ISO 27001 es la norma internacional de referencia para gestionar la seguridad de la información en una empresa. No certifica un producto ni una herramienta concreta: certifica que la organización tiene un sistema documentado, con procesos, responsables y controles, para proteger la información con la que trabaja.
Esta guía explica qué es, para qué sirve y en qué se diferencia de otras obligaciones como el RGPD, sin entrar todavía en el detalle técnico de cómo se implementa sobre un entorno como Microsoft 365 — eso lo cubrimos en detalle en ISO 27001 en Microsoft 365: qué evidencias aporta y qué límites tiene.
Qué es ISO 27001
ISO/IEC 27001 es una norma de gestión, no una lista de configuraciones técnicas. Define los requisitos para establecer, implementar, mantener y mejorar de forma continua un Sistema de Gestión de Seguridad de la Información (SGSI).
En la práctica, esto significa que una empresa certificada ha identificado qué información es crítica, qué riesgos tiene, qué controles ha puesto en marcha para reducirlos y cómo revisa y mejora todo eso con el tiempo. La certificación la emite un organismo acreditado externo (AENOR, Bureau Veritas, TÜV, SGS u otro que elija la empresa) tras auditar ese sistema — no la propia empresa, y tampoco un proveedor tecnológico.
Qué es un SGSI
El SGSI (Sistema de Gestión de Seguridad de la Información) es el marco de trabajo completo que exige la norma: políticas, procedimientos, un análisis de riesgos actualizado, roles y responsabilidades definidos, formación del personal, y evidencia de que todo eso se revisa periódicamente. La tecnología (cifrado, control de acceso, copias de seguridad, registro de eventos) es una parte del SGSI, pero no todo — sin documentación y sin procesos, ningún conjunto de herramientas basta para certificarse.
Para qué sirve certificarse
Certificarse en ISO 27001 no es solo una cuestión de cumplimiento normativo. Las razones más habituales por las que una pyme se plantea el proceso son:
- Entrar en pliegos de administración pública o de grandes cuentas, donde la certificación es un requisito habitual para poder presentarse como proveedor.
- Gestionar datos sensibles (sanitarios, financieros, de recursos humanos) y querer formalizar la seguridad más allá de lo que exige el RGPD.
- Dar garantías a clientes que ya piden evidencia de que la información que comparten con la empresa está protegida.
- Ordenar internamente la seguridad, en empresas que ya tienen Microsoft 365 Business Premium y quieren aprovechar esa base técnica dentro de un marco de gestión formal.
ISO 27001 y RGPD no son lo mismo
Es un error habitual pensar que cumplir el RGPD equivale a estar cerca de ISO 27001, o al revés. El RGPD es una obligación legal centrada específicamente en la protección de datos personales. ISO 27001 es un estándar voluntario de gestión que cubre la seguridad de toda la información de la empresa, sean o no datos personales: contratos, propiedad intelectual, información financiera, credenciales, etc.
Ambos marcos se apoyan en controles parecidos (control de acceso, cifrado, gestión de incidentes), por lo que trabajar uno ayuda al otro, pero no son intercambiables ni uno sustituye al otro. Puedes revisar el detalle del marco legal en nuestra guía completa sobre el RGPD.
Los controles del Anexo A y la Declaración de Aplicabilidad
La versión ISO/IEC 27001:2022 incluye un Anexo A con 93 controles organizados en cuatro bloques: organizativos, de personas, físicos y tecnológicos. No todos los controles aplican a todas las empresas — la norma exige documentar, en la Declaración de Aplicabilidad (SoA), cuáles se aplican, cuáles no y por qué, según el alcance y el contexto de cada organización.
Este es uno de los primeros entregables del proceso de implementación, y determina buena parte del trabajo posterior: cuantos más controles tecnológicos apliquen, más peso tendrá la configuración del entorno (identidad, dispositivos, correo, información) en el proyecto.
Cómo se certifica, a grandes rasgos
El proceso pasa, de forma resumida, por definir el alcance, analizar los riesgos, documentar la Declaración de Aplicabilidad, implementar políticas y controles, formar al equipo, pasar una auditoría interna y una revisión por dirección, y finalmente una auditoría de certificación externa en dos fases. Una vez certificada, la empresa mantiene el SGSI con auditorías de seguimiento anuales y recertificación cada 3 años.
Si tu empresa ya usa o va a usar Microsoft 365 Business Premium, gran parte de los controles técnicos de ese proceso se apoyan en herramientas que ya tienes disponibles — identidad, dispositivos, correo e información. El detalle de qué evidencias aporta exactamente M365 y dónde tiene límites lo explicamos en ISO 27001 en Microsoft 365: qué evidencias aporta y qué límites tiene.
Preguntas frecuentes
¿ISO 27001 certifica una herramienta o una empresa?
Certifica a la organización y su Sistema de Gestión de Seguridad de la Información, no un producto ni una plataforma tecnológica concreta. Ninguna herramienta, incluida Microsoft 365, puede "certificar" por sí sola a una empresa.
¿Necesito tener ya Microsoft 365 para empezar el proceso?
No es imprescindible desde el primer día, pero al ser la plataforma de productividad más usada en pymes españolas, buena parte de los controles técnicos del SGSI suelen apoyarse en Microsoft 365 Business Premium en algún punto del proceso.
¿Cuánto tarda el proceso de certificación?
Depende del alcance, el tamaño de la organización y el punto de partida en materia de seguridad. Los plazos se confirman en una reunión inicial tras revisar el caso concreto, no antes.
¿Qué pasa después de certificarse?
El SGSI debe mantenerse vivo: auditorías de seguimiento anuales para conservar la certificación y recertificación completa cada 3 años.
¿Quieres implementar y certificar el SGSI de tu empresa apoyándote en Microsoft 365? Consulta el servicio de Implementación ISO 27001 sobre Microsoft 365 en Kualum Solutions.
