Evaluación de brechas ISO 27001: pasos y entregables

Una evaluación de brechas ISO 27001 compara los controles y documentos actuales con las cláusulas de la norma y el conjunto de controles del Anexo A, y entrega a cambio un plan de remediación priorizado. Prepara a la empresa para la auditoría de certificación, pero no es en sí un certificado, y ninguna evaluación puede prometer que uno siga después.

¿Qué es una evaluación de brechas ISO 27001?

ISO/IEC 27001 es la norma internacional para un sistema de gestión de seguridad de la información (SGSI): un conjunto documentado y basado en el riesgo de políticas, procesos y controles que se mantiene y mejora, no se instala una sola vez. La certificación la emite un organismo de certificación acreditado tras sus propias auditorías; la norma se compra en ISO y sus requisitos son contra lo que se mide cada evaluación.

La evaluación de brechas responde con honestidad una sola pregunta: ¿a qué distancia está hoy la organización de cumplir esos requisitos? Revisa lo que existe —documentos, práctica real, configuración técnica— y registra las diferencias como hallazgos frente a las cláusulas de la norma (las cláusulas 4 a 10 concentran los requisitos del sistema de gestión) y frente al conjunto de controles del Anexo A, que en la versión de 2022 contiene 93 controles de referencia agrupados por tema.

Tres aclaraciones que ahorran confusión después:

Es un ejercicio de preparación, no una auditoría. Ni acreditación, ni decisión de certificación, ni no conformidad formal con numeración de organismo de certificación. Lo que produce es un plan de trabajo.

El alcance se elige, no se impone. ISO 27001 no exige certificar toda la organización: el alcance puede ser una unidad de negocio, una sede, una línea de producto o un conjunto de sistemas, siempre que el límite esté definido y justificado. La mayoría estrecha primero el alcance —una decisión que reduce a la mitad el coste de la evaluación y el de la certificación— y conviene resolverla antes de que alguien revise un solo documento.

Es honesta con las evidencias. Un documento que dice una cosa y una práctica que hace otra se registra tal como es, porque el auditor de certificación encontrará la misma diferencia después, en un peor momento.

El proceso de evaluación

Los seis pasos siguientes describen una evaluación que funciona. La columna de salida es el sentido de la tabla: cada paso debe producir un artefacto que se conserva, no una impresión:

Tabla A: paso | qué ocurre | salida

Paso	Qué ocurre	Salida
Delimitación	Acordar el perímetro del SGSI: qué sedes, departamentos, sistemas y datos entran, y por qué; identificar a las partes interesadas y sus requisitos	Declaración de alcance con justificación, lista para reutilizar en la auditoría de Etapa 1
Revisión documental	Leer políticas, procedimientos y registros existentes frente a las cláusulas 4–10 y el Anexo A; comprobar si los documentos describen la realidad o la aspiración	Inventario documental con un estado por elemento: existe / parcial / ausente, con la evidencia observada
Entrevistas	Hablar con quienes ejecutan los procesos —TI, RR. HH., operaciones, finanzas, dirección— y cruzar las respuestas entre roles; las contradicciones entre dos departamentos también son hallazgos	Notas de entrevista por proceso, con las diferencias entre práctica y documento registradas
Comprobaciones técnicas	Muestrear la configuración real: listas de acceso, registros, trabajos de copia y evidencia de restauración, estado de parches, acceso físico; muestreo, no una prueba de penetración	Resultados por área de control, con muestras y fechas para poder reverificarlos
Calificación	Puntuar cada hallazgo por severidad y esfuerzo; la severidad sigue el riesgo para la organización, no la posición del control en el Anexo A	Registro de brechas: cláusula o control, estado actual, hallazgo, severidad, responsable sugerido
Informe y hoja de ruta	Componer los hallazgos en un informe y secuenciar el trabajo: quick wins, elementos estructurales y los documentos que deben existir antes de la auditoría de Etapa 1	Informe de análisis de brechas, hoja de remediación con prioridades, borrador de la Declaración de Aplicabilidad

Una nota sobre el método: la norma no prescribe cómo se ejecuta una evaluación de brechas, así que los proveedores difieren. Lo que separa una evaluación útil de una cara es la disciplina de evidencia —hallazgos atados a algo que un auditor de certificación pueda volver a comprobar— y el registro que sigue después. Las cuestiones de gobernanza y auditoría en torno al trabajo de seguridad se tratan en la página de auditoría y consultoría TI, y el contexto más amplio de asegurar la infraestructura detrás del SGSI está en la página de infraestructura digital.

Entregables

Cuatro artefactos definen una evaluación seria. Si una propuesta no nombra los cuatro, pregunte por qué:

Informe de análisis de brechas. La narrativa: alcance revisado, método, hallazgos por cláusula y área de control, y un resumen ejecutivo que un director general lee en diez minutos. El informe explica las diferencias; no se limita a enumerarlas.

Registro de brechas. La base de datos de trabajo: cada hallazgo con su cláusula o referencia del Anexo A, estado actual, severidad y prioridad. Sobre ese registro trabaja el proyecto después: convierte el informe en un backlog con responsables.

Hoja de ruta de remediación. Hallazgos secuenciados en un plan: qué debe existir antes de la auditoría de Etapa 1, qué pertenece a los primeros meses del SGSI y qué puede esperar. La secuencia respeta dependencias: no se pueden revisar los accesos cada trimestre hasta que existan las listas de acceso.

Borrador de Declaración de Aplicabilidad (DoA). El documento que enumera cada control del Anexo A, si resulta aplicable y por qué, y cómo está implementado. Un borrador de DoA preparado durante la evaluación es el mayor ahorro de tiempo del proyecto de certificación, porque la alternativa es escribir 93 decisiones desde una página en blanco con el plazo encima.

Los entregables llegan por escrito y son del comprador. Un proveedor que no muestra un informe de muestra antes de la firma le está diciendo algo sobre el informe.

Lo que la evaluación no es

Ser preciso aquí ahorra discusiones después:

No es un certificado. Solo un organismo de certificación acreditado, que trabaje bajo ISO/IEC 17021 y con la acreditación de ese organismo, puede certificar un SGSI. La evaluación es trabajo de asesoramiento; sus hallazgos no tienen validez ante un organismo de certificación, y ningún resultado de evaluación garantiza la certificación: una organización puede aprobar su evaluación y fallar después su auditoría de Etapa 2 con hallazgos que el auditor desarrolla de forma independiente.

No es una auditoría interna. La norma exige auditorías internas y una revisión de dirección como parte del funcionamiento del SGSI; son obligaciones dentro del sistema, que se ejecutan después, y la evaluación es el trabajo que lleva hasta el punto en que pueden ocurrir.

No es una prueba de seguridad. Muestrear la configuración forma parte de ella; una prueba de penetración o una auditoría técnica completa son otro encargo, con otro alcance y otra profundidad.

No es un dictamen legal. ISO 27001 y la normativa de protección de datos se solapan pero son instrumentos distintos —véase la pregunta frecuente abajo— y ni la evaluación ni su informe sustituyen el consejo de un asesor jurídico o de protección de datos cualificado.

No es una promesa sobre la certificación. Cualquier proveedor que insinúe certificación garantizada, cifre una tasa de éxito o sugiera relación con un organismo de certificación que decide de forma independiente debe tratarse como una señal de alerta, no como un argumento de venta. La independencia es el producto.

Prepararse para la auditoría de certificación

El valor real de la evaluación aparece en el proyecto de certificación que sigue. Así se conectan ambas:

Etapa 1 revisa la documentación y el alcance: la declaración de alcance del SGSI, la evaluación y tratamiento de riesgos, las políticas, la Declaración de Aplicabilidad, los registros de auditoría interna y los de revisión de dirección. La mayoría de los hallazgos de Etapa 1 son documentos ausentes o desactualizados, que es exactamente lo que producen la revisión documental y el borrador de DoA de la evaluación.

Etapa 2 revisa la implementación y la práctica: si los controles operan como está documentado, muestreado en todo el alcance. El trabajo de entrevistas y comprobaciones técnicas de la evaluación ensaya esto: un equipo que ya ha respondido sobre sus revisiones de acceso y su gestión de incidentes lo hace con calma en la auditoría.

Vigilancia y recurrencia siguen a la certificación, así que la hoja de ruta debe construir un sistema que funcione, no un conjunto de documentos: revisiones de acceso que se repiten, incidentes que se registran, formación que queda anotada, copias de seguridad que se restauran y prueban. Un SGSI construido para aprobar una sola auditoría se derrumba en la primera de vigilancia.

Puntos prácticos que la evaluación suele destapar: quién es responsable de cada área de control internamente, si la revisión de dirección es una reunión real o una firma, si los auditores internos son independientes de lo que auditan y cómo se conservan los registros entre auditorías. Para una empresa que hace esto por primera vez, las cuestiones de TI que rodean el proceso —registros, gestión de accesos, disciplina de copias— se tratan en la página de infraestructura digital y los deberes de proveedores y tratamiento de datos en la página de outsourcing TI desde Türkiye.

Brechas frecuentes

Los hallazgos que se repiten en empresas pequeñas y medianas, en orden aproximado de frecuencia:

Inventario de activos. Sin lista vigente de sistemas, dispositivos y datos con sus responsables. Casi todos los demás controles dependen de saber qué existe, por eso suele ser el primer ítem de la hoja de ruta.

Método de evaluación de riesgos. Ausente o heredado de una plantilla sin justificación organizativa; el auditor de certificación pregunta cómo se identificaron y trataron los riesgos, y «lo escribió el consultor» es una respuesta que no sobrevive.

Gestión de proveedores. Sin registro de qué proveedores tocan datos de la empresa, sin requisitos de seguridad en los acuerdos con proveedores, sin ciclo de revisión. Para empresas que trabajan con socios de desarrollo, esta brecha se encima directamente a las cuestiones de contrato tratadas en la página de outsourcing TI.

Revisiones de acceso. Cuentas concedidas al ingreso y nunca revisadas; personas que ya salieron aparecen en la lista de accesos; derechos de administrador en manos de quienes dejaron el puesto. Revisiones que existen en el papel pero sin registros son medio hallazgo.

Gestión de incidentes. Sin proceso definido, sin lista de contactos, sin registro de los incidentes que ocurrieron. Los incidentes que la empresa olvidó que tuvo son los que se convierten en hallazgos de la auditoría.

Formación en concienciación. Una diapositiva única de onboarding en lugar de un programa recurrente con registros. La norma pregunta si las personas son conscientes de sus obligaciones; una lista de asistencia fechada responde esa pregunta.

Prueba de copias de seguridad. Copias configuradas y nunca restauradas. Una restauración nunca intentada es un control sin probar, y la comprobación técnica de la evaluación suele pedir evidencia de una restauración en lugar de una captura de un calendario.

Cómo elegir un proveedor

Tres preguntas separan una evaluación rigurosa de una revisión cara:

Independencia. El evaluador no debe tener interés en la decisión de certificación: los evaluadores no certifican, certifican los organismos, y un proveedor que promete ambos le está describiendo un conflicto, no un servicio. La independencia cubre también no tener un producto que vender después: una evaluación que recomienda su propia plataforma es un documento comercial con hallazgos adjuntos.

Método. Pida el método antes de la propuesta: cómo se acuerda la delimitación, cómo se califican los hallazgos, qué evidencia se exige por área de control y qué entregables llegan. Un método escrito de antemano es lo que hace que los hallazgos sean defendibles ante un auditor de certificación después.

Informe de muestra. La mejor prueba. Un registro de brechas con datos ocultos y un informe muestran exactamente qué recibirá: si los hallazgos están atados a cláusulas con evidencia, si las severidades están razonadas y si la hoja de ruta es una secuencia o una lista de deseos.

Dos añadidos prácticos para empresas en Türkiye: confirme si el evaluador trabaja con normas y organismos de certificación conocidos por los clientes de su mercado objetivo, porque los requisitos de cliente suelen nombrar esquemas concretos; y confirme el idioma de trabajo de entrevistas y documentos, porque los hallazgos deben ser utilizables por los equipos que los van a corregir. La checklist de RFP para proveedores da el método general para puntuar esta compra, y la página de auditoría y consultoría TI cubre el contexto asesor más amplio.

Preguntas frecuentes

¿Cuánto dura una evaluación de brechas?

Depende del alcance, y quien cifra un plazo antes de delimitar está adivinando. Los motores son el tamaño del alcance —número de sedes, sistemas y procesos dentro del límite—, el estado de la documentación y cuántas personas deben entrevistarse. Un alcance de un solo departamento con políticas existentes es un encargo distinto de un alcance multisede que empieza de cero; la respuesta honesta llega tras la conversación de delimitación, por escrito.

¿Necesitamos ISO 27001 para vender?

Habitualmente es requisito de cliente más que legal: licitaciones, grandes cuentas y compradores regulados piden certificación cada vez más, sobre todo en software y servicios. La respuesta práctica es revisar su propia cartera: si dos prospectos serios la han pedido, el caso de negocio existe; si ninguno lo ha hecho, el caso se apoya en reducción de riesgo y no en ingresos. La norma no exige certificar toda la organización, así que una certificación acotada puede servir primero a la parte del negocio que da cara al cliente.

¿Qué es la Declaración de Aplicabilidad?

El documento que enumera cada control del Anexo A, indica si es aplicable a su alcance y por qué, y describe cómo está implementado. La norma lo exige y el organismo de certificación lo revisa; es también el artefacto más eficiente de preparar pronto, porque obliga a dejar las decisiones de controles por escrito una sola vez en lugar de bajo la presión de la auditoría. Un borrador de DoA es uno de los cuatro entregables de la evaluación.

¿Cómo se califican las brechas?

Por severidad y prioridad, con la severidad atada al riesgo para la organización y no a la posición del control en la norma. Una calificación útil se explica sola: qué puede pasar si la brecha persiste, quién o qué queda expuesto y qué hace falta para cerrarla. Las calificaciones que solo ordenan los ítems en «alto/medio/bajo» sin razones generan discusiones después; las que llevan una justificación escrita generan una hoja de ruta que la gente sigue.

¿Puede una evaluación de brechas sustituir a una auditoría?

No. La auditoría interna y la revisión de dirección son obligaciones dentro del SGSI, y la auditoría de certificación corresponde a un organismo de certificación acreditado. La evaluación de brechas precede a ambas y ayuda con ambas, pero no tiene validez de auditoría: esa es exactamente la línea de «no es un certificado» de arriba, y cualquier proveedor que la difumine debe pedir por escrito que la aclare.

¿Cubre KVKK o RGPD?

Se solapan en parte, no son lo mismo. ISO 27001 es una norma de sistema de gestión para la seguridad de la información y toca la protección de datos solo donde los controles de seguridad protegen datos personales; KVKK y RGPD fijan obligaciones jurídicas —base legal, derechos del interesado, notificación de brechas, reglas de transferencia— que un SGSI puede apoyar pero no satisface por sí solo. Muchas empresas ejecutan ambos programas con artefactos compartidos, y las cuestiones jurídicas quedan con un asesor cualificado; los deberes de KVKK/RGPD en torno a proveedores y hosting se tratan en la página de outsourcing TI.

Fuentes y normas

La norma es ISO/IE 27001, publicada por ISO (https://www.iso.org); los requisitos evaluados son las cláusulas 4–10 y el conjunto de controles del Anexo A, que contiene 93 controles de referencia en la versión de 2022. La certificación la realizan organismos de certificación acreditados que trabajan bajo ISO/IEC 17021; esta página no hace ninguna afirmación de certificación.
Las afirmaciones sobre proceso, entregables y brechas frecuentes siguen la práctica profesional habitual en evaluaciones de brechas (delimitación, revisión documental, entrevistas, muestreo técnico, registro de brechas calificado por severidad, hoja de remediación, borrador de Declaración de Aplicabilidad); en esta página no aparecen plazos, costes ni tasas de éxito.
Las afirmaciones sobre el proceso de certificación (auditoría documental de Etapa 1, auditoría de implementación de Etapa 2, vigilancia) siguen el marco de certificación publicado con la norma; confirme las reglas vigentes con el organismo de certificación que elija.
En esta página no aparece ninguna afirmación de que WorldwideTradeX esté certificado o acreditado en ISO 27001, ni ninguna garantía de certificación; los deberes de protección de datos se nombran, no se interpretan: confirme el régimen aplicable con un asesor cualificado.

Páginas relacionadas

Auditoría y consultoría TI · Infraestructura digital · Outsourcing TI desde Türkiye · Checklist de RFP para proveedores · Solicitar presupuesto