ANÁLISIS NORMATIVO Y CIBERSEGURIDAD

1. De 114 controles a 93

ISO/IEC 27001:2022 reorganizó por completo el Anexo A. Los 114 controles de la edición de 2013, repartidos en 14 dominios, pasaron a ser 93 controles agrupados en cuatro temas:

• Controles organizativos (cláusula 5): 37 controles, como políticas, gestión de activos, proveedores, incidentes y continuidad.
• Controles de personas (cláusula 6): 8 controles, como selección, formación, teletrabajo y notificación de eventos.
• Controles físicos (cláusula 7): 14 controles, como perímetros, accesos, equipos y soportes.
• Controles tecnológicos (cláusula 8): 34 controles, como accesos privilegiados, malware, copias de seguridad, registros y desarrollo seguro.

Muchos controles antiguos se fusionaron y se añadieron 11 controles nuevos. El periodo de transición terminó el 31 de octubre de 2025, así que hoy todos los certificados deben estar emitidos con la edición 2022, que en 2024 incorporó una modificación sobre cambio climático.

2. Los 11 controles nuevos

• 5.7 Inteligencia de amenazas.
• 5.23 Seguridad de la información en el uso de servicios en la nube.
• 5.30 Preparación de las TIC para la continuidad del negocio.
• 7.4 Monitorización de la seguridad física.
• 8.9 Gestión de la configuración.
• 8.10 Eliminación de la información.
• 8.11 Enmascaramiento de datos.
• 8.12 Prevención de fuga de datos.
• 8.16 Actividades de monitorización.
• 8.23 Filtrado web.
• 8.28 Codificación segura.

Son los que más trabajo suelen exigir, porque requieren herramientas o procesos que muchas organizaciones no tenían formalizados, como la monitorización de eventos o la gestión de la configuración de los equipos.

3. Cómo reestructurar la Declaración de Aplicabilidad

La Declaración de Aplicabilidad (SoA) es el documento que conecta el análisis de riesgos con los controles. Para cada control debe recoger:

• Si se aplica o no.
• La justificación de su inclusión o exclusión, ligada a los riesgos, a requisitos legales o contractuales.
• El estado de implantación.
• Las evidencias o documentos donde se describe cómo se aplica.

Un enfoque práctico es partir de la tabla de correspondencias de ISO/IEC 27002:2022 entre la edición antigua y la nueva, revisar los controles fusionados y analizar uno a uno los nuevos. ISO/IEC 27002 también propone atributos para cada control (tipo de control, propiedades de seguridad, conceptos de ciberseguridad, capacidades operativas y dominios), que permiten filtrar la SoA por ejemplo por controles preventivos o por los relacionados con la detección.

4. Errores frecuentes

• Copiar la SoA de una plantilla sin relación con el análisis de riesgos.
• Marcar controles como implantados sin evidencias de que funcionan.
• Excluir controles tecnológicos porque los presta un proveedor: el control sigue aplicando y hay que gestionarlo a través del contrato y del seguimiento del proveedor.
• No revisar la SoA cuando cambian los sistemas o los riesgos.

En Ramírez&Cobos elaboramos la SoA a partir de su análisis de riesgos real y la dejamos lista para defenderla ante el auditor de la entidad de certificación.