ISO 27001 en español claro: qué es, cuántos controles tiene y cómo certificarse
Todo lo que un directivo necesita saber de ISO 27001:2022, con infografías, el camino a la certificación y sus límites, explicado sin tecnicismos.
ISO/IEC 27001 es la norma internacional voluntaria y certificable para crear un Sistema de Gestión de Seguridad de la Información (SGSI). Su versión vigente es la de 2022: el Anexo A tiene 93 controles en 4 temas, y el certificado dura tres años con auditorías anuales. No garantiza que no habrá incidentes y no sustituye a la LFPDPPP.
- Qué se certifica: el sistema de gestión, no un producto.
- Anexo A 2022: 93 controles (37 organizacionales, 8 de personas, 14 físicos, 34 tecnológicos).
- Ciclo: certificado de 3 años con vigilancia anual.
- Tiempo orientativo: de 6 a 12 meses para una empresa mediana.
¿Qué es ISO 27001, explicada en pocas palabras?
ISO/IEC 27001 es la norma internacional para construir un Sistema de Gestión de Seguridad de la Información (SGSI): la forma ordenada de decidir qué proteges, de qué riesgos, con qué controles y cómo compruebas que funcionan. Su edición vigente es la tercera, publicada en octubre de 2022 (ISO).
Un SGSI no es un programa de computadora: es un conjunto de políticas, procesos, responsables y evidencias. La norma no te dice qué marca comprar; te pide demostrar que gestionas la seguridad de forma sistemática y que mejoras con el tiempo.
ISO 27001 vs. ISO 27002: qué se certifica y qué se consulta
Se mencionan juntas, pero cumplen funciones distintas:
| ISO/IEC 27001 | ISO/IEC 27002 | |
|---|---|---|
| Qué es | Requisitos para el SGSI | Guía de implementación de controles |
| Responde a | ¿Qué debe cumplir tu sistema? | ¿Cómo se implementa cada control? |
| ¿Se certifica? | Sí, con un organismo de certificación | No, es una guía de apoyo |
| Relación | Su Anexo A lista los controles | Detalla esos controles |
Qué cambió en la versión 2022
La actualización simplificó el Anexo A y añadió controles para riesgos actuales:
Fuentes: CSA, Presencis, ISO. Los detalles de la transición provienen de fuentes secundarias.
Los 93 controles del Anexo A, en un vistazo
Se agrupan en cuatro temas:
Total: 93 controles. Coinciden tres fuentes secundarias (Scrut, Presencis y CSA).
Las cláusulas 4 a 10: la columna vertebral de la norma
Son los requisitos del sistema de gestión, de la comprensión del contexto a la mejora continua:
- 14 · ContextoEntender la organización, las partes interesadas y definir el alcance.
- 25 · LiderazgoLa dirección fija la política, los roles y se compromete.
- 36 · PlanificaciónRiesgos y oportunidades, tratamiento de riesgos y Declaración de Aplicabilidad.
- 47 · SoporteRecursos, competencia, concientización, comunicación y documentación.
- 58 · OperaciónEjecutar los planes y tratar los riesgos.
- 69 · EvaluaciónMedición, auditoría interna y revisión por la dirección.
- 710 · MejoraCorregir no conformidades y mejorar de forma continua.
Resumen de las cláusulas de ISO/IEC 27001. Las cláusulas 1 a 3 son alcance, referencias y términos.
Los 7 conceptos clave en lenguaje simple
| Concepto | Qué significa |
|---|---|
| SGSI | El sistema de gestión (políticas, procesos, roles y evidencias) con el que administras la seguridad de la información. |
| Alcance | Qué áreas, procesos, sedes y activos cubre el SGSI. Lo defines tú. |
| Análisis de riesgos | Identificar amenazas y activos, valorar el riesgo y decidir cómo tratarlo. |
| Declaración de Aplicabilidad (SoA) | Lista de los controles: cuáles aplican, cuáles no y por qué. |
| Auditoría interna | Revisión que hace la propia organización antes de la auditoría externa. |
| Revisión por la dirección | Reunión formal de la alta dirección para evaluar el desempeño del SGSI. |
| Mejora continua | Corregir y mejorar de forma permanente lo que no funciona. |
El camino a la certificación, paso a paso
Certificarse es opcional, pero muchas empresas lo buscan para demostrar su madurez. Estos son los pasos habituales:
- 1Alcance y compromisoDefines qué se certifica y obtienes el compromiso de la dirección.
- 2Análisis de brechasMides dónde estás frente a la norma.
- 3Riesgos y SoAEvalúas riesgos y decides qué controles aplican.
- 4ImplementaciónDocumentas y pones en marcha políticas, procesos y controles.
- 5Auditoría interna y revisiónVerificas que funciona y corriges antes de la externa.
- 6Auditoría de etapa 1 y 2Un organismo independiente revisa tu documentación y su implementación.
- 7Certificado de 3 añosCon auditorías de vigilancia anuales y recertificación al final.
El organismo de certificación debe cumplir ISO/IEC 27006-1:2024. En México, los organismos de certificación pueden estar acreditados por la EMA. Cyberkust prepara; no certifica.
¿Cuánto tarda y cuánto cuesta? Lo que realmente influye
No existe una cifra única ni una fuente neutral con precios para México. Esto es lo que sí se sabe:
| Tamaño | Tiempo de implementación (orientativo) | Observación |
|---|---|---|
| Pequeña (menos de 50 personas) | 3 a 6 meses | Cifras de consultoras y proveedores, sin fuente neutral |
| Mediana (50 a 250 personas) | 6 a 12 meses | Depende de la madurez previa y del alcance |
| Grande (más de 250 personas) | 9 a 18 meses | Más sedes, procesos y proveedores |
Factores de costo: alcance, número de personas y sedes, madurez previa, complejidad de TI, uso de nube y proveedores, y si te apoyas en consultoría. A eso se suma la auditoría del organismo certificador, que cobra por separado. Te ayudamos con la preparación y el cumplimiento.
Qué te da y qué no te da ISO 27001
ISO lista entre los beneficios una mayor resiliencia ante ciberataques, la protección de la confidencialidad, la integridad y la disponibilidad de la información y un enfoque coherente en toda la organización.
También hay límites que conviene decir claro: la certificación cubre el alcance definido, se basa en muestreo y los propios certificados aclaran que las auditorías no están diseñadas para detectar ni prevenir brechas. No es una garantía de que no habrá incidentes.
ISO 27001 en México y su relación con la ley y otros marcos
Según Milenio, que cita a Delta Protect, México tenía 475 certificados vigentes de ISO 27001, 19 % menos que los 589 del año anterior (el año exacto de los datos no está confirmado).
Sobre la ley: el artículo 18 de la nueva LFPDPPP (publicada el 20 de marzo de 2025) obliga a mantener medidas de seguridad administrativas, técnicas y físicas para proteger los datos personales; ISO 27001 ayuda a demostrarlo, pero no equivale a cumplir la ley. Y PCI DSS aplica a quien maneja datos de tarjetas y no se sustituye con una certificación ISO. NIST CSF 2.0 (febrero de 2024) es un marco voluntario no certificable que se usa como complemento.
Descubre qué tan preparada está tu empresa antes de que pase algo.
En una primera evaluación identificamos riesgos visibles, puntos críticos y los primeros pasos para proteger información, operación y clientes. Sin costo inicial.
Preguntas frecuentes
¿Qué es ISO 27001?
Es la norma internacional ISO/IEC 27001, cuya edición vigente es la de 2022 (con una enmienda de 2024). Establece los requisitos para implementar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información (SGSI), incluida la evaluación y el tratamiento de riesgos. Se aplica a organizaciones de cualquier tamaño y sector.
¿ISO 27001 y ISO 27002 son lo mismo?
No. La ISO 27001 es la norma que se certifica y dice qué debe cumplir tu sistema de gestión. La ISO 27002 es una guía de implementación de los controles que lista el Anexo A de la 27001: orienta el cómo, pero no se certifica.
¿Cuántos controles tiene ISO 27001:2022?
El Anexo A tiene 93 controles agrupados en cuatro temas: 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos. La versión de 2013 tenía 114 controles en 14 dominios.
¿Mi certificado ISO 27001:2013 sigue vigente?
No. Los certificados de 2013 dejaron de ser válidos tras el 31 de octubre de 2025, plazo de la transición según el foro de acreditación (IAF) citado por fuentes secundarias. Si el tuyo era de 2013, debió migrarse a la versión 2022.
¿Cuánto dura la certificación y cuánto tarda obtenerla?
El certificado dura tres años, con auditorías de vigilancia anuales y una recertificación al final. Obtenerlo depende del tamaño, el alcance y la madurez previa; como orientación de consultoras (sin una fuente neutral para México), de 3 a 6 meses en organizaciones pequeñas, de 6 a 12 en medianas y de 9 a 18 en grandes.
¿ISO 27001 es obligatoria?
No: es voluntaria y certificable por un organismo de certificación independiente. Muchas empresas la adoptan porque un cliente, un contrato o una licitación lo pide. La LFPDPPP, en cambio, es una ley obligatoria si tratas datos personales.
¿ISO 27001 me protege de un hackeo?
No lo garantiza. Los propios certificados de los organismos aclaran que las auditorías no están diseñadas para detectar ni prevenir actividad criminal ni brechas. La norma ayuda a gestionar el riesgo de forma sistemática, pero no elimina la posibilidad de un incidente.
¿Cumplir ISO 27001 es cumplir la LFPDPPP o PCI DSS?
No. ISO 27001 ayuda a demostrar medidas de seguridad, como las que pide el artículo 18 de la LFPDPPP, pero la ley exige además aviso de privacidad, consentimiento y atención a derechos, entre otros. PCI DSS aplica a quienes manejan datos de tarjetas y no se sustituye con una certificación ISO.
Fuentes y referencias
Consultadas el 8 y 9 de octubre de 2026. Cuando una cifra proviene de una nota que cita un informe original, lo indicamos. Las cifras pueden variar según la fuente y el método de conteo. Las secciones marcadas como criterio editorial reflejan la experiencia de Cyberkust y no una fuente externa.
- ISO: ISO/IEC 27001:2022, ficha del comité
- SCC (Canadá): ficha de ISO/IEC 27001:2022
- ISO: enmienda ISO/IEC 27001:2022/Amd 1:2024
- Cloud Security Alliance: ISO/IEC 27002:2022, qué cambió
- Presencis: cronología y transición de ISO 27001
- Scrut: controles del Anexo A de ISO 27001:2022
- Amtivo: el ciclo de certificación de tres años
- IEC Webstore: ISO/IEC 27006-1:2024 (requisitos para organismos de certificación)
- Cámara de Diputados: texto de la LFPDPPP vigente (PDF)
- Milenio: empresas certificadas en ciberseguridad caen 19 % en México (cita a Delta Protect)
- PCI Security Standards Council: comunicado sobre PCI DSS v4.x