Es una escena que se repite en la primera reunión. Alguien del equipo de TI abre una planilla con los controles del Anexo A de ISO/IEC 27001 y una columna de sí/no. El resultado da alto: setenta y tantos por ciento, a veces más. La conclusión que se saca es que falta poco.
Casi siempre falta bastante. No porque la planilla esté mal hecha, sino porque la pregunta que hace no sirve para decidir.
El problema de preguntar “¿existe?”
La versión 2022 de la norma reorganizó el Anexo A en 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos. Una autoevaluación binaria pregunta, para cada uno, si el control existe.
El problema es que “existe” admite realidades muy distintas:
- Alguien escribió un documento que nadie leyó.
- El control se aplica, pero depende de que una persona se acuerde.
- El control está en el procedimiento y se ejecuta, pero no deja registro.
- El control se ejecuta, deja registro y nadie revisa esos registros.
- El control se ejecuta, se registra, se revisa y las desviaciones se corrigen.
Las cinco situaciones responden “sí”. Sólo la última resiste una auditoría de certificación, y la diferencia de esfuerzo entre la primera y la última es enorme.
De ahí sale el optimismo sistemático de las autoevaluaciones: no miden mal, miden otra cosa.
Medir madurez, no presencia
Nuestra metodología evalúa cada uno de los 93 controles de forma independiente sobre una escala de seis niveles de madurez, a partir de entrevistas personales, relevamiento de información documentada y verificación en la auditoría de diagnóstico.
La lógica de la escala, en términos generales, va desde el control inexistente hasta el control gestionado y optimizado, pasando por estadios intermedios: el control que se ejecuta de manera informal y dependiente de personas, el que está definido y documentado, y el que además se mide y se revisa.
El cambio que produce medir así es concreto. Un control en un estadio inicial y uno a un paso del objetivo dejan de verse iguales, y con eso aparece algo que la planilla binaria no puede dar: la distancia real y el esfuerzo de cerrarla.
Lo que se ve cuando se mira por dominio
Al agregar los resultados por tema aparece un perfil que suele ser bastante consistente entre organizaciones.
Los controles tecnológicos puntúan mejor de lo esperado. Ya hay respaldos, antivirus, segmentación, gestión de parches. Con frecuencia el problema no es que el control no exista, sino que no está documentado ni se revisa de forma sistemática. Es la brecha más barata de cerrar.
Los controles físicos puntúan alto en organizaciones con instalaciones propias y bajo en las que operan en oficinas compartidas o con esquemas de trabajo distribuido, donde el perímetro es difuso.
Los controles de personas son consistentemente los más débiles. Verificación de antecedentes, acuerdos de confidencialidad vigentes, procesos de desvinculación que efectivamente revoquen accesos, concientización con evidencia. Es el dominio que más depende de un área —Recursos Humanos— que rara vez participó de la conversación de seguridad.
Los controles organizacionales son los que más pesan y los que más faltan: son el sistema de gestión propiamente dicho. Política, roles, gestión de riesgos, clasificación de la información, relación con proveedores, gestión de incidentes.
De ahí surge una conclusión que sorprende a muchos equipos técnicos: el trabajo pesado de una implantación no es tecnológico. La tecnología suele estar más avanzada que la gestión.
Los tres controles que más trabajo destapan
Hay tres controles que, en nuestra experiencia, abren la mayor cantidad de trabajo derivado.
Inventario y clasificación de activos de información. Parece administrativo y es estructural: sin saber qué información se tiene, dónde está y cuán crítica es, no se puede evaluar riesgo, ni definir control de acceso, ni dimensionar la continuidad. Cuando este control está en un nivel bajo, arrastra a otros veinte.
Relación con proveedores. Casi ninguna organización tiene identificados sus proveedores críticos de información, ni cláusulas de seguridad en los contratos, ni un mecanismo de seguimiento. Y es un control que depende de terceros, así que su plazo de cierre no lo controla la organización: hay que renegociar contratos y esperar respuestas.
Gestión de incidentes. Suele existir de forma reactiva —se resuelve lo que aparece— pero sin clasificación, sin criterios de escalamiento, sin análisis de causa y sin lecciones aprendidas. Y sin registro de incidentes no hay insumo para la mejora del sistema.
Para qué sirve el número, entonces
Un porcentaje global de madurez tiene un solo uso legítimo: comparar contra sí mismo en el tiempo. Sirve para mostrar avance a la Dirección y para sostener el presupuesto del segundo año.
No sirve para comparar organizaciones, porque el alcance y el contexto cambian el significado. Y no sirve como objetivo en sí mismo: perseguir el número lleva a mejorar los controles fáciles y postergar los que pesan.
Lo que sí sirve —y es el verdadero entregable del diagnóstico— es la hoja de ruta: qué controles cerrar primero, en qué orden, con qué esfuerzo, con qué dependencias entre ellos y quién es responsable de cada uno. Una secuencia, no un puntaje.
Cómo mejorar su propia autoevaluación
Si va a hacer el ejercicio internamente antes de convocar a alguien, tres ajustes lo vuelven mucho más útil:
- Cambie el sí/no por cinco o seis niveles. Aunque los defina de manera casera, la sola obligación de elegir entre “existe informalmente” y “está definido y se revisa” ordena la discusión.
- Exija evidencia para cualquier nivel alto. Si nadie puede mostrar el registro en menos de cinco minutos, el control no está donde se cree.
- Que no lo complete una sola persona. El área de TI sobreestima los controles organizacionales y subestima los de personas. Sume a Recursos Humanos, a Legales y a Operaciones.
Con eso solo, el resultado va a bajar. Y va a empezar a ser útil.
Nuestro diagnóstico evalúa los 93 controles sobre una escala de seis niveles y entrega una hoja de ruta priorizada por criticidad y esfuerzo.