Introducción: El Problema Real
Cuando una empresa decide implementar ISO 27001, lo primero que escucha es: “Tienes 93 controles en el Anexo A.”Eso genera pánico. 93 controles suena como 93 proyectos, 93 presupuestos, 93 meses de trabajo. La realidad es diferente.
En ISO 27001, no todos los controles tienen el mismo peso. Algunos son infraestructura. Otros son detalles. Y hay exactamente 5 que definen todo lo demás.
Si implementas estos 5 correctamente, el resto de ISO 27001 se vuelve casi mecánico. Si no los haces bien, todo lo demás colapsará.
En esta guía, te muestro exactamente cuáles son, por qué importan, y cómo implementarlos sin drama.
Por qué el orden importa (y mucho)
ISO 27001 no es una lista aleatoria. Es un sistema donde cada parte depende de las anteriores.
Piénsalo así: No puedes construir un segundo piso sin tener un primer piso sólido.
Si implementas controles de acceso sin tener evaluación de riesgos, no sabes cuáles son los accesos críticos.
Si implementas backup sin tener política de seguridad, no sabes qué información merece ser respaldada ni por cuánto tiempo.
El orden correcto es:
- Política de Seguridad → 2. Gestión de Riesgos → 3. Control de Acceso → 4. Respuesta a Incidentes → 5. Backup
Déjame explicar cada uno.
CONTROL 1: Política de Seguridad de la Información
Nivel de criticidad: ★★★★★
¿Qué es?
Es el documento más importante de tu SGSI. Es tu brújula. Define qué esperas de la seguridad en tu organización, quién es responsable, y qué objetivos tienes.
¿Por qué es crítica?
Porque todos los demás controles se derivan de esta política. Es como el ADN. Si el ADN está mal, las células están mal.
Sin una política clara, tu equipo no sabe: – Cuál es el alcance (¿qué datos protegemos?) – Qué controles son mandatorios – Quién es responsable de qué – Cuál es el compromiso de la dirección
¿Qué debe incluir?
- Alcance del SGSI • Objetivos de seguridad (confidencialidad, integridad, disponibilidad) • Roles y responsabilidades • Compromiso de la alta dirección • Fecha de aprobación y revisión (crítico) • Fecha de próxima revisión (anual recomendado)
¿Cuándo la implementas?
Primero. Punto 1 de tu plan. Sin esto, no empiezas nada más.
CONTROL 2: Evaluación y Gestión de Riesgos
Nivel de criticidad: ★★★★★
¿Qué es?
Es el proceso de identificar: – Qué información tienes (activos) – Quién quiere acceder sin permiso (amenazas) – Por dónde se puede colar (vulnerabilidades) – Cuál sería el daño (impacto)
¿Por qué es crítica?
Porque es la justificación de TODO. Si un auditor pregunta: ‘Por qué implementaste control de acceso multifactor’, tu respuesta debe ser: ‘Porque identificamos riesgo X, evaluamos su impacto, y ese control lo mitiga.’
Sin evaluación de riesgos, estás implementando controles al azar. Y eso es lo que ven los auditores como falta de rigor.
¿Qué debe incluir?
- Inventario de activos críticos • Identificación de amenazas (ciberataques, error humano, desastres físicos) • Análisis de vulnerabilidades • Matriz de riesgo (probabilidad × impacto) • Decisión para cada riesgo (mitigar, aceptar, evitar, transferir) • Plan de tratamiento documentado
¿Cuándo la implementas?
Después de Política de Seguridad. Esta evaluación define qué controles necesitas realmente.
CONTROL 3: Control de Acceso
Nivel de criticidad: ★★★★★
¿Qué es?
Es el mecanismo que asegura que solo personas autorizadas accedan a información sensible. Incluye: – Quién tiene acceso a qué sistemas – Cómo se autentica (contraseña, multifactor) – Cuáles son los permisos específicos – Cómo se revisa y se revoca
¿Por qué es crítica?
Porque es el primer escudo. Si tu control de acceso es débil: – Un empleado puede ver datos que no debería – Un externo se cuela – Información sensible está expuesta
Es también lo que más preguntan los auditores.
¿Qué debe incluir?
- Política de contraseñas (complejidad, cambio cada X tiempo) • Autenticación multifactor para accesos críticos • Control de roles (RBAC): quién puede hacer qué • Proceso de otorgar acceso (solicitud → aprobación → ejecución) • Revisión periódica de permisos (quarterly mínimo) • Proceso de revocación cuando alguien se va • Auditoría de accesos (logs)
¿Cuándo la implementas?
Después de evaluación de riesgos. Porque sabes qué información es crítica, entonces priorizas el control de acceso a esos sistemas.
CONTROL 4: Respuesta a Incidentes
Nivel de criticidad: ★★★★
¿Qué es?
Es el plan de qué hacer cuando ocurre un incidente. Por ejemplo: – Se detecta acceso no autorizado – Se pierde un laptop con datos sensibles – Un empleado da sus credenciales por error (phishing) – Sistema se cae inesperadamente
¿Por qué es crítica?
Porque los incidentes ocurren. La diferencia entre una empresa que sale ilesa y una que quiebra es tener un plan.
Sin plan: pánico, decisiones malas, daño mayor. Con plan: pasos claros, mitigación rápida, aprendizaje.
¿Qué debe incluir?
- Definición de qué es un incidente (severidad baja/media/alta) • Equipo de respuesta (responsables, contactos) • Procedimiento: detectar → contener → erradicar → recuperar • Comunicación: a quién notificar y cuándo • Documentación: registros del incidente para análisis post-mortem • Mejora: qué cambias para que no ocurra de nuevo
¿Cuándo la implementas?
Después de controles técnicos. Porque esperas que los otros controles prevengan, pero este plan es tu red de contención cuando algo falla.
CONTROL 5: Backup y Continuidad de Negocio
Nivel de criticidad: ★★★★★
¿Qué es?
Es el mecanismo para garantizar que tu información no se pierda y que el negocio pueda continuar operando después de un desastre.
Incluye: – Respaldos regulares (diarios, semanales) – Pruebas de recuperación (¿realmente puedes restaurar?) – Almacenamiento seguro (diferente ubicación) – Planes de continuidad (si el servidor cae, ¿qué hacemos?)
¿Por qué es crítica?
Porque la confidencialidad e integridad no sirven de nada si pierdes los datos.
Ransomware, incendio, crash de servidor, error de administrador… hay 1000 formas de perder datos. Este control es tu seguro.
¿Qué debe incluir?
- Política de backup (frecuencia, qué respaldar, cuánto tiempo retener) • Proceso automatizado de backup (no manual) • Pruebas periódicas de recuperación (mínimo quarterly) • Almacenamiento en diferente ubicación • RTO (Recovery Time Objective): cuánto tiempo sin datos es aceptable • RPO (Recovery Point Objective): cuántos datos es aceptable perder • Plan de continuidad documentado
¿Cuándo la implementas?
En paralelo con los otros controles. No esperes a que todo esté perfecto; los backups deben empezar ya.
3 Errores que la Mayoría Comete con Estos Controles
Error 1: Copiar la política de otra empresa
La política debe ser tuya. Reflejar tu contexto, tus activos, tus riesgos. Si es genérica, el auditor lo ve al instante.
Error 2: Evaluación de riesgos sin actualización
Hacer la evaluación una vez y olvidarla. Los riesgos cambian. Si tu empresa creció, nuevas amenazas aparecen. Actualiza anualmente.
Error 3: Control de acceso sin revisión periódica
Implementas control de acceso, pero nunca revisas. Resultado: personas con permisos de hace 2 años en departamentos donde ya no trabajan. Hazlo quarterly.
¿Y los otros 88 controles?
Una vez que estos 5 están sólidos, el resto es mecánico. Necesitarás capacitación, gestión de proveedores, control de cambios, y otros… pero esos se derivan naturalmente de estos 5.
La pregunta correcta no es: ‘¿Implemento los 93 controles?’
La pregunta correcta es: ‘¿Mis 5 controles base están sólidos?’ Si sí, todo lo demás es cuestión de tiempo y recursos.
Si no, estás perdiendo tiempo implementando detalles que colapsarán en auditoría.
¿Necesitas ayuda?
Implementar estos 5 controles correctamente es un proyecto. No es imposible, pero requiere claridad.
En InfoSeq Consulting ayudamos a empresas a implementar sistemas completos de gestión en ISO27001 mediante las mejores prácticas.Si quieres una revisión honesta de dónde estás ahora, agenda una consulta gratuita de 30 minutos.
Quieres conocer mas de los detalles? Descúbrelos en el siguiente episodio:
En InfoSeq Consulting diseñamos e implementamos programas de seguridad de la información adaptados a la realidad de cada organización. Si quieres entender cómo está estructurada o cómo debería estarlo la seguridad de la información en tu empresa, contáctanos en www.infoseq.mx. Estamos para acompañarte desde el diagnóstico hasta la madurez.
Introducción: El Problema Real
Cuando una empresa decide implementar ISO 27001, lo primero que escucha es: “Tienes 93 controles en el Anexo A.”Eso genera pánico. 93 controles suena como 93 proyectos, 93 presupuestos, 93 meses de trabajo. La realidad es diferente.
En ISO 27001, no todos los controles tienen el mismo peso. Algunos son infraestructura. Otros son detalles. Y hay exactamente 5 que definen todo lo demás.
Si implementas estos 5 correctamente, el resto de ISO 27001 se vuelve casi mecánico. Si no los haces bien, todo lo demás colapsará.
En esta guía, te muestro exactamente cuáles son, por qué importan, y cómo implementarlos sin drama.
Por qué el orden importa (y mucho)
ISO 27001 no es una lista aleatoria. Es un sistema donde cada parte depende de las anteriores.
Piénsalo así: No puedes construir un segundo piso sin tener un primer piso sólido.
Si implementas controles de acceso sin tener evaluación de riesgos, no sabes cuáles son los accesos críticos.
Si implementas backup sin tener política de seguridad, no sabes qué información merece ser respaldada ni por cuánto tiempo.
El orden correcto es:
- Política de Seguridad → 2. Gestión de Riesgos → 3. Control de Acceso → 4. Respuesta a Incidentes → 5. Backup
Déjame explicar cada uno.
CONTROL 1: Política de Seguridad de la Información
Nivel de criticidad: ★★★★★
¿Qué es?
Es el documento más importante de tu SGSI. Es tu brújula. Define qué esperas de la seguridad en tu organización, quién es responsable, y qué objetivos tienes.
¿Por qué es crítica?
Porque todos los demás controles se derivan de esta política. Es como el ADN. Si el ADN está mal, las células están mal.
Sin una política clara, tu equipo no sabe: – Cuál es el alcance (¿qué datos protegemos?) – Qué controles son mandatorios – Quién es responsable de qué – Cuál es el compromiso de la dirección
¿Qué debe incluir?
- Alcance del SGSI • Objetivos de seguridad (confidencialidad, integridad, disponibilidad) • Roles y responsabilidades • Compromiso de la alta dirección • Fecha de aprobación y revisión (crítico) • Fecha de próxima revisión (anual recomendado)
¿Cuándo la implementas?
Primero. Punto 1 de tu plan. Sin esto, no empiezas nada más.
CONTROL 2: Evaluación y Gestión de Riesgos
Nivel de criticidad: ★★★★★
¿Qué es?
Es el proceso de identificar: – Qué información tienes (activos) – Quién quiere acceder sin permiso (amenazas) – Por dónde se puede colar (vulnerabilidades) – Cuál sería el daño (impacto)
¿Por qué es crítica?
Porque es la justificación de TODO. Si un auditor pregunta: ‘Por qué implementaste control de acceso multifactor’, tu respuesta debe ser: ‘Porque identificamos riesgo X, evaluamos su impacto, y ese control lo mitiga.’
Sin evaluación de riesgos, estás implementando controles al azar. Y eso es lo que ven los auditores como falta de rigor.
¿Qué debe incluir?
- Inventario de activos críticos • Identificación de amenazas (ciberataques, error humano, desastres físicos) • Análisis de vulnerabilidades • Matriz de riesgo (probabilidad × impacto) • Decisión para cada riesgo (mitigar, aceptar, evitar, transferir) • Plan de tratamiento documentado
¿Cuándo la implementas?
Después de Política de Seguridad. Esta evaluación define qué controles necesitas realmente.
CONTROL 3: Control de Acceso
Nivel de criticidad: ★★★★★
¿Qué es?
Es el mecanismo que asegura que solo personas autorizadas accedan a información sensible. Incluye: – Quién tiene acceso a qué sistemas – Cómo se autentica (contraseña, multifactor) – Cuáles son los permisos específicos – Cómo se revisa y se revoca
¿Por qué es crítica?
Porque es el primer escudo. Si tu control de acceso es débil: – Un empleado puede ver datos que no debería – Un externo se cuela – Información sensible está expuesta
Es también lo que más preguntan los auditores.
¿Qué debe incluir?
- Política de contraseñas (complejidad, cambio cada X tiempo) • Autenticación multifactor para accesos críticos • Control de roles (RBAC): quién puede hacer qué • Proceso de otorgar acceso (solicitud → aprobación → ejecución) • Revisión periódica de permisos (quarterly mínimo) • Proceso de revocación cuando alguien se va • Auditoría de accesos (logs)
¿Cuándo la implementas?
Después de evaluación de riesgos. Porque sabes qué información es crítica, entonces priorizas el control de acceso a esos sistemas.
CONTROL 4: Respuesta a Incidentes
Nivel de criticidad: ★★★★
¿Qué es?
Es el plan de qué hacer cuando ocurre un incidente. Por ejemplo: – Se detecta acceso no autorizado – Se pierde un laptop con datos sensibles – Un empleado da sus credenciales por error (phishing) – Sistema se cae inesperadamente
¿Por qué es crítica?
Porque los incidentes ocurren. La diferencia entre una empresa que sale ilesa y una que quiebra es tener un plan.
Sin plan: pánico, decisiones malas, daño mayor. Con plan: pasos claros, mitigación rápida, aprendizaje.
¿Qué debe incluir?
- Definición de qué es un incidente (severidad baja/media/alta) • Equipo de respuesta (responsables, contactos) • Procedimiento: detectar → contener → erradicar → recuperar • Comunicación: a quién notificar y cuándo • Documentación: registros del incidente para análisis post-mortem • Mejora: qué cambias para que no ocurra de nuevo
¿Cuándo la implementas?
Después de controles técnicos. Porque esperas que los otros controles prevengan, pero este plan es tu red de contención cuando algo falla.
CONTROL 5: Backup y Continuidad de Negocio
Nivel de criticidad: ★★★★★
¿Qué es?
Es el mecanismo para garantizar que tu información no se pierda y que el negocio pueda continuar operando después de un desastre.
Incluye: – Respaldos regulares (diarios, semanales) – Pruebas de recuperación (¿realmente puedes restaurar?) – Almacenamiento seguro (diferente ubicación) – Planes de continuidad (si el servidor cae, ¿qué hacemos?)
¿Por qué es crítica?
Porque la confidencialidad e integridad no sirven de nada si pierdes los datos.
Ransomware, incendio, crash de servidor, error de administrador… hay 1000 formas de perder datos. Este control es tu seguro.
¿Qué debe incluir?
- Política de backup (frecuencia, qué respaldar, cuánto tiempo retener) • Proceso automatizado de backup (no manual) • Pruebas periódicas de recuperación (mínimo quarterly) • Almacenamiento en diferente ubicación • RTO (Recovery Time Objective): cuánto tiempo sin datos es aceptable • RPO (Recovery Point Objective): cuántos datos es aceptable perder • Plan de continuidad documentado
¿Cuándo la implementas?
En paralelo con los otros controles. No esperes a que todo esté perfecto; los backups deben empezar ya.
3 Errores que la Mayoría Comete con Estos Controles
Error 1: Copiar la política de otra empresa
La política debe ser tuya. Reflejar tu contexto, tus activos, tus riesgos. Si es genérica, el auditor lo ve al instante.
Error 2: Evaluación de riesgos sin actualización
Hacer la evaluación una vez y olvidarla. Los riesgos cambian. Si tu empresa creció, nuevas amenazas aparecen. Actualiza anualmente.
Error 3: Control de acceso sin revisión periódica
Implementas control de acceso, pero nunca revisas. Resultado: personas con permisos de hace 2 años en departamentos donde ya no trabajan. Hazlo quarterly.
¿Y los otros 88 controles?
Una vez que estos 5 están sólidos, el resto es mecánico. Necesitarás capacitación, gestión de proveedores, control de cambios, y otros… pero esos se derivan naturalmente de estos 5.
La pregunta correcta no es: ‘¿Implemento los 93 controles?’
La pregunta correcta es: ‘¿Mis 5 controles base están sólidos?’ Si sí, todo lo demás es cuestión de tiempo y recursos.
Si no, estás perdiendo tiempo implementando detalles que colapsarán en auditoría.
¿Necesitas ayuda?
Implementar estos 5 controles correctamente es un proyecto. No es imposible, pero requiere claridad.
En InfoSeq Consulting ayudamos a empresas a implementar sistemas completos de gestión en ISO27001 mediante las mejores prácticas.Si quieres una revisión honesta de dónde estás ahora, agenda una consulta gratuita de 30 minutos.
Quieres conocer mas de los detalles? Descúbrelos en el siguiente episodio:
En InfoSeq Consulting diseñamos e implementamos programas de seguridad de la información adaptados a la realidad de cada organización. Si quieres entender cómo está estructurada o cómo debería estarlo la seguridad de la información en tu empresa, contáctanos en www.infoseq.mx. Estamos para acompañarte desde el diagnóstico hasta la madurez.
