Caso de éxito: mantener y adaptar a ISO 27001:2022 el SGSI certificado de una empresa de formación a distancia en Madrid

Una empresa de formación a distancia con la que trabajamos desde 2006 tenía su sistema de gestión de la seguridad de la información (SGSI) certificado en ISO 27001. Es una pyme de más de un centenar de personas, con varias sedes, y nosotros somos su proveedor tecnológico. NOÁTICA lideró, junto al responsable de seguridad del cliente, el trabajo de mantener ese SGSI ISO 27001, extenderlo y adaptarlo a la versión de 2022 de la norma. Este caso explica qué piezas componen el sistema, cómo se mantiene vivo y por qué la mayor parte del trabajo no es técnica, sino de orden, de responsabilidades y de costumbre.

Proyecto para un cliente de la provincia de Madrid. Caso anonimizado: por confidencialidad, la ubicación y los datos que podrían identificar al cliente se han modificado.

La situación de partida

La empresa tenía tres características que condicionan cualquier proyecto de este tipo.

• Varias áreas con necesidades distintas. Comercial, financiero y administrativo, académico, marketing, producción, recursos humanos e informática. Cada una maneja información diferente y, por tanto, tiene riesgos diferentes.
• Una informática subcontratada. La función tecnológica la presta NOÁTICA, que también desarrolla y mantiene las plataformas de formación y de matriculación de la empresa. Eso obliga a que el SGSI describa con precisión quién hace qué entre la empresa y su proveedor.
• Una cultura de mejora continua ya existente. Mucho antes de plantearse la norma, la dirección llevaba un plan de acciones de mejora con tareas registradas desde 2018, con responsable, plazo y seguimiento. Esa costumbre es una ventaja: un SGSI no es más que un sistema de mejora aplicado a la información.

El SGSI estaba certificado desde 2020, y la dirección había marcado como objetivo de varios ejercicios consecutivos (2022, 2023 y 2024) mantenerlo, ampliarlo y adaptarlo a la nueva versión de la norma. En proyectos posteriores, además, salieron a la luz dos asuntos que la norma señala con claridad: la gestión manual de contraseñas por parte de los técnicos y una plataforma Moodle desactualizada. En ambos casos, son ejemplos de lo que un SGSI hace visible y ordena.

Qué es un SGSI y qué no es

Un sistema de gestión de la seguridad de la información es un conjunto de reglas, responsables, registros y revisiones periódicas que permiten a una organización proteger su información de forma sistemática. No es un programa que se instala ni un informe que se entrega una vez. Se compone de tres capas:

1. Decisiones de la dirección: alcance, política y objetivos.
2. Procedimientos y responsabilidades: quién hace qué, cómo se decide y cómo se registra.
3. Controles: medidas concretas, técnicas y organizativas, elegidas según los riesgos.

Conviene recordarlo: la certificación la concede solo un organismo acreditado, tras auditar el sistema, y se mantiene con auditorías periódicas. En este caso la empresa ya estaba certificada; nuestro trabajo fue liderar el mantenimiento y la evolución del sistema para que cada auditoría fuera una comprobación y no una sorpresa. NOÁTICA no está certificada en ISO 27001; nuestro equipo cuenta con un Auditor Líder ISO 27001 titulado por AENOR, y por eso hablamos de preparar, implantar, mantener y auditar, nunca de certificar.

El SGSI ISO 27001, documento a documento

Junto al responsable de seguridad del cliente, revisamos, actualizamos o elaboramos un conjunto de documentos que siguen, casi de forma literal, el esquema de la norma. Este es el recorrido.

Alcance, contexto y partes interesadas

Alcance del sistema. El primer documento define qué parte de la empresa protege el SGSI: las plataformas de formación internas y los sistemas de gestión que dan soporte a los programas formativos. Para fijarlo se analizó el contexto de la organización (factores internos y externos, tamaño y sector) y las interfaces con terceros: quién presta qué servicio y de qué depende el negocio.

Partes interesadas. Después, se identificaron clientes, proveedores, empleados, accionistas, administraciones públicas, entidades financieras y universidades, y se anotó qué espera cada uno. Entre los proveedores se distinguieron categorías con riesgos propios, como los portales que aportan contactos comerciales, las entidades de financiación, los proveedores informáticos o las mensajerías.

Cuestiones, riesgos y oportunidades. Una hoja de cálculo reúne cada cuestión o parte interesada con sus necesidades, los requisitos que se derivan, el riesgo de no cumplirlos o la oportunidad de superarlos, las acciones establecidas, las acciones adicionales, el responsable, el plazo y si la acción está cerrada. En definitiva, es la herramienta que conecta la norma con el día a día.

Política y procedimientos

Política de seguridad de la información. Se trata de un documento global aprobado por el comité de dirección que declara el compromiso de la empresa, fija los objetivos y reparte funciones entre el comité, el responsable del sistema, el proveedor tecnológico y todo el personal. Incluye un apartado de definiciones para que todos usen las mismas palabras y un régimen de consecuencias ante el incumplimiento.

Procedimiento de organización de la seguridad. En primer lugar, desarrolla el control de organización de ISO 27002:2022. Describe el compromiso de la dirección, la coordinación, la asignación de responsabilidades, el proceso de autorización para poner en marcha nuevos sistemas y la segregación de tareas. En una empresa de este tamaño no siempre se pueden separar todas las funciones, y el procedimiento lo reconoce y lo compensa con otros controles: monitorización, trazas de auditoría, supervisión de la dirección y auditorías independientes. Trata también el contacto con las autoridades y con grupos de interés, la seguridad en la gestión de proyectos, los dispositivos móviles y el teletrabajo.

Procedimiento de gestión de activos. Por su parte, establece el inventario único de activos, con propietario y usuario de cada uno, agrupados en categorías: físicos, información, software, papel, personas y servicios. Define la política de uso aceptable, la devolución de activos al terminar una relación laboral y un esquema de clasificación de la información en tres niveles: pública, interna y confidencial, con revisión anual. Regula el marcado de la información, la gestión de soportes extraíbles, su eliminación segura y el traslado de soportes físicos.

Controles, roles y presentación

Cuadro de controles. El documento más práctico del proyecto es una hoja de cálculo con los controles de ISO 27002 que indica, para cada uno, si aplica, en qué nivel de madurez se encuentra, qué evidencia lo demuestra y quién es el responsable. Además, tiene una particularidad importante: se construyó migrando los controles de la versión de 2013 a la de 2022, con columnas que muestran qué cambia, a qué tipo de control corresponde, la justificación y la documentación asociada. También incluye una columna por ejercicio (2024, 2025 y 2026) para planificar la evolución.

Roles, responsabilidades y autoridades. Asimismo, se elaboraron fichas de puesto por departamento, un listado que asigna a cada puesto un nivel de responsabilidad y un nivel de exigencia en materia de seguridad, y un organigrama interactivo. Las fichas del personal de informática, por ejemplo, indican de quién depende cada perfil y qué conocimientos de seguridad se le piden.

Presentación a la dirección y al equipo. Por último, una presentación sobre la implantación de ISO 27001:2022 explica la norma, el motivo de implantarla, la hoja de ruta y lo que se espera de cada persona.

Cómo se trabaja, paso a paso

El orden importa, porque cada documento se apoya en el anterior.

1. Definir el alcance y el contexto. Sin saber qué se protege, ningún control tiene sentido.
2. Identificar cuestiones, partes interesadas, riesgos y oportunidades. Se hace con las personas de cada área, no desde fuera.
3. Redactar la política y los procedimientos de organización de la seguridad y de gestión de activos.
4. Asignar roles y responsabilidades por departamento, con fichas por puesto y organigrama.
5. Construir el cuadro de controles y adaptarlo a la versión vigente de ISO 27002.
6. Integrar las acciones de seguridad en el plan de mejora continua que la empresa ya utilizaba, para no crear un sistema paralelo.
7. Presentar el sistema a la dirección y al personal, y fijar una revisión periódica.

Un detalle que marca la diferencia: reutilizar lo que ya funciona

El plan de acciones de mejora continua que la empresa llevaba desde 2018 no se sustituyó: se aprovechó. Las acciones de seguridad se incorporaron a ese mismo plan, con el mismo formato de responsable, plazo y seguimiento. En la práctica, esto evita el error más frecuente de un SGSI nuevo: que viva en una carpeta aparte, que solo abre el responsable de seguridad, y que nadie más recuerde.

Qué persigue el proyecto

No hay mediciones publicables de este proyecto, y no vamos a inventarlas. Lo que se persigue con el mantenimiento del SGSI ISO 27001, según los documentos de trabajo, es:

• Mantener la certificación ISO 27001 y adaptar el sistema a la versión de 2022.
• Mejorar la trazabilidad y el control de accesos.
• Que cada persona sepa qué se espera de ella en materia de seguridad.
• Tener evidencias ordenadas de lo que se hace, para poder demostrarlo ante una auditoría.

Lo que aprendimos

La dirección tiene que firmar, de verdad. Un SGSI sin compromiso real de la dirección se queda en papel. Por eso la política y los procedimientos pasan por el comité de dirección y se revisan una vez al año.

El cuadro de controles no es un trámite. Es el mapa que muestra dónde está la empresa y dónde quiere estar. Las columnas de madurez, evidencia y responsable son las que hacen que el documento sirva para decidir.

Con un proveedor tecnológico, hay que escribir la frontera. Cuando la informática es externa, el sistema debe dejar claro qué controla la empresa y qué controla el proveedor, y cómo se comprueba.

Las normas cambian y los documentos tienen que seguirlas. La migración de los controles de 2013 a 2022 es un ejemplo: no basta con haber hecho el sistema una vez.

Errores frecuentes al preparar un SGSI

• Fijar un alcance demasiado amplio y no poder mantenerlo.
• Copiar plantillas sin adaptarlas al funcionamiento real de la empresa.
• Declarar que un control «aplica» sin tener una evidencia que lo sustente.
• No asignar responsables con nombre y puesto.
• Tratar la seguridad como un asunto exclusivo del departamento técnico.
• Dejar la revisión periódica para «cuando haya tiempo».

¿Está preparando ISO 27001?

Podemos revisar su situación, ayudarle a definir el alcance, redactar o actualizar la documentación y auditar el sistema antes de que lo haga un organismo de certificación. Consulte nuestras páginas sobre preparación para la certificación ISO 27001 y ciberseguridad, o cuéntenos su caso.

SGSI ISO 27001: lo esencial del proyecto

Mantener un SGSI ISO 27001 certificado exige revisar el alcance, los riesgos y los controles cada vez que cambia la empresa o la norma. En este SGSI ISO 27001, el cuadro de controles se migró a la versión de 2022 con equivalencias, justificaciones y evidencias. Las acciones del SGSI ISO 27001 se integraron en el plan de mejora que la empresa ya usaba, para no crear un sistema paralelo. Con la informática externalizada, el SGSI ISO 27001 debe dejar escrita la frontera entre la empresa y su proveedor.

Para ampliar información, puede consultar la página oficial de la norma ISO/IEC 27001.

Preguntas frecuentes

¿NOÁTICA certifica ISO 27001?

No. Solo los organismos acreditados pueden certificar. Nosotros preparamos, implantamos y auditamos el sistema, y nuestro equipo cuenta con un Auditor Líder ISO 27001.

¿Cuánto tarda en prepararse un SGSI?

Depende del tamaño de la organización, del alcance y de lo que ya exista. Por eso empezamos con un análisis y fijamos un calendario cuando el alcance está cerrado.

¿Hace falta ser una gran empresa?

No. La norma se adapta al tamaño. En una pyme el sistema es más sencillo, con menos documentos y menos niveles de responsabilidad, pero los elementos son los mismos.

¿Qué diferencia hay entre ISO 27001 y ISO 27002?

ISO 27001 define los requisitos del sistema de gestión y es la norma certificable. ISO 27002 es una guía de controles que ayuda a elegir y aplicar las medidas.

¿Se puede combinar con otras normas?

Sí. Muchas organizaciones comparten responsables, política y auditorías internas entre el sistema de seguridad, el de calidad y el de cumplimiento normativo.