La mayoría de las empresas que creen tener un SGSI tienen, en realidad, una carpeta de políticas. Alguien redactó una política de seguridad, otra de contraseñas y otra de copias de seguridad, las guardó en una unidad compartida y dio el tema por cerrado. Es un buen punto de partida, pero no es un sistema de gestión. La diferencia no es de cantidad de documentos: es de naturaleza.
Qué hace un SGSI que una carpeta de políticas no hace
Una política describe una intención: "haremos las copias de seguridad así". Un SGSI es el proceso que decide por qué esa política existe, comprueba que se cumple, mide si funciona y la corrige cuando deja de hacerlo. La política es la foto; el SGSI es la película.
Dicho de otro modo: un documento no sabe si está desactualizado. Un sistema de gestión sí, porque incluye los mecanismos —auditoría interna, revisión por la dirección, gestión de riesgos— que detectan cuándo la realidad se ha separado del papel y obligan a actuar.
Las cláusulas 4 a 10: dónde vive de verdad el SGSI
En la ISO/IEC 27001:2022, el sistema de gestión se define en las cláusulas 4 a 10, y son las que un documento suelto no cubre:
- Cláusula 4 — Contexto: qué protege la organización, para quién y con qué alcance.
- Cláusula 5 — Liderazgo: la dirección asume la seguridad como responsabilidad propia, no delegada a un documento.
- Cláusula 6 — Planificación: una metodología de análisis de riesgos documentada y repetible, y objetivos de seguridad medibles.
- Cláusula 7 — Soporte: recursos, competencias, concienciación y control de la documentación.
- Cláusula 8 — Operación: ejecutar el tratamiento de riesgos en el día a día.
- Cláusula 9 — Evaluación del desempeño: medir, auditar internamente y revisar por la dirección.
- Cláusula 10 — Mejora: tratar las no conformidades y aplicar acciones correctivas.
Ahí está la línea que separa "tener políticas" de "tener un SGSI": las cláusulas 4 a 10 son gobierno vivo. Una política aislada no tiene metodología de riesgos, ni objetivos medibles, ni programa de auditoría interna, ni revisión por la dirección.
El Anexo A va debajo del sistema de gestión, no en su lugar
El Anexo A de la ISO 27001:2022 reúne 93 controles agrupados en cuatro temas: organizativos, de personas, físicos y tecnológicos. Es la parte que la mayoría reconoce como "seguridad": control de accesos, cifrado, gestión de vulnerabilidades, registro de eventos.
El error habitual es empezar por ahí. Los controles del Anexo A no se aplican en bloque: se seleccionan en función del riesgo, y esa selección se justifica en la declaración de aplicabilidad. Sin la capa de gobierno de las cláusulas 4 a 10 encima, los controles son medidas sueltas sin un criterio que explique por qué están, quién los revisa y qué pasa cuando fallan. El Anexo A va debajo del sistema de gestión, no en su lugar.
Cómo saber si lo que tienes es un SGSI o solo políticas
Cuatro preguntas rápidas separan un caso del otro. Si la respuesta a la mayoría es "no", tienes políticas:
- ¿Existe una metodología de análisis de riesgos documentada que se repite periódicamente?
- ¿Hay objetivos de seguridad medibles y alguien que revise si se cumplen?
- ¿Se realiza un programa de auditoría interna con hallazgos y responsables?
- ¿La dirección revisa formalmente el estado de la seguridad y toma decisiones sobre él?
Un SGSI responde "sí" a las cuatro, y deja evidencia de cada una. Una carpeta de políticas responde "no" a casi todas, aunque los documentos estén bien escritos.
Por qué esto importa para certificarte: documentado, verificado y operado
Aquí está la consecuencia práctica. Un sistema de gestión, por sí solo, no produce un certificado ISO 27001. El certificado lo emite una entidad de certificación acreditada tras una auditoría, y esa auditoría comprueba tres cosas distintas: que el SGSI está documentado, que está verificado (hay evidencia de que los controles se ejecutan) y que está operado (funciona en el día a día, no solo el día de la auditoría). Una carpeta de políticas supera, como mucho, la primera. Puedes profundizar en esa distinción en qué comprueba realmente una auditoría de certificación.
De las políticas al sistema que se sostiene
El salto de "tener políticas" a "tener un SGSI" no es escribir más documentos: es operar las cláusulas 4 a 10 de forma continua —los análisis de riesgos, las auditorías internas, las revisiones por la dirección— mes a mes, no una vez al año antes de la auditoría. Ese trabajo continuo es exactamente lo que se cae cuando depende de una sola persona con otras diez prioridades.
Qalea opera ese sistema de gestión de forma continua: no entrega una carpeta de políticas y se marcha, sino que mantiene vivo el proceso que las genera, las verifica y las revisa, de modo que lo que hay en el papel siga describiendo lo que pasa de verdad. Si quieres saber si lo que tienes hoy es un SGSI o solo un buen conjunto de documentos, ese es el primer diagnóstico.
