Lista de preparación para ISO 27001
Puntúa tu SGSI frente a las cláusulas de gestión de ISO/IEC 27001:2022 y los cuatro temas de controles del Anexo A, con brechas priorizadas y un informe exportable.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Mide lo cerca que está tu organización de ISO/IEC 27001:2022, la edición vigente de la norma del sistema de gestión de la seguridad de la información (SGSI). Esta lista de preparación interactiva cubre las dos mitades de la norma: los requisitos obligatorios del sistema de gestión de las cláusulas 4 a 10 y los cuatro temas de controles del Anexo A: organizativos (A.5), de personas (A.6), físicos (A.7) y tecnológicos (A.8). Marca cada área como cumplida, parcial, no cumplida o N/A y la herramienta calcula una puntuación de cobertura global, un desglose por tema y una lista priorizada de brechas que cerrar primero; los elementos marcados N/A quedan fuera del cálculo. Exporta el resultado como informe de texto plano para compartirlo con tu equipo o entregárselo a un auditor como punto de partida. Funciona por completo en tu navegador: tus respuestas nunca salen de la página y no se sube nada. Es una autoevaluación, no una auditoría de certificación. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Recorre las cláusulas de gestión del SGSI (4 a 10) y los cuatro temas del Anexo A.
- Marca cada área como cumplida, parcial, no cumplida o N/A.
- Revisa la cobertura global, el desglose por tema y la lista de brechas priorizada.
- Exporta el informe en texto plano para tu equipo o para un auditor.
Preguntas frecuentes
¿Qué es ISO/IEC 27001?
ISO/IEC 27001 es la norma internacional para un sistema de gestión de la seguridad de la información (SGSI): una forma documentada y basada en el riesgo de gestionar la confidencialidad, la integridad y la disponibilidad de la información. La edición vigente es ISO/IEC 27001:2022. Es la norma frente a la que se certifican las organizaciones para demostrar, de forma independiente, que gestionan la seguridad de la información según una referencia reconocida. Tiene dos partes: los requisitos del sistema de gestión de las cláusulas 4 a 10, obligatorios para la certificación, y el Anexo A, un conjunto de controles de referencia que seleccionas según tu evaluación de riesgos.
¿Qué es un SGSI y qué exigen las cláusulas 4 a 10?
Un SGSI (sistema de gestión de la seguridad de la información) es el conjunto de políticas, procesos, roles y registros con los que una organización gestiona la seguridad de la información como un ciclo continuo y no como un proyecto puntual. Los requisitos obligatorios están en las cláusulas 4 a 10: Contexto (cláusula 4) define el alcance y las partes interesadas; Liderazgo (cláusula 5) fija el compromiso de la alta dirección, la política de seguridad y los roles; Planificación (cláusula 6) cubre la evaluación y el tratamiento de riesgos y los objetivos; Apoyo (cláusula 7) cubre los recursos, la competencia, la concienciación y la información documentada; Operación (cláusula 8) es llevar a cabo los planes; Evaluación del desempeño (cláusula 9) cubre el seguimiento, la auditoría interna y la revisión por la dirección; y Mejora (cláusula 10) cubre las no conformidades y la mejora continua. No puedes certificarte solo con los controles del Anexo A: se evalúa el propio sistema de gestión.
¿Cómo está estructurado el Anexo A en ISO 27001:2022?
La revisión de 2022 reorganizó el Anexo A en 93 controles agrupados en cuatro temas, en lugar de los 14 dominios de la edición de 2013 (que enumeraba 114 controles). Los cuatro temas son controles organizativos (A.5), de personas (A.6), físicos (A.7) y tecnológicos (A.8). La reestructuración fusionó y consolidó controles anteriores e introdujo 11 nuevos que cubren áreas como la inteligencia de amenazas, la seguridad de la información en el uso de servicios en la nube, la preparación de las TIC para la continuidad del negocio, y el enmascaramiento de datos y la prevención de fugas. El Anexo A es una lista de referencia: tu Declaración de Aplicabilidad registra qué controles se te aplican y por qué, a partir de tu evaluación de riesgos.
¿Cómo se calcula la puntuación de preparación?
Cada elemento de la lista se marca como cumplido, parcial, no cumplido o N/A. Los elementos N/A se excluyen por completo del cálculo: no cuentan ni a favor ni en contra. De los elementos restantes (puntuados), un «cumplido» vale el crédito completo, un «parcial» la mitad y un «no cumplido» cero. El porcentaje de cobertura global es el crédito total dividido entre el número de elementos puntuados; el mismo cálculo se hace por tema para que veas dónde eres fuerte y dónde débil. La lista de brechas muestra después cada elemento que no está totalmente cumplido, con los no cumplidos antes que los parciales. Es una autoevaluación orientativa, no una puntuación formal de madurez.
¿Cómo es el camino hacia la certificación ISO 27001?
La certificación la concede un organismo de certificación acreditado, no ninguna herramienta. Normalmente primero construyes y haces funcionar el SGSI el tiempo suficiente para generar registros (una evaluación de riesgos, una Declaración de Aplicabilidad, auditorías internas y una revisión por la dirección). Después, el organismo de certificación realiza una auditoría de etapa 1 (revisión de la preparación y de la documentación) seguida de una auditoría de etapa 2 (que evalúa si el SGSI está implantado y es eficaz). Si se supera, el certificado suele ser válido unos tres años, con auditorías anuales de seguimiento entre medias y una recertificación completa al final del ciclo. Esta lista te ayuda a preparar la etapa 1; no sustituye a la auditoría ni al asesoramiento legal.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.