Los controles de seguridad en la norma ISO 27001 son medidas específicas diseñadas para proteger la información de una organización. Estos controles pueden ser de naturaleza técnica, organizativa, física o legal, y tienen el objetivo de mitigar riesgos, proteger datos sensibles y garantizar la confidencialidad, integridad y disponibilidad de la información.
En términos simples, los controles son un conjunto de prácticas y herramientas que una empresa debe implementar para reducir vulnerabilidades y protegerse contra amenazas como ciberataques, accesos no autorizados, fallos en sistemas y errores humanos.
¿Para qué sirven los controles de seguridad?
- Reducen riesgos permitiendo identificar amenazas y establecer barreras de protección adecuadas.
- Cumplen con regulaciones ayudando a cumplir con normativas como GDPR, HIPAA y leyes de protección de datos locales.
- Protegen la información evitando accesos no autorizados, filtraciones de datos y pérdida de información.
- Mejoran la continuidad del negocio garantizando que la empresa pueda seguir operando incluso ante incidentes de seguridad.
- Aumentan la confianza de los clientes, proveedores e inversionistas ya que confían más en una empresa con certificación ISO 27001.
Los controles son esenciales para que la organización pueda gestionar su Seguridad de la Información de manera efectiva y cumplir con los estándares internacionales de protección de datos.
Lista de controles ISO 27001
En la versión ISO/IEC 27001:2022, los controles de seguridad están definidos en el Anexo A, el cual funciona como un catálogo de controles donde se organizan en 4 categorías principales, con un total de 93 controles.
Si bien no es obligatorio implementar los 93 controles, sí es importante que la empresa implemente la mayor cantidad posible. Cada organización debe seleccionar los controles según sus riesgos y necesidades. Para esto, se usa la metodología de evaluación y tratamiento de riesgos.
A continuación, te enlistamos los 93 controles en sus respectivos grupos:
Controles Organizacionales (37 controles)
Objetivo: Establecer la gobernanza y gestión de la seguridad de la información dentro de la organización, asegurando el cumplimiento normativo y la gestión de riesgos. Esta categoría abarca controles que definen políticas de seguridad, gestión de riesgos, relación con terceros, gestión de incidentes, continuidad del negocio, cumplimiento legal y auditorías:
- Políticas de seguridad de la información.
- Funciones y responsabilidades de seguridad de la información.
- Segregación de funciones.
- Responsabilidades de la gerencia.
- Contacto con autoridades.
- Contacto con grupos de interés especial.
- Inteligencia sobre amenazas.
- Seguridad de la información en la gestión de proyectos.
- Inventario de información y otros activos asociados.
- Uso aceptable de la información y otros activos asociados.
- Devolución de activos.
- Clasificación de la información.
- Etiquetado de Información.
- Transferencia de información.
- Control de acceso.
- Gestión de identidad.
- Información de autenticación.
- Derechos de acceso.
- Seguridad de la información en las relaciones con proveedores.
- Abordar la seguridad de la información en los acuerdos con proveedores.
- Gestión de la seguridad de la información en la cadena de suministro de TIC.
- Monitoreo, revisión y gestión de cambios de servicios de proveedores.
- Seguridad de la información para el uso de servicios en la nube.
- Planificación y preparación de la gestión de incidentes de seguridad de la información.
- Evaluación y decisión sobre eventos de seguridad de la información.
- Respuesta a Incidentes de seguridad de la información.
- Aprender de los incidentes de seguridad de la información.
- Recolección de evidencia.
- Seguridad de la información durante una interrupción.
- Preparación de las TIC para la continuidad del negocio.
- Requisitos legales, estatutarios, reglamentarios y contractuales.
- Derechos de propiedad intelectual.
- Protección de registros.
- Privacidad y protección de la PII.
- Revisión independiente de la seguridad de la información.
- Cumplimiento de políticas, reglas y estándares de seguridad de la Información.
- Procedimientos operativos documentados.
Controles de Personas (8 controles)
Objetivo: Asegurar que los empleados, contratistas y cualquier persona con acceso a información comprendan y cumplan con las políticas de seguridad, reduciendo el riesgo humano. Esta categoría abarca controles que regulan la capacitación en seguridad, roles y responsabilidades del personal, protección contra amenazas internas y seguridad en el teletrabajo:
- Detección.
- Términos y condiciones de empleo.
- Concientización, educación y capacitación sobre seguridad de la información.
- Proceso disciplinario.
- Responsabilidades después de la terminación o cambio de empleo.
- Acuerdos de confidencialidad o no divulgación.
- Trabajo remoto.
- Informes de eventos de seguridad de la información.
Controles Físicos (14 controles)
Objetivo: Proteger infraestructura, equipos y activos físicos contra accesos no autorizados, robos, daños o amenazas ambientales. Estos controles abarcan la seguridad en instalaciones y oficinas, el control de accesos físicos, la protección contra desastres naturales y la eliminación segura de activos físicos:
- Perímetros de seguridad física.
- Entrada física.
- Protección de oficinas, habitaciones e instalaciones.
- Monitoreo de seguridad física.
- Protección contra amenazas físicas y ambientales.
- Trabajar en áreas seguras.
- Limpiar escritorio y limpiar pantalla.
- Ubicación y protección del equipo.
- Seguridad de los activos fuera de las instalaciones.
- Medios de almacenamiento.
- Utilidades de soporte.
- Seguridad del cableado.
- Mantenimiento del equipo.
- Eliminación segura o reutilización del equipo.
Controles Tecnológicos (34 controles)
Objetivo: Implementar medidas técnicas para proteger la información y los sistemas contra ciberataques, accesos no autorizados y pérdida de datos. Esta categoría abarca controles que realizan la gestión de accesos y autenticación, el cifrado y protección de datos, la seguridad en redes y sistemas, el monitoreo y respuesta ante incidentes y la seguridad en la nube y desarrollo de software:
- Dispositivos terminales de usuario.
- Derechos de acceso privilegiado.
- Restricción de acceso a la información.
- Acceso al código fuente.
- Autenticación segura.
- Gestión de capacidad.
- Protección contra malware.
- Gestión de vulnerabilidades técnicas.
- Gestión de configuración.
- Eliminación de información.
- Enmascaramiento de datos.
- Prevención de fuga de datos.
- Copia de seguridad de la información.
- Redundancia de las instalaciones de procesamiento de información.
- Registro.
- Actividades de seguimiento.
- Sincronización de reloj.
- Uso de programas de utilidad privilegiados.
- Instalación de software en sistemas operativos.
- Seguridad de redes.
- Seguridad de los servicios de red.
- Segregación de redes.
- Filtrado web.
- Uso de criptografía.
- Ciclo de vida de desarrollo seguro.
- Requisitos de seguridad de la aplicación.
- Principios de ingeniería y arquitectura de sistemas seguros.
- Codificación segura.
- Pruebas de seguridad en desarrollo y aceptación.
- Desarrollo subcontratado.
- Separación de los entornos de desarrollo, prueba y producción.
- Gestión de cambios.
- Información de prueba.
- Protección de los sistemas de información durante las pruebas de auditoría.
¿Quién puede implementar los controles ISO 27001?
Empresas y Organizaciones de cualquier tamaño o sector: Cualquier empresa que maneje información valiosa y quiera protegerla puede implementar estos controles.
Equipo Interno de Seguridad de la Información: Si la empresa tiene un CISO (Chief Information Security Officer) o un equipo de TI especializado en ciberseguridad, pueden liderar el proceso.
Consultores Especializados en ISO 27001: En HiChex podemos ayudarte y asesorarte en todo el proceso de implementación.
Proveedores de Servicios Gestionados de Seguridad (MSSP): Empresas especializadas en ciberseguridad pueden ofrecer servicios tercerizados para gestionar la implementación y monitoreo de los controles.
Auditores Certificados: Se requieren profesionales certificados para evaluar la correcta implementación y emitir la certificación.
¿Cuánto tiempo puede llevar la implementación?
El tiempo de implementación varía según el tamaño de la empresa, su nivel de madurez en seguridad y la complejidad de sus procesos.
Estimaciones aproximadas por tipo de empresa:
- Pequeñas empresas (10-50 empleados) → 3 a 6 meses
- Medianas empresas (50-500 empleados) → 6 a 12 meses
- Grandes empresas (+500 empleados) → 12 a 24 meses
Factores que influyen en el tiempo de implementación de los controles ISO 27001:
Estado actual de la seguridad: Si la empresa ya cuenta con buenas prácticas de seguridad, la implementación es más rápida.
Recursos asignados: Cuanto mayor sea la inversión en consultores, formación y herramientas, más rápido se puede implementar.
Compromiso de la dirección: Si la alta dirección apoya el proceso, se agiliza la toma de decisiones y ejecución de cambios.
Cantidad de controles a implementar: Algunas empresas deciden aplicar todos los controles, mientras que otras solo adoptan los necesarios según su análisis de riesgos.
Fases del proceso y tiempos aproximados
Análisis y planificación (1-3 meses). Abarca desde el diagnóstico inicial, la definición de objetivos y el plan de trabajo
Diseño del SGSI y selección de controles (2-6 meses). Se trabaja desde la identificación de activos y riesgos hasta la selección de controles de seguridad
Implementación de controles (3-12 meses). Se aplican controles técnicos, organizativos, físicos y humanos y se capacita al personal.
Monitoreo y ajustes (3-6 meses). Se realiza una auditoría interna para verificar la efectividad de los controles y corregir fallos y mejoras.
Auditoría externa y certificación (1-3 meses). Se realiza una evaluación por auditores certificados y se emite el certificado ISO 27001.
En conclusión, los controles de seguridad de la ISO 27001:2022 son la base para construir un Sistema de Gestión de Seguridad de la Información (SGSI) sólido y efectivo. Su implementación permite proteger la confidencialidad, integridad y disponibilidad de la información, reduciendo riesgos y fortaleciendo la resiliencia de la empresa ante amenazas.
Destacamos 3 puntos importantes:
- La norma no exige aplicar todos los controles, sino seleccionar los adecuados según el análisis de riesgos.
- La ISO 27002 complementa la ISO 27001, detallando cómo implementar cada control.
- La actualización de 2022 optimizó los controles, alineándolos con nuevas amenazas como la seguridad en la nube y el teletrabajo.
Por último, los controles de la ISO 27001 permiten a las organizaciones operar con confianza en un mundo digital cada vez más amenazado, brindando seguridad a clientes, socios y empleados. Su correcta implementación no solo mejora la ciberseguridad, sino que también fortalece la reputación y competitividad de la empresa.
¿Listo para dar el siguiente paso?. Implementa los controles adecuados y fortalece tu seguridad. 📩 Contáctanos hoy mismo!