Recurso gratuito · ISO/IEC 27001:2022
Checklist de documentos obligatorios ISO 27001
ISO 27001:2022 pide información documentada concreta y, en la práctica, los auditores esperan algunas políticas más. Esta lista separa unas de otras: redacte lo requerido y deje el resto. Descargue el CSV para seguir el estado.
Documentos que exige la norma
- Alcance del SGSI (cláusula 4.3)
- Política de seguridad de la información (5.2)
- Proceso y criterios de evaluación de riesgos (6.1.2)
- Proceso de tratamiento de riesgos (6.1.3)
- Declaración de aplicabilidad (6.1.3 d)
- Objetivos de seguridad de la información y planes para lograrlos (6.2)
Registros que exige la norma
- Evidencia de competencia de quienes realizan tareas de seguridad (7.2)
- Resultados de la evaluación de riesgos de seguridad (8.2)
- Resultados del tratamiento de riesgos, incluido el plan y la aceptación del riesgo residual (6.1.3 e, f; 8.3)
- Evidencia de los resultados de seguimiento y medición (9.1)
- Programa de auditoría interna y resultados de auditoría (9.2)
- Resultados de las revisiones por la dirección (9.3)
- Naturaleza de las no conformidades, acciones tomadas y resultados de las acciones correctivas (10.2)
Políticas y registros que suelen esperar los auditores
- Política de control de acceso
- Política de uso aceptable
- Política de criptografía y gestión de claves
- Política de copias de seguridad y pruebas de restauración
- Plan de respuesta a incidentes y registro de incidentes
- Política de seguridad de proveedores y terceros, con revisiones de proveedores
- Plan de continuidad del negocio y de las TIC, con resultados de pruebas
- Política de desarrollo seguro y gestión de cambios
- Inventario de activos y esquema de clasificación de la información
- Política de teletrabajo y dispositivos móviles
Buenas prácticas para todos los documentos
- Cada documento tiene propietario, versión, fecha y aprobación
- Los documentos se revisan según un calendario y tras cambios significativos
- El acceso a los documentos está controlado y la versión vigente es fácil de encontrar
- Las versiones obsoletas solo se conservan por una razón y se marcan como sustituidas
Basado en ISO/IEC 27001:2022. Las referencias de cláusula indican dónde la norma exige información documentada; el tercer grupo es práctica habitual de auditoría, no un requisito formal. Véase iso.org.
Preguntas frecuentes sobre los documentos ISO 27001
- ¿Cuántos documentos exige ISO 27001?
- La norma nombra unos 6 documentos (alcance, política, procesos de evaluación y tratamiento de riesgos, DdA y objetivos) y unos 7 tipos de registros. El Anexo A añade políticas y procedimientos según los controles que le apliquen.
- ¿Hace falta una política distinta por cada control del Anexo A?
- No. Redacte las políticas que sus riesgos y la DdA pidan y manténgalas breves. Una política sobre algo que no hace, o una regla que nadie cumple, es un problema en la auditoría.
- ¿Qué diferencia hay entre documento y registro?
- Un documento dice qué debe ocurrir (política o procedimiento). Un registro prueba lo que ocurrió (informe de auditoría, revisión de accesos, registro de formación). Los auditores comprueban ambos.
- ¿Cambió la revisión de 2022 los documentos requeridos?
- La información documentada requerida es esencialmente la misma que en 2013. El cambio principal es la nueva estructura del Anexo A, que su Declaración de aplicabilidad debe seguir.
Escriba menos, demuestre más
CATAAM genera la DdA y conserva evidencias controladas de sus políticas y registros, de modo que sus documentos se mantienen al día sin un proyecto de control documental.