Los 5 errores más comunes al implantar ISO 27001
Implantar ISO 27001 puede ser una decisión estratégica para una empresa que quiere mejorar la gestión de la seguridad de la información, responder a las exigencias de clientes o avanzar hacia una certificación.
Sin embargo, conocer los requisitos de la norma no garantiza que el proyecto vaya a desarrollarse correctamente. Una implantación mal planteada puede generar trabajo innecesario, retrasos y dificultades para demostrar que el sistema realmente funciona.
El problema no suele estar únicamente en la norma, sino en cómo se lleva a la realidad de cada organización.
Por eso, antes de avanzar con una implantación de ISO 27001, conviene hacerse cinco preguntas. Las respuestas pueden ayudarte a detectar errores antes de que se conviertan en problemas durante el proyecto o la auditoría.
1. ¿El alcance de tu SGSI está realmente bien definido?
Uno de los primeros errores al implantar ISO 27001 es definir un alcance que no se ajusta correctamente a la realidad o a las necesidades de la organización.
El alcance determina qué parte de la empresa queda dentro del Sistema de Gestión de Seguridad de la Información (SGSI): qué procesos, servicios, sistemas, información, ubicaciones o unidades organizativas están incluidos.
El problema puede aparecer tanto por exceso como por defecto. Un alcance demasiado amplio puede hacer que el proyecto sea más complejo y difícil de gestionar. Uno demasiado limitado puede dejar fuera procesos o información relevantes para los objetivos de la organización.
¿Cómo saber si existe este problema?
Conviene comprobar si puedes responder con claridad a preguntas como:
- ¿Qué procesos están incluidos en el SGSI?
- ¿Qué sistemas e información forman parte del alcance?
- ¿Qué áreas o ubicaciones están implicadas?
- ¿Por qué se ha definido ese alcance y no otro?
Si las respuestas no están claras, probablemente sea necesario revisar el planteamiento.
El alcance no debería ser un trámite inicial. Es la base sobre la que se construirá el resto del SGSI.
2. ¿ISO 27001 depende demasiado de IT o de una sola persona?
Otro error habitual es convertir la implantación en un proyecto que depende exclusivamente del departamento de IT, de Cumplimiento o de una única persona dentro de la organización.
Aunque IT tenga un papel fundamental en muchos aspectos de la seguridad de la información, un SGSI afecta a mucho más que a la tecnología.
La organización necesita definir responsabilidades, recursos y participación de las áreas que intervienen en los procesos incluidos en el alcance. También necesita que la Dirección conozca el proyecto, lo respalde y facilite los recursos necesarios.
Una señal de alerta muy sencilla es hacerse esta pregunta:
Si la persona que actualmente lidera la implantación dejara mañana de participar en el proyecto, ¿el SGSI seguiría funcionando?
Si la respuesta es no, existe una dependencia que debería revisarse.
ISO 27001 no debería convertirse en «el proyecto de IT» ni en «el proyecto de Compliance». Es un sistema de gestión que necesita integrarse en la organización.
3. ¿Tu análisis de riesgos refleja realmente la realidad de tu empresa?
El análisis de riesgos es uno de los elementos fundamentales de un SGSI. Sin embargo, otro error frecuente es utilizar un análisis genérico o poco conectado con la realidad de la organización.
Esto puede ocurrir cuando se parte de matrices de riesgos prediseñadas, se reutilizan análisis anteriores sin actualizarlos o se identifican riesgos sin tener suficientemente en cuenta los procesos, activos y circunstancias reales de la empresa.
El problema aparece cuando los riesgos dejan de ser una herramienta para tomar decisiones y se convierten simplemente en un documento que hay que completar.
Un análisis útil debería permitir seguir una lógica como esta:
Contexto → procesos y activos → riesgos → tratamiento → controles
Es decir, primero necesitamos comprender qué hace la organización y qué información y procesos son relevantes. Después identificamos qué podría afectarles, valoramos esos riesgos y decidimos cómo tratarlos.
Una señal de alerta
Pregúntate:
¿Podemos explicar por qué cada uno de nuestros principales riesgos existe y por qué hemos elegido determinadas medidas para tratarlos?
Si la respuesta es difícil, quizá el análisis necesite una revisión.
Los controles de seguridad no deberían aparecer simplemente porque figuran en una plantilla. Deben tener sentido en relación con los riesgos reales de la organización.
Si quieres profundizar en la relación entre riesgos, controles y Declaración de Aplicabilidad, puedes consultar nuestra información sobre la Declaración de Aplicabilidad (SOA).
4. ¿La documentación de tu SGSI refleja lo que realmente hace tu empresa?
Tener políticas, procedimientos y documentos correctamente redactados no significa necesariamente que el SGSI esté implantado.
Uno de los errores más habituales es crear documentación que describe cómo debería funcionar la organización, pero que no coincide con lo que sucede realmente en el día a día.
Por ejemplo, una política puede establecer que los permisos de acceso se revisan periódicamente. Pero si la empresa no realiza esas revisiones o no conserva evidencias de que se han realizado, existe una diferencia entre lo que está documentado y lo que ocurre en la práctica.
Y esa diferencia puede convertirse en un problema durante una auditoría.
Por eso, una pregunta sencilla puede ayudar a detectar este error:
¿Podemos demostrar que los procesos y controles que aparecen en nuestra documentación se aplican realmente?
La documentación debe estar conectada con los procesos, los controles y las evidencias.
Documentar no es implantar.
El objetivo no debería ser acumular documentos para demostrar cumplimiento, sino construir un sistema que forme parte de la forma real de trabajar de la organización.
5. ¿Puedes demostrar que tu SGSI funciona antes de la auditoría?
El último error aparece cuando la organización espera a la auditoría para comprobar si realmente está preparada.
Llegar a esta fase con políticas y procedimientos preparados no es suficiente. También hay que poder demostrar que el SGSI se está aplicando, que los controles funcionan y que la organización ha identificado y tratado las posibles desviaciones.
Por eso, durante la implantación es necesario generar evidencias y realizar las comprobaciones correspondientes. La auditoría interna permite, entre otras cosas, detectar problemas antes de que sean identificados durante la auditoría de certificación.
Algunas preguntas que conviene hacerse
- ¿Hemos realizado una auditoría interna?
- ¿Tenemos evidencias de que los controles se aplican?
- ¿Existen desviaciones pendientes de resolver?
- ¿Hemos comprobado que los procedimientos funcionan?
- ¿Podemos demostrar cómo se está gestionando la seguridad de la información?
Si estas preguntas generan dudas, todavía hay margen para actuar antes de la auditoría de certificación.
La auditoría externa no debería ser el primer momento en que descubrimos si nuestro SGSI funciona.
Los cinco errores tienen algo en común
Si observamos los cinco errores en conjunto, podemos encontrar un patrón.
Primero necesitamos saber qué estamos gestionando.
Después, quién debe hacerlo posible.
A continuación, qué riesgos existen y cómo debemos tratarlos.
Después debemos conseguir que la documentación y los controles reflejen la realidad.
Y finalmente debemos poder demostrar que el sistema funciona.
Por eso, una implantación de ISO 27001 no debería plantearse únicamente como un proyecto documental cuyo objetivo final es conseguir un certificado.
La certificación debería ser el resultado de haber construido un SGSI que funciona y que está integrado en la organización.
¿Cómo saber si tu implantación de ISO 27001 está bien planteada?
Antes de continuar con tu proyecto, puedes hacer una primera comprobación:
☐ ¿El alcance del SGSI está claramente definido?
☐ ¿Existen responsabilidades y recursos suficientes?
☐ ¿El análisis de riesgos refleja la realidad de la empresa?
☐ ¿La documentación coincide con lo que realmente hacemos?
☐ ¿Podemos demostrar que el SGSI funciona?
Si alguna de estas respuestas genera dudas, merece la pena revisar el planteamiento antes de avanzar.
Comprueba tu implantación de ISO 27001
Hemos preparado una checklist práctica para ayudarte a revisar los principales puntos que deberías comprobar durante una implantación de ISO 27001.
¿Necesitas ayuda para implantar ISO 27001?
Una implantación de ISO 27001 debe adaptarse al contexto, los riesgos y las necesidades de cada organización.
En BCN Soluciona acompañamos a las empresas en el diseño e implantación de su SGSI, desde el análisis inicial hasta la preparación para la auditoría.
Preguntas frecuentes sobre la implantación de ISO 27001
Cuál es el error más frecuente al implantar ISO 27001?
No existe un único error que afecte a todas las organizaciones, pero una implantación mal planteada suele estar relacionada con problemas de alcance, análisis de riesgos, responsabilidades, documentación o falta de evidencias.
¿ISO 27001 es responsabilidad únicamente del departamento de IT?
No. Aunque IT puede tener un papel importante, el SGSI afecta a diferentes áreas de la organización y necesita el compromiso de Dirección, responsabilidades claras y participación de las áreas implicadas.
¿Por qué es importante el análisis de riesgos en ISO 27001?
Porque permite identificar y valorar los riesgos que afectan a la organización y tomar decisiones sobre cómo tratarlos. Los controles deberían estar relacionados con esos riesgos y con el contexto real de la empresa.
¿Tener toda la documentación significa estar preparado para la auditoría?
No. La organización debe poder demostrar que los procesos y controles documentados se aplican realmente y que existen evidencias de su funcionamiento.
¿Cuándo debería realizarse una auditoría interna ISO 27001?
La auditoría interna forma parte del funcionamiento del SGSI y debe realizarse antes de la auditoría de certificación, permitiendo identificar y corregir posibles problemas con antelación.
