Los errores más habituales al implantar ISO 27001 son definir mal el alcance, generar documentación sin operativa real, hacer un análisis de riesgos superficial y olvidar los 11 controles nuevos de la versión 2022.
Los proyectos de SGSI que se complican no fallan en lo difícil: fallan en lo evidente. Esta guía recoge los errores que más auditorías retrasan y las prácticas que los previenen, para que la certificación llegue sin sustos de última hora.
Alcance mal definido
Un alcance ambiguo es la primera fuente de problemas. Si no queda claro qué sistemas, sedes, personas y procesos están dentro, el auditor lo delimitará a la baja para no asumir riesgos — y el cliente verá un certificado más estrecho del que esperaba. Define el alcance por escrito, con un mapa de activos, personas y dependencias. Lo que no está dentro, no es auditable; lo que sí está, hay que poder demostrarlo.
Documentación que no refleja la operativa real
Comprar un paquete de plantillas y firmarlas no es implantar un SGSI. Los auditores buscan evidencia de que el procedimiento se ejecuta tal y como se describe. Si la política dice “backups verificados mensualmente” pero el último log es de hace cuatro meses, hay no conformidad. Cualquier documento debe poder evidenciarse en la operación.
Análisis de riesgos superficial
Un análisis genérico (“phishing → alto”) no es un análisis. El enfoque correcto cubre activos identificados, amenazas concretas, vulnerabilidades reales del entorno y tratamientos asignados con responsables y plazos. Y se actualiza: un análisis hecho una vez y olvidado durante dos años es un hallazgo seguro.
Olvidar los 11 controles nuevos de la versión 2022
La ISO 27001:2022 introduce 11 controles nuevos en el Anexo A:
- 5.7 — Inteligencia de amenazas.
- 5.23 — Seguridad para el uso de servicios en la nube.
- 5.30 — Preparación TIC para la continuidad de negocio.
- 7.4 — Supervisión de la seguridad física.
- 8.9 — Gestión de la configuración.
- 8.10 — Eliminación de información.
- 8.11 — Enmascaramiento de datos.
- 8.12 — Prevención de fuga de datos (DLP).
- 8.16 — Actividades de supervisión.
- 8.23 — Filtrado web.
- 8.28 — Codificación segura.
No pueden tratarse como opcionales sin justificación documental. La Declaración de Aplicabilidad debe explicar si aplican y, si se excluyen, por qué.
Falta de implicación de la alta dirección
La norma exige liderazgo visible de la dirección: aprobación de la política, asignación de recursos, revisión periódica. Un SGSI sostenido solo por el área técnica acaba quedándose sin presupuesto o sin autoridad para imponer medidas. La auditoría detecta esa falta de fondo muy rápido.
En Nexus ayudamos a evitar estos errores desde la fase de diagnóstico, dentro de nuestro servicio de compliance. Para cumplir el nuevo control 8.12, complementa el SGSI con un DLP.