Azure incluye definiciones de iniciativa ISO/IEC 27001 integradas que mapean muchos controles técnicos a definiciones de políticas, pero constituyen una línea base, no una meta final. Trátelas como punto de partida: mapea los controles requeridos con la iniciativa, identifica las brechas, ciérralas con políticas personalizadas o evidencia manual, y prueba todo mediante políticas como código antes de aplicarlas.
Resumen:
- Utiliza la pestaña Controles para separar las responsabilidades de Microsoft, del cliente y las compartidas, pero interpreta los resultados conformes como evaluaciones de políticas, no como certificación ni cobertura completa de auditoría.
- Mapea cada control ISO requerido con los IDs de MCSB, señala los controles no cubiertos y añade políticas personalizadas para las brechas técnicas, así como evidencia manual fechada para las brechas de proceso.
- Asigna las políticas en un ámbito que no sea de producción con la aplicación desactivada, valida los resultados mediante Azure Resource Graph o el SDK de Azure Policy y, a continuación, activa la aplicación de forma gradual.
- Cuando los recursos sean limitados, prioriza identidad, criptografía y registro de eventos; conserva archivos de políticas versionados, instantáneas de asignación, registros de remediación y exportaciones fechadas para las auditorías.
Tabla de Contenidos
- Dónde encontrar la iniciativa y cómo funciona la pestaña Controles
- Quién es responsable de cada control: Microsoft, tú o ambos
- Qué hacer cuando las políticas integradas no cubren un control
- Operacionalización del mapeo con políticas como código
- Lista de verificación para evaluar recursos y preparar evidencia
- Dónde invertiría el tiempo limitado
- Convierte tu mapeo en un plan ISO 27001 con presupuesto
- Preguntas frecuentes
Dónde encontrar la iniciativa y cómo funciona la pestaña Controles
Comienza en Azure Policy, en Definiciones, y filtra por la categoría Cumplimiento normativo. La iniciativa ISO/IEC 27001 es un conjunto de definiciones de políticas integradas agrupadas en controles y dominios de cumplimiento. Microsoft publica la lista de iniciativas integradas junto con un historial de confirmaciones en GitHub, así que supervisa el repositorio de Azure Policy para detectar cambios y anota qué versión de la iniciativa has asignado.
Una vez asignadas, las iniciativas de Cumplimiento normativo añaden una pestaña Controles a la vista de cumplimiento. Esta muestra el estado de cumplimiento de cada control, su titularidad y las definiciones de políticas que lo alimentan. Al profundizar, se obtienen tres perspectivas:
- Información general: el estado del control y el resumen de titularidad.
- Directivas: la lista de definiciones de políticas que contribuyen a ese control.
- Cumplimiento de recursos: una vista por recurso que muestra cuáles superan o no la evaluación.
Interpreta el estado con atención. El estado "Compatible" de Azure Policy refleja la evaluación de las definiciones de políticas subyacentes, no una certificación ISO 27001, por lo que estos paneles deben usarse para evaluar la implementación técnica y no como informe de auditoría definitivo.
Quién es responsable de cada control: Microsoft, tú o ambos
La pestaña Controles muestra información sobre la titularidad de los controles. Úsala como punto de partida para identificar qué evidencia podrías necesitar recopilar.
- Controles bajo responsabilidad de Microsoft suelen basarse en atestaciones de terceros. Obtén los detalles de la oferta de cumplimiento ISO/IEC 27001 de Azure e inclúyelos en tu paquete de evidencia.
- Controles bajo responsabilidad del cliente requieren evidencia de tu propio entorno: configuraciones, registros, procedimientos y actas.
- Controles compartidos requieren ambos, por lo que debes documentar el reparto.
El mapeo no es uno a uno. Varias definiciones de políticas pueden alimentar un mismo control ISO, y una política puede respaldar varios controles. El ejemplo de ISO 27001 para Azure Government advierte que los mapeos son parciales: algunos controles son manuales o están deshabilitados, y «Compatible» no implica cobertura completa.
La propia guía de Azure es clara: los paneles de Azure Policy ofrecen solo una visión parcial del estado ISO 27001, por lo que las auditorías internas deben cubrir igualmente los controles no técnicos. Planifícalo desde el primer día en lugar de descubrirlo durante la auditoría.
Para un análisis más profundo sobre el reparto de responsabilidades, consulta nuestra guía sobre responsabilidad compartida en ISO 27001 y mapeos del Annex A.
Qué hacer cuando las políticas integradas no cubren un control
Las brechas son habituales. Entre las más frecuentes se encuentran los controles no técnicos, como la selección de personal y la seguridad física, los controles que el Microsoft Cloud Security Benchmark (MCSB) no contempla, y los controles que dependen de parámetros específicos del entorno. Un análisis de brechas, como el que se describe en este tutorial de análisis de brechas de cumplimiento, mantiene el trabajo ordenado.
Sigue esta secuencia, basada en las directrices de mapeo de controles del Cloud Adoption Framework:
- Mapea cada control ISO requerido con los IDs de control de MCSB.
- Marca todos los controles que MCSB o la iniciativa dejen sin cubrir.
- Para las brechas técnicas, elabora definiciones de políticas personalizadas o incorpóralas a una iniciativa personalizada.
- Para las brechas de proceso, documenta evidencia manual: políticas, registros de formación, actas de revisión.
- Registra la decisión adoptada por cada control para que el razonamiento se mantenga ante cambios de personal.
Entre las mitigaciones prácticas se incluyen políticas de Configuración de invitado para ajustes dentro de máquinas virtuales, políticas que validan la retención de copias de seguridad y evidencia de proceso fechada para procedimientos y formaciones.
Consejo profesional: Asigna a cada control de evidencia manual un responsable nominado y una fecha de revisión en tu registro, para que el auditor vea un proceso activo y no una carga única de documentos.
Nuestro artículo sobre los tipos de evidencia para auditorías ISO 27001 muestra lo que los auditores suelen aceptar.
Operacionalización del mapeo con políticas como código
Las políticas como código convierten tu mapeo en algo repetible y revisable. Las directrices de flujo de trabajo de Microsoft recomiendan una estructura de archivos con policy-v#.json, policyset-v#.json y archivos de parámetros, todos mantenidos en control de versiones para que cada cambio tenga una solicitud de extracción y un autor.
Una asignación se reduce a unos pocos campos:
- policyDefinitionId: la definición o iniciativa que se asigna.
- scope: el grupo de administración, la suscripción o el grupo de recursos.
- enforcementMode: si la política realmente bloquea o modifica recursos.
- parameters: valores específicos del entorno, que la página de oferta de cumplimiento advierte que deben configurarse correctamente.
- resourceSelectors y exemptions: para acotar el despliegue y registrar las excepciones aprobadas.
Prueba primero en un ámbito que no sea de producción con enforcementMode desactivado. Valida los resultados con el SDK de Azure Policy o consultas de Azure Resource Graph, ejecuta tareas de remediación y, después, activa la aplicación de forma progresiva, pasando a producción solo tras la validación. El historial de confirmaciones, las instantáneas de asignación y los registros de remediación sirven también como evidencia de auditoría.
Lista de verificación para evaluar recursos y preparar evidencia
Sigue estos pasos en orden y conserva cada resultado:
- Haz un inventario de tus controles ISO y mapea cada uno con los controles de la iniciativa y los IDs de MCSB.
- Exporta las definiciones de iniciativa que hayas asignado.
- Guarda instantáneas de los parámetros de asignación para cada ámbito.
- Exporta los resultados de cumplimiento de recursos en una fecha fija.
- Conserva los registros de tareas de remediación y los registros de exenciones.
- Vincula la evidencia manual a cada control bajo responsabilidad del cliente.
| Elemento de evidencia | Origen | Responsable del control |
|---|---|---|
| Exportación de definición de iniciativa | Definiciones de Azure Policy | Cliente |
| Instantánea de parámetros de asignación | Asignaciones de Azure Policy | Cliente |
| Exportación de cumplimiento de recursos | Cumplimiento, pestaña Cumplimiento de recursos | Cliente |
| Informe de auditoría de terceros | Oferta de cumplimiento de Azure | Microsoft |
Estructurar los datos de mapeo por control es más sencillo cuando se adopta este enfoque de mapeo de datos: un registro por elemento, con una fuente y un responsable.
Dónde invertiría el tiempo limitado
Si el tiempo o el presupuesto son ajustados, comienza por los controles vinculados al mayor riesgo empresarial: identidad, criptografía y registro de eventos. Un porcentaje de cumplimiento impecable en controles de bajo riesgo no impresiona a nadie si el acceso de administrador es laxo. Utiliza Azure Policy para aplicar y supervisar, pero nunca permitas que sustituya los procesos organizativos ni la evidencia manual que estos generan. Y conserva los archivos de políticas versionados y las instantáneas de asignación como parte deliberada de tu paquete de evidencia, porque un auditor que pregunte «¿qué estaba asignado en marzo?» merece una respuesta rápida y fechada.
— Martin
Convierte tu mapeo en un plan ISO 27001 con presupuesto
Una vez que tu mapeo muestre las brechas, la siguiente pregunta es cuánto costará cerrarlas y cuánto tiempo llevará. Nuestra Calculadora de Costes ISO 27001 puede ayudarte a explorar los costes en función del tamaño de tu empresa, el sector y la madurez en seguridad.
Si primero quieres una visión rápida, realiza nuestra evaluación gratuita. Para una evaluación estructurada de preparación para ISO 27001, utiliza nuestra Evaluación de Preparación para ISO 27001. Ambas pueden ayudarte a valorar tu grado de preparación y tus necesidades de planificación para ISO 27001.
Preguntas frecuentes
¿El estado «Compatible» en Azure Policy significa que estamos certificados en ISO 27001?
No. «Compatible» significa que las definiciones de políticas subyacentes han superado la evaluación, no que tu organización esté certificada. Microsoft lo indica expresamente, así que trata el panel como una herramienta de evaluación técnica.
¿Las iniciativas integradas cubren todos los controles de ISO 27001?
No. Muchos controles requieren una combinación de políticas automatizadas y evidencia manual, y algunos controles son manuales o están deshabilitados en la iniciativa. Prevé la elaboración de políticas personalizadas o la documentación de evidencia de proceso donde las integradas se queden cortas.
¿Cómo debemos probar una nueva iniciativa de políticas de forma segura?
Asígnala en un ámbito que no sea de producción con enforcementMode desactivado y, a continuación, valida los resultados con consultas de Azure Resource Graph o el SDK de Azure Policy. Cuando la remediación sea correcta, activa la aplicación paso a paso.
¿Quién aporta evidencia para los controles bajo responsabilidad de Microsoft?
Microsoft, a través de sus informes de auditoría y la documentación de cumplimiento de Azure. No obstante, sigues necesitando tu propia evidencia para los controles bajo responsabilidad del cliente y los controles compartidos.
Recomendado
- Análisis de Brechas ISO 27001: Guía Paso a Paso
- Responsabilidad Compartida en ISO 27001: 6 Mapeos del Annex A Listos para Auditoría
- Registro de Riesgos ISO 27001 Listo para Auditoría: Filas de Excel Copiables y Mapeo del Annex A
- Roles en ISO 27001 para Implementadores: Evita Tres Hallazgos de Auditoría