Sistema de gestión de seguridad de la información
Implantación de ISO/IEC 27001:2022
Implantamos tu sistema de gestión de seguridad de la información (SGSI) conforme a ISO/IEC 27001:2022 y lo integramos con el ENS cuando también te aplica. Estamos certificados en ISO/IEC 27001 desde 2020.
La norma
Qué es la ISO/IEC 27001
ISO/IEC 27001 es la norma internacional que define los requisitos de un sistema de gestión de seguridad de la información. Se basa en el análisis de riesgos y en la mejora continua: la organización decide qué controles necesita, los aplica, mide su eficacia y los revisa.
La versión vigente, de 2022, ordena su Anexo A en 93 controles organizativos, de personas, físicos y tecnológicos. Es una certificación habitual en empresas tecnológicas que trabajan con datos de terceros, y una buena base para quien además tiene que cumplir el ENS.
ENS + ISO/IEC 27001
Un solo sistema para cumplir los dos esquemas
El ENS y la ISO/IEC 27001 comparten la lógica de gestión del riesgo. Integrados, se trabaja con un único análisis de riesgos, una política común y una documentación que sirve para ambas auditorías.
| Aspecto | ENS (RD 311/2022) | ISO/IEC 27001:2022 |
|---|---|---|
| Naturaleza | Obligatorio para el sector público y sus proveedores (RD 311/2022). | Norma internacional de adopción voluntaria. |
| Enfoque | Medidas de seguridad determinadas por la categoría del sistema. | Sistema de gestión con controles seleccionados según el análisis de riesgos. |
| Medidas o controles | Anexo II: marco organizativo, operacional y medidas de protección. | Anexo A: 93 controles organizativos, de personas, físicos y tecnológicos. |
| Documento clave | Declaración de aplicabilidad. | Declaración de aplicabilidad (SoA). |
| Conformidad | Declaración (BÁSICA) o certificación (MEDIA y ALTA) por entidad acreditada. | Certificación por entidad acreditada. |
| Auditorías | Al menos cada dos años. | Ciclo de tres años con auditorías anuales de seguimiento. |
Metodología
Fases de la implantación del SGSI
-
Contexto y alcance
Partes interesadas, requisitos legales y contractuales, y alcance del SGSI, alineado con el del ENS si aplica.
-
Liderazgo y política
Compromiso de la dirección, política de seguridad, objetivos y roles.
-
Riesgos y SoA
Evaluación y tratamiento de riesgos y declaración de aplicabilidad de los controles del Anexo A.
-
Implantación
Controles, procedimientos, formación y concienciación, y registro de evidencias.
-
Auditoría interna
Auditoría interna y revisión por la dirección antes de la certificación.
-
Certificación
Acompañamiento en las fases 1 y 2 de la auditoría de la entidad certificadora.
Experiencia propia
Certificados en ISO/IEC 27001 desde 2020
Obtuvimos la certificación por nuestra actividad diaria con datos de entidades del sector público y privado, y la mantenemos junto con el ENS categoría MEDIA. Con ese sistema desarrollamos el software a medida y las soluciones que instalamos en nuestros clientes.
Ver nuestras certificaciones
Preguntas frecuentes
Dudas sobre la ISO/IEC 27001
Si ya tengo ISO/IEC 27001, ¿cumplo el ENS?
No automáticamente. Gran parte del trabajo se reutiliza (análisis de riesgos, política, controles y documentación), pero el ENS tiene medidas propias según la categoría y su propio proceso de conformidad. Por eso conviene implantarlos de forma integrada.
¿Es obligatoria la ISO/IEC 27001 para trabajar con la Administración?
No es obligatoria por ley, a diferencia del Esquema Nacional de Seguridad, pero algunos pliegos la piden como requisito o la valoran como criterio de adjudicación.
¿Qué cambió en la versión 2022 de la norma?
El Anexo A pasó de 114 controles en 14 dominios a 93 controles agrupados en cuatro temas: organizativos, de personas, físicos y tecnológicos. Se incorporaron 11 controles nuevos, como inteligencia de amenazas, seguridad en servicios en la nube, codificación segura o prevención de fuga de datos.
¿Cuánto dura la certificación ISO/IEC 27001?
El certificado tiene un ciclo de tres años, con auditorías de seguimiento anuales y una auditoría de renovación al final del ciclo.
¿Quieres certificarte en ISO/IEC 27001?
Te proponemos un plan de implantación integrado con el ENS y ajustado al alcance de tu organización.
