Un Gap Assessment ISO 27001, o análisis de brechas, es una evaluación de la situación actual de una organización frente a los requisitos de ISO/IEC 27001:2022 y a los controles de su Anexo A. Responde cinco preguntas: qué existe, qué está a medias, qué falta, qué evidencia hay de lo que existe y qué conviene hacer primero.
La norma no lo exige, pero es el primer paso de casi todo proyecto bien llevado, y también el más malinterpretado: muchas organizaciones reciben como "gap assessment" una lista de documentos faltantes, y eso no es un diagnóstico. Esta guía explica qué evalúa uno de verdad, cómo se realiza, qué debería entregar y qué pasa después.
Autodiagnóstico, Gap Assessment y auditoría no son lo mismo
Cuatro herramientas se confunden con frecuencia. Cada una tiene un propósito, una profundidad y un resultado propios.
| Herramienta | Para qué sirve | Profundidad | Resultado |
|---|---|---|---|
| Autodiagnóstico | Orientación inicial, a partir de lo que la propia organización responde | Baja a media | Nivel estimado de preparación |
| Gap Assessment | Identificar brechas reales, con revisión de documentación, entrevistas y evidencia | Alta | Brechas, prioridades y roadmap |
| Auditoría interna | Evaluar si el SGSI ya implementado cumple los requisitos y opera con eficacia; es un requisito de la norma | Formal, según un programa | Hallazgos, no conformidades y acciones correctivas |
| Auditoría de certificación | Evaluación independiente del SGSI dentro de su alcance por un organismo certificador | Formal, en dos etapas | Decisión dentro del proceso de certificación |
El Gap Assessment lo realiza una consultora para ayudarte a decidir y planificar; no tiene efecto sobre el certificado, que emite un organismo certificador independiente después de su propia auditoría. Esa diferencia está desarrollada en Implementación vs. certificación ISO 27001.
¿Cuándo tiene sentido hacer un Gap Assessment?
Cuando la respuesta a "¿qué nos falta?" es una suposición. En concreto:
- Antes de iniciar la implementación, para saber desde dónde se parte y qué de lo existente se reutiliza.
- Cuando un cliente corporativo exige ISO 27001 o manda un cuestionario de seguridad que nadie sabe responder.
- Antes de una licitación que pide el certificado o evidencia de un sistema de gestión.
- Cuando existe un SGSI parcial o un proyecto detenido, y nadie sabe con certeza qué vale.
- Antes de preparar la certificación, para llegar a la auditoría interna con las brechas mayores cerradas.
- Después de una fusión, un servicio nuevo o una migración importante, cuando el sistema existente ya no describe la realidad.
¿Qué evalúa un Gap Assessment ISO 27001?
Los requisitos de las cláusulas 4 a 10 de la norma, que son los que un organismo certificador audita, y los controles del Anexo A según su aplicabilidad. En lenguaje de gestión:
| Área | Qué se revisa |
|---|---|
| Contexto y alcance | Si la organización entendió su contexto y sus partes interesadas, y si el alcance del SGSI está definido, documentado y es defendible |
| Liderazgo y gobierno | Política aprobada, responsabilidades asignadas y comunicadas, y una dirección que decide y asigna recursos, no solo firma |
| Gestión de riesgos | Metodología, criterios de aceptación aprobados, evaluación vigente y un tratamiento decidido para cada riesgo no aceptable. Es el área que más pesa: de ella depende la justificación de todos los controles |
| Declaración de aplicabilidad | Si existe, si es coherente con los riesgos, si cada inclusión y exclusión está justificada y si refleja el estado real de los controles. Qué debe contener está en Statement of Applicability (SoA) ISO 27001 |
| Soporte | Recursos, competencias, concientización, comunicación y la información documentada que la norma exige, controlada y accesible |
| Operación | Si el plan de tratamiento se ejecuta y los controles funcionan en la práctica, no solo en el procedimiento |
| Evaluación del desempeño | Monitoreo y medición, auditorías internas según un programa y revisión por la dirección con registro |
| Mejora | Si las no conformidades se registran, se corrigen, se verifica la corrección y el ciclo se sostiene |
| Controles del Anexo A | Su aplicabilidad y su estado: si la decisión de cuáles aplican existe, si es coherente con los riesgos y si los controles elegidos operan. Qué son los 93 controles y qué significa que uno esté implementado está en Controles ISO 27001:2022 |
Un buen Gap Assessment no pregunta solamente "¿existe el documento?"
La diferencia entre un diagnóstico útil y una lista de verificación está en la pregunta que se hace sobre cada requisito. No es "¿existe?", es una progresión:
- Existe
- Está aprobado
- Se aplica
- Genera evidencia
- Se revisa
- Funciona
Encontrar una política de control de acceso responde la primera pregunta. Para responder las demás hay que entender cómo se hacen las altas, modificaciones y bajas de usuarios, quién aprueba cada una, cada cuánto se revisan los accesos vigentes y qué evidencia queda de todo eso. Una política impecable con altas por correo informal y bajas que nadie ejecuta es una brecha, aunque el documento exista.
La evidencia cambia el diagnóstico. Un auditor solo puede trabajar con lo que se puede demostrar: tickets, registros de respaldo y de pruebas de restauración, actas, aprobaciones, logs, indicadores con historial. Y cuando la evidencia falta, muchas veces el control se hace y nadie lo registra. Es una brecha distinta, con una solución más barata que reconstruir el control desde cero, y un Gap Assessment que no distingue ambas cosas produce un roadmap equivocado.
¿Cómo se realiza un Gap Assessment ISO 27001?
No existe una metodología única, pero un proceso serio recorre estos pasos:
- Definir el objetivo: implementar, retomar, preparar certificación, responder a un cliente.
- Confirmar el alcance a evaluar, que puede coincidir o no con el alcance futuro del SGSI.
- Solicitar la información inicial: organigrama, políticas, procesos, inventarios, evaluaciones anteriores.
- Revisar la documentación contra los requisitos de la norma y los controles del Anexo A.
- Entrevistar a los responsables: dirección, TI, dueños de proceso, recursos humanos, legal, compras.
- Contrastar la práctica con la documentación y revisar la evidencia disponible de cada control.
- Identificar las brechas y clasificarlas: de gestión, documentales, de evidencia o técnicas.
- Evaluar la criticidad, la prioridad y las dependencias de cada una.
- Construir el roadmap y presentarlo a la dirección y al equipo técnico, en el lenguaje de cada uno.
Las entrevistas y la revisión de evidencia son lo que separa un Gap Assessment de una lectura de documentos. Sin ellas, el resultado describe lo que la organización escribió, no lo que la organización hace.
¿Qué debería recibir después de un Gap Assessment?
Un diagnóstico útil te permite entender, como mínimo, estos siete elementos:
| Elemento | Qué responde |
|---|---|
| Estado actual | Qué existe, qué está a medias y qué no existe, requisito por requisito |
| Brechas | Qué necesita atención, y de qué tipo es cada brecha: gestión, documentación, evidencia o técnica |
| Prioridad | Qué conviene abordar primero, por riesgo y por esfuerzo |
| Dependencias | Qué elementos bloquean otros, para no cerrar hallazgos en el orden equivocado |
| Roadmap | En qué orden abordar el trabajo, con etapas e hitos |
| Responsables | Qué áreas deberían participar en cada parte, más allá de TI |
| Evidencia faltante | Dónde el control existe pero falta demostrar que opera |
Es lo que entrega el gap assessment con que JanusNet inicia su consultoría de implementación: un informe en lenguaje de gestión, presentable al directorio, y un roadmap con hitos y responsables. Si lo que recibes es una lista de documentos por crear, sin prioridad, sin dependencias y sin evidencia, te entregaron una checklist con otro nombre.
Las brechas de gestión, documentales y de evidencia las ve cualquier consultora con experiencia en sistemas de gestión. Las técnicas exigen entender la tecnología: saber qué significa que los respaldos "se hacen" pero nadie restauró uno en dos años, o que los accesos "se revisan" sobre un sistema que no registra quién entró. JanusNet es una empresa de ciberseguridad que implementa sistemas de gestión, y por eso su Gap Assessment mira las dos cosas.
No todas las brechas tienen la misma prioridad
Una lista plana de hallazgos, ordenada por cláusula, suele significar trabajar dos veces, porque las brechas del SGSI tienen dependencias.
El ejemplo más claro es la evaluación de riesgos. Si no existe o es inadecuada, arrastra al tratamiento, a la selección de controles y a la declaración de aplicabilidad: aparecen como cuatro hallazgos, pero son un solo problema con tres consecuencias. Cerrar primero la SoA sin haber evaluado riesgos produce un documento que habrá que rehacer.
Por eso un buen roadmap distingue brechas raíz de brechas dependientes y ordena el trabajo por las primeras. Alcance, riesgos y auditoría interna suelen ser raíces; tratamiento, SoA y no conformidades suelen depender de ellas. Es el mismo criterio con que el autodiagnóstico de JanusNet prioriza el foco, y lo que un Gap Assessment hace con mucha más información.
¿Puedo hacer un Gap Assessment con una checklist?
En parte. Una checklist ordena las preguntas, evita olvidar temas y sirve como autodiagnóstico: te dice, a grandes rasgos, dónde podrías estar. Lo que no puede determinar por sí sola es si el control funciona, qué evidencia existe, qué brechas dependen de otras y cuál es la prioridad de cada una. Para eso hacen falta entrevistas, revisión de evidencia y criterio.
La checklist orienta; el Gap Assessment analiza. Usar la primera para decidir si vale la pena el segundo es una buena secuencia.
¿Quieres partir por una evaluación inicial?
Si todavía no sabes dónde está tu organización, empieza por el autodiagnóstico
Quince preguntas, aproximadamente cuatro minutos y el resultado en pantalla, sin entregar datos antes de verlo: nivel estimado de preparación, dimensiones, fortalezas y brechas. Es orientativo y no sustituye un Gap Assessment.
¿Qué ocurre después del Gap Assessment?
El diagnóstico termina en un roadmap, y el roadmap es el inicio de la implementación: cerrar primero las brechas raíz, construir u ordenar el SGSI, operar y generar evidencia, auditar internamente y corregir. El recorrido completo, paso a paso, está en Cómo implementar ISO 27001 en Chile. Si lo que buscas es quien acompañe ese recorrido, la consultoría e implementación ISO 27001 de JanusNet parte justamente por el gap assessment.
Preguntas frecuentes
¿Es obligatorio hacer un Gap Assessment ISO 27001?
No. Ninguna cláusula de ISO/IEC 27001:2022 exige un análisis de brechas; lo que la norma exige son el alcance, la evaluación y el tratamiento de riesgos, la declaración de aplicabilidad, la auditoría interna y la revisión por la dirección. La guía de implementación ISO/IEC 27003 lo recomienda como parte del trabajo previo, y por eso casi todo proyecto serio empieza por uno.
¿Es lo mismo que una auditoría interna?
No. La auditoría interna es un requisito de la norma que evalúa, según un programa, si el SGSI ya implementado cumple y opera con eficacia, y produce hallazgos y no conformidades. El Gap Assessment se hace antes, para saber qué falta construir, y produce brechas, prioridades y un roadmap.
¿Es lo mismo que una auditoría de certificación?
No. La auditoría de certificación la realiza un organismo certificador independiente, en dos etapas, para decidir sobre el certificado. El Gap Assessment lo realiza una consultora para ayudar a planificar y no tiene efecto sobre esa decisión.
¿Qué diferencia hay entre un Gap Assessment y el autodiagnóstico de JanusNet?
El autodiagnóstico estima un nivel de preparación a partir de quince respuestas de la propia organización, en minutos y sin verificar nada. El Gap Assessment lo realiza un consultor revisando documentación, entrevistando a los responsables y verificando evidencia, y entrega brechas reales, prioridades y roadmap. El primero ayuda a decidir si vale la pena el segundo.
¿Cuánto demora un Gap Assessment ISO 27001?
Depende del alcance a evaluar, del tamaño de la organización, del número de procesos y ubicaciones, de la disponibilidad de los responsables para las entrevistas y de cuánta documentación y evidencia existe; se estima después de confirmar el alcance. El plazo del proyecto completo es otra pregunta, y la tratamos en ¿Cuánto demora implementar ISO 27001 en Chile?.
¿Cuánto cuesta un Gap Assessment ISO 27001?
No existe una tarifa única, porque el esfuerzo depende del alcance, del tamaño y la complejidad de la organización, de la disponibilidad de evidencia y de la profundidad requerida. El valor se determina mediante una cotización, después de entender el alcance, el objetivo del diagnóstico y la situación inicial.
¿Qué hago después de un Gap Assessment?
Convertir el roadmap en implementación, empezando por las brechas raíz. Con las brechas claras, el siguiente paso es construir u ordenar el SGSI, generar evidencia durante la operación y llegar a la auditoría interna con lo importante cerrado.
Fuentes
- ISO/IEC 27001:2022, Information security management systems. Requirements: los requisitos de las cláusulas 4 a 10 y el Anexo A, que son lo que un Gap Assessment evalúa.
- ISO/IEC 27002:2022, Information security controls: la guía de implementación de los controles que referencia el Anexo A; guía, no requisito certificable.
- ISO/IEC 27003:2017, Information security management systems. Guidance: la guía de implementación de la norma, con recomendaciones y no requisitos, donde se enmarca el análisis de brechas previo.
- IAF MD 26:2023, Transition requirements for ISO/IEC 27001:2022: la relación entre el Anexo A de 2022 y los controles de ISO/IEC 27002:2022.
Donde este artículo dice "la norma exige" se refiere a un requisito de ISO/IEC 27001:2022; la forma de realizar el Gap Assessment y de priorizar brechas corresponde a la metodología de JanusNet, empresa de ciberseguridad que acompaña la implementación de SGSI y la preparación para la certificación en Chile.