ISO 27001 empieza por el riesgo.
El sistema de gestión de seguridad de la información. La que te piden tus clientes corporativos antes de firmar contrato.
la SoA es lo primero que abre el auditor- Inventario de activos de información y evaluación de riesgos
- Anexo A: 93 controles en 4 temas (37 organizacionales, 8 de personas, 14 físicos, 34 tecnológicos)
- Declaración de Aplicabilidad: por qué aplica o se excluye cada control
- Adopción colombiana idéntica: NTC-ISO-IEC 27001:2022
Los numerales 4 a 10 son los mismos en las cuatro normas; esto es lo que va encima.
Dónde está la norma hoy.
Estado normativo · octubre 2026
| Documento | Estado | Qué significa |
|---|---|---|
| ISO/IEC 27001:2022 | Vigente y certificable | Edición actual, con el Anexo A reorganizado en 93 controles y 4 temas. |
| ISO/IEC 27002:2022 | Guía | Explica cómo implementar cada control del Anexo A; no es certificable. |
| NTC-ISO-IEC 27001:2022 | Adopción colombiana | Versión nacional idéntica, la que aplica ICONTEC en Colombia. |
El orden correcto: riesgo primero
Nota de campoLa mitad de las implementaciones fracasan porque empiezan al revés: descargan una plantilla de políticas, la llenan, y solo al final se preguntan qué riesgos tienen. Un auditor lo detecta en diez minutos, porque los controles no se pueden justificar contra nada.
El orden real es: identificas tus activos de información, evalúas los riesgos sobre ellos, decides cómo tratarlos, y solo entonces eliges qué controles del Anexo A aplicas. Cada control aplicado o excluido queda sustentado en la Declaración de Aplicabilidad, que es el documento que el auditor abre primero.
Los 93 controles, en cuatro temas
La edición 2022 reagrupó el Anexo A en cuatro temas en lugar de catorce dominios: organizacionales (37 controles), de personas (8), físicos (14) y tecnológicos (34). Además incorporó atributos que permiten filtrar los controles por tipo, propiedad de seguridad, concepto de ciberseguridad o capacidad operativa.
No todos te aplican, y ese es el punto: aplicar los 93 sin justificación es tan sospechoso como excluir la mitad sin argumento.
Qué hace que una SoA sea auditable
Una Declaración de Aplicabilidad creíble tiene, control por control: si aplica o no, por qué, dónde está implementado y con qué evidencia se verifica. Las que levantan sospecha son las que dicen «aplica» en los 93 sin una sola referencia a un riesgo, o las que excluyen controles con la frase «no aplica» y nada más.
Cómo se ve este trabajo adentro.
Levanta tu contexto
Procesos, alcance y lo que ya tengas escrito. Si llegas con documentos a medias, se aprovechan.
Mide la brecha
Requisito por requisito de ISO/IEC 27001, con cuatro estados: conforme, en proceso, brecha, observación.
Redacta y aprueba
Cada documento nace en borrador. Una persona lo aprueba y queda registrado, como exige el numeral 7.5.
Ensaya la auditoría
Simulacros de Etapa 1 y 2 con hallazgos redactados con criterio, evidencia y enunciado, como los redacta un auditor.
El catálogo de requisitos de The Ark of ISO usa interpretación propia y curada de cada numeral. Nunca reproduce el texto literal de la norma, que es propiedad de ISO y de ICONTEC: para implementar necesitas tu ejemplar con licencia.
Preguntas frecuentes
¿Necesito ISO 27001 antes que ISO 27701?
¿Cuántos controles tengo que implementar?
¿Sirve para responder cuestionarios de seguridad de clientes?
¿Qué evidencia pide primero un auditor?
Misma base, distinto catálogo.
Las cuatro comparten los numerales 4 a 10. Documentas la base una vez y encima va el catálogo de cada una.
En la ruta, sobre la misma base: ISO 14001, ISO 45001, ISO 37001 e ISO 22301. Sumarlas no obliga a rehacer el sistema.
¿Zarpamos?
El piloto 2026 entra empresa por empresa. Deja tu correo y te escribimos cuando abra tu cupo.