Implantar un Sistema de Gestión de Seguridad de la Información (SGSI) conforme a ISO 27001:2022 no consiste únicamente en aplicar medidas técnicas de ciberseguridad. Una parte fundamental del proceso es la documentación, ya que permite demostrar cómo se gestionan los riesgos, qué controles se han implantado y de qué manera se supervisa la eficacia del sistema.
Sin embargo, uno de los errores más habituales al comenzar una implantación es pensar que ISO 27001 obliga a disponer de decenas de políticas y procedimientos independientes. En realidad, la norma establece determinados requisitos documentales, mientras que otros documentos dependerán de los riesgos de la organización, los controles considerados aplicables y la forma en que se haya diseñado el SGSI.
La documentación comienza antes de aplicar controles
Uno de los primeros pasos es determinar el alcance del SGSI. La organización debe definir qué procesos, departamentos, instalaciones, sistemas o servicios quedan incluidos dentro de la certificación.
También será necesario identificar los requisitos que afectan a la seguridad de la información. Aquí pueden entrar obligaciones legales, regulatorias, contractuales o compromisos adquiridos con clientes y proveedores.
Otro elemento esencial es la metodología utilizada para analizar los riesgos. La empresa debe establecer criterios que permitan identificar amenazas, vulnerabilidades, probabilidades e impactos y decidir posteriormente cómo tratar cada riesgo.
El análisis de riesgos y el plan de tratamiento se convierten así en dos de las piezas centrales del sistema documental.
La Declaración de Aplicabilidad
Uno de los documentos más importantes dentro de ISO 27001 es la Declaración de Aplicabilidad o Statement of Applicability (SoA).
En ella se determina cuáles de los controles del Anexo A resultan aplicables a la organización y se justifican las posibles exclusiones.
La Declaración de Aplicabilidad funciona, en cierto modo, como un mapa del sistema de seguridad: permite conocer qué controles se han seleccionado, por qué se consideran necesarios y cuál es su grado de implantación.
Esta decisión influirá directamente en la documentación adicional que deberá desarrollar la empresa.
Por ejemplo, dependiendo del contexto pueden resultar necesarias políticas o procedimientos relacionados con:
- control de accesos y contraseñas;
- clasificación y tratamiento de la información;
- gestión de dispositivos móviles y teletrabajo;
- copias de seguridad;
- cifrado y transferencia de información;
- gestión de proveedores;
- desarrollo seguro;
- gestión de cambios;
- respuesta ante incidentes;
- recuperación ante desastres y continuidad.
No todas las organizaciones necesitan gestionar estos aspectos exactamente de la misma manera. Una empresa que desarrolla software tendrá necesidades distintas de una pequeña consultora o de una organización industrial.
Documentar también significa demostrar que el sistema funciona
La documentación de ISO 27001 no termina cuando se implantan las medidas de seguridad.
El SGSI debe mantenerse y evaluarse de forma continua. Para ello, la organización necesita conservar evidencias de determinadas actividades.
Entre ellas se encuentran la formación y concienciación de los trabajadores en materia de seguridad, la realización de auditorías internas, la revisión del sistema por parte de la dirección y el seguimiento de indicadores.
Las auditorías internas permiten comprobar si el SGSI cumple tanto los requisitos de la norma como los procedimientos establecidos por la propia organización.
Posteriormente, la dirección debe revisar los resultados y valorar cuestiones como la evolución de los riesgos, los incidentes registrados, el cumplimiento de los objetivos o las oportunidades de mejora.
Cuando aparecen incumplimientos o desviaciones, también deben gestionarse las correspondientes acciones correctivas y conservar evidencias de su resolución.
Más documentación no significa necesariamente mayor cumplimiento
Un SGSI no debería convertirse en una colección de documentos creados únicamente para superar una auditoría.
Las políticas y procedimientos deben reflejar la forma real en la que funciona la organización. Elaborar documentos excesivamente complejos que posteriormente nadie utiliza puede terminar dificultando el propio sistema de gestión.
Además, ISO 27001 permite cierta flexibilidad en la forma de mantener la información documentada. Algunos procedimientos pueden integrarse dentro de políticas más amplias siempre que los requisitos necesarios queden correctamente definidos y puedan demostrarse.
Por ejemplo, determinadas organizaciones pueden incluir las reglas sobre contraseñas dentro de una política general de control de accesos, en lugar de crear un documento separado.
La documentación como herramienta de gestión
Una correcta documentación facilita la implantación de ISO 27001, pero también aporta beneficios más allá de la certificación.
Permite asignar responsabilidades, mantener criterios uniformes, mejorar la respuesta ante incidentes y demostrar ante clientes, proveedores o auditores cómo se protege la información.
Por eso, el objetivo no debería ser preguntarse únicamente «¿qué documentos exige ISO 27001?», sino también «¿qué documentación necesita nuestra organización para gestionar sus riesgos de manera eficaz?».
La diferencia es importante: ISO 27001 no busca generar burocracia, sino establecer un sistema de seguridad estructurado, verificable y capaz de mejorar continuamente.
Contáctaos en info@legalauditors.es
