Normas
ISO/IEC 27001 — Sistemas de gestión de la seguridad de la información
Ordena cómo una organización identifica sus riesgos de información, elige controles y demuestra que los aplica y los revisa.
ISOadvance implementa y acompaña. No realiza auditorías de certificación ni decide certificaciones.
Quién la pide
Por qué llega esta norma a una mesa
Clientes corporativos que evalúan proveedores, procesos de compra de software y servicios, y contratos que exigen tratamiento seguro de datos.
Antes de decidir el alcance conviene saber quién la exige y para qué, porque de eso depende qué procesos entran al sistema. Certificar más de lo necesario cuesta dinero todos los años.
Estado editorial de la norma
- Edición vigente
- ISO/IEC 27001:2022 (3.ª edición)Publicada y vigente
- Publicada el 25-10-2022.
- Etapa ISO: 60.60 · International Standard published · 25-10-2022
- Vigente y sin revisión abierta: el comité que la mantiene no tiene hoy un proyecto de nueva edición en desarrollo.
- Enmienda vigente: Amd 1:2024 «Climate action changes», de distribución gratuita.
- Edición contra la que trabaja el programa
- ISO/IEC 27001:2022
- Es la edición publicada y vigente, y es contra la que se implementa hoy.
- Que ISO publique una edición no significa que un programa ya implemente contra ella. Son dos hechos distintos, con dueños distintos, y esta ficha los separa a propósito.
- Fuente y revisión
- Última revisión de esta ficha: 2026-08-27.
- Verificar en el catálogo oficial de ISO(se abre en una pestaña nueva)
Lo que casi nadie publica
Qué exige operar esta norma, mes a mes
No qué promete, sino qué hay que sostener después de la certificación. Es la lista que decide si un sistema sigue vivo en el mes catorce.
- 01Evaluación y tratamiento de riesgos, revisada periódicamente
- 02Declaración de aplicabilidad de controles, mantenida al día
- 03Gestión de incidentes de seguridad, con registro y análisis
- 04Control de accesos revisado, incluidas las bajas
- 05Auditoría interna y revisión por la dirección
Cada uno de estos puntos genera registros con frecuencia propia. Cómo se convierten en una rutina mensual está en cómo opera.
El límite
Esta página no dice si su sistema va a aprobar
La decisión sobre el certificado es de un organismo de certificación independiente que elige la empresa.
Lo que sí se puede decir de antemano: qué requisitos de la norma caen sobre un alcance concreto, qué evidencia exige cada uno y cuál de esa evidencia ya existe en la organización. Eso es trabajo verificable y es lo que hace el diagnóstico.
El alcance se decide antes que la norma
Qué procesos y qué sitios entran al sistema condiciona el costo de la auditoría todos los años. El diagnóstico empieza por ahí, no por el certificado.
ISOadvance implementa y acompaña. No realiza auditorías de certificación ni decide certificaciones.