# ISO 27001: qué es, para qué sirve y cómo preparar los controles técnicos para tu auditoría

> Qué es ISO 27001:2022, cómo se organiza su Anexo A de 93 controles y qué controles técnicos puedes dejar listos y con evidencia antes de tu auditoría.

Autor: Samuel Hinojosa (CEO & Founder, WITS) · Actualizada: 2026-10-25 · https://security.wits.mx/guias/iso-27001-auditoria/

## ¿Qué es ISO 27001 y para qué sirve?

ISO/IEC 27001 es la norma internacional que define los requisitos de un sistema de gestión de seguridad de la información (SGSI). Sirve para manejar los riesgos sobre tus datos de forma ordenada y, si lo decides, demostrarlo con un certificado que emite un organismo independiente. La edición vigente es la de 2022, con una enmienda de 2024.

La versión actual, [ISO/IEC 27001:2022](https://www.iso.org/standard/27001), se publicó en octubre de 2022 como tercera edición y reemplazó a la de 2013. En febrero de 2024 salió la [enmienda 1](https://www.iso.org/standard/88435.html), «Climate action changes», que pide considerar el cambio climático dentro del contexto de la organización; no agrega controles de seguridad. La norma la publican juntas ISO y la IEC, por eso su nombre completo lleva las dos siglas.

Certificarse es opcional. ISO explica que algunas empresas aplican la norma solo por sus buenas prácticas y otras buscan el certificado para dar confianza a sus clientes. En la práctica, lo que la vuelve necesaria en una empresa mexicana suele ser un cliente grande, un corporativo extranjero o una licitación que la pide como requisito.

> **Quién certifica** ISO no certifica ni emite certificados: lo dice en su [página de certificación](https://www.iso.org/certification.html). Lo hacen organismos de certificación externos, idealmente acreditados. WITS tampoco certifica. Te ayudamos a preparar los controles técnicos y la evidencia para tu auditoría.

## ¿Qué pide la norma: cláusulas y Anexo A?

ISO 27001 tiene dos partes. Las cláusulas 4 a 10 describen el sistema de gestión: contexto de la organización, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora. Ahí viven la evaluación y el tratamiento de riesgos, la auditoría interna y la revisión por la dirección. El Anexo A es el catálogo de controles de referencia contra el que comparas lo que decidiste aplicar.

En la edición 2022 el Anexo A tiene 93 controles en cuatro temas, según el resumen del organismo certificador [DQS](https://www.dqsglobal.com/blog/new-iso-27001-2022-key-changes). Once son nuevos, entre ellos inteligencia de amenazas, seguridad en el uso de servicios de nube, gestión de la configuración y codificación segura. La guía detallada de cada control está en [ISO/IEC 27002:2022](https://www.iso.org/standard/75652.html).

| Tema del Anexo A | Controles | Ejemplos |
|---|---|---|
| 5. Organizacionales | 37 | Políticas, control de acceso, proveedores, servicios de nube, gestión de incidentes, continuidad |
| 6. Personas | 8 | Selección, términos de contratación, concientización, trabajo remoto |
| 7. Físicos | 14 | Perímetros, acceso a oficinas, equipos, medios de almacenamiento |
| 8. Tecnológicos | 34 | Acceso privilegiado, autenticación, vulnerabilidades, configuración, respaldos, registros, red, cifrado, desarrollo seguro |

No todos los controles aplican a todas las empresas. La cláusula 6.1.3 pide una Declaración de Aplicabilidad: el documento donde dices qué controles aplicas, cuáles no y por qué. El auditor revisa esa declaración y luego pide evidencia de que lo declarado funciona.

## ¿Qué controles técnicos te ayuda a preparar Security OS?

Donde más se atoran las empresas no es en escribir la política, sino en demostrar que el control técnico existe y funciona. «Usamos MFA» no es evidencia; un reporte que muestra cada usuario de la nube con su segundo factor, sí. Security OS audita tu nube, tus repositorios, tu código y tus servidores, corrige con tu autorización y deja el antes y después de cada control.

| Control del Anexo A | Qué revisamos y corregimos | Evidencia que te queda |
|---|---|---|
| 5.15 a 5.18 Control de acceso, identidades, autenticación y derechos de acceso | Usuarios, roles y llaves en la nube y en GitHub; accesos de exempleados y proveedores | Inventario de accesos con fecha y comparativo antes y después |
| 8.2 Acceso privilegiado y 8.5 Autenticación segura | Cuenta raíz, administradores, MFA, llaves sin rotar, acceso SSH | Estado de MFA por usuario y de cada llave |
| 8.8 Gestión de vulnerabilidades técnicas | Versiones de sistema, PHP y dependencias; fallas publicadas que te afectan | Lista de hallazgos con prioridad, corrección y fecha de cierre |
| 8.9 Gestión de la configuración | Línea base de la configuración de nube y servidores, y cambios contra esa línea | Línea base y diferencias entre corridas |
| 8.13 Respaldo de la información | Respaldos de bases y almacenamiento, copias protegidas contra borrado | Configuración de respaldo y registro de la prueba de restauración |
| 8.15 Registro y 8.16 Monitoreo | Registro de actividad de la nube, alertas de detección y a quién le llegan | Configuración de registros y alertas activas |
| 8.20 Seguridad de redes y 8.24 Uso de criptografía | Puertos abiertos, firewall, TLS, cifrado de discos y bases | Reglas de red y estado de cifrado por recurso |
| 8.25 y 8.28 Desarrollo y codificación seguros | Revisión de código (inyección SQL, XSS, secretos, dependencias) y protección de ramas | Hallazgos con archivo y línea, y su corrección |

Cada corrección llega preparada con lo que se cambia, por qué y cómo revertirlo. Nada se aplica sin tu autorización. Al final tienes dos corridas del mismo motor de auditoría, antes y después, control por control: material que tu consultor puede integrar al SGSI y que puedes presentar al auditor. Qué evidencia acepta el auditor lo decide él; nuestro trabajo es que la tengas completa y fechada.

Si tu sistema vive en AWS, la [guía de auditoría de seguridad AWS](https://security.wits.mx/guias/auditoria-seguridad-aws/) detalla los controles de la cuenta. Si estás empezando desde cero, conviene cerrar primero [lo básico de ciberseguridad](https://security.wits.mx/guias/ciberseguridad-pymes/) y revisar [las alertas de la semana](https://security.wits.mx/alertas/) para no llegar a la auditoría con una versión vulnerable.

## ¿Qué queda de tu lado, de tu consultor y del organismo certificador?

ISO 27001 es una norma de gestión, no una lista técnica. Hay partes que ninguna herramienta puede hacer por ti:

- Tu empresa: definir el alcance del SGSI, nombrar responsables, aprobar la política de seguridad y sostener el sistema en el tiempo.
- Tu consultor de SGSI, si lo tienes: la evaluación y el tratamiento de riesgos, la Declaración de Aplicabilidad, las políticas y procedimientos, la capacitación y la auditoría interna.
- Los controles de personas y físicos (temas 6 y 7): contratación, concientización, acceso a oficinas, equipos.
- El organismo de certificación: la auditoría de certificación y las de seguimiento. Conviene que sea independiente de quien te ayudó a implementar.

> **Lo que no hacemos** No certificamos, no somos organismo de certificación y no redactamos tu SGSI completo. Nos enfocamos en la parte técnica del Anexo A: que los controles de nube, código y servidores estén aplicados y con evidencia de antes y después. Si ya trabajas con un consultor, nos coordinamos con él.

Si además tu cliente o tu industria piden un pentest, la [guía de pentest vs. auditoría](https://security.wits.mx/guias/pentest-vs-auditoria/) explica por qué conviene cerrar lo básico antes y quién debe hacer la prueba. Y si quieres un primer dato en cinco segundos, el [chequeo gratis](https://security.wits.mx/chequeo-php/) revisa la versión de PHP que anuncia tu sitio.

Cuéntanos tu alcance y la fecha de tu auditoría. Empezamos con un diagnóstico con acceso de solo lectura. [Preparar mis controles técnicos](https://security.wits.mx/guias/iso-27001-auditoria/#contacto)

## Preguntas frecuentes

**¿Qué es ISO 27001 y para qué sirve?**

Es la norma internacional que define los requisitos de un sistema de gestión de seguridad de la información. Sirve para gestionar riesgos sobre tus datos de forma ordenada y, si quieres, demostrarlo con un certificado de un organismo independiente.

**¿Cuál es la versión vigente de ISO 27001?**

ISO/IEC 27001:2022, publicada en octubre de 2022, con la enmienda 1 de 2024 sobre cambio climático. La edición 2013 está retirada.

**¿Cuántos controles tiene el Anexo A de ISO 27001:2022?**

93, agrupados en cuatro temas: 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos. La edición 2013 tenía 114.

**¿Tengo que aplicar los 93 controles?**

No necesariamente. En la Declaración de Aplicabilidad indicas qué controles aplicas y justificas los que excluyes, según tu evaluación de riesgos.

**¿Quién emite el certificado ISO 27001?**

Un organismo de certificación externo. ISO no certifica ni emite certificados. Conviene elegir uno acreditado y distinto de quien te ayudó a implementar.

**¿Qué diferencia hay entre ISO 27001 e ISO 27002?**

ISO 27001 contiene los requisitos que se auditan y certifican. ISO 27002 es la guía que explica cómo implementar cada control del Anexo A; no se certifica.

**¿WITS o Security OS me certifican?**

No. Te ayudamos a preparar la parte técnica: aplicamos y evidenciamos los controles de acceso, vulnerabilidades, configuración, respaldos, registros, red y desarrollo seguro para que llegues a tu auditoría con la evidencia completa.

## Fuentes

- [ISO: ISO/IEC 27001:2022, Information security management systems — Requirements](https://www.iso.org/standard/27001)
- [ISO: ISO/IEC 27001:2022/Amd 1:2024, Climate action changes](https://www.iso.org/standard/88435.html)
- [ISO: ISO/IEC 27002:2022, Information security controls](https://www.iso.org/standard/75652.html)
- [ISO: Certification (ISO does not perform certification)](https://www.iso.org/certification.html)
- [DQS: ISO/IEC 27001:2022, key changes and new Annex A](https://www.dqsglobal.com/blog/new-iso-27001-2022-key-changes)