ISO/IEC 27001 y 27002, el sistema y sus controles

La norma de requisitos tiene siete cláusulas (de la 4 a la 10): contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora. Son el sistema de gestión, y para certificarse hay que cumplirlas todas. El Anexo A es otra cosa: una lista de 93 controles de referencia. La cláusula de planificación pide que la organización determine los controles que necesita, los compare con el Anexo A para no dejar fuera ninguno por olvido, y escriba en la declaración de aplicabilidad cuáles aplica y por qué excluye los demás.

Eso significa que ningún control del Anexo A es obligatorio por sí mismo, y que puede hacer falta uno que el anexo no trae. Lo obligatorio es la decisión justificada. La guía de la que sale el anexo (la 27002) explica cada control con su propósito y su orientación, y sirve para decidir cómo construirlo; no se audita.

La edición de 2022 reorganizó los controles en cuatro temas, y el primer número del código dice a cuál pertenece: los organizacionales empiezan por 5, los de personas por 6, los físicos por 7 y los tecnológicos por 8. Leer el código ahorra buscar: un control 7.x trata locales y equipos; un 8.x, tecnología.

Aguamarca va a migrar sus servidores a un proveedor de nube y el equipo quiere saber qué control nuevo de la edición de 2022 trata, justamente, el uso de servicios en la nube. Consulta el extracto del Anexo A.

La edición de 2022 redujo los controles de 114 a 93, los reagrupó en cuatro temas y añadió 11 controles nuevos. Es información que un arquitecto usa de una manera concreta: si una empresa certificó con la edición anterior, los controles nuevos son los que su diseño probablemente no contempla, y por ahí empieza la revisión.

En el extracto que tienes, la columna nuevo_2022 marca cuáles son nuevos. Filtra los del tema tecnológico y cuéntalos: es el número de controles tecnológicos nuevos que tu extracto trae, no los de la norma completa.

Un borrador de declaración de aplicabilidad se revisa como un contrato: cada fila afirma que una decisión de diseño está respaldada por un control, y el título del control debe describir lo que la decisión hace. Cuando el código y el título no coinciden, el control declarado no cubre la decisión, y aparece un hueco que nadie ve porque la fila parece completa.

Compara las siete decisiones de la tabla diseno con los títulos de anexo_a. Seis encajan. Una declara un código cuyo título habla de otra cosa.

Encontrar el código equivocado no termina el trabajo: falta decidir qué se corrige. El control correcto puede estar en el mismo extracto, y entonces el cambio es de una celda y no cuesta nada. Lo que no se hace es dejar el código equivocado porque «ya estaba firmado»: el organismo de certificación contrasta la fila con la evidencia, y una declaración con un control que no corresponde se convierte en un hallazgo.