Cuando una pyme ecuatoriana decide avanzar hacia ISO 27001, la conversación casi siempre empieza igual: políticas, antivirus, contraseñas, control de accesos. Son controles importantes y visibles, y por eso se atienden primero. El problema es que la norma no se agota ahí.
El Anexo A de la versión 2022 reúne 93 controles organizados en cuatro grupos: organizacionales, de personas, físicos y tecnológicos. Ninguna empresa los aplica todos con la misma intensidad, y está bien: la norma exige decidir cuáles aplican según su riesgo. Lo que sí es común es que ciertos controles se descarten o se dejen "para después" sin que nadie haya evaluado de verdad si aplican.
Esta nota repasa cinco de ellos. No porque sean los más sofisticados, sino porque cuando algo sale mal son los que más se echan de menos, y porque implementarlos razonablemente no requiere un presupuesto corporativo.
Parece trivial, pero es el cimiento de todo lo demás. ¿Cuántos servidores, aplicaciones en la nube, equipos portátiles, cuentas de redes sociales corporativas y bases de datos tiene su empresa? ¿Quién es responsable de cada uno?
En la práctica, muchas pymes descubren durante el primer análisis de riesgos que existen sistemas olvidados: un servidor viejo que nadie apagó, una hoja de cálculo con datos de clientes en el correo personal de un empleado, una herramienta contratada por un área sin avisar a TI. Cada uno es una puerta abierta que nadie vigila.
Un inventario útil no tiene que ser un software costoso. Puede empezar como una tabla con tres columnas: qué es, quién responde por ello y qué información maneja. Lo importante es mantenerlo vivo.
Este control es nuevo en la versión 2022 y trata de algo muy concreto: que los equipos y sistemas tengan una configuración definida, documentada y revisada, en lugar de quedar como los dejó el instalador.
Piense en un router con la contraseña original, un servidor con servicios activos que nadie usa o una cuenta de administrador compartida entre tres personas. Ninguno es un ataque sofisticado; son descuidos de configuración que un atacante o un simple error aprovechan.
Para una pyme, el primer paso es definir una configuración mínima segura para los equipos y servicios más importantes y verificar de vez en cuando que se mantiene. No hace falta automatizar todo desde el día uno.
Cuando ocurre un incidente, las primeras preguntas son siempre las mismas: ¿qué pasó, cuándo, desde dónde y qué se tocó? Sin registros de actividad (quién ingresó, qué cambió, qué se descargó), esas preguntas quedan sin respuesta o se responden con conjeturas.
Esto pesa también en cumplimiento. Si ocurre una vulneración de datos personales, la empresa debe poder explicar qué datos se vieron afectados. Sin registros, esa explicación no existe.
El avance práctico es modesto: activar los registros en los sistemas críticos, guardarlos en un lugar donde no puedan borrarse fácilmente y designar a alguien que los revise con una periodicidad definida. Un registro que nadie mira equivale a no tenerlo.
Otro control incorporado en 2022 conecta la tecnología con la continuidad del negocio. Pregunta algo simple: ¿sus sistemas están preparados para volver a operar dentro del tiempo que el negocio necesita?
La trampa habitual es confiar en que "hay respaldos". Existe una diferencia grande entre tener copias y haber comprobado que se pueden restaurar, completas, en un plazo aceptable. Muchas empresas lo descubren recién el día en que lo necesitan.
Una prueba de restauración trimestral de un sistema importante, anotando cuánto tardó y qué falló, ya es evidencia sólida para una auditoría y, sobre todo, tranquilidad real para la gerencia.
Este tercer control nuevo suena a algo reservado para grandes bancos, pero su espíritu es accesible: informarse sobre las amenazas que realmente podrían afectar a su sector y su tecnología, y usar esa información para decidir.
Para una pyme significa algo muy cotidiano: suscribirse a las alertas de su proveedor principal de software, seguir los avisos de los equipos de respuesta a incidentes nacionales y regionales, y asignar a una persona la tarea de leerlos y decidir si algo exige actuar. Una vulnerabilidad en el programa que usa toda su empresa y que nadie vio publicada es un riesgo evitable.
No es necesario implementar los cinco a la vez. Una secuencia razonable es comenzar por el inventario de activos, porque alimenta el análisis de riesgos; seguir con registros y respaldos probados, que dan capacidad de respuesta; y dejar configuración e inteligencia de amenazas como rutinas ligeras que se incorporan gradualmente.
Lo esencial es que la decisión de aplicar o no un control quede fundamentada en el riesgo de su negocio y no en la comodidad. Un control descartado con una justificación clara es parte de un buen sistema de gestión. Uno ignorado por desconocimiento es una exposición.
No vendemos miedo; construimos resiliencia. Y la resiliencia se construye con controles proporcionados a su realidad, que su equipo pueda sostener en el tiempo.
¿Quiere saber cuáles de estos controles le tocan a su empresa y en qué estado están hoy? Solicite un diagnóstico gratuito en protego-consulting.com/contacto.html o escríbanos por WhatsApp.
Referencia: estructura del Anexo A de ISO/IEC 27001:2022 (93 controles en cuatro grupos), según guías de implementación como DQS y Scrut.
Conversemos sobre la situación de su organización y definamos con evidencia qué priorizar primero.