8.7 | Protection against malware | Protección de endpoints | 10 de 13 |
| A.8.8 | Management of technical vulnerabilities | Gestión de vulnerabilidades, Gestión de parches | 13 de 13 |
| A.8.9 | Configuration management | Configuración segura | 9 de 13 |
| A.8.10 | Information deletion | Protección de datos | 11 de 13 |
| A.8.11 | Data masking | Protección de datos | 11 de 13 |
| A.8.12 | Data leakage prevention | DLP | 7 de 13 |
| A.8.13 | Information backup | Copias de seguridad y recuperación | 11 de 13 |
| A.8.14 | Redundancy of information processing facilities | Continuidad del negocio, Recuperación ante desastres | 10 de 13 |
| A.8.15 | Logging | Registro y auditoría | 10 de 13 |
| A.8.16 | Monitoring activities | Monitoreo cont., Detección de intrusiones, Detección de anomalías, SIEM / SOC, Amenaza interna | 12 de 13 |
| A.8.17 | Clock synchronization | Registro y auditoría | 10 de 13 |
| A.8.18 | Use of privileged utility programs | Acceso privilegiado | 10 de 13 |
| A.8.19 | Installation of software on operational systems | Protección de endpoints | 10 de 13 |
| A.8.20 | Networks security | Cortafuegos / Segmentación de red, Seguridad DNS, WAF | 9 de 13 |
| A.8.21 | Security of network services | Cortafuegos / Segmentación de red, Seguridad DNS | 9 de 13 |
| A.8.22 | Segregation of networks | Cortafuegos / Segmentación de red, Confianza cero | 9 de 13 |
| A.8.23 | Web filtering | — | 1 de 13 |
| A.8.24 | Use of cryptography | Cifrado | 10 de 13 |
| A.8.25 | Secure development life cycle | Desarrollo seguro | 8 de 13 |
| A.8.26 | Application security requirements | Desarrollo seguro, Seguridad web, Seguridad de APIs | 8 de 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 de 13 |
| A.8.28 | Secure coding | Desarrollo seguro | 8 de 13 |
| A.8.29 | Security testing in development and acceptance | Desarrollo seguro | 8 de 13 |
| A.8.30 | Outsourced development | — | 2 de 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 de 13 |
| A.8.32 | Change management | — | 4 de 13 |
| A.8.33 | Test information | — | 2 de 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 de 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | Entorno empresarial | 5 de 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Entorno empresarial | 5 de 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 de 13 |
| Clause 4.4 | Information security management system | — | 1 de 13 |
| Clause 5.1 | Leadership and commitment | — | 2 de 13 |
| Clause 5.2 | Policy | Política de gobernanza | 9 de 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 de 13 |
| Clause 6.1.1 | General | Gestión de riesgos | 10 de 13 |
| Clause 6.1.2 | Information security risk assessment | Evaluación de riesgos | 10 de 13 |
| Clause 6.1.3 | Information security risk treatment | Gestión de riesgos, Evaluación de riesgos | 10 de 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 de 13 |
| Clause 6.3 | Planning of changes | — | 2 de 13 |
| Clause 7.1 | Resources | — | 2 de 13 |
| Clause 7.2 | Competence | — | 3 de 13 |
| Clause 7.3 | Awareness | Concienciación y formación | 10 de 13 |
| Clause 7.4 | Communication | Comunicación, Comunicaciones y restauración | 9 de 13 |
| Clause 7.5.1 | General | — | 1 de 13 |
| Clause 7.5.2 | Creating and updating | — | 1 de 13 |
| Clause 7.5.3 | Control of documented information | — | 1 de 13 |
| Clause 8.1 | Operational planning and control | — | 2 de 13 |
| Clause 8.2 | Information security risk assessment | — | 4 de 13 |
| Clause 8.3 | Information security risk treatment | — | 4 de 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Cumplimiento | 10 de 13 |
| Clause 9.2.1 | General | — | 1 de 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 de 13 |
| Clause 9.3.1 | General | — | 1 de 13 |
| Clause 9.3.2 | Management review inputs | — | 1 de 13 |
| Clause 9.3.3 | Management review results | — | 1 de 13 |
| Clause 10.1 | Continual improvement | Lecciones aprendidas | 9 de 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 de 13 |
Cobertura del tema
Temas con requisitos de ISO 27001 asignados (50):
Política de gobernanzaConcienciación y formaciónGestión de riesgosRiesgo de la cadena de suministroFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosEntorno empresarialClasificación de datosGestión de vulnerabilidadesInteligencia de amenazasControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad móvilSeguridad en la nubeSeguridad DNSWAFDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesAnálisis forenseComunicaciónMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioLecciones aprendidasComunicaciones y restauraciónRecuperación ante desastresSeguridad de APIsAmenaza internaGestión de riesgos de proveedoresSeguridad física