La Evolución Obligada: ISO 27001:2022

Pasaron casi diez años desde la versión de 2013 hasta la actual de 2022. En términos tecnológicos, una eternidad. Mientras que la norma de 2013 nació en un mundo donde el "On-premise" aún era el rey, la ISO 27001:2022 surge para dar respuesta a una realidad dominada por el Cloud, el trabajo remoto y la explosiva llegada de la Inteligencia Artificial.

Este post no es solo una comparativa técnica; es una reflexión sobre cómo la norma se ha vuelto más ágil y relevante para las empresas modernas.

1. Del Silo al "Theme": Una Estructura más Humana

El cambio más visible está en el Anexo A. Hemos pasado de 114 controles divididos en 14 dominios a 93 controles agrupados en solo 4 temas principales:

• Organizativos (37 controles): El "corazón" del sistema.
• Personas (8 controles): El factor humano como punto crítico.
• Físicos (14 controles): Porque el metal y el cable aún existen.
• Tecnológicos (34 controles): Donde la IA y el Cloud ganan protagonismo.

Esta simplificación no significa menos rigor, sino una mejor integración. Los controles ya no se ven como casillas aisladas, sino como engranajes de un mismo sistema.

2. La Escalada Cloud: De "Opción" a "Estándar"

En la versión de 2013, el Cloud era casi una nota al pie. En 2022, es un eje fundamental. El nuevo control A.5.23 (Seguridad de la información para el uso de servicios cloud) formaliza lo que ya era una necesidad: el modelo de Responsabilidad Compartida.

La norma obliga ahora a:

• Definir criterios claros de selección de proveedores Cloud.
• Gestionar el ciclo de vida del servicio (adquisición, uso y salida).
• Garantizar que la seguridad no se "externalice" al proveedor, sino que se supervise.

3. Los 11 Nuevos Guardianes

ISO 27001:2022 introduce 11 controles que antes se daban por "implícitos" o simplemente no existían en el radar corporativo masivo:

1. Threat Intelligence (A.5.7): Pasar de reaccionar a incidentes a anticiparse mediante inteligencia de amenazas.
2. Configuration Management (A.8.9): Fundamental para evitar brechas por errores de configuración en entornos Cloud complejos.
3. Data Masking (A.8.11) y DLP (A.8.12): Enfoque directo en la protección de la privacidad y prevención de fugas.
4. Secure Coding (A.8.28): Integración de la seguridad en el ciclo de vida del desarrollo (DevSecOps).

4. Reflexión Final: ¿Dónde queda la IA en esta norma?

Es curioso: la palabra "Inteligencia Artificial" no aparece explícitamente en el texto de la norma. Sin embargo, la ISO 27001:2022 es el cimiento indispensable para cualquier sistema de IA seguro.

¿Cómo afecta la norma a los proyectos de IA?

• A.8.28 (Desarrollo Seguro): Es vital para mitigar riesgos como la inyección de prompts o ataques de envenenamiento de modelos.
• A.8.11 (Enmascaramiento de Datos): Crucial para entrenar modelos con datos de producción sin comprometer la privacidad.
• A.8.16 (Monitorización): Necesario para detectar comportamientos anómalos en los outputs de la IA.
• Gestión de Riesgos: La IA introduce nuevos activos y amenazas que deben entrar obligatoriamente en el análisis de riesgos del SGSI.

La norma de 2022 pone la alfombra roja para la ISO 42001 (el estándar específico de gestión de IA). Si tu empresa está en plena fiebre del oro de la IA, la ISO 27001:2022 es la garantía de que esa IA no se convertirá en un caballo de Troya.

Conclusión

La versión 2022 no es un simple parche; es una modernización necesaria. Si tu SGSI sigue basándose únicamente en la versión de 2013, estás intentando proteger un castillo del siglo XXI con murallas de adobe. La transición no solo es una cuestión de cumplimiento, es una cuestión de supervivencia digital.