La pregunta correcta al arrancar una implantación de ISO 27001 no es «¿qué control toca ahora?», sino «¿qué control reduce más riesgo por cada hora invertida?». La diferencia entre una y otra decide si el sistema de gestión echa a andar o se queda en una carpeta de documentos que nadie abre.
El motivo es sencillo: los primeros meses son los que deciden si la dirección sigue financiando el proyecto. Un control que reduce riesgo de forma visible y deja evidencia limpia para el auditor compra margen para lo demás. Uno que consume tres semanas de reuniones sin efecto perceptible lo consume.
Lo esencial
- El Anexo A es un catálogo del que se selecciona con criterio de riesgo, no una lista de tareas que haya que completar de principio a fin.
- Cuatro controles concentran la mayor parte de la reducción de riesgo temprana: accesos, inventario, copias verificadas y parcheo priorizado.
- El criterio para elegirlos no es solo cuánto riesgo quitan, sino qué evidencia dejan: lo que no se puede demostrar no cuenta en auditoría.
El Anexo A no es una lista de tareas
Conviene empezar deshaciendo un malentendido frecuente. La edición de 2022 de ISO/IEC 27001 reorganizó el Anexo A en 93 controles agrupados en cuatro temas: 37 organizativos, 8 de personas, 14 físicos y 34 tecnológicos. La edición anterior, de 2013, tenía 114 controles repartidos en 14 dominios, y la reducción responde a consolidación, no a un aflojamiento de exigencias.
Lo importante para quien empieza es que esos 93 controles no son un temario que haya que cubrir entero. La norma exige seleccionar los controles aplicables a partir del análisis de riesgos y justificar en la declaración de aplicabilidad tanto lo que se incluye como lo que se descarta. Es decir: el orden lo marca tu riesgo, no la numeración del anexo.
Con esa idea clara, la pregunta operativa se vuelve manejable. De los 93, ¿cuáles rinden antes?
1. Control de accesos: MFA y mínimo privilegio
Es el que más impacto tiene en menos tiempo. Activar autenticación multifactor resistente a phishing y aplicar mínimo privilegio corta de raíz el uso de credenciales robadas y limita hasta dónde llega un atacante que ya ha entrado.
Empieza por donde más duele: cuentas administrativas, acceso remoto, correo y las aplicaciones que sostienen la operación. No hace falta cubrir toda la organización el primer mes para notar el efecto.
La evidencia que genera es de las más limpias que vas a tener: informes de cobertura de MFA, revisiones de permisos con fecha y responsable, y registros de altas y bajas. Un auditor puede verificarlo en minutos.
El error habitual es desplegar MFA y darlo por hecho, dejando fuera las cuentas de servicio y los accesos de proveedores, que son justo los que nadie revisa.
2. Inventario de activos y clasificación de la información
No se puede proteger —ni delimitar el alcance del sistema de gestión— lo que no se sabe que existe. Un inventario mínimo viable con equipos, servicios en la nube, datos sensibles y un responsable por cada cosa sostiene casi todos los demás controles.
Rinde pronto porque evita trabajo inútil: sin él, se acaban aplicando controles caros sobre activos irrelevantes mientras algo crítico sigue sin cubrir. Y en auditoría, el inventario es lo primero que se pide para comprobar que el alcance declarado se corresponde con la realidad.
El error habitual es perseguir el inventario perfecto. Uno incompleto pero actualizado y con dueño vale más que una hoja de cálculo exhaustiva de hace ocho meses.
3. Copias de seguridad verificadas y plan de restauración
El valor no está en tener copias, sino en restaurar rápido cuando algo falla. Copias inmutables y aisladas, con objetivos de tiempo y punto de recuperación acordados con negocio y probados con una restauración real, son el control que más veces decide si un incidente es una molestia o una crisis.
Este es el punto donde la palabra «evidencia» se vuelve literal. «Tenemos copias» no es evidencia. El acta de una restauración probada, con fecha, alcance y tiempo empleado, sí lo es.
El error habitual es probar la restauración de un fichero suelto y extrapolar. Restaurar un documento no demuestra que puedas levantar un servicio completo.
4. Gestión de vulnerabilidades basada en riesgo
El cuarto control ha ganado peso por un cambio de fondo en cómo entran los atacantes. Durante años, las credenciales robadas fueron la vía de acceso inicial más frecuente; según el Informe de Investigaciones de Brechas de Datos de Verizon de 2026, la explotación de vulnerabilidades la ha superado por primera vez, con los equipos de perímetro y las VPN como protagonistas del salto.
La consecuencia práctica es que parchear por orden de puntuación CVSS ya no basta. Hay que priorizar por explotación real y exposición: qué está accesible desde fuera, qué se está explotando de verdad y qué sostiene un proceso crítico. Es el enfoque que desarrollamos al hablar de cómo priorizar vulnerabilidades explotables con KEV, EPSS y SSVC, y encaja de forma natural con un programa de gestión de vulnerabilidades continuo.
Complétalo con gestión de parches con ventanas acordadas y con la retirada del software sin soporte, que suele ser la deuda más barata de saldar y la que peor se ve en una auditoría.
Lo que conviene aparcar de momento
Tan importante como saber por dónde empezar es saber qué puede esperar. Las políticas extensas redactadas antes de tener controles que las respalden envejecen mal y hay que reescribirlas. La clasificación documental exhaustiva, si aún no hay inventario, es un ejercicio teórico. Y las métricas sofisticadas de madurez, cuando todavía no hay datos que alimentarlas, consumen tiempo que rinde más en cualquiera de los cuatro controles anteriores.
Nada de esto sobra en un sistema de gestión maduro. Simplemente no es por donde se empieza.
Cómo encadenar el resto
Con esos cuatro controles en marcha tienes riesgo real reducido y evidencia temprana, que es exactamente lo que hace falta para que la dirección respalde el resto del recorrido. A partir de ahí, el orden natural suele ser respuesta a incidentes, concienciación y gestión de proveedores, porque los tres se apoyan en lo que ya has construido.
Si quieres un mapa completo del recorrido, lo detallamos en el proceso de implantación de ISO 27001, y para localizar los siguientes huecos ayuda pasar un checklist de auditoría de seguridad.
ISO 27001 funciona mejor cuando la secuencia de implantación sigue el riesgo real y no la numeración del anexo. Los cuatro controles de arriba no son la norma entera —ni pretenden serlo—, pero son los que hacen que el resto tenga alguna posibilidad de salir adelante. Si quieres ayuda para ordenar la implantación, puedes ver cómo enfocamos la certificación ISO 27001.