ISO 27001 en la práctica
Un cliente grande pone en la licitación que el proveedor debe estar certificado en ISO 27001. Tienes doce meses y nadie en el equipo ha pasado antes por una certificación. La pregunta no es qué dice la norma —eso se lee—, sino cómo se lleva el trabajo sin perderse.
Esta página recorre ese camino apoyado en Preceptix.
Las dos mitades de la norma
Sección titulada «Las dos mitades de la norma»ISO/IEC 27001:2022 —la NCh-ISO/IEC 27001:2023 en Chile— tiene dos partes que se trabajan distinto.
Las cláusulas 4 a 10 son el sistema de gestión: contexto, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Son pocas y casi todas se responden con evidencia documental y de gobierno: quién decidió qué, cuándo y con qué respaldo.
El Anexo A son los 93 controles de seguridad, agrupados en cuatro capítulos: organizacionales (A.5), de personas (A.6), físicos (A.7) y tecnológicos (A.8). Aquí está el grueso del volumen y también la mayor parte de la evidencia que Preceptix puede recolectar por ti.
El camino
Sección titulada «El camino»-
Define el alcance. En Organización → Alcances, en
/perimeters, crea el alcance de tu sistema de gestión —lo que el oficio llama perímetro—. Certificar “toda la empresa” el primer año casi nunca es una buena idea: acota, certifica y amplía después. -
Carga el marco. Desde Gobernanza → Bibliotecas carga ISO 27001:2022. Aparece en Catalogar → Marcos con su árbol completo. Ver Marcos disponibles.
-
Abre la auditoría. En Cumplimiento → Auditorías crea la auditoría del marco sobre ese alcance. Esta auditoría es dos cosas a la vez: tu diagnóstico inicial y, después, el registro vivo de tu estado. No abras una nueva cada mes.
-
Responde. Cada requisito recibe un Resultado —Conforme, Parcialmente conforme, No conforme o No aplicable— y un Estado, que es lo que dice si ya está cerrado o todavía en revisión. Son campos distintos y sirven para cosas distintas.
-
Decide la aplicabilidad. Recorre los 93 controles del Anexo A y marca como No aplicable los que no te corresponden, dejando escrito el motivo. Un control marcado así sale del denominador: no cuenta en contra de tu conformidad. Pero la justificación no es un trámite —es exactamente lo que el auditor externo va a leer primero—.
-
Genera la declaración de aplicabilidad. El documento obligatorio de la norma se arma desde tu auditoría, en Visión general → Informes (
/reports) o desde las opciones de exportación de una auditoría ISO 27001. Te pide la auditoría, los grupos de implementación y, si quieres, las evaluaciones de riesgo a enlazar; produce la tabla clásica —referencia del control, si es aplicable, la justificación y cómo está implementado— y la exporta en PDF. -
Convierte las brechas en controles aplicados. Cada requisito no conforme debería terminar con al menos un Control aplicado en
/applied-controls, con responsable y fecha. Ese conjunto es tu plan de acción, y es lo que convierte un diagnóstico en un proyecto. -
Conecta la evidencia automática. Revisa la vista de cobertura y conecta las integraciones que alimentan controles del Anexo A. Lo que queda sin cobertura automática se planifica como evidencia manual en
/evidences. -
Haz la auditoría interna. La norma la exige antes de la certificación. En Preceptix es otra auditoría sobre el mismo marco y el mismo alcance, llevada por alguien independiente del trabajo evaluado. Lo que encuentre se registra como hallazgos y se sigue en Gobernanza → Seguimiento de hallazgos, en
/findings-assessments. -
Prepara la revisión por la dirección. Analíticas (
/analytics), X-rays (/x-rays) y Resumen (/recap) te dan la foto para el comité: conformidad por capítulo, controles atrasados, requisitos sin evidencia.
Cuando llega el auditor externo
Sección titulada «Cuando llega el auditor externo»Desde la auditoría, la acción de exportación arma el paquete. Puedes sacar los datos de los requisitos en planilla, un resumen ejecutivo en documento, el plan de acción por separado y —lo más útil de todo— un paquete comprimido con la auditoría y todos los archivos de evidencia adjuntos, que es lo que un auditor externo pide en el primer correo.
Carolina acota el alcance a Centro de Control y sistemas corporativos y deja fuera, por ahora, la telemetría de las centrales: es el sistema más complejo y no quiere que el primer certificado dependa de él.
El diagnóstico inicial le deja 31 requisitos no conformes. Marca cuatro controles
del Anexo A como No aplicables —desarrollo de software propio, esencialmente— y
justifica cada uno en dos líneas. Los 31 no conformes se convierten en controles
aplicados repartidos entre TI, personas y operaciones. Las integraciones de
directorio, endpoints y respaldos cubren buena parte de la evidencia técnica de
A.8; lo que queda —políticas, acuerdos de confidencialidad, registros de
inducción— se redacta con Cyber Concierge y se sube a /evidences.
Nueve meses después, la auditoría interna la hace el jefe de operaciones, que no participó en la implementación. Deja seis hallazgos, y los seis se cierran con su evidencia antes de la auditoría de certificación. Esa trazabilidad es, en la práctica, la mitad de lo que el auditor externo viene a comprobar.