¿Qué es un SGSI y cómo funciona según ISO 27001?

Un Sistema de Gestión de Seguridad de la Información (SGSI, o ISMS en inglés) es la forma organizada en que una empresa decide qué información protege, qué riesgos acepta y cuáles trata, qué controles aplica, cómo comprueba que funcionan y qué cambia cuando dejan de ser suficientes. ISO/IEC 27001:2022 es la norma que fija los requisitos de ese sistema: cómo establecerlo, operarlo, mantenerlo y mejorarlo.

Dicho en una frase: un SGSI convierte la seguridad de la información en una función gestionada, con responsables, decisiones de la dirección y evidencia, en lugar de una suma de herramientas y políticas sueltas.

Qué es y qué no es un SGSI

El SGSI es lo que la organización construye y opera. ISO/IEC 27001 es la norma que describe qué requisitos debe cumplir y sirve de referencia para que un tercero lo audite. Una empresa puede tener un SGSI completo sin estar certificada; lo que no puede es certificarse sin tenerlo. Esa diferencia está en Implementación vs. certificación ISO 27001.

Un SGSI no es solo documentación ni una herramienta. Un EDR, un firewall, la autenticación multifactor o los respaldos pueden tratar riesgos concretos, y muchas veces son imprescindibles, pero ninguno responde por sí solo por qué se implementó, qué riesgo trata, quién lo mantiene, cómo se revisa ni cómo se demuestra que sigue funcionando. Ese contexto de gestión es el SGSI, y es lo primero que un auditor pregunta.

Con las políticas pasa lo mismo. La norma exige información documentada concreta, pero un requisito existe en la medida en que está definido, asignado, ejecutado, evidenciado, medido y revisado. Un sistema de documentos que se queda en el primer paso pasa una lectura y falla en la primera entrevista. Por eso la documentación debe ser la mínima necesaria y toda verdadera.

¿Cómo funciona un SGSI?

Como un ciclo, no como un proyecto lineal. Lo que la medición, la auditoría y la revisión descubren vuelve al contexto, a los riesgos y a los controles. Este ciclo es una representación explicativa de cómo JanusNet ordena los requisitos de la norma, no un diagrama oficial de ISO.

Contexto y alcance

Antes de decidir un solo control hay que entender la organización: objetivos, partes interesadas y lo que esperan, obligaciones legales y contractuales, procesos e información de la que depende. El alcance fija qué parte queda dentro del sistema, tiene que ser coherente con ese contexto y defendible ante quien lo audite, y es lo que aparece en el certificado si la organización se certifica.

Riesgos y su tratamiento

Este es el corazón del sistema: un SGSI no implementa todos los controles posibles, gestiona la seguridad a partir de los riesgos. La norma exige un proceso de evaluación con criterios de aceptación, aplicarlo y conservar sus resultados, pero no impone una metodología; ISO/IEC 27005 orienta y un enfoque propio es válido si es consistente y repetible.

No todo riesgo se mitiga. Se puede modificar con controles, compartir con un tercero, evitar dejando la actividad que lo genera o retener con una decisión informada. Cada decisión tiene un dueño, respeta los criterios aprobados por la dirección y queda en un plan de tratamiento.

Declaración de Aplicabilidad y controles

La Declaración de Aplicabilidad (SoA) registra qué controles aplican, cuáles no y por qué, y conecta los riesgos con los controles; la norma exige producirla y el auditor la revisa en detalle. Cómo se construye está en Statement of Applicability (SoA) ISO 27001.

Los controles son las medidas que tratan los riesgos: organizacionales, de personas, físicos y tecnológicos. El Anexo A de ISO/IEC 27001:2022 referencia 93 y la norma pide compararlos con los que la organización decidió, para no omitir ninguno necesario; no exige implementar los 93. Las cuatro categorías y la diferencia entre implementado y efectivo están en Controles ISO 27001:2022.

Operación y evidencia

Un control diseñado no es un control operando, y uno operando no es necesariamente eficaz. La diferencia se llama evidencia: registros, tickets, actas, aprobaciones, indicadores, logs, resultados de pruebas, constancias de capacitación. Un SGSI produce esa evidencia como consecuencia natural de operar; si hay que fabricarla antes de una auditoría, el sistema no está operando, está siendo representado.

Medición y auditoría interna

"Lo hacemos" no es una medición. La norma exige definir qué se monitorea y mide, con qué método, cuándo y quién analiza los resultados; no impone indicadores concretos, y unos pocos bien elegidos valen más que muchos que nadie mira. La auditoría interna, también obligatoria, verifica a intervalos planificados y con independencia de quien opera cada área si el sistema cumple y se mantiene con eficacia. Es el ensayo general antes de la auditoría externa.

Dirección y mejora

El SGSI no pertenece a TI. La alta dirección aprueba la política, asegura recursos, asigna roles y revisa el sistema sobre información concreta, como resultados de auditorías y mediciones, cambios en el contexto y estado de los riesgos. De esa revisión salen decisiones y queda registro.

Y el sistema cambia con la organización: procesos, tecnologías, proveedores, amenazas y obligaciones. La norma exige reaccionar ante las no conformidades, corregir la causa, verificar que la corrección funcionó y mejorar de forma continua. Ese ciclo es lo que mantiene el SGSI vigente con el tiempo.

El SGSI en la práctica

¿Quién es responsable del SGSI?

La organización, con roles definidos, y no TI en exclusiva. Según la estructura y el alcance participan la alta dirección, un responsable del SGSI o de seguridad, TI, recursos humanos, legal y cumplimiento, operaciones, compras, los dueños de los procesos dentro del alcance y, en su medida, cada usuario. No hacen falta esos cargos exactos: la norma exige que las responsabilidades existan, estén asignadas y se comuniquen.

¿Un SGSI tiene que ser complejo?

No. El sistema debe ser proporcional al contexto, al alcance, a los riesgos y a la organización. Una empresa pequeña puede tener estructuras simples y documentación breve; una compleja, con varios sitios y obligaciones regulatorias, requiere más formalización. Un auditor evalúa si el sistema es adecuado a la organización, no si es grande.

Ejemplo: cómo piensa un SGSI

Un caso hipotético: una empresa presta un servicio crítico sobre una plataforma en la nube. El SGSI no empieza preguntando qué herramienta comprar. Empieza por qué información procesa ese servicio y quién depende de él, qué riesgos existen sobre esa plataforma y qué impacto tendría una interrupción o una filtración, qué tratamiento corresponde a cada riesgo y quién lo decide, qué controles son necesarios y quién responde por cada uno, y qué evidencia demuestra que funcionan. Las herramientas aparecen como respuesta a varias de esas preguntas, no antes que ellas.

¿Cómo saber si ya tienes un SGSI funcionando?

Tener políticas, herramientas y controles no significa tener un SGSI: puede faltar la evaluación de riesgos que los justifique, la evidencia de que operan, la medición, la auditoría interna o la revisión por la dirección. Un Gap Assessment revisa existencia, implementación, evidencia y dependencias, y dice con fundamento cuánto sistema hay detrás de lo que existe.

Siguiente paso: implementar, y después decidir si certificar

Un SGSI se implementa recorriendo el ciclo por primera vez, en orden: contexto y alcance, riesgos y tratamiento, Declaración de Aplicabilidad, controles, operación con evidencia, medición, auditoría interna, revisión por la dirección y corrección. La diferencia entre una implementación que funciona y una que no está en si cada paso se construye con la organización o se documenta en un escritorio aparte. El recorrido completo, con quién participa y qué queda en cada paso, está en Cómo implementar ISO 27001 en Chile.

Certificar es otra decisión. Se puede operar un SGSI completo sin certificarlo y sus beneficios existen igual; lo que no se puede es decir "estamos certificados" sin un certificado, que emite un organismo certificador independiente después de auditar el sistema. Cuándo conviene y cómo funciona esa auditoría está en Implementación vs. certificación ISO 27001.

Cuánto demora construirlo no tiene una respuesta universal: depende del estado inicial, del alcance, de las brechas y del tiempo que la evidencia necesita para existir. Lo que determina el plazo está en ¿Cuánto demora implementar ISO 27001 en Chile?.

Preguntas frecuentes

Fuentes

• ISO/IEC 27000:2018, Information security management systems. Overview and vocabulary: la definición de sistema de gestión de seguridad de la información y el vocabulario de la familia de normas.
• ISO/IEC 27001:2022, Information security management systems. Requirements: los requisitos del SGSI, del contexto a la mejora continua, y el Anexo A como referencia de controles.
• ISO/IEC 27002:2022, Information security controls: la guía de implementación de los controles de referencia.
• ISO/IEC 27005:2022, Guidance on managing information security risks: la orientación para evaluar y tratar los riesgos, que la norma no prescribe.

Este artículo parafrasea los requisitos de ISO/IEC 27001:2022 y la terminología de ISO/IEC 27000 sin reproducir texto de las normas. El ciclo descrito es la representación con que JanusNet, empresa de ciberseguridad en Chile, ordena esos requisitos al acompañar la implementación de un SGSI y la preparación para la certificación.