Qué ha cambiado

La publicación de la versión ISO/IEC 27001:2022 introdujo una reestructuración significativa en los controles del Anexo A, reduciendo el número total a 93 medidas agrupadas en cuatro categorías y añadiendo 11 nuevos controles clave. Con el avance de los plazos de adaptación establecidos por las entidades certificadoras y los organismos internacionales de acreditación, las auditorías de renovación y certificación exigen ya el cumplimiento estricto de este marco actualizado.

Los informes emitidos por los auditores reflejan que la principal fuente de dificultades no reside únicamente en la adaptación documental, sino en la demostración práctica de los nuevos controles. Entre los aspectos donde más no conformidades se están detectando destacan:

  • Gestión de la configuración: Falta de registros formales y procedimientos estandarizados para definir y supervisar configuraciones seguras en los sistemas.
  • Inteligencia sobre amenazas: Carencia de fuentes estructuradas para recopilar y analizar información contextual sobre amenazas que puedan afectar a la organización.
  • Seguridad de la información en servicios en la nube: Ausencia de criterios claros en la adquisición, uso y gestión de proveedores Cloud.
  • Prevención de fuga de datos y enmascaramiento: Deficiencias en los controles técnicos y organizativos para evitar la divulgación no autorizada de información sensible.
  • Supervisión de actividades y filtrado web: Insuficiencia en la monitorización de eventos anómalos y restricciones de navegación hacia sitios maliciosos o no autorizados.

A quién afecta

Este escenario impacta de manera directa a todas aquellas organizaciones que disponen de un Sistema de Gestión de Seguridad de la Información (SGSI) certificado bajo la versión previa y necesitan completar su transición, así como a las empresas que pretenden certificarse por primera vez.

La aparición de no conformidades mayores durante la auditoría puede conllevar la suspensión temporal del certificado o impedir la emisión inicial de la acreditación, lo que genera problemas contractuales con clientes, pérdida de ventajas competitivas en licitaciones y costes imprevistos derivados de auditorías extraordinarias. Por su parte, la acumulación de no conformidades menores evidencia una madurez insuficiente del sistema, comprometiendo la confianza de terceros en la solvencia técnica de la entidad.

Cómo se soluciona

Para resolver las deficiencias detectadas en auditoría y asegurar una transición sólida, las organizaciones deben abordar la adecuación mediante un plan técnico y estructurado:

1. Realizar un análisis de brechas (Gap Analysis)

Antes de afrontar la auditoría externa, es imprescindible revisar el estado del SGSI frente a los nuevos requisitos. Esto implica evaluar específicamente el grado de implantación de los 11 controles incorporados y contrastar si las medidas existentes cumplen con el estándar exigido.

2. Actualizar la Declaración de Aplicabilidad (SoA)

La Declaración de Aplicabilidad debe redefinirse por completo para mapear los 93 controles actuales. Es fundamental justificar tanto la inclusión como la exclusión de cualquier control con base en el análisis de riesgos de la organización, evitando justificaciones genéricas.

3. Generar evidencias operativas continuadas

Una de las causas principales de no conformidad es la falta de registros que acrediten la aplicación real de las políticas. Se debe documentar la operativa diaria, desde la revisión periódica de accesos y la gestión de incidentes hasta la supervisión de proveedores y configuraciones.

4. Digitalizar el mantenimiento del sistema de gestión

Sustituir los sistemas documentales dispersos por herramientas centralizadas reduce drásticamente el error humano, facilita la asignación de tareas, garantiza la trazabilidad exigida por los auditores y asegura el seguimiento continuo de los objetivos de seguridad.

Cómo te ayuda Grupo SG

En Grupo SG acompañamos a su empresa en todo el proceso de adaptación mediante el servicio SG Normativa Certificada, garantizando el diagnóstico, adecuación documental y defensa técnica del SGSI ante la entidad certificadora. Además, ponemos a su disposición nuestra plataforma ISOgo, diseñada para digitalizar, centralizar y mantener al día su sistema de gestión, minimizando el riesgo de no conformidades en sus auditorías.