Análisis de brechas ISO/IEC 27001
Un análisis de brechas ISO/IEC 27001 muestra lo lejos que está tu sistema de gestión de seguridad de la información (SGSI) de la certificación. Esta guía cubre los capítulos de gestión y los controles del Anexo A, con una lista de verificación y una herramienta gratuitas.
La lista de verificación está en inglés.
01Qué exige la norma
La ISO/IEC 27001:2022 tiene dos partes que evaluar. Los capítulos 4 a 10 establecen los requisitos del sistema de gestión: alcance, liderazgo, evaluación y tratamiento de riesgos, apoyo, operación, seguimiento y mejora. El Anexo A enumera 93 controles en cuatro temas: organizacionales (37), de personas (8), físicos (14) y tecnológicos (34). Tú decides qué controles se aplican en tu Declaración de Aplicabilidad (SoA).
Una modificación de 2024 añadió el requisito de considerar si el cambio climático es una cuestión pertinente en tu contexto (capítulo 4.1) y para las partes interesadas (4.2).
02Cómo hacer el análisis de brechas
- Acuerda el alcance y los límites del SGSI.
- Comprueba cada requisito de los capítulos 4–10 y califícalo, con evidencias.
- Revisa tu método de evaluación de riesgos y si existe un registro de riesgos actualizado.
- Recorre los controles del Anexo A y redacta o actualiza la SoA.
- Convierte las brechas en un plan de tratamiento priorizado con responsables y fechas.
03Brechas frecuentes
- 6.1.2–6.1.3: no hay una evaluación de riesgos repetible, o los riesgos no están vinculados a controles.
- La SoA no justifica los controles excluidos.
- 7.5: información documentada sin controlar.
- 9.2–9.3: no hay programa de auditoría interna ni revisión por la dirección.
- Anexo A 5.23 (servicios en la nube) y 8.28 (codificación segura), añadidos en la edición de 2022, sin abordar.
04Por qué aquí importa una herramienta privada
Un análisis de brechas de seguridad es sensible en sí mismo: enumera tus debilidades. La evaluación de brechas de Paperwing funciona en tu navegador y guarda todo en local, así que tus hallazgos nunca se suben. Puedes exportar el informe y una copia de seguridad cifrada.
Preguntas frecuentes
¿La lista de verificación incluye el Anexo A?
Tanto la lista como la herramienta en línea cubren los capítulos 4–10 y los cuatro temas del Anexo A. Para el detalle control por control, trabaja con tu Declaración de Aplicabilidad.
¿Cuántos controles tiene el Anexo A?
93 en la edición de 2022, frente a 114 en la de 2013.
¿La certificación ISO 27001 es obligatoria?
En general no, pero los clientes y los contratos la piden cada vez más.