Los certificados ISO 27001 vigentes en el mundo casi se duplicaron en un año. Según el ISO Survey, la medición oficial de la Organización Internacional de Normalización, pasaron de 48.671 en 2023 a 96.709 en 2024. Parte del salto responde a un mejor registro de datos, pero la tendencia es clara: cada vez más empresas necesitan demostrar, con un papel firmado por un tercero, que protegen bien la información.
La presión llega por tres vías: clientes que la piden en licitaciones, aseguradoras que revisan los controles de seguridad antes de cotizar pólizas de ciberriesgo y regulaciones que exigen un sistema de gestión de seguridad.
Qué es la ISO 27001
La ISO/IEC 27001 es la norma internacional que fija los requisitos de un Sistema de Gestión de Seguridad de la Información (SGSI). Un SGSI reúne las políticas, procesos, controles y responsables con que una organización protege la confidencialidad, la integridad y la disponibilidad de sus datos.
La norma no es una lista de programas que comprar. Funciona como un método de gestión basado en riesgos: la empresa identifica qué información es crítica, qué la amenaza, qué controles aplica y cómo mejora con el tiempo. Un organismo certificador independiente audita que ese sistema exista, funcione y mejore, y emite el certificado.
Qué cambió con la versión 2022
Si su empresa o uno de sus proveedores exhibe un certificado ISO 27001:2013, conviene revisarlo hoy. El Foro Internacional de Acreditación (IAF) fijó el 31 de octubre de 2025 como fecha límite para migrar a la versión 2022. Desde ese día, los certificados emitidos bajo la versión anterior quedaron retirados, aunque el papel diga otra fecha de vencimiento.
La versión 2022 reorganizó el Anexo A, la lista de controles de seguridad:
- Bajó de 114 a 93 controles, porque fusionó los que se repetían.
- Los agrupó en cuatro temas: organizacionales (37), de personas (8), físicos (14) y tecnológicos (34).
- Sumó 11 controles nuevos, entre ellos inteligencia de amenazas, seguridad en servicios en la nube, prevención de fuga de datos, monitoreo de actividades, codificación segura y preparación de la tecnología para la continuidad del negocio.
Esos controles nuevos describen los frentes por donde hoy entran los atacantes. Una empresa que trabaja en la nube y no monitorea la actividad de sus usuarios tiene brechas que la versión 2013 ni siquiera nombraba.
Para qué le sirve a una empresa
En la práctica, la certificación resuelve cuatro problemas:
- Due diligence de clientes. Cuando un cliente grande envía un cuestionario de seguridad, la empresa certificada responde con evidencia ya auditada y no parte de cero.
- Licitaciones. Algunas bases públicas y privadas incluyen la certificación entre sus requisitos de seguridad.
- Seguros. Las aseguradoras de ciberriesgo revisan qué controles tiene la empresa antes de fijar la prima.
- Orden interno. El SGSI asigna responsables, define procesos y deja registro, algo que cualquier auditor, regulador o inversionista entiende.
El caso chileno: Cuando la norma se vuelve ley
Chile muestra hacia dónde puede ir la región. Su Ley Marco de Ciberseguridad (Ley 21.663), vigente desde 2025, exige a los Operadores de Importancia Vital implementar un SGSI. La Agencia Nacional de Ciberseguridad ya calificó a 1.154 organizaciones como OIV, con multas que pueden llegar a 40.000 UTM, unos USD 3 millones, por infracción gravísima.
La ISO 27001 es la norma internacional de referencia para construir ese tipo de sistema. Para esas organizaciones, la certificación ISO 27001 en Chile es la forma más conocida de demostrar ante terceros que su SGSI existe y funciona. Para una empresa mexicana que vende servicios o tecnología a clientes chilenos de esos sectores, conviene conocer ese contexto antes de negociar un contrato.
Cómo empezar sin perderse
El camino suele tener cinco etapas:
- Definir el alcance. Qué procesos, sedes y sistemas entran en el SGSI. Un alcance acotado acelera la primera certificación.
- Evaluar riesgos. Identificar activos, amenazas y vulnerabilidades, y decidir qué hacer con cada riesgo.
- Implementar controles. Elegir del Anexo A los que aplican y documentar por qué se excluyen los demás.
- Auditoría interna y revisión de la dirección. La norma exige que la alta dirección participe; no es un proyecto solo del área de TI.
- Auditoría de certificación. Un organismo acreditado revisa en dos etapas y, si todo está en orden, emite el certificado por tres años, con auditorías de seguimiento anuales.
El error más común es tratar la ISO 27001 como un trámite documental. Las auditorías revisan que el sistema opere: que los controles se apliquen, que los incidentes se registren y que la empresa aprenda de ellos. Una empresa que solo redacta políticas para la auditoría suele tropezar en el primer seguimiento.
