Política de seguridad de la información: qué exige la ISO 27001 y qué debe contener
Casi todas las empresas que empiezan un proceso de ISO 27001 descubren lo mismo en la primera reunión: sí tienen documentos de seguridad, pero no tienen una política. Tienen un manual de contraseñas, un procedimiento de backups, un correo de 2021 donde se prohibió USB. Lo que no tienen es el documento que la norma exige primero y que da sentido a todos los demás.
Esta guía explica qué es exactamente ese documento, qué pide la ISO 27001, qué debe contener y en qué se diferencia del plan de seguridad informática —que es con lo que más se confunde—.
Alcance de esta guía. Describe requisitos de la norma ISO/IEC 27001:2022 y hace referencia a normativa colombiana. LumaCloud implementa controles técnicos; no emite certificaciones ISO ni presta asesoría jurídica. Para certificarte necesitas un ente certificador acreditado, y para interpretar una obligación legal, a tu área jurídica. Actualizado: octubre de 2026.
Qué es una política de seguridad de la información
Es el documento, aprobado por la alta dirección, que fija la intención de la organización frente a la seguridad de la información: qué protege, bajo qué principios y con qué compromisos.
La confusión más frecuente es de nivel. Una política no describe cómo se hace algo. Esa es la jerarquía habitual:
| Documento | Responde a | Lo aprueba | Cambia |
|---|---|---|---|
| Política | Qué queremos y bajo qué principios | La alta dirección | Rara vez |
| Normas | Qué reglas son obligatorias | El responsable de seguridad | Ocasionalmente |
| Procedimientos | Cómo se hace, paso a paso | El dueño del proceso | Con frecuencia |
| Registros | Qué pasó y cuándo | Nadie: se generan | Permanentemente |
Si tu política dice “los backups se ejecutan diariamente a las 2:00 a.m. en el servidor NAS-01”, no es una política: es un procedimiento con el nombre equivocado. Y cada vez que cambies de servidor, vas a tener que llevar el documento de vuelta a la gerencia para que lo firme otra vez.
La prueba de los cinco años
Una política bien escrita debería seguir siendo válida dentro de cinco años, aunque hayas cambiado de proveedor de nube, de antivirus y de jefe de TI. Si no pasa esa prueba, tiene dentro cosas que pertenecen a otro nivel.
Qué exige exactamente la ISO 27001
Aquí es donde conviene ser preciso, porque la norma menciona la política en dos lugares distintos y no son lo mismo.
Cláusula 5.2 — el requisito de dirección
Está en el cuerpo de la norma, dentro de la cláusula 5, que trata del liderazgo. Es de cumplimiento obligatorio para certificarse. Exige que la alta dirección establezca una política de seguridad de la información que:
- sea adecuada al propósito de la organización;
- incluya objetivos de seguridad de la información o proporcione el marco para establecerlos;
- incluya el compromiso de cumplir los requisitos aplicables en materia de seguridad de la información;
- incluya el compromiso de mejora continua del sistema de gestión.
Y además exige que la política se mantenga como información documentada, se comunique dentro de la organización y esté disponible para las partes interesadas que corresponda.
Que el requisito viva en la cláusula de liderazgo no es un detalle de numeración. Es la razón por la que una política firmada únicamente por el jefe de sistemas no cumple: no tiene autoridad para obligar a Recursos Humanos, a Compras ni a la gerencia comercial.
Anexo A 5.1 — el control
El control 5.1 del Anexo A se ocupa del documento y su ciclo de vida: que exista una política vigente, que la apruebe la dirección, que se publique y se comunique al personal y a los terceros relevantes, y que se revise a intervalos planificados y ante cambios significativos. Al redactarla hay que considerar las necesidades del negocio junto con la legislación y la reglamentación aplicables.
El error de numeración que casi todos cometen
El control 5.2 del Anexo A no habla de la política. Trata de roles y responsabilidades de seguridad de la información. Es un tropiezo clásico: alguien busca “5.2” en el Anexo A esperando encontrar la política, encuentra roles, y termina documentando la cosa equivocada.
La regla para no perderse: cláusula 5.2 = cuerpo de la norma = la política. Anexo A 5.1 = control = el documento de política. Y si vienes de la versión 2013, los identificadores cambiaron (allí eran A.5.1.1 y A.5.1.2), así que una transición mal mapeada deja huecos.
Qué debe contener: estructura mínima
Una política que cumple y además sirve suele tener estas secciones:
- Propósito — por qué existe el documento.
- Alcance — qué unidades, sedes, sistemas y tipos de información cubre, y qué queda explícitamente fuera. Debe coincidir con el alcance declarado del SGSI.
- A quién aplica — empleados, contratistas, proveedores, terceros con acceso.
- Principios o compromisos — confidencialidad, integridad y disponibilidad, y qué significa cada uno en tu contexto.
- Objetivos de seguridad o el marco para establecerlos.
- Roles y responsabilidades — quién responde por qué, incluida la dirección.
- Cumplimiento legal y contractual — el compromiso de cumplir los requisitos aplicables. En Colombia, aquí es donde se enlaza con la Ley 1581 de 2012 y con la normativa sectorial que te aplique.
- Consecuencias del incumplimiento — el vínculo con el reglamento interno de trabajo y con las cláusulas contractuales.
- Mejora continua — el compromiso explícito.
- Aprobación, vigencia y revisión — quién la aprobó, desde cuándo rige, cada cuánto se revisa y quién la controla.
Documentos satélite que no van dentro
Estos se referencian, no se incluyen: política de control de acceso, de uso aceptable, de clasificación de la información, de escritorio y pantalla limpios, de desarrollo seguro, de gestión de proveedores. El Anexo A los trata como políticas específicas de tema, subordinadas a la general.
Política vs. plan de seguridad informática
Es la duda que más aparece, y la distinción es simple:
| Política de seguridad de la información | Plan de seguridad informática | |
|---|---|---|
| Responde | Qué queremos y bajo qué principios | Qué vamos a hacer para lograrlo |
| Horizonte | Indefinido | Anual o por proyecto |
| Contiene | Compromisos, alcance, responsabilidades | Iniciativas, cronograma, presupuesto, responsables |
| La aprueba | La alta dirección | La dirección de TI o el comité de seguridad |
| Si falta | No se puede certificar en ISO 27001 | Se puede certificar, pero no se avanza |
Dicho de otro modo: la política es el destino y el plan es la ruta. Necesitas los dos, pero no en el mismo documento.
Los cinco errores que más cuestan en auditoría
- Copiar una plantilla sin adaptar el alcance. El auditor lee el alcance y lo compara contra la realidad. Si la política menciona sedes o sistemas que no existen —o calla los que sí—, el hallazgo es inmediato.
- Que no haya evidencia de comunicación. Tener la política no basta: hay que poder demostrar que se comunicó. Sin registro de divulgación, ni acuses, ni constancia de inducción, el control queda sin soporte.
- Aprobación insuficiente. Firmada por el jefe de TI en vez de la alta dirección.
- Objetivos que no son medibles. “Mejorar la seguridad” no es un objetivo. Sin algo medible, tampoco se puede demostrar la mejora continua.
- Revisión vencida. La política dice que se revisa anualmente y la última versión es de hace tres años. El incumplimiento lo declara el propio documento.
De la política a los controles que la sostienen
Aquí está el punto que se pasa por alto con más frecuencia: la política declara compromisos que alguien tiene que poder demostrar. Cuando escribes que la organización protege la disponibilidad de la información, acabas de comprometerte a tener respaldos que funcionen y a poder recuperarlos. Cuando escribes que detectas y gestionas incidentes, te comprometiste a tener con qué detectarlos.
El auditor no audita la redacción: audita la evidencia. Esa es la diferencia entre una política que pasa y una que genera no conformidades.
En LumaCloud trabajamos justamente esa capa: los controles técnicos —monitoreo, detección y respuesta, respaldo y recuperación, control de acceso— que convierten los compromisos de la política en evidencia verificable. Puedes ver cómo lo abordamos en cumplimiento con ISO 27001, en el SOC 24/7 y en backup y ciberrecuperación.
Y en Colombia, ¿esto cómo encaja con la Ley 1581?
Son dos cosas distintas que se tocan. La política de seguridad de la información es un documento del SGSI. La Ley 1581 de 2012 exige, por su lado, una política de tratamiento de datos personales, que es otro documento con contenido propio y destinatario distinto —el titular de los datos—.
Lo que las une es el deber de seguridad: la ley obliga a proteger la información personal con medidas técnicas, humanas y administrativas, y la política de seguridad es el marco bajo el que esas medidas se definen y se gestionan. Tener una no sustituye a la otra. Puedes ver el detalle del lado de datos personales en cumplimiento de la Ley 1581.
.webp)
.webp)
.webp)