Bienvenidos a esta Guía: ISO 27001: Normas y mejores prácticas. Comparte este articulo y síguenos para recibir más guías y cursos.
Esta guía es parte de un curso mucho más grande en donde te enseñamos a convertirte en hacker de 0 a 100. Desde los conocimientos más básicos hasta conseguir empleo.
Para saber más comente a continuación, respondemos todos y cada uno de los comentarios.
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
¿Qué es ISO 27001?
La ISO/IEC 27001 es una norma reconocida mundialmente que describe las mejores prácticas para los sistemas de gestión de la seguridad de la información. La norma, y la familia de normas ISO/IEC 27000, están regidas tanto por la Organización Internacional de Normalización (ISO) como por la Comisión Electrotécnica Internacional (IEC). La ISO/IEC 27001 define los requisitos obligatorios de los SGSI.
Estos requisitos pueden facilitar la gestión de las prácticas de seguridad organizacional. De hecho, la ISO/IEC 27001 puede ser aplicada por organizaciones de cualquier sector/mercado o tamaño. Al adoptar la ISO/IEC 27001, las empresas pueden demostrar un fuerte compromiso con el mantenimiento de un alto nivel de seguridad y privacidad de los datos, lo que puede mejorar la reputación de la marca e infundir un mayor nivel de confianza entre las partes externas e internas y otras partes interesadas. La ISO 27001 evolucionó a partir de la BS 7799 y la ISO 17799, como se describe a continuación.
BS 7799
La norma BS 7799 fue publicada por la British Standards Institution (BSI) en febrero de 1995. La norma BS 7799 constaba de tres partes. La parte 1 de la norma BS 7799 (BS 7799-1) evolucionó hasta convertirse en la norma ISO/IEC 17799 en 2000. La norma ISO/IEC 17799 pasó a denominarse ISO/IEC 27002 en 2007. Luego la norma BS 7799-2 evolucionó hasta convertirse en la norma ISO/IEC 27001 en 2005. La norma BS 7799-3 se adoptó como la norma ISO/IEC 27005 en 2008.
ISO/IEC 27001
Como se mencionó anteriormente, la norma ISO/IEC 27001 se adoptó en 2005. La norma se actualizó en 2013 y, más recientemente, en 2022. Las organizaciones deben volver a certificarse con la versión 2022 de la norma a más tardar el 31 de octubre de 2025. En ocasiones, verá que la norma ISO/IEC 27001 aparece como ISO/IEC 27001:2013 o 27001:2022. La fecha después de los dos puntos (por ejemplo, 2022) refleja la última vez que la norma ISO/IEC 27001 fue revisada y modificada por la ISO/IEC. Las organizaciones pueden esperar que la serie ISO 27000 continúe adaptándose y evolucionando para adaptarse a los cambios en el panorama más amplio de la ciberseguridad y los riesgos.
En esencia, la norma ISO/IEC 27001 es una norma reconocida mundialmente que pone énfasis en la protección de la confidencialidad, la integridad y la disponibilidad (también conocida como la “tríada CIA”) de los activos y sistemas de información. La confidencialidad garantiza que la información sea accesible únicamente para aquellos autorizados a tener acceso a ella. La integridad implica mantener la coherencia, la precisión y la fiabilidad de los datos durante todo su ciclo de vida. La disponibilidad, por otro lado, garantiza que la información esté disponible y sea utilizable cuando la requiera una entidad autorizada.
Requisitos y controles de la norma ISO/IEC 27001
Las normas ISO/IEC 27001:2013 e ISO/IEC 27001:2022 constan de requisitos y controles. Los requisitos en ambas versiones de la norma se definen en las cláusulas cuatro a diez. La cláusula 6.1.3 en ambas versiones de la norma incorpora controles del Anexo A. Los controles del Anexo A se basan en ISO/IEC 27002:2013 e ISO/IEC 27002:2022 respectivamente. El Anexo A de ISO/IEC 27001:2013 consta de 114 controles en 14 dominios. Hay 93 controles del Anexo A de ISO/IEC 27001:2022 agrupados en cuatro categorías.
Cláusulas ISO/IEC 27001:2013 e ISO/IEC 27001:2022
- Cláusula 4 – Contexto organizacional
- Cláusula 5 – Liderazgo
- Cláusula 6 – Planificación
- Cláusula 7 – Apoyo
- Cláusula 8 – Funcionamiento
- Cláusula 9 – Evaluación del desempeño
- Cláusula 10 – Mejora
ISO/IEC 27001:2013 Anexo A Dominios de control
A5 – Políticas de seguridad de la información (2 controles)
A6 – Organización de la seguridad de la información (7 Controles)
A7 – Seguridad de los recursos humanos (6 controles)
A8 – Gestión de activos (10 controles)
A9 – Control de acceso (14 controles)
A10 – Criptografía (2 controles)
A11 – Seguridad física y ambiental (15 controles)
A12 – Seguridad de las operaciones (14 controles)
A13 – Seguridad de las comunicaciones (7 controles)
A14 – Adquisición, desarrollo y mantenimiento de sistemas (13 Controles)
A15 – Relaciones con proveedores (5 controles)
A16 – Gestión de incidentes de seguridad de la información (7 controles)
A17 – Aspectos de seguridad de la información en la gestión de la continuidad del negocio (4 controles)
A18 – Cumplimiento (8 controles)
Categorías de control del Anexo A de la norma ISO/IEC 27001:2022
Organizacional (37 controles)
Personas (8 controles)
Físico (14 controles)
Tecnológico (34 controles)
¿Cuál es el propósito de un sistema de gestión de seguridad de la información (SGSI)?
En general, un sistema de gestión puede considerarse como un marco integral que permite a una organización gestionar los componentes interrelacionados de su negocio para lograr sus objetivos. Estos objetivos pueden incluir temas como la calidad de los productos o servicios, la eficiencia operativa, el desempeño ambiental, la salud y la seguridad en el lugar de trabajo, la gestión de la información y la seguridad, entre otros. Las normas ISO sobre sistemas de gestión son fundamentales para la planificación, la implementación, el seguimiento y la mejora continua de los sistemas de gestión.
La norma ISO/IEC 27001, la norma del sistema de gestión de SGSI, es una de las diversas normas de sistemas de gestión. Un SGSI proporciona un marco que consta de políticas, procedimientos y controles, que garantizan que las medidas de seguridad de la información de la organización sean eficientes y consistentes. Esto incluye procesos de gestión de riesgos, gobernanza de TI y controles de cumplimiento. Además, un SGSI ayuda a las organizaciones a cumplir con los requisitos legales, contractuales y reglamentarios relacionados con la seguridad de la información. En última instancia, el SGSI tiene como objetivo facilitar el cumplimiento de otros requisitos, aumentar las ventajas competitivas, reducir los costos y mejorar la organización.
Cumplir con los requisitos
La norma ISO/IEC 27001 sigue siendo uno de los marcos de seguridad más populares, en parte porque comparte una superposición significativa con otros marcos y estándares ampliamente reconocidos. Esta norma facilita el cumplimiento de la Norma de Seguridad de Datos (DSS) de la Industria de Tarjetas de Pago (PCI), la Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA), el Instituto Nacional de Estándares y Tecnología (NIST) y otros marcos de varias maneras.
La norma proporciona un marco para el establecimiento, la implementación, el mantenimiento y la mejora continua de un sistema de gestión, que se alinea con los requisitos de estas regulaciones. Además, al adoptar la norma ISO/IEC 27001, las organizaciones pueden identificar, evaluar y gestionar los riesgos, cumpliendo con los mandatos de gestión de riesgos de estas normas.
Por último, el énfasis de la norma ISO/IEC 27001 en las auditorías periódicas, las revisiones de gestión y la mejora continua es paralelo a los requisitos de monitoreo continuo de SOC, PCI, HIPAA y NIST. La implementación de la norma ISO/IEC 27001 facilita la capacidad de salvaguardar los activos de información críticos y cumplir con los requisitos regulatorios.
Ventajas competitivas
La norma ISO/IEC 27001 ofrece numerosas ventajas competitivas, lo que constituye uno de los beneficios de la norma. Esta norma proporciona un marco sólido para mantener la seguridad de la información, mejorando así la confianza del cliente y la reputación corporativa. La norma también ayuda a las empresas a cumplir con diversos requisitos normativos y de cumplimiento, como se mencionó anteriormente, evitando en última instancia posibles multas y sanciones. La implementación también puede conducir a una reducción de las violaciones de seguridad, minimizando así las pérdidas financieras.
Costos más bajos
La norma ISO/IEC 27001 hace hincapié en un enfoque basado en el riesgo para la seguridad de la información. Este enfoque basado en el riesgo puede dar como resultado una reducción de costos de varias maneras relacionadas con la gestión de riesgos, el tratamiento de riesgos, la gestión de activos, las operaciones, las auditorías y las actividades de aseguramiento, y la gestión de terceros. El alcance de estos beneficios puede variar según factores como el tamaño de la organización, la industria y el contexto operativo específico.
Al identificar y abordar los riesgos potenciales, las organizaciones pueden prevenir los costosos ciberataques e incidentes de seguridad y mitigar el impacto financiero de las violaciones de datos. La implementación también puede conducir a una mayor eficiencia operativa y reducir el riesgo de multas y sanciones asociadas con el incumplimiento de los requisitos regulatorios.
La certificación ISO/IEC 27001 demuestra el compromiso de una organización con la garantía de seguridad de la información a los socios y las partes interesadas, lo que conduce a posibles ahorros de costos asociados con las auditorías y evaluaciones de los socios comerciales. Por último, la norma exige la gestión de las relaciones con los proveedores por parte de terceros. Esto puede evitar interrupciones y costos asociados causados por fallas de seguridad dentro de la cadena de suministro.
Mejor organización
La norma ISO/IEC 27001 constituye la base de la implementación de un SGSI. Aunque cada organización tendrá, naturalmente, procesos y controles únicos e idiosincrásicos específicos para sus riesgos y vulnerabilidades de seguridad de la información, la mayoría de las organizaciones necesitarán abordar temas comunes relacionados con el riesgo de ciberseguridad.
Áreas como el control de acceso, la gestión de la continuidad del negocio, las evaluaciones de desempeño, la gestión de incidentes, la protección de datos y la criptografía, las relaciones con los proveedores, la seguridad de las comunicaciones, la gestión de vulnerabilidades y la gestión de cambios son zonas de riesgo potencial para casi todas las empresas y organizaciones.
Al desarrollar un SGSI que cumpla con la norma ISO, las organizaciones pueden estar seguras de que están gestionando estos componentes comunes, así como sus propias necesidades únicas de ciberseguridad. Como beneficio adicional, las empresas pueden proporcionar sus certificados ISO/IEC 27001 a las partes interesadas. La capacidad de proporcionar evidencia de la certificación ISO/IEC 27001 a menudo puede eliminar la necesidad de completar cuestionarios complementarios relacionados con la seguridad del cliente.
¿Qué es el proceso de certificación?
Organismos de acreditación y certificación
La norma ISO/IEC 27001 no es obligatoria, sino que es una decisión voluntaria. Las organizaciones optan por obtener la certificación ISO/IEC 27001 en función de sus objetivos estratégicos. De hecho, las organizaciones que utilizan la norma ISO/IEC 27001 y la familia más amplia de normas ISO/IEC 27000 no están obligadas a realizar el proceso de certificación y pueden realizar auditorías internas para evaluar su postura de cumplimiento y seguridad.
Las organizaciones que decidan emprender el proceso de certificación deben contratar a un organismo de certificación que haya sido acreditado por un organismo de acreditación. Según la ISO :
La acreditación es el reconocimiento formal por parte de un organismo independiente, generalmente conocido como organismo de acreditación, de que un organismo de certificación opera de acuerdo con estándares internacionales. La certificación es la provisión por parte de un organismo independiente de una garantía escrita (un certificado) de que el producto, servicio o sistema en cuestión cumple con requisitos específicos.
Existen numerosos organismos de acreditación ISO en todo el mundo.
- En los Estados Unidos, la Junta Nacional de Acreditación ANSI (ANAB) es el principal organismo de acreditación ISO.
- En Canadá, el principal organismo de acreditación ISO es el Consejo de Normas de Canadá (SCC).
- No existe un único organismo de acreditación ISO en la Unión Europea (UE).
Los organismos de acreditación para la evaluación de la conformidad en la UE suelen estar organizados a nivel nacional. Por ejemplo, en Alemania, el organismo de acreditación es la Deutsche Akkreditierungsstelle GmbH (DAkkS) y en el Reino Unido, es el United Kingdom Accreditation Service (UKAS).
Los organismos de certificación acreditados se someten a auditorías continuas de los organismos de acreditación durante todo el año.
El proceso de certificación
Fase 1
El proceso de certificación ISO/IEC 27001 es cíclico. El proceso comienza con el compromiso de la dirección de implementar el SGSI. El compromiso de la dirección consiste en la asignación de recursos, la definición de objetivos organizacionales y el establecimiento de una cultura centrada en el SGSI, entre otras actividades. La definición del alcance del SGSI también es una actividad de inicio. Las organizaciones suelen evaluar las herramientas de automatización de gobernanza, riesgo y cumplimiento en esta etapa.
Fase 2
El siguiente paso del proceso consiste en realizar un análisis de las deficiencias de las prácticas existentes en relación con los requisitos de la norma ISO/IEC 27001. Después del análisis de las deficiencias, la mayoría de las organizaciones realizan una evaluación de riesgos. El resultado de la evaluación de riesgos es una Declaración de aplicabilidad (SOA) que enumera los controles aplicables y la justificación asociada, un registro de elementos de riesgo y las opciones de tratamiento relacionadas. A continuación, se desarrolla la documentación necesaria y se implementan los controles, en función de la SOA, y las medidas según la documentación del SGSI.
Fase 3
La tercera fase se centra en la formación, la auditoría y la revisión. La formación y la sensibilización son obligatorias. Las organizaciones también deben realizar auditorías internas para verificar la eficacia del SGSI implementado. Por último, la alta dirección revisa el SGSI para garantizar su idoneidad, adecuación y eficacia continuas e identifica áreas de mejora continua.
Auditorias
En términos de auditorías reales, el proceso de certificación implica realizar lo siguiente:
Etapa 1:
El organismo de certificación realiza una auditoría inicial para revisar la documentación, verificar la preparación del SGSI y verificar el cumplimiento de los requisitos de la norma ISO/IEC 27001.
Etapa 2:
Se realiza una auditoría más detallada para evaluar la implementación y la eficacia del SGSI. Se identifican las no conformidades y pueden ser necesarias acciones correctivas.
Decisión de certificación:
El organismo de certificación evalúa los resultados de la auditoría y decide si concede la certificación ISO/IEC 27001. La certificación se otorga si se cumplen los requisitos; de lo contrario, pueden requerirse acciones correctivas.
Auditorías de vigilancia:
Se realizan auditorías de vigilancia periódicas para garantizar el cumplimiento y la eficacia continuos del SGSI.
Recertificación:
Cada pocos años se realiza una auditoría de recertificación para renovar la certificación ISO/IEC 27001.
Gestión de la norma ISO/IEC 27001
Crear y mantener un sistema de gestión de seguridad de la información que cumpla con la norma ISO/IEC 27001:2022 puede ser una tarea abrumadora. Como en cualquier trabajo, las herramientas y la tecnología adecuadas pueden facilitar la eficiencia en la obtención del cumplimiento de la norma ISO/IEC 27001. Con nuestro curso sobre la certificación de la ISO 27001, su equipo puede acelerar sus acciones y flujos de trabajo de cumplimiento, incluidos los relacionados con el mantenimiento del SGSI de su organización y el cumplimiento de la norma ISO/IEC 27001. A través del enfoque multimarco de CrossComply, satisfacer múltiples controles que comparten la misma evidencia o documentación reduce los esfuerzos manuales y la redundancia. Y con las integraciones multiplataforma, puede derribar los silos para lograr resultados y alcanzar sus objetivos de cumplimiento y seguridad.
Si su organización busca cumplir con la norma ISO/IEC 27001, realice nuestro curso hoy y agilice su camino hacia la seguridad.
No te detengas, sigue avanzando
Aquí tienes un propósito para este 2025 que debes considerar seriamente: si has querido mejorar tus habilidades en hacking, Ciberseguridad y programación ahora es definitivamente el momento de dar el siguiente paso. ¡Desarrolla tus habilidades aprovechando nuestros cursos a un precio increíble y avanza en tu carrera! El mundo necesita más hackers…
¿Quieres iniciarte en hacking y ciberseguridad pero no sabes por dónde empezar? Inicia leyendo nuestra guia gratuita: Cómo Iniciarse en Hacking y Ciberseguridad en 2025 que te lleva de 0 a 100. Desde los fundamentos más básicos, pasando por cursos, recursos y certificaciones hasta cómo obtener tu primer empleo.
Hemos creado una ruta de 0 a 100. Un plan de desarrollo que va desde las bases: cómo aprender hacking, qué aprender, en qué orden; pasando por las areas técnicas necesarias como Linux, Redes, Programación y los conocimientos necesarios en ciber seguridad, hacking, pentesting hasta la práctica y el inicio laboral: Crear tu propio laboratorio, certificaciones, adquirir experiencia e iniciarse laboralmente.
Hacker de 0 a 100 desde las bases hasta conseguir empleo
Este es un mega post. Una guía con más de 400 artículos que te llevaran por el camino del hacker. Esta guía es gratuita y esta creada gracias al esfuerzo y al trabajo combinado de Alvaro Chirou y mío (Laprovittera Carlos).
Creamos esta guía: Cómo Iniciarse en Hacking y Ciberseguridad en 2025 y curso: Cómo iniciarse en Hacking y Ciberseguridad para que puedas iniciarte en este mundo. Puedes arrancar ahora, GRATIS, solo necesitas un PC, conexión a internet y paciencia (Ser hacker NO ES un camino de la noche a la mañana).
El Hacking y la ciberseguridad es una carrera divertida, emocionante y gratificante que te recompensará y desafiará por igual. Sin embargo, para quienes buscan adentrarse en este campo en auge y en constante evolución, puede resultar difícil saber por dónde empezar. ¡Ahí es donde entra en juego nuestra guía en ciberseguridad!
Esta es la hoja de ruta hacia el trabajo de ciberseguridad de tus sueños. Te ayudará a entender qué conocimientos, habilidades y certificados son necesarios para alcanzar tus metas profesionales y tener una carrera próspera. Si quieres ser consultor de ciberseguridad, analista de malware, evaluador de penetración, analista de SOC o cualquier otro puesto de ciberseguridad, esta guía es lo que necesitas.
Esta guía va a tener una actualización constante durante todo el año. Para no hacer de esta guía un post maratónicamente largo voy a dividirlo en varios capítulos que van desde como iniciar en hacking y ciberseguridad, pasando por conocimientos básicos como Redes, Linux, Programación, Hasta como obtener certificaciones y trabajo. Cada capítulo contiene links a otros posts en donde desarrollo mejor cada tema y a webs externas que complementan este material.
Lo que vas a aprender en esta guía de Hacking y Ciberseguridad
Esta es la guía completa de Cómo Iniciarse en Hacking y Ciberseguridad en 2025:
- La mejor forma de Aprender Hacking y Ciberseguridad en 2025
- Lo que tienes que saber antes de empezar tu vida de hacker
- Habilidades y Competencias que debe tener un Hacker Profesional
- El Camino del Hacker – Las 3 etapas de una carrera exitosa
- Inicia tu carrera como Hacker – GENERAL CYBER SECURITY
- Qué es Realmente el Hacking y Cómo Puedo Trabajar Legalmente
- Tipos de Hackers y Teams
- Cómo Iniciarse en Hacking y Redes en 2025
- Hardware para Hacking de Redes
- Cómo Iniciarse en Hacking y Linux en 2025
- Cómo Iniciarse en Hacking y Programación en 2025
- Python para hackers en 2025
- Cómo Aprender Inglés para Hackers: Guía Definitiva 2025
- Arma tu PC ideal para Hacking en 2025
- Cómo crear un Laboratorio de Hacking en 2025
- Las 500 Mejores Herramientas para Hackers
- Cómo obtener Práctica como Hacker en 2025
- Cómo Iniciarse en CTF en 2025 y Aprender a Hackear practicando
- Mas de 100 Webs de CTF para Practicar hacking en 2025
- Cómo Obtener tus Primeras Certificaciones en 2025
- Las 10 Mejores Certificaciones de Hacking en 2025
- IA y Hacking en 2025
- OSINT en 2025 Guía Definitiva
- Hardware para Hackers en 2025
- Guia Definitiva de Flipper Zero
- Cómo Iniciarse como Pentester en 2025
- Iniciarse como Pentester en 2025 – Reconocimiento y Enumeración
- Cómo Identificar Sistemas Vulnerables y Recopilar información
- Explotación de Vulnerabilidades con Metasploit
- Post Explotación, Pivoting y Movimiento Lateral
- Reporte del Pentest, Remediación y Seguimiento
- Inicia en hacking y ciberseguridad como analista SOC en 2025
- Cómo Conseguir Trabajo de Hacker en 2025
- Como Iniciarse en Bug Bounty en 2025
- Cómo Aumentar tu Salario Pasando de Hacker Jr a Sr
- Cómo Avanzar en tu Carrera de Hacker y llegar a ser CISO
- SIGUE APRENDIENDO EN NUESTRO BLOG
Aprende con nuestros más de 100 cursos que tenemos disponibles para vos
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
Sobre los autores
Álvaro Chirou
Yo soy Álvaro Chirou, tengo más de 20 Años de experiencia trabajando en Tecnología, eh dado disertaciones en eventos internacionales como OWASP, tengo más de 2.000.000 estudiantes en Udemy y 100 formaciones profesionales impartidas en la misma. Puedes seguirme en mis redes:
Laprovittera Carlos
Soy Laprovittera Carlos. Con más de 20 años de experiencia en IT brindo Educación y Consultoría en Seguridad de la Información para profesionales, bancos y empresas. Puedes seguirme en mis redes:
Compartimos estos recursos para ayudar a la comunidad de hacking y ciberseguridad. COMPARTE y Siéntete libre de agregar más sugerencias en los comentarios a continuación, respondemos todos y cada uno de los comentarios.