Implementar ISO/IEC 27001:2022 es construir y operar un Sistema de Gestión de Seguridad de la Información (SGSI): definir su alcance, evaluar los riesgos, decidir qué controles los tratan, generar evidencia de que funcionan y mejorar el sistema con el tiempo. Certificarse es otra cosa: un organismo certificador independiente audita ese sistema y confirma que cumple la norma. Se puede implementar sin certificar; no se puede certificar sin implementar.
Esta guía recorre el proceso completo en trece pasos, tal como ocurre en una organización real: qué exige la norma en cada uno, qué recomendamos y qué errores conviene evitar. JanusNet acompaña la implementación y la preparación; el certificado lo emite siempre un tercero. Esa diferencia, con las dos etapas de la auditoría y quién certifica en Chile, está en Implementación vs. certificación ISO 27001.
Qué versión de la norma aplica
La vigente es ISO/IEC 27001:2022, publicada el 25 de octubre de 2022. Reemplazó a la edición 2013 con un periodo de transición de tres años fijado por el Foro Internacional de Acreditación (IAF), así que desde el 31 de octubre de 2025 los certificados contra la versión 2013 dejaron de tener validez. En Chile, el Instituto Nacional de Normalización la adoptó en agosto de 2023 como NCh-ISO/IEC 27001:2023. Si alguien te propone implementar sobre la versión 2013, la propuesta está desactualizada.
El proceso, de un vistazo
- Objetivo
- Alcance
- Gap assessment
- Gobierno
- Riesgos
- Tratamiento y SoA
- Controles
- Evidencia
- Medición
- Auditoría interna
- Revisión por la dirección
- Correcciones y mejora
- Preparación para certificación
El orden importa: los controles vienen después de los riesgos, la evidencia se genera durante la operación y no al final, y la auditoría interna precede a la externa.
Paso 1: entender por qué quieres ISO 27001
El motivo define el proyecto: qué alcance tiene sentido, con qué urgencia se trabaja, si el certificado es imprescindible o basta con el sistema, y quién tiene que estar en la mesa. Escríbelo antes de empezar.
Casi nadie implementa ISO 27001 por gusto. El detonante suele ser un cliente corporativo que la puso como condición o mandó un cuestionario de seguridad, una licitación que la exige, una homologación de proveedores, el directorio que la fijó como meta, una due diligence o una fusión, o la decisión interna de ordenar el gobierno de la seguridad. Un proyecto que no sabe para qué se hace termina midiendo lo equivocado.
Paso 2: definir el alcance del SGSI
El alcance es la frontera del sistema: qué procesos, servicios, ubicaciones e información quedan dentro. La norma exige definirlo y documentarlo considerando el contexto de la organización y las necesidades de las partes interesadas, y puede abarcar la organización completa, una unidad de negocio o un servicio concreto.
Lo que recomendamos: que sea coherente y defendible. Un auditor va a preguntar por qué quedó fuera lo que quedó fuera, y "porque era más fácil" no resiste. Los dos errores típicos son recortarlo de forma artificial para llegar antes al certificado, que termina cubriendo algo que tus clientes no reconocen como lo que compran, y definirlo tan amplio que el proyecto no termina nunca. Un buen alcance coincide con lo que tus clientes o tu regulador necesitan ver cubierto.
Paso 3: realizar un gap assessment
Un gap assessment compara la situación actual con los requisitos de ISO/IEC 27001:2022 y los controles de su Anexo A, y responde qué existe, qué está a medias, qué falta, qué evidencia hay y qué conviene hacer primero. La norma no lo exige, pero es el punto de partida de cualquier implementación seria: casi todas las organizaciones tienen más de lo que creen, y el trabajo es ordenarlo, completarlo y poder demostrarlo. Qué evalúa, cómo se realiza y qué debería entregar está en Gap Assessment ISO 27001: qué es, qué evalúa y qué debería entregar.
Antes del gap assessment
¿Qué tan preparada está tu organización?
Una primera estimación de tu nivel de preparación para ISO/IEC 27001:2022, en quince preguntas y sin registro. El resultado es orientativo y no sustituye un gap assessment ni una auditoría.
Paso 4: definir contexto, gobierno y responsabilidades
Este paso responde tres preguntas: quién decide, quién ejecuta y quién responde. La norma pide entender el contexto de la organización, identificar a las partes interesadas y sus requisitos, y que la alta dirección demuestre liderazgo: aprobar una política de seguridad, asignar roles y responsabilidades, y asegurar recursos.
No hace falta crear una gerencia nueva. Hace falta que las responsabilidades existentes queden escritas, asignadas y comunicadas: un sistema donde eso no está claro se sostiene mientras dura la persona que lo empujó, y se cae cuando se va.
Paso 5: evaluar los riesgos de seguridad de la información
Es el corazón de la norma: cada control que implementes después debería poder rastrearse a un riesgo que lo justifica. ISO/IEC 27001 exige definir un proceso de evaluación de riesgos con criterios de aceptación, aplicarlo y conservar sus resultados. No prescribe una metodología: puedes usar ISO/IEC 27005 como guía, una matriz cualitativa o un enfoque propio, siempre que sea consistente, repetible y produzca resultados comparables.
Un proceso típico identifica los activos o procesos relevantes, las amenazas y las vulnerabilidades que las harían posibles; estima impacto y probabilidad; compara el resultado con los criterios de aceptación de la dirección; y decide qué riesgos se tratan y cuáles se aceptan. Un riesgo evaluado como no aceptable y sin tratamiento es lo primero que un auditor va a encontrar.
Paso 6: construir el plan de tratamiento y la declaración de aplicabilidad
Del análisis de riesgos salen dos documentos que la norma exige y que la auditoría revisa en detalle. El plan de tratamiento de riesgos define qué se hace con cada riesgo no aceptable, con responsables y plazos. La declaración de aplicabilidad (Statement of Applicability, SoA) registra qué controles son necesarios, cuáles del Anexo A no lo son y por qué, y si están implementados.
El Anexo A referencia 93 controles en cuatro temas, y no es obligatorio implementarlos todos: lo obligatorio es haber considerado cada uno y poder explicar la decisión a partir de los riesgos. Cómo se construye la declaración, con un ejemplo, está en Statement of Applicability (SoA) ISO 27001.
Paso 7: implementar los controles necesarios
Los controles son las medidas que tratan los riesgos: organizacionales, de personas, físicos y tecnológicos. Cómo se organizan los del Anexo A y cómo se decide cuáles aplican está en Controles ISO 27001:2022.
Aquí una implementación seria se distingue de una documental. Cuando el proyecto identifica una brecha técnica real, como accesos sin control, respaldos que nadie prueba o sistemas sin registro de eventos, la brecha se trata, no se anota como pendiente para después de la auditoría. Y buena parte de los controles son de gestión y de personas: un SGSI hecho solo de herramientas no pasa la auditoría, y una política aprobada que nadie aplica es papel.
Paso 8: documentar y generar evidencia
Documentar un control no es lo mismo que demostrar que funciona, y los auditores trabajan con lo segundo.
| Documentar el control | Demostrar que funciona |
|---|---|
| Un procedimiento de altas y bajas de usuarios | El registro de cada alta y baja, con fecha, solicitante y aprobación |
| Una política de respaldos | Los reportes de respaldo y el resultado de las pruebas de restauración |
| Un proceso de gestión de incidentes | Los tickets de incidentes reales, con su escalamiento y su cierre |
| Un plan de capacitación | La asistencia, el material y las evaluaciones |
| Una revisión periódica de accesos | El acta de la revisión, con quién revisó, cuándo y qué se corrigió |
La regla práctica: la evidencia se genera durante la operación, no se reconstruye antes de la auditoría. Un sistema que opera de verdad la produce solo; el trabajo es organizarla para que se encuentre cuando se pida.
Paso 9: medir el funcionamiento del SGSI
La norma exige evaluar el desempeño del sistema: definir qué se mide, cómo, cuándo y quién analiza los resultados, y revisar si los controles son eficaces, no solo si existen.
La pregunta que resuelve este paso es simple: ¿cómo sabría la organización que algo dejó de funcionar como esperaba? Si la respuesta es "cuando pase algo", no hay medición. Unos pocos indicadores bien elegidos y revisados con regularidad valen más que un tablero de cuarenta que nadie mira.
Paso 10: realizar la auditoría interna
La auditoría interna es un requisito de la norma y el mejor ensayo general antes de la certificación. Verifica, con independencia de quienes operan el sistema, si el SGSI cumple los requisitos de ISO/IEC 27001 y los propios de la organización, y si está implementado con eficacia.
La hace la organización, con personal propio que no audite su propio trabajo o con apoyo externo, según un programa planificado. Encontrar brechas aquí es una buena noticia: son hallazgos que se corrigen antes de que los vea el auditor externo.
Paso 11: revisión por la dirección
La norma exige que la alta dirección revise el SGSI a intervalos planificados, sobre información concreta: acciones anteriores, cambios en el contexto, resultados de la medición y de las auditorías, riesgos y oportunidades de mejora. De esa revisión salen decisiones y recursos, y queda un registro.
Por eso ISO 27001 no puede ser "el proyecto del encargado de TI". La dirección decide qué riesgo acepta, qué prioriza y qué financia; si no participa, el auditor lo detecta en la primera entrevista.
Paso 12: corregir no conformidades y mejorar
Cuando algo no cumple, sea un hallazgo de auditoría interna, un incidente o un indicador fuera de rango, la norma exige reaccionar, analizar la causa, implementar acciones correctivas y verificar que funcionaron, todo con registro.
Este ciclo es lo que hace que el sistema siga siendo verdad un año después. Un SGSI que no registra ni corrige sus propias fallas se degrada solo, y eso aparece en la primera auditoría de seguimiento.
Paso 13: prepararse para la certificación
Con el sistema operando, la auditoría interna realizada y la revisión por la dirección hecha, la organización elige un organismo certificador. Conviene que esté acreditado para ISO/IEC 27001 por un acreditador signatario del acuerdo multilateral del IAF, que es lo que da reconocimiento internacional al certificado. En Chile, el Instituto Nacional de Normalización opera el sistema nacional de acreditación y es signatario del IAF; antes de contratar, pide el alcance de la acreditación y verifica que incluya ISO/IEC 27001.
La auditoría de certificación se realiza en dos etapas, una sobre la documentación y la preparación del sistema y otra sobre la operación y la evidencia. Si el resultado es favorable, el certificado dura tres años, con auditorías de seguimiento anuales. Estar preparado reduce la incertidumbre, pero la decisión es del organismo independiente, y una consultora que promete el certificado promete algo que no le pertenece. Lo que sí se puede prometer es llegar con el sistema operando, la evidencia organizada y el equipo sabiendo qué se le va a preguntar. El detalle de las etapas y del ciclo está en Implementación vs. certificación ISO 27001; cuánto puede tomar todo el recorrido, y por qué no existe un plazo universal, en ¿Cuánto demora implementar ISO 27001 en Chile?.
Errores frecuentes al implementar ISO 27001
- Tratarlo como un proyecto documental. Políticas aprobadas sin operación ni evidencia detrás pasan la primera lectura y fallan en la primera pregunta técnica.
- Delegarlo completamente a TI. El SGSI necesita a la dirección, a los dueños de proceso, a recursos humanos, a legal y a compras.
- Empezar por los controles antes de entender los riesgos. Produce controles que nadie puede justificar y brechas que nadie vio.
- Copiar políticas genéricas. Describen una empresa que no es la tuya, y un auditor entrevista a tu gente.
- Reunir la evidencia al final. Reconstruirla las semanas previas a la auditoría se nota, y suele fallar.
- Confundir consultoría con certificación. La consultora prepara; el organismo certificador decide. Esa independencia es lo que le da valor al certificado.
Preguntas frecuentes
¿Cómo se implementa ISO 27001 en Chile?
Construyendo y operando un SGSI según ISO/IEC 27001:2022, adoptada en Chile como NCh-ISO/IEC 27001:2023: definir el objetivo y el alcance, hacer un gap assessment, establecer gobierno y responsabilidades, evaluar y tratar los riesgos, construir la declaración de aplicabilidad, implementar controles, generar evidencia, medir, auditar internamente, revisar por la dirección y corregir. Si se busca el certificado, se contrata después a un organismo certificador independiente.
¿Qué versión de ISO 27001 aplica hoy?
ISO/IEC 27001:2022, adoptada en Chile como NCh-ISO/IEC 27001:2023. Los certificados contra la edición 2013 dejaron de tener validez el 31 de octubre de 2025.
¿Qué necesito para certificar ISO 27001?
Un SGSI implementado y operando dentro de un alcance definido, con riesgos evaluados y tratados, declaración de aplicabilidad, controles funcionando con evidencia, auditoría interna y revisión por la dirección realizadas, y un organismo certificador independiente, preferentemente acreditado, que lo audite en dos etapas.
¿Cuánto demora implementar ISO 27001?
No existe una duración universal: depende del alcance, de la situación inicial, de las brechas, de la disponibilidad del equipo y de la velocidad de decisión, y el sistema tiene que operar y generar evidencia antes de la auditoría. Qué determina el plazo está en ¿Cuánto demora implementar ISO 27001 en Chile?.
¿Cuánto cuesta implementar ISO 27001?
No existe una tarifa única. El esfuerzo depende del alcance, de la situación inicial, de la complejidad y de las brechas, y la implementación, la remediación técnica y la auditoría del organismo certificador son componentes distintos; el valor se determina mediante una cotización, después de entender el alcance y la situación actual.
¿ISO 27001 es responsabilidad de TI?
No. Es un sistema de gestión de la organización: la alta dirección aprueba la política, asigna responsabilidades, decide qué riesgos acepta y revisa el sistema. TI implementa y opera parte de los controles; el resto involucra a la dirección, a los dueños de proceso, a recursos humanos, a legal y a compras.
Fuentes
- ISO/IEC 27001:2022, Information security, cybersecurity and privacy protection. Information security management systems. Requirements: la norma vigente y su alcance.
- IAF MD 26:2023, Transition requirements for ISO/IEC 27001:2022: fecha de publicación de la norma, periodo de transición de tres años y cambios respecto de la edición 2013.
- NCh-ISO/IEC 27001:2023, Instituto Nacional de Normalización: la adopción chilena de la norma.
- Sistema de acreditación del Instituto Nacional de Normalización: la acreditación de organismos de evaluación de la conformidad en Chile.
Donde este artículo dice "la norma exige", se refiere a un requisito de ISO/IEC 27001:2022; el resto son recomendaciones basadas en la experiencia de JanusNet acompañando la implementación de SGSI en Chile.