GRCreal // expediente: academia curso: ISO 27001 Lead Implementer
ISO 27001 · CONTEXTO · STAKEHOLDERS
Modulo 4

Contexto de la organizacion

Un SGSI no existe en el vacio.
Entender el entorno es el primer requisito de ISO 27001.

MÓDULO 04 / 10ISO 27001 · Lead Implementer
FOCOContexto de la organizacion

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Clausula 4.1
Entender la organizacion y su contexto
ISO 27001 exige que la organizacion determine las cuestiones externas e internas que son pertinentes para su proposito y que afectan a su capacidad para lograr los resultados previstos del SGSI.
“La organizacion debe determinar las cuestiones externas e internas que son pertinentes para su proposito...”
ISO 27001:2022 · Clausula 4.1
El contexto no es un ejercicio teorico. Es la base sobre la que se construye todo el SGSI. Si el analisis de contexto es incorrecto, todas las decisiones posteriores (riesgos, controles, objetivos) estaran desalineadas con la realidad de la organizacion.
Analisis
Cuestiones externas e internas
🌍Cuestiones externas. Aspectos del entorno de la organizacion que presentan cuestiones que afectan a la seguridad de la informacion
🏢Cuestiones internas. Aspectos propios de la organizacion que influyen en como se gestiona la seguridad de la informacion
Para identificar las cuestiones relevantes, se puede preguntar: ¿Como puede una determinada categoria de cuestiones afectar a los objetivos de seguridad de la informacion?
Factores externos
Que analizar del entorno externo
📋Regulatorio y legal. RGPD, ENS, DORA, NIS2, leyes sectoriales aplicables
🏭Mercado y competencia. Exigencias de clientes, certificaciones requeridas por el sector
🌐Tecnologico. Evolucion del panorama de amenazas, nuevas tecnologias disruptivas
🤝Sociocultural. Expectativas de la sociedad, percepcion publica de la seguridad
🌍Geopolitico. Conflictos, sanciones, tensiones internacionales que afectan a la cadena de suministro digital
Factores internos
Que analizar dentro de la organizacion
🎯Estrategia y objetivos. Mision, vision, objetivos de negocio, apetito de riesgo
🏗️Estructura organizativa. Jerarquia, roles y responsabilidades, cultura de seguridad
💻Tecnologia y activos. Infraestructura, aplicaciones, datos criticos, dependencias tecnologicas
👥Personas y competencias. Concienciacion, formacion, capacitacion del personal en seguridad
💰Financiero. Presupuesto asignado a seguridad, coste de incidentes pasados, capacidad de inversion
Clausula 4.2
Partes interesadas (stakeholders)
Un stakeholder es un individuo u organizacion que puede afectar, verse afectado, o percibirse como afectado por una decision o actividad de la organizacion.
🏛️Stakeholders internos: Alta direccion, responsables de procesos, propietarios de activos, empleados, profesionales de seguridad
🌍Stakeholders externos: Reguladores, accionistas, proveedores, clientes, asociaciones sectoriales, competidores
Para cada stakeholder relevante, la organizacion debe identificar sus necesidades, expectativas y requisitos en materia de seguridad de la informacion, y determinar cuales son aplicables al SGSI.
Clausula 4.3
Determinar el alcance del SGSI
El alcance define donde y para que exactamente es aplicable el SGSI, y donde y para que no lo es. Establecer el alcance es una actividad clave que determina la base necesaria para todas las demas actividades de implementacion.
“Un alcance demasiado amplio hace el proyecto inviable. Un alcance demasiado estrecho deja riesgos criticos fuera.”
Mejores practicas · CertiProf
Los elementos que deben tenerse en cuenta para la definicion del alcance incluyen:
→Los procesos de negocio incluidos (y excluidos)
→Las ubicaciones fisicas y geograficas
→Los activos de informacion (datos, sistemas, aplicaciones)
→La tecnologia y la infraestructura
→Las partes interesadas y los requisitos contractuales y regulatorios aplicables
Resumen del modulo
Lo que debes llevarte de aqui
1El contexto incluye cuestiones externas e internas que afectan al SGSI
2Los stakeholders tienen necesidades y expectativas que el SGSI debe considerar
3El alcance define los limites del SGSI y es critico para el exito
4Un mal analisis de contexto invalida todas las decisiones posteriores del SGSI
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de diseño, implantación, operación y mejora de un SGSI basado en riesgos. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Contexto de la organizacion», comienza delimitando límites, interfaces, exclusiones y dependencias que condicionan el sistema de gestión. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Dirección, Seguridad, Riesgos, Tecnología, Legal, Personas y propietarios de activos. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • alcance y contexto aprobados
  • metodología y evaluación de riesgos
  • plan de tratamiento y Declaración de Aplicabilidad
  • procedimientos, registros y métricas operativas
  • auditoría interna, revisión y acciones de mejora
CASO DE REVISIÓN

Aplicación de «Contexto de la organizacion»

Escenario: una organización quiere implantar ISO 27001 y comienza por redactar políticas sin haber definido alcance, contexto ni riesgos. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta límites, interfaces, exclusiones y dependencias que condicionan el sistema de gestión.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • implantar controles antes de entender el riesgo
  • copiar documentación genérica
  • dar por terminado el SGSI al obtener la certificación
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Contexto de la organizacion»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Contexto de la organizacion

El alcance propuesto incluye “el departamento de TI”, pero los datos tratados pertenecen a negocio, se almacenan en SaaS y son gestionados por personal remoto.

CONTEXTO TÉCNICO

CRM SaaS, M365, VPN, proveedor de nómina y equipos remotos.

DECISIÓN

  • Definir alcance por procesos, información, ubicaciones, tecnologías e interfaces.
  • Asignar un responsable y una fecha de revisión.
  • Definir cómo se comprobará la eficacia.

EVIDENCIA

  • Mapa de procesos, activos, ubicaciones, terceros, dependencias y exclusiones.
  • Corroborar con una fuente independiente.
  • Conservar población, periodo y responsable.

ERROR A EVITAR

  • Usar el organigrama como único límite del SGSI.
  • Aceptar afirmaciones sin prueba suficiente.
  • Cerrar acciones sin verificación posterior.
MINI EJERCICIO RESUELTO

¿Qué elemento demuestra que el alcance “TI” es insuficiente?

Respuesta orientativa: La información y sus riesgos atraviesan negocio, terceros y servicios fuera de TI.

¿QUÉ CAMBIARÍA SI…?

la empresa decide excluir el proveedor de nómina?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

El alcance no ha cambiado en dos años, pero negocio, proveedores y arquitectura sí. ¿Qué revisarías primero?

Busca cambios que alteren dependencias, obligaciones, activos, riesgos o capacidad de control.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Entender la organizacion y su contexto

  2. 02

    Cuestiones externas e internas

  3. 03

    Que analizar del entorno externo

El siguiente paso es entender
el compromiso de la direccion.
Siguiente modulo: Liderazgo
← Anterior Continuar →