Cómo se controla la información en ISO 27001

La ISO 27001 hereda de la estructura común de las normas ISO la exigencia de controlar la información documentada, pero le añade una vuelta de tuerca que las demás no tienen: en un sistema de seguridad de la información, el documento no es solo evidencia del sistema, es en sí mismo un activo que hay que proteger. La política de accesos, el inventario de activos, el análisis de riesgos y la declaración de aplicabilidad no pueden estar en una carpeta compartida donde cualquiera edita y nadie sabe cuál es la versión buena.

Qué pide exactamente la norma

El requisito se divide en dos partes que suelen confundirse. La creación y actualización obliga a que cada documento tenga identificación, formato y una revisión y aprobación antes de entrar en vigor. El control obliga a que esté disponible donde se necesita, protegido contra pérdida de integridad o confidencialidad, y gestionado en su distribución, acceso, conservación y disposición. En un SGSI la parte de "protección" pesa el doble: quién puede leer un documento clasificado también es parte del control documental, no solo del control de accesos.

El error de las carpetas compartidas

La forma más común de perder el control es tener los documentos del sistema en un disco de red o en la nube sin gobierno. Aparecen tres versiones del mismo procedimiento, ninguna dice cuál es la vigente, alguien trabaja con una copia descargada hace seis meses, y en la auditoría el responsable abre el archivo equivocado. Para un sistema de seguridad de la información esto es doblemente grave, porque significa que el control sobre un activo de información no existe: cualquiera edita, nadie registra el cambio y no hay forma de saber quién accedió a qué.

Lo que el control documental sí debe garantizar

• —Versión vigente inequívoca: una sola copia oficial, y las obsoletas retiradas o marcadas para que no se usen por error.
• —Aprobación registrada: quién revisó y quién aprobó cada versión, con fecha, antes de que entrara en vigor.
• —Distribución controlada: quién debe conocer cada documento y confirmación de que lo recibió, no un correo masivo que nadie abrió.
• —Acceso según clasificación: los documentos con información sensible se leen solo por quien tiene autorización, y eso queda registrado.
• —Historial de cambios: qué cambió entre versiones y por qué, para poder reconstruir el estado del sistema en cualquier fecha.
• —Conservación y disposición: cuánto tiempo se guarda cada registro y cómo se destruye cuando ya no aplica.

Documentos internos y de origen externo

La norma pide controlar también los documentos de origen externo que el sistema necesita: requisitos legales aplicables, normas de referencia, contratos con cláusulas de seguridad, requisitos de clientes sobre manejo de datos. Estos suelen quedar fuera del control porque "no son nuestros", y ahí aparece el hallazgo: se está operando con una versión desactualizada de un requisito legal, o con un contrato cuya cláusula de protección de datos ya venció. Identificarlos y controlar su vigencia es parte del mismo requisito.

Un lugar único donde vive el documento

Sostener esto con carpetas y correos es inviable en cuanto el sistema crece. Lo que ordena el requisito es exactamente lo que hace un Software de gestión documental para sistemas de gestión: una única versión vigente por documento, el flujo de revisión y aprobación antes de publicar, la distribución con acuse de quién lo leyó, el control de acceso por perfil, y el historial completo que permite demostrarle a un auditor qué versión estaba vigente en cualquier fecha y quién la aprobó. La confidencialidad, la integridad y la disponibilidad —los tres pilares del SGSI— empiezan por controlar el documento.