El ENS, conocido como Esquema Nacional de Seguridad, es el marco normativo que en España establece las directrices para proteger los sistemas de información y los servicios digitales que gestionan las administraciones públicas y las empresas que trabajan con ellas. Se regula a través del Real Decreto 3/2010 y sus posteriores modificaciones, y constituye la base para asegurar que la transformación digital del sector público se realiza de manera fiable, uniforme y con criterios de seguridad comunes.

La razón de ser del ENS está en la creciente dependencia de la sociedad hacia los servicios electrónicos. Cada vez más ciudadanos realizan trámites digitales —desde pagar impuestos hasta acceder a historiales clínicos— y confían en que esos servicios sean seguros. El Esquema Nacional de Seguridad responde a esta necesidad garantizando que la protección de la información no dependa de la voluntad de cada organismo, sino que exista un marco obligatorio, homogéneo y verificable.

¿Qué es el ENS?

El ENS es un conjunto de principios, requisitos y medidas que todas las administraciones públicas deben cumplir para asegurar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información que gestionan. También se aplica a las empresas privadas que prestan servicios tecnológicos a dichas administraciones, convirtiéndose en un estándar de obligado cumplimiento en el ámbito de la seguridad de la información en España.

Se articula sobre tres ejes fundamentales:

• Principios básicos: directrices de obligado cumplimiento que orientan la seguridad hacia la prevención, detección, corrección y mejora continua.
• Requisitos mínimos: obligaciones esenciales como la existencia de políticas de seguridad, definición de responsabilidades, análisis de riesgos o auditorías periódicas.
• Medidas de seguridad: un catálogo de controles organizativos, operacionales y tecnológicos que deben aplicarse de forma proporcional al nivel de riesgo.

Ámbito de aplicación del ENS

El Esquema Nacional de Seguridad es obligatorio para:

• Administración General del Estado, comunidades autónomas y entidades locales.
• Organismos y entidades del sector público, como universidades, agencias y entes reguladores.
• Proveedores de servicios tecnológicos que gestionan información o prestan servicios electrónicos a la Administración.

De este modo, no se limita al sector público, sino que afecta también a las empresas privadas que quieran participar en contratos y licitaciones relacionadas con servicios digitales para la Administración.

Niveles de seguridad en el ENS

El ENS establece una clasificación de los sistemas de información en tres niveles, según el impacto que tendría un incidente de seguridad:

• Nivel bajo: cuando un incidente tendría un efecto limitado en los servicios o en los derechos de los ciudadanos.
• Nivel medio: cuando el incidente provocaría un impacto significativo en la confianza pública, en el funcionamiento de la entidad o en los usuarios.
• Nivel alto: cuando la indisponibilidad o alteración de la información causaría daños graves a la sociedad, a los servicios esenciales o a derechos fundamentales.

Esta clasificación permite que las medidas de seguridad se apliquen de forma proporcional: cuanto mayor es el nivel, mayor es la exigencia de controles técnicos, organizativos y de gestión.

Principios básicos del ENS

El Esquema Nacional de Seguridad se apoya en una serie de principios básicos que orientan el diseño de políticas y medidas:

• Seguridad integral: todas las dimensiones de la seguridad (organización, procesos, personas y tecnología) deben estar cubiertas.
• Prevención, detección y corrección: los sistemas deben estar preparados para anticipar incidentes, detectarlos y recuperarse de ellos.
• Proporcionalidad: las medidas deben adecuarse al nivel de riesgo y al impacto potencial.
• Responsabilidad: la dirección de cada entidad es responsable última de garantizar la seguridad.
• Mejora continua: el ENS exige revisar y actualizar constantemente las medidas de seguridad.

Estructura de medidas de seguridad en el ENS

El catálogo de medidas de seguridad del ENS se organiza en tres bloques:

Medidas organizativas

Incluyen la definición de una política de seguridad, la creación de órganos de coordinación, la asignación de responsabilidades, la concienciación del personal y la gestión de la relación con terceros.

Medidas operacionales

Engloban la gestión de riesgos, la planificación de continuidad, el control de accesos, la gestión de incidentes y la explotación segura de los sistemas de información.

Medidas de protección tecnológica

Se refieren a los mecanismos técnicos para proteger sistemas y datos: cifrado, monitorización de redes, detección de intrusos, copias de seguridad, endurecimiento de sistemas, entre otros.

Importancia del ENS

El ENS asegura que los servicios digitales de las administraciones públicas funcionen en un entorno seguro y confiable. Gracias a su existencia, los ciudadanos pueden realizar trámites electrónicos con la certeza de que su información está protegida, y las organizaciones privadas que colaboran con el sector público saben qué medidas deben aplicar para cumplir con los requisitos de seguridad exigidos en España.

Implantación del ENS en las organizaciones

Para cumplir con el ENS, las entidades deben recorrer un proceso estructurado que va desde el diagnóstico inicial hasta la auditoría de conformidad. Este proceso incluye:

1. Evaluación inicial: identificar la situación de partida en materia de seguridad y comparar con los requisitos del ENS.
2. Clasificación de sistemas: determinar para cada sistema de información si corresponde un nivel de seguridad bajo, medio o alto.
3. Plan de adecuación: diseñar las medidas necesarias para cubrir las brechas detectadas en el diagnóstico.
4. Implantación: desplegar las medidas organizativas, operativas y tecnológicas correspondientes.
5. Auditoría y certificación: realizar evaluaciones periódicas, internas y externas para garantizar la conformidad con el ENS.

Para cumplir con el ENS, las entidades deben recorrer un proceso estructurado que va desde el diagnóstico inicial hasta la auditoría de conformidad.
Click To Tweet

La auditoría del ENS

El cumplimiento del ENS debe ser evaluado por entidades acreditadas que verifican tanto la existencia de políticas como su aplicación práctica. Durante la auditoría, se revisan documentos, registros y evidencias que demuestran que los controles se aplican en la realidad y no solo en teoría.

Algunos aspectos revisados con detalle en estas auditorías son:

• La existencia de una política de seguridad formal y aprobada.
• El registro de incidentes de seguridad y la respuesta dada a ellos.
• La revisión periódica de accesos y privilegios de usuarios.
• La correcta ejecución de planes de continuidad y pruebas de recuperación.
• El cumplimiento de requisitos de interoperabilidad y trazabilidad en los sistemas.

Cómo se relaciona con empresas proveedoras

El ENS no afecta únicamente a las administraciones públicas, sino también a todas las empresas privadas que ofrecen servicios tecnológicos o gestionan información en su nombre. Para poder contratar con el sector público, estas empresas deben acreditar que cumplen con el esquema. Esto ha hecho que el ENS se convierta en un factor competitivo dentro del mercado tecnológico español, ya que contar con la conformidad al ENS es imprescindible para participar en determinadas licitaciones.

Confianza digital

Uno de los valores más importantes del ENS es que refuerza la confianza digital en las relaciones entre ciudadanos, empresas y administraciones. Al garantizar que existe un marco común de seguridad, se evita que diferentes organismos apliquen criterios dispares, lo que podría generar inseguridad y desconfianza en el uso de servicios electrónicos.

Diferencias con otros marcos internacionales

Aunque el ENS comparte fundamentos con estándares internacionales de seguridad de la información, se diferencia en que está diseñado específicamente para el contexto español y para las necesidades de la Administración Pública. Esto incluye requisitos particulares de interoperabilidad, trazabilidad y clasificación de sistemas por impacto, que no suelen estar presentes en normas internacionales de carácter general.

Retos y futuro del Esquema Nacional de Seguridad

El ENS se encuentra en constante evolución para responder a nuevos desafíos. La aparición de tecnologías emergentes como la computación en la nube, la inteligencia artificial y la proliferación del teletrabajo obligan a revisar periódicamente el marco y adaptar sus exigencias. Además, la convergencia con normativas europeas como NIS2 o el Reglamento de Ciberseguridad marcará la dirección futura de este esquema.

Como motor de la ciberseguridad en España

Más allá de ser un requisito legal, el ENS se ha convertido en un auténtico motor de mejora en la ciberseguridad española. Su aplicación ha elevado los estándares de protección en el sector público y en gran parte del sector privado que colabora con él, fomentando una cultura de seguridad basada en políticas claras, procesos bien definidos y auditorías periódicas.

The post ¿Qué es el ENS? Guía del Esquema Nacional de Seguridad en España appeared first on PMG SSI - ISO 27001.

La certificación ISO 27001 es la acreditación internacional que demuestra que una organización ha implantado un Sistema de Gestión de Seguridad de la Información (SGSI) eficaz y alineado con los estándares más exigentes. Para lograrla, no basta con tener políticas generales de seguridad: es necesario demostrar que los controles críticos están implementados, en uso y generan evidencias. Uno de los aspectos más examinados por los auditores son las claves de acceso y los mecanismos de control de usuarios, ya que representan la primera línea de defensa frente a accesos indebidos.

Por qué los accesos son clave en la certificación ISO 27001

En cualquier organización, la información crítica reside en sistemas, aplicaciones, bases de datos y redes. La certificación ISO 27001 exige que esa información esté protegida contra accesos no autorizados. Los fallos en la gestión de contraseñas, la asignación incorrecta de privilegios o la ausencia de revisiones periódicas son hallazgos frecuentes en auditorías. Por este motivo, la correcta gestión de accesos se convierte en un requisito indispensable para superar el proceso de certificación.

Requisitos de la ISO 27001 relacionados con accesos

La norma ISO 27001 establece, en su anexo de controles, que la organización debe:

• Asignar accesos basados en roles: cada usuario debe tener permisos ajustados a sus responsabilidades.
• Proteger las credenciales: las contraseñas deben cumplir políticas de complejidad y protección contra uso indebido.
• Revisar accesos periódicamente: las cuentas y privilegios deben ser verificados para detectar inconsistencias.
• Revocar accesos sin demora: cuando un empleado cambia de puesto o deja la organización, sus accesos deben eliminarse de inmediato.
• Registrar y monitorizar accesos: los intentos y usos de credenciales deben quedar documentados para análisis y auditoría.

La gestión de identidades en el contexto de la certificación

Durante una auditoría de certificación ISO 27001, los evaluadores buscan evidencias de que la organización gestiona correctamente el ciclo de vida de las identidades digitales. Esto implica:

• Procedimientos claros para altas de usuarios con la debida autorización.
• Revisión de accesos cuando un usuario cambia de rol dentro de la empresa.
• Desactivación inmediata de cuentas en caso de baja laboral.

La ausencia de control en alguno de estos puntos supone un riesgo alto y puede comprometer la certificación.

La ausencia de control en alguno de estos puntos supone un riesgo alto y puede comprometer la certificación.
Click To Tweet

Claves de acceso y políticas de contraseñas

Las políticas de contraseñas son uno de los documentos más revisados en una auditoría. Para cumplir con la certificación, la organización debe definir y aplicar normas de:

• Longitud mínima y complejidad: combinando letras, números y caracteres especiales.
• Periodicidad de cambio: con plazos definidos para renovar las credenciales.
• Historial de contraseñas: para evitar reutilización inmediata de claves antiguas.
• Protección frente a ataques: sistemas que bloqueen cuentas tras múltiples intentos fallidos.

Aunque la norma no dicta reglas exactas, el auditor espera ver políticas coherentes y aplicadas en los sistemas críticos.

Accesos privilegiados: un foco en la auditoría

Los accesos privilegiados (administradores de sistemas, gestores de bases de datos, responsables de red) son un área de especial atención. La certificación ISO 27001 requiere que estén claramente identificados, que su uso esté monitorizado y que las acciones realizadas con estas cuentas queden registradas. En muchos casos, se exige la existencia de un proceso de revisión periódica para asegurar que los privilegios se mantienen solo mientras son necesarios.

Ejemplos de no conformidades habituales

En auditorías de certificación ISO 27001, es frecuente encontrar hallazgos relacionados con accesos, como:

• Cuentas activas de antiguos empleados.
• Privilegios excesivos otorgados sin justificación.
• Ausencia de registro de accesos en sistemas críticos.
• Políticas de contraseñas definidas, pero no aplicadas en la práctica.

Estos fallos pueden derivar en no conformidades mayores, obligando a la organización a implementar medidas correctivas antes de obtener la certificación.

El papel de las claves de acceso en la auditoría de certificación ISO 27001

Cuando una organización se somete a la certificación ISO 27001, los auditores dedican parte importante de la revisión a evaluar cómo se gestionan las claves de acceso. No se trata únicamente de verificar que existen políticas escritas, sino de comprobar que están en funcionamiento y generan evidencias tangibles.

Evidencias que se solicitan en auditoría

Algunos ejemplos de lo que los auditores suelen pedir son:

• Documentos de políticas de contraseñas aprobadas por la dirección.
• Registros de altas y bajas de usuarios en el último año.
• Reportes de revisión periódica de accesos privilegiados.
• Logs de accesos a sistemas críticos con evidencia de monitorización.
• Resultados de pruebas de bloqueo tras intentos fallidos de autenticación.

Autenticación multifactor y su peso en la certificación

Aunque no es un requisito explícito de la norma, el uso de autenticación multifactor (MFA) se valora de forma muy positiva durante una auditoría. Su aplicación en accesos remotos, sistemas de gestión o servicios en la nube se ha convertido en un estándar de facto, y su ausencia puede ser interpretada como una debilidad en la gestión de accesos.

Accesos en escenarios de teletrabajo y nube

La certificación ISO 27001 también considera el contexto tecnológico de la organización. En entornos de teletrabajo y servicios en la nube, los riesgos asociados a claves de acceso se multiplican. Los auditores buscan evidencias de que:

• Los accesos remotos están protegidos por MFA y cifrado de comunicaciones.
• Los dispositivos utilizados para conectarse cumplen requisitos de seguridad.
• Las cuentas de servicios en la nube están bajo control corporativo y no dependen de usuarios individuales.

Relación entre claves de acceso y riesgos de seguridad

La certificación ISO 27001 se basa en un enfoque de gestión de riesgos. En este contexto, las claves de acceso y los privilegios de usuario aparecen como uno de los vectores de riesgo más comunes. El análisis de riesgos debe reflejar escenarios como el robo de credenciales, el uso indebido de accesos privilegiados o la explotación de cuentas inactivas. Cada escenario debe estar vinculado a un control y a una evidencia que demuestre su tratamiento.

Claves de acceso en la Declaración de Aplicabilidad

En el proceso de certificación, la Declaración de Aplicabilidad es uno de los documentos más relevantes. En ella, la organización debe listar los controles relacionados con accesos que ha decidido implementar, justificar su elección y detallar cómo se aplican. La existencia de controles relacionados con contraseñas, gestión de usuarios y accesos privilegiados suele considerarse obligatoria, salvo justificación excepcional.

Cómo prepararse para la certificación en materia de accesos

Para tener éxito en la auditoría de certificación ISO 27001, es recomendable que la organización:

• Revise todas las cuentas de usuario y elimine las que no estén en uso.
• Actualice su política de contraseñas y verifique que se aplica en sistemas críticos.
• Implemente autenticación multifactor en accesos remotos y servicios en la nube.
• Documente el proceso de alta, modificación y baja de usuarios.
• Genere reportes de revisión de accesos privilegiados en periodos regulares.

El rol de TI en la certificación ISO 27001

El departamento de TI es el principal responsable de aplicar y mantener los controles relacionados con claves y accesos. Su trabajo consiste en asegurar que las políticas definidas por la organización se traduzcan en configuraciones técnicas, revisiones periódicas y evidencias disponibles para los auditores. La colaboración entre TI, seguridad y la dirección es esencial para demostrar la eficacia de los controles y obtener la certificación.

The post Claves de Acceso y Seguridad: Su Rol en la Certificación ISO 27001 appeared first on PMG SSI - ISO 27001.

La norma ISO 27005 es el estándar internacional que establece directrices para gestionar los riesgos de seguridad de la información en una organización. Forma parte de la familia ISO 27000, y aunque no es certificable por sí misma, se integra de manera directa con la ISO 27001, que sí es certificable. La ISO 27005 tiene como misión dar a los responsables de seguridad una metodología clara para identificar, analizar, evaluar y tratar riesgos, asegurando que las decisiones se fundamenten en un marco sistemático y repetible.

A diferencia de la ISO 27001, que fija los requisitos del Sistema de Gestión de Seguridad de la Información (SGSI), la norma ISO 27005 es la herramienta metodológica que explica cómo llevar a cabo el análisis de riesgos que exige la certificación. Se convierte así en un documento de referencia indispensable para auditores, responsables de TI, CISOs y cualquier organización que busque madurez en su modelo de seguridad.

Objetivos de la norma ISO 27005

La ISO 27005 persigue garantizar que la gestión de riesgos sea coherente, documentada y esté alineada con las necesidades del negocio. Sus objetivos principales incluyen:

• Definir un proceso de riesgo reproducible: permite que diferentes analistas lleguen a conclusiones consistentes.
• Conectar el riesgo con la estrategia: asegura que las medidas de seguridad estén alineadas con los objetivos de la organización.
• Facilitar la toma de decisiones: da soporte a la dirección para priorizar inversiones en controles de seguridad.
• Establecer trazabilidad: cada decisión sobre riesgos queda documentada y justificada.

Principios básicos de la norma ISO 27005:2022

• Enfoque integral: el riesgo se analiza desde una perspectiva que abarca procesos, personas, tecnología y proveedores.
• Basado en activos: los activos de información se identifican, clasifican y valoran en función de su importancia para el negocio.
• Ciclo de vida continuo: el análisis de riesgos se revisa periódicamente y se actualiza tras cambios relevantes o incidentes.
• Contexto organizacional: los riesgos se evalúan teniendo en cuenta regulaciones, contratos y requisitos de partes interesadas.

Relación entre ISO 27001, 27002 y 27005

El papel de la norma ISO 27005 se entiende mejor al analizar su relación con las otras normas clave del SGSI:

• ISO 27001: establece el marco de gestión y exige que se realice un análisis de riesgos documentado como base del SGSI.
• ISO 27002: ofrece el catálogo de controles de seguridad que se aplicarán según el resultado del análisis de riesgos.
• ISO 27005: proporciona la metodología para identificar, analizar y evaluar esos riesgos que luego determinarán qué controles se aplican.

En conjunto, 27001 define el qué, 27002 ofrece el con qué y 27005 explica el cómo.

El proceso de gestión de riesgos en ISO27005

La norma ISO 27005 describe un ciclo completo de gestión de riesgos que incluye:

1. Establecer el contexto

Se definen los criterios de riesgo, el alcance del SGSI, los activos críticos y el apetito de riesgo de la organización.

2. Identificación de riesgos

Incluye la creación de un inventario de activos, la identificación de amenazas y vulnerabilidades, y la definición de escenarios de riesgo.

3. Análisis de riesgos

Se estima la probabilidad y el impacto de los escenarios identificados. Puede hacerse con metodologías cualitativas, semicuantitativas o cuantitativas.

4. Evaluación de riesgos

Los resultados se comparan con los criterios de aceptación establecidos, lo que permite priorizar riesgos en función de su gravedad.

5. Tratamiento de riesgos

Se definen estrategias para cada riesgo: reducir, evitar, transferir o aceptar. Estas estrategias se documentan y se vinculan con controles específicos.

6. Aceptación de riesgos

La dirección debe aprobar formalmente los riesgos que se decidan aceptar, documentando las justificaciones.

7. Comunicación y consulta

La gestión de riesgos no es un proceso aislado: debe involucrar a propietarios de activos, usuarios, TI y alta dirección.

8. Monitorización y revisión

Se establece un ciclo de revisión continua para garantizar que el perfil de riesgo se mantiene actualizado frente a incidentes y cambios de contexto.

Evidencias y documentación

ISO 27005 recomienda mantener artefactos como:

• Inventario de activos con propietarios y criticidad.
• Registro de riesgos con niveles inherentes y residuales.
• Criterios de evaluación documentados (probabilidad/impacto).
• Planes de tratamiento con responsables y fechas.
• Informes ejecutivos para la dirección.

¿Para qué sirve la norma ISO 27005 en una organización?

La norma ISO 27005 es mucho más que un documento metodológico: se convierte en una herramienta de gestión estratégica para la empresa. Su aplicación permite que la seguridad de la información deje de basarse en intuiciones o en medidas aisladas, y pase a ser una función corporativa con objetivos claros, prioridades y métricas de eficacia.

La norma ISO 27005 es mucho más que un documento metodológico: se convierte en una herramienta de gestión estratégica para la empresa.
Click To Tweet

Selección de controles y Declaración de Aplicabilidad

Uno de los principales usos prácticos de ISO 27005 es la justificación de controles en la Declaración de Aplicabilidad. Cada decisión de aplicar o no un control de la ISO 27002 debe basarse en un riesgo identificado, analizado y evaluado según la 27005. De este modo, las organizaciones pueden demostrar a auditores y a la dirección que no se aplican controles por moda o por presión externa, sino porque responden a amenazas y vulnerabilidades reales.

Beneficios generales para la empresa

• Optimización de recursos: evita invertir en controles innecesarios y concentra el presupuesto en medidas que tratan los riesgos más críticos.
• Mayor confianza: clientes y socios perciben que la gestión de la seguridad se basa en estándares internacionales.
• Mejor cumplimiento normativo: la trazabilidad de decisiones facilita demostrar conformidad ante reguladores y auditores.
• Visión global de la seguridad: al analizar riesgos en todos los ámbitos (personas, procesos, tecnología, proveedores) se obtiene una cobertura completa.

Beneficios específicos para TI y seguridad de la información

• Prioridad clara en proyectos: los responsables de TI saben qué iniciativas abordar primero en función del riesgo.
• Soporte a la gestión de vulnerabilidades: los resultados del análisis de riesgos alimentan procesos de gestión de vulnerabilidades, mejorando los planes de parcheo y monitorización.
• Gestión estructurada de incidentes: ISO 27005 refuerza procesos de gestión de incidentes de seguridad al identificar escenarios probables y sus consecuencias.
• Mayor resiliencia: la integración con planes de continuidad y contingencia asegura que TI esté preparado para responder y recuperar operaciones críticas.
• Mejor comunicación con dirección: al traducir riesgos técnicos en impactos de negocio, se facilita la aprobación de inversiones en seguridad.

Integración con la mejora continua

Un valor clave de la norma ISO 27005 es que convierte el riesgo en un ciclo vivo. Tras cada auditoría, incidente o cambio tecnológico, el análisis de riesgos se actualiza y ajusta controles. Esto permite:

• Detectar brechas: corregir debilidades antes de que se materialicen en incidentes graves.
• Priorizar inversiones: orientar presupuestos hacia medidas que realmente reducen exposición.
• Madurar el SGSI: incrementar la capacidad de la organización para anticiparse a amenazas.

ISO 27005 como herramienta de dirección

Más allá de los equipos técnicos, la ISO 27005 es un instrumento para la dirección. Permite visualizar en un lenguaje claro cómo los riesgos de seguridad impactan en procesos críticos, clientes y reputación. Con esta información, los directivos pueden asumir riesgos residuales de forma consciente o aprobar inversiones para mitigarlos. Así, la gestión de riesgos deja de ser un ejercicio técnico y se convierte en un mecanismo de gobernanza corporativa.

The post ¿Qué es y para que sirve la norma ISO 27005? appeared first on PMG SSI - ISO 27001.

La norma ISO 27002 es la guía práctica para llevar los riesgos de seguridad de la información a un conjunto de controles concretos y verificables. Aunque no es certificable por sí misma, se utiliza junto con la ISO 27001, que establece los requisitos de un Sistema de Gestión de Seguridad de la Información (SGSI). La norma ISO 27002:2022 describe qué controles aplicar, cómo implementarlos y cómo mantenerlos en el tiempo, aportando a los responsables de TI y seguridad un marco claro para reducir vulnerabilidades y fortalecer la resiliencia organizativa.

Norma ISO 27002: clasificación y tipos de controles

La versión 2022 de la norma ISO 27002 reorganiza sus controles en cuatro dominios principales: organizativos, de personas, físicos y tecnológicos. Esta división responde a un criterio práctico: cada dominio se relaciona con un ámbito de responsabilidad distinto dentro de la organización, facilitando la gobernanza y la auditoría.

Controles organizativos

Constituyen la base de gobierno del SGSI. Incluyen la definición de políticas, roles y responsabilidades, la gestión de proveedores, la clasificación de la información, los aspectos legales y contractuales, y las revisiones periódicas de seguridad. Estos controles son los que sostienen la elaboración de la Declaración de Aplicabilidad, un documento clave en el que se definen qué controles se adoptan, cuáles no, y las justificaciones correspondientes.

Controles de personas

Se centran en el factor humano, uno de los principales focos de riesgo en cualquier organización. Abarcan verificaciones previas a la contratación, formación y concienciación en seguridad, acuerdos de confidencialidad, segregación de funciones y responsabilidades disciplinarias. Con estos controles, la norma ISO 27002 busca mitigar incidentes derivados de errores, negligencias o accesos indebidos por parte de empleados y colaboradores.

Controles físicos

Están orientados a la protección de instalaciones y equipos. Incluyen medidas como el control de accesos físicos, la creación de zonas seguras, la videovigilancia, la protección del cableado, la manipulación de soportes y los planes de seguridad frente a desastres naturales o sabotajes. Su función es asegurar que un fallo físico no comprometa la seguridad de la información.

Controles tecnológicos

Son los que se aplican directamente sobre sistemas y redes. Incluyen la gestión de identidades y accesos, el cifrado, las copias de seguridad, la monitorización y registro, la seguridad en el desarrollo de software, la gestión de parches y la gestión de vulnerabilidades y controles. También abarcan la detección y respuesta ante incidentes, integrándose con procesos de gestión de incidentes de seguridad.

La versión 2022 de la norma ISO 27002 reorganiza sus controles en cuatro dominios principales: organizativos, de personas, físicos y tecnológicos.
Click To Tweet

Por qué la norma ISO/IEC 27002:2022 se organiza en dominios

La separación en cuatro dominios no es teórica, sino operativa:

• Asignación de responsabilidades: cada dominio corresponde a áreas específicas: dirección y cumplimiento (organizativos), RR. HH. (personas), facilities (físicos) y TI/Seguridad (tecnológicos).
• Priorización basada en riesgos: la división permite identificar de forma más clara qué ámbitos requieren intervención urgente según el impacto en la confidencialidad, integridad o disponibilidad.
• Facilidad de auditoría: las evidencias y entrevistas pueden organizarse por bloques coherentes, reduciendo tiempos y complejidad.
• Planificación escalonada: posibilita desplegar los controles en fases, comenzando por los organizativos y de personas antes de llegar a los tecnológicos más complejos.

Atributos para seleccionar controles en la norma ISO 27002

La norma ISO 27002 proporciona además una serie de atributos que ayudan a seleccionar y aplicar controles en función del contexto:

• Propiedad de seguridad protegida: confidencialidad, integridad o disponibilidad.
• Tipo de control: preventivo, detectivo o correctivo.
• Ámbito de aplicación: organizativo, humano, físico o tecnológico.
• Complejidad: controles de aplicación rápida (quick wins) frente a otros estructurales que requieren proyectos más largos.

Proceso de uso de la norma ISO 27002

El uso de la norma ISO27002 sigue un ciclo estructurado que permite conectar los riesgos identificados con controles efectivos:

1. Análisis de riesgos

Se parte del marco de la ISO 27001 para identificar amenazas, vulnerabilidades y escenarios críticos. El análisis prioriza riesgos que requieren medidas de seguridad específicas.

2. Selección de controles

Con base en los resultados del análisis, se eligen los controles de la norma ISO 27002 más adecuados. Cada decisión se refleja en la Declaración de Aplicabilidad, donde se explica por qué se incluyen o excluyen.

3. Implantación

Los controles seleccionados se transforman en políticas, procedimientos, configuraciones técnicas y responsabilidades asignadas. Se recomienda desplegarlos en fases, priorizando aquellos que reducen los riesgos más críticos.

4. Operación y monitorización

Una vez implantados, los controles se integran en la operativa diaria. Incluyen procesos de gestión de incidentes, auditorías internas y revisiones periódicas de eficacia.

5. Mejora continua

La norma ISO 27002 no es estática. Los cambios tecnológicos, nuevos servicios, fusiones o incidentes exigen recalibrar riesgos y ajustar controles para mantener la eficacia del SGSI.

Beneficios de aplicar la norma ISO 27002 en la empresa

La adopción de la norma ISO 27002 genera un impacto directo en la gestión empresarial y en la operativa de los departamentos de TI y seguridad de la información. Su valor no reside únicamente en cumplir con requisitos normativos, sino en establecer un modelo de seguridad robusto, adaptable y sostenible. Los beneficios pueden dividirse en dos planos: estratégicos para la organización en su conjunto y operativos para las áreas técnicas responsables de la protección de la información.

Beneficios estratégicos

• Confianza y reputación: demostrar que los controles de seguridad están basados en un estándar reconocido internacionalmente incrementa la confianza de clientes, proveedores y socios estratégicos.
• Reducción de riesgos financieros y legales: la norma contribuye a mitigar sanciones por incumplimientos normativos y a reducir pérdidas económicas derivadas de incidentes de seguridad.
• Competitividad: contar con un SGSI alineado con ISO 27001 y soportado en la ISO 27002 puede ser un requisito en licitaciones, contratos y acuerdos internacionales.
• Visión integral de riesgos: al dividir los controles en organizativos, de personas, físicos y tecnológicos, la empresa obtiene una visión completa de las amenazas que enfrenta y de las medidas para mitigarlas.

Beneficios para TI y seguridad de la información

• Catálogo de controles actualizado: los responsables técnicos disponen de una guía clara que refleja los riesgos actuales y las tendencias tecnológicas, evitando lagunas en la protección.
• Selección racional de medidas: la norma ISO 27002 ayuda a priorizar controles en función del análisis de riesgos, evitando inversiones innecesarias en soluciones que no responden a amenazas reales.
• Soporte a la gestión de vulnerabilidades: al proporcionar directrices específicas sobre gestión de vulnerabilidades, facilita procesos de parcheo, monitorización y respuesta técnica.
• Gestión estructurada de incidentes: los controles relacionados con detección, análisis y respuesta se integran con un ciclo completo de gestión de incidentes de seguridad, lo que mejora los tiempos de reacción y la coordinación interna.
• Mejor comunicación con la dirección: gracias a la clasificación en dominios y atributos, los equipos técnicos pueden explicar a la alta dirección el valor de cada control con un lenguaje claro y vinculado al riesgo.
• Continuidad de negocio: los apartados dedicados a planes de continuidad y contingencia permiten a TI asegurar la disponibilidad de sistemas críticos frente a ataques o desastres.

Cómo se traduce la norma ISO 27002 en resultados operativos

Más allá de la teoría, la norma ISO 27002 impacta en el día a día de los equipos de seguridad. Los controles se materializan en procesos, herramientas y procedimientos que pueden medirse y auditarse. Algunos ejemplos de aplicación práctica son:

Gestión de accesos e identidades

El estándar define la necesidad de limitar los privilegios de usuario, aplicar autenticación multifactor y revisar de forma periódica las cuentas activas. Con ello, se evita la proliferación de cuentas huérfanas y accesos no justificados, reduciendo riesgos de intrusión.

Cifrado y protección de datos

La norma ISO 27002 establece criterios claros sobre uso de cifrado en tránsito y en reposo, claves de cifrado y políticas de retención de datos. Esto ayuda a garantizar que la información sensible, especialmente la relacionada con protección de datos personales, esté siempre bajo salvaguardas robustas.

Resiliencia tecnológica

El estándar promueve pruebas periódicas de restauración de copias, revisión de planes de recuperación y simulacros de indisponibilidad de servicios críticos. Estas medidas garantizan que los equipos de TI puedan responder con agilidad ante fallos de infraestructura o ataques de ransomware.

Gestión de la cadena de suministro

ISO 27002 dedica controles específicos a la relación con terceros y proveedores. Esto se traduce en procesos de evaluación de seguridad, cláusulas contractuales y revisiones periódicas, apoyando la gestión de la ciberseguridad de proveedores críticos. Así se evitan brechas que provienen de la cadena de suministro.

Relación entre norma ISO 27001 e ISO 27002

Aunque son documentos diferentes, ambas normas funcionan como piezas complementarias de un mismo sistema. La ISO 27001 establece el marco de gestión, definiendo cómo se realiza el análisis de riesgos, qué documentos son obligatorios y cómo se certifica el SGSI. La norma ISO 27002, por su parte, proporciona la lista detallada de controles y la guía para aplicarlos en la práctica. El nexo entre ambas es la Declaración de Aplicabilidad, documento donde se decide qué controles se adoptan y se justifican en función de los riesgos identificados.

Beneficios de la norma ISO 27002 para la mejora continua

Una de las mayores ventajas de trabajar con la norma ISO 27002 es que facilita un ciclo de mejora continua. Cada incidente, auditoría o cambio tecnológico se traduce en una revisión de riesgos y un ajuste de controles. Esto permite a la empresa:

• Detectar debilidades: identificar brechas y errores antes de que deriven en incidentes graves.
• Priorizar inversiones: orientar presupuestos hacia medidas que realmente aporten valor frente al riesgo.
• Elevar la madurez de seguridad: pasar de una protección reactiva a una seguridad proactiva y planificada.
• Alinear seguridad con negocio: vincular cada control a un proceso, un activo y un riesgo identificado.

Norma ISO 27002 como hoja de ruta para TI

Para los responsables de TI y seguridad de la información, la norma ISO 27002 funciona como una hoja de ruta tangible. Permite estructurar proyectos de seguridad por fases, justificar decisiones ante auditorías y comunicar a la dirección los avances con indicadores claros. Además, contribuye a que la seguridad no dependa de decisiones aisladas, sino que forme parte de un marco sólido y reconocido.

The post ¿Qué es y para que sirve la norma ISO 27002? appeared first on PMG SSI - ISO 27001.