ISO 27001 y 27002: el sistema de gestión de la seguridad de la información

Para un empleado, un sistema de gestión se nota sobre todo en las reglas del día a día y en saber a quién dirigirse. La CISA cita los gestos de higiene básica: contraseñas robustas, actualizaciones, prudencia con los enlaces, autenticación multifactor⁷. También ofrece formaciones y talleres, por ejemplo un taller de iniciación para responsables locales sobre las amenazas habituales y las prácticas básicas⁷.

La comunicación de incidencias forma parte del enfoque. La CISA afirma que cualquiera puede ayudar a frenar una amenaza comunicando una actividad sospechosa o un comportamiento extraño⁷. Las fuentes citadas aquí no precisan el procedimiento interno de una empresa concreta: depende de la organización, que es quien lo comunica.

El NCSC escribe que la mejora de los resultados de la actividad debe ser el motor principal de la gestión del riesgo cibernético. Defiende una gestión «que ilumine los riesgos cibernéticos reales» de la organización, y no técnicas que solo buscan satisfacer requisitos de cumplimiento². Precisa que su guía no es prescriptiva y que ninguna técnica sirve para todas las situaciones².

Para los consejos de administración, el NCSC ha publicado una caja de herramientas organizada en torno al Cyber Governance Code of Practice. Contiene dos módulos de introducción, uno de ellos para quienes se acercan por primera vez a la ciberseguridad, y un documento de preguntas que el consejo puede formular para evaluar el desempeño de la organización³.

En su guía SP 800-30 Rev. 1 (septiembre de 2012), el NIST describe el análisis de riesgos como una parte de un proceso global de gestión del riesgo, que proporciona a los directivos la información para decidir⁴.

Los textos ISO no figuran en las fuentes citadas aquí: por eso no se resume su contenido preciso (requisitos, medidas, alcance, declaración de aplicabilidad, desarrollo de una certificación).

Las fuentes sí aportan elementos sobre marcos cercanos. El catálogo SP 800-53 Rev. 5 del NIST (publicado en septiembre de 2020) reúne medidas de seguridad y de protección de la privacidad para proteger las operaciones, los activos y las personas frente a amenazas variadas, entre ellas los ataques hostiles, los errores humanos y las catástrofes naturales¹. Incluye familias de medidas como el control de acceso, la concienciación y la formación, la respuesta a incidentes o la evaluación de riesgos¹.

El Cybersecurity Framework del NIST, en su versión 2.0, se presenta como una herramienta para reducir los riesgos cibernéticos, con guías de inicio rápido, perfiles y tablas de correspondencia con otros recursos⁵. Una guía de inicio dirigida a las pequeñas y medianas empresas ofrece recursos para poner en marcha una estrategia de gestión del riesgo⁶.

Por último, el NIST ofrece una herramienta de referencia en línea sobre ciberseguridad y privacidad, el CPRT⁸.

Ninguna de las fuentes citadas aquí trata de la aplicación de NIS 2, de la normativa europea ni de los recursos de la ANSSI. Ninguna indica la duración ni el calendario de una certificación ISO 27001. Estos elementos quedan por documentar con fuentes adecuadas.

Lo que las fuentes permiten decir sobre el estado de los marcos citados: el NIST publicó una versión menor de SP 800-53, la 5.2.0, el 27 de agosto de 2025, con nuevas medidas y revisiones de medidas existentes¹. También puso en línea tres cursos de introducción de autoaprendizaje sobre el catálogo SP 800-53, sus procedimientos de evaluación (SP 800-53A) y sus niveles de referencia (SP 800-53B)⁶. El NCSC indica para su caja de herramientas una versión 3.0, revisada el 8 de abril de 2025³.