Microsoft 365 no certifica tu empresa en ISO 27001, pero sí aporta evidencias técnicas reutilizables para buena parte de los controles del Anexo A: control de acceso, cifrado, registro de auditoría y gestión de incidentes, entre otros. La certificación depende de tu Sistema de Gestión de Seguridad de la Información (SGSI) completo — procesos, personas, proveedores y documentación — del que M365 es solo una pieza, aunque una pieza bien documentada ahorra semanas de trabajo en la auditoría.
Esta confusión es habitual: muchas pymes creen que "tener Microsoft 365 Business Premium" equivale a estar cerca de la certificación, cuando en realidad el trabajo pendiente suele estar en la documentación de procesos, no en la tecnología.
Quién suele preguntarse esto y por qué
Esta pregunta aparece sobre todo en dos momentos: cuando una empresa se plantea certificarse por primera vez y quiere saber cuánto trabajo real le queda por delante, o cuando un cliente grande exige evidencia de cumplimiento como condición para firmar un contrato, y el responsable de IT necesita saber rápidamente qué puede aportar desde Microsoft 365 sin encargar una consultoría completa. En ambos casos, la respuesta corta es la misma: la tecnología ayuda, pero no sustituye al trabajo de gobierno y documentación.
Qué significa "aplicar" ISO 27001 sobre M365 (y qué no significa)
Aplicar ISO 27001 sobre Microsoft 365 significa usar los controles nativos de la plataforma como evidencia técnica de que ciertos requisitos del Anexo A están implementados: por ejemplo, que existe control de acceso basado en roles, que las comunicaciones están cifradas en tránsito y en reposo, o que hay un registro de auditoría de quién accede a qué documento.
No significa que la certificación se obtenga automáticamente por tener las licencias contratadas. La norma exige, además, un SGSI documentado: análisis de riesgos, políticas de seguridad formales, gestión de proveedores (incluido el propio Microsoft como encargado del tratamiento), procedimientos de respuesta a incidentes y evidencia de mejora continua. M365 aporta la parte técnica de varios controles, no el marco de gestión completo.
Evidencias técnicas que M365 puede aportar por control (Anexo A)
| Control del Anexo A (ISO/IEC 27001:2022) | Evidencia técnica en Microsoft 365 | Solución Kualum Cloud |
|---|---|---|
| A.5.15 Control de acceso | Roles de Entra ID, Acceso Condicional, revisiones de acceso | Gestión M365 (desde 7 €/mes) |
| A.5.17 Autenticación robusta | Políticas de MFA obligatorio, protección de contraseñas | Configuración y directivas incluidas |
| A.8.24 Criptografía | Cifrado en tránsito (TLS) y reposo, BitLocker con Intune | Despliegue gestionado de directivas |
| A.8.15 Registro de auditoría | Registro unificado de Purview, alertas de Defender | Monitorización y exportación periódica |
| A.8.13 Copias de seguridad | Retención inmutable y respaldo externo independiente | Kualum Cloud Backup (desde 2 €/mes) |
Estas evidencias no sustituyen a la documentación del SGSI, pero reducen drásticamente el trabajo de recopilar pruebas técnicas durante la auditoría, siempre que se exporten y archiven periódicamente en vez de generarse solo el día de la auditoría.
Dónde termina la responsabilidad de Microsoft y empieza la tuya
Microsoft opera bajo un modelo de responsabilidad compartida: la compañía es responsable de la seguridad de la nube (infraestructura física, disponibilidad de la plataforma, cifrado a nivel de servicio), y tu organización es responsable de la seguridad en la nube — es decir, de cómo configuras el acceso, qué políticas aplicas, quién tiene permisos de administrador global y cómo formáis a los usuarios.
Un error habitual es asumir que, por estar certificado Microsoft como proveedor, la empresa cliente hereda automáticamente esa certificación. Cada organización debe certificar su propio SGSI, y las configuraciones mal ajustadas son responsabilidad exclusiva del cliente.
¿Eres consultor ISO 27001, auditor o asesor de compliance?
Si asesoras a empresas en la implantación de normativas ISO, ENS o RGPD y necesitas un socio técnico que configure las directivas, los backups inmutables y extraiga las evidencias requeridas por los auditores:
👉 Alíate con KualumPro. Podrás delegar la ejecución técnica de los controles en un equipo especialista, garantizando el éxito de tus certificaciones y generando ingresos recurrentes para tu consultoría.
Convierte Microsoft 365 en evidencia real de cumplimiento
Documentar correctamente estas evidencias marca la diferencia entre una auditoría ágil y una llena de no conformidades:
- ¿Quieres ver qué controles de este Anexo A cumple hoy tu tenant sin recopilarlos a mano? Solicita una auditoría gratuita de tu entorno Microsoft 365, con lectura automática de cobertura ISO 27001.
- Si necesitáis implementar y certificar vuestro SGSI completo, consulta el servicio de Implementación ISO 27001 sobre Microsoft 365 en Kualum Solutions.
- ¿Todavía no tienes claro qué es ISO 27001 ni para qué sirve certificarse? Empieza por nuestra guía para pymes: qué es ISO 27001 y para qué sirve.
- Conoce nuestro servicio de Auditoría de Datos y Cumplimiento en Kualum Cloud.
- Consulta nuestro Checklist de Seguridad Microsoft 365 en 30 minutos.
- Revisa las opciones de Soporte IT Gestionado en Kualum Solutions desde 19 €/mes.
