Qué es un SGSI y la norma ISO/IEC 27001:2022

En el curso anterior conoció ISO/IEC 27001 a vista de pájaro: supo que define un SGSI, que tiene cláusulas obligatorias y un Anexo A de controles, y que se puede certificar. Aquí empieza el trabajo fino. Vamos a estar meses, en la ficción, dentro de Financiera Talamanca, construyendo cada documento que la norma exige. Esta lección fija el mapa: qué es exactamente un SGSI, qué pide la norma y cómo está escrita, para que las lecciones siguientes no lo tomen por sorpresa.

Qué es un SGSI

Un sistema de gestión de seguridad de la información (SGSI) es el conjunto de políticas, procesos, roles, documentos y registros con los que una organización gestiona sus riesgos de seguridad de forma continua y comprobable. La palabra clave es "sistema": no es un antivirus ni un firewall, sino la manera ordenada de decidir qué proteger, cómo, quién responde y cómo se demuestra.

Piénselo como la contabilidad de la seguridad. Una empresa no demuestra que maneja bien su dinero porque alguien diga que es cuidadoso, sino porque lleva libros, los revisa un auditor y la gerencia los aprueba. El SGSI hace lo mismo con la información: convierte buenas intenciones en documentos, evidencia y decisiones firmadas.

El corazón del SGSI es el ciclo de mejora continua, conocido como planificar, hacer, verificar y actuar (PHVA). Se planifica a partir de los riesgos, se implementan controles, se mide si funcionan y se corrige lo que falla. El sistema nunca "termina": vuelve a empezar cada año.

Breve historia y contexto

La norma no nació de un día para otro. Conviene conocer los hitos para no confundir ediciones, porque un auditor distingue de inmediato a quien cita la versión vieja.

Año	Hito
1995	Norma británica BS 7799, primer catálogo de buenas prácticas
2005	Primera edición de ISO/IEC 27001, con el modelo de SGSI
2013	Segunda edición; el Anexo A tenía 114 controles en 14 dominios
2022	Edición vigente; 93 controles reorganizados en 4 temas

La edición de 2022 es la que se audita hoy. Su cambio más visible fue reducir y reagrupar los controles del Anexo A, y añadir atributos para clasificarlos. El cuerpo de requisitos, las cláusulas 4 a 10, cambió poco: sigue siendo el mismo modelo de gestión.

Cómo está escrita la norma

ISO/IEC 27001:2022 tiene dos partes que conviene no mezclar:

• El cuerpo (cláusulas 4 a 10): los requisitos obligatorios del sistema de gestión. Todos deben cumplirse para certificarse. No se pueden excluir.
• El Anexo A: una lista de 93 controles de referencia. De aquí sí se puede excluir lo que no aplique, siempre que se justifique en la Declaración de Aplicabilidad.

Las siete cláusulas obligatorias son el esqueleto del curso:

Cláusula	Tema	En qué módulo se trabaja
4. Contexto	Organización, partes interesadas y alcance	Módulo 1
5. Liderazgo	Compromiso de la dirección, política y roles	Módulo 1
6. Planificación	Evaluación y tratamiento de riesgos, objetivos	Módulo 2
7. Soporte	Recursos, competencia, concienciación, información documentada	Módulo 3
8. Operación	Ejecutar los procesos de riesgo y los controles	Módulo 3
9. Evaluación del desempeño	Medición, auditoría interna y revisión por la dirección	Módulo 4
10. Mejora	No conformidades, acciones correctivas y mejora continua	Módulo 4

Donde la norma dice información documentada, se refiere a documentos y registros que el auditor podrá pedir. No exige un formato: una política puede ser un archivo de texto, pero debe estar aprobada, tener versión y ser controlada.

Conceptos clave que usará el curso

Concepto	Qué significa
SGSI	El sistema de gestión completo, no una herramienta
Alcance	Qué partes de la organización cubre el SGSI
Parte interesada	Quien afecta o le afecta el SGSI: clientes, SUGEF, empleados, proveedores
Control	Medida que reduce un riesgo; el Anexo A lista 93 de referencia
Declaración de Aplicabilidad (SoA)	Documento que dice qué controles aplican y su estado
No conformidad	Incumplimiento de un requisito de la norma o del propio SGSI
Información documentada	Documentos y registros que el SGSI debe mantener y controlar

Por qué importa

Quien domina este mapa deja de ver la certificación como un trámite y la entiende como un proyecto de gestión. Las jefaturas de tecnología que solo hablan de herramientas fracasan en la auditoría; las que entienden el ciclo PHVA y la información documentada la aprueban. En Costa Rica, además, un SGSI bien armado le sirve a Talamanca para dos cosas a la vez: cumplir lo que pide la SUGEF y dar evidencia de la seguridad que exige la Ley 8968.