Qué es ISO/IEC 27001
ISO/IEC 27001:2022 establece requisitos para un sistema de gestión de seguridad de la información. Su enfoque considera riesgos, personas, procesos y tecnología. No se limita a instalar herramientas de ciberseguridad ni a proteger una única aplicación. La referencia completa identifica la edición y permite distinguirla de otras normas de la familia.
Tres dimensiones relevantes
La información preventiva necesita confidencialidad, integridad y disponibilidad. Un acceso no autorizado puede exponer datos; una modificación incorrecta puede alterar una decisión; una interrupción puede impedir consultar documentación necesaria. La protección de datos de salud laboral añade exigencias que deben coordinarse con la gestión de seguridad y el marco legal.
Leer el alcance del certificado
Un certificado debe interpretarse junto con su titular, vigencia, organismo emisor y alcance. Que un proveedor tenga un certificado no demuestra automáticamente que todos sus productos, sedes o servicios estén incluidos. La organización contratante necesita comprobar la relación entre el servicio que utiliza y las actividades cubiertas, y resolver dudas con el proveedor y la entidad certificadora.
Responsabilidades compartidas
La seguridad del servicio no elimina las responsabilidades de quien configura usuarios, carga documentos o comparte informes. Los accesos, cambios de puesto, dispositivos y procedimientos internos siguen siendo relevantes. El contrato y la operación deben aclarar quién atiende incidentes, cómo se comunican y qué controles corresponden a cada parte, evitando zonas sin responsable.
Ejemplo de evaluación de proveedor
En un ejemplo hipotético, una empresa solicita el certificado de una plataforma de gestión preventiva y revisa si el alcance incluye el servicio contratado. Después contrasta condiciones de acceso, copias y comunicación de incidentes con sus necesidades. La comprobación no se reduce a ver un logotipo en una presentación ni a suponer que certificación significa ausencia de riesgo.
Límites de la certificación
La certificación aporta una evaluación del sistema dentro de su alcance; no garantiza que nunca se produzca un incidente ni sustituye todas las obligaciones de privacidad. Debe acompañarse de seguimiento y decisiones informadas. Esta ficha explica el significado general de la norma y no atribuye certificaciones concretas a una entidad sin revisar su documentación vigente.
