Qué pide ISO 27001

Lo que ISO 27001 exige es un sistema de gestión de la seguridad de la información: un ciclo de identificar riesgos, elegir y justificar controles, operarlos, medir y mejorar. El Anexo A aporta un catálogo de controles de referencia, y la organización declara en un documento —la declaración de aplicabilidad— cuáles aplica, cuáles no y por qué. Auditar contra ISO no es preguntar «¿tienes MFA?»: es preguntar «¿elegiste tus controles a partir de tus riesgos, los operas, y puedes demostrarlo?».

La confusión típica es tratar el Anexo A como una lista de compras. El corazón de la norma es el sistema que decide y sostiene esos controles, no los controles sueltos.

La declaración de aplicabilidad de Cumbre marca como «implementado» el control de gestión de accesos privilegiados. Pero ya viste en el sistema tres cuentas admin sin MFA, una cuenta compartida y una excepción caducada hace meses. La declaración dice una cosa y la operación dice otra. Eso, en lenguaje de auditoría, es una no conformidad: un requisito de la norma que la organización dice cumplir y no cumple en la práctica. Se levanta con la evidencia al lado, no con una impresión.

Una no conformidad no es una acusación: es la constancia, sostenida en evidencia, de que lo declarado y lo operado no coinciden — y obliga a un plan para cerrarla.

No todas las no conformidades pesan igual. Una no conformidad mayor es un fallo que rompe el sistema de gestión o deja un riesgo alto sin tratar —por ejemplo, que el control de accesos privilegiados de la empresa que guarda datos de clientes esté declarado y no opere—. Una menor es un desvío puntual que no compromete el sistema entero —un acuse de lectura que falta en dos personas de veinte—. Clasificarla bien decide la urgencia del plan de corrección y si la certificación puede seguir o se frena.

Distinguir mayor de menor es criterio de auditor: no se mide por cuántos casos hay, sino por cuánto compromete al sistema y al riesgo que debía tratar.