ISO/IEC 27001 es una norma certificable para gestionar un sistema de gestión de seguridad de la información, mientras que CIS Controls constituyen un conjunto prescriptivo y no certificable de salvaguardas técnicas. Ambos no son competidores: la mayoría de los equipos de seguridad utilizan ISO 27001 para establecer el gobierno y obtener la certificación, y luego se apoyan en CIS Controls para determinar exactamente qué acciones técnicas satisfacen ese gobierno. La forma más directa de conectarlos es el mapeo oficial de CIS a ISO/IEC 27001:2022.
Resumen ejecutivo:
- Un análisis de mapeo identificó 44 controles compartidos y solo 5 exclusivos del Anexo A de ISO, aunque la coincidencia es conceptual, no de uno a uno.
- Completa la evaluación de riesgos y la Declaración de Aplicabilidad antes de realizar el mapeo; los controles de los dominios organizativos y de personas pueden requerir medidas personalizadas o justificación documentada.
- Comienza con el Grupo de Implementación 1 de CIS para la higiene básica; luego registra el propietario, la frecuencia de prueba y los últimos resultados de cada salvaguarda como evidencia de auditoría.
- Si los clientes o los reguladores exigen la certificación, planifica la documentación y las auditorías de ISO; los equipos que priorizan la reducción de riesgos pueden comenzar con los Grupos 1 y 2 de CIS.
Tabla de contenidos
- Qué son realmente ISO/IEC 27001 y CIS Controls
- Cuánto solapamiento existe entre los dos marcos
- Uso de CIS Controls para construir la evidencia de ISO 27001
- Paso a paso: mapeo del Anexo A a las salvaguardas de CIS para tu SoA
- Elegir ISO, CIS o ambos
- Dónde encontrar los mapeos oficiales y el texto de las normas
- Una visión práctica sobre la secuenciación
- ISMS Calculator: planifica el esfuerzo de ISO 27001 y CIS antes de comenzar
- Preguntas frecuentes
- Fuentes
Qué son realmente ISO/IEC 27001 y CIS Controls
ISO/IEC 27001:2022 es la norma reconocida internacionalmente para construir, gestionar y mejorar un sistema de gestión de seguridad de la información. La certificación frente a ella demuestra a clientes y reguladores que una organización gestiona el riesgo de seguridad mediante un proceso formal y auditado, no mediante soluciones improvisadas. Obtenerla implica satisfacer las cláusulas 4 a 10 y elaborar una Declaración de Aplicabilidad que enumere qué controles del Anexo A son aplicables y por qué.
CIS Controls v8 y v8.1 tienen una forma completamente diferente. Son una lista priorizada y prescriptiva de 153 salvaguardas agrupadas en Grupos de Implementación, orientadas a la higiene cibernética práctica y no a la certificación. Según el análisis de Teleport sobre ambas normas, ISO 27001 suele estar impulsado por la demanda de clientes o reguladores de contar con pruebas auditadas, mientras que CIS Controls existe para la autoevaluación y la defensa técnica frente a ataques habituales.
La consecuencia práctica se aprecia en cómo se lee cada marco:
- ISO 27001 establece requisitos de gobierno: tratamiento documentado de riesgos, responsabilidad de la dirección y un registro de auditoría defendible.
- CIS Controls especifican acciones técnicas: qué configurar, quién es el responsable y con qué frecuencia verificarlo.
- Un auditor puede aceptar una salvaguarda de CIS bien gestionada como evidencia para un resultado del Anexo A, pero CIS por sí solo nunca genera un certificado.
Nuestra guía sobre los controles del Anexo A de ISO 27001 explica qué requiere cada dominio del Anexo A antes de empezar a mapear nada con CIS.
Cuánto solapamiento existe entre los dos marcos
Los dos marcos cubren gran parte del mismo terreno, pero en unidades diferentes. El Anexo A de ISO en la edición 2022 enumera 93 controles organizados como resultados, mientras que CIS v8 enumera 153 salvaguardas organizadas como acciones específicas. Esta diferencia de unidades implica que un control del Anexo A suele mapearse con varias salvaguardas de CIS, y también ocurre lo contrario.
Un análisis de mapeo comparativo identificó 44 controles compartidos entre los marcos y solo 5 controles exclusivos del Anexo A de ISO, lo que significa que la gran mayoría de los requisitos del Anexo A tiene un equivalente técnico directo en algún punto de la lista de CIS.
Hay algunos aspectos importantes al interpretar estas cifras:
- El solapamiento es conceptual, no de uno a uno: una única cláusula del Anexo A, como el control de acceso, puede incluir varias salvaguardas de CIS que cubren gestión de cuentas, acceso privilegiado y tiempos de espera de sesión.
- CIS mantiene mapeos oficiales a nivel de salvaguarda con ISO/IEC 27001:2022, publicados como documento técnico y actualizados a través del CIS Controls Navigator.
- El pequeño número de controles exclusivos de ISO tiende a situarse en los dominios organizativos y de personas, áreas que CIS trata de forma menos exhaustiva porque quedan fuera de la higiene técnica pura.
Esta brecha es relevante para la planificación de la implementación: indica dónde CIS por sí solo no completará tu Declaración de Aplicabilidad.
Uso de CIS Controls para construir la evidencia de ISO 27001
El patrón de integración más limpio trata ISO 27001 como la capa de gobierno y CIS Controls como el esquema técnico de construcción que la sustenta.
- Realiza primero la evaluación de riesgos de ISO 27001 y luego redacta la Declaración de Aplicabilidad para saber qué controles del Anexo A son realmente aplicables a tu organización.
- Mapea cada fila aplicable del Anexo A con sus salvaguardas de CIS correspondientes usando el documento de mapeo oficial, incorporando las acciones técnicas específicas y las frecuencias recomendadas.
- Comienza con el Grupo de Implementación 1 como base, ya que cubre la higiene esencial que la mayoría de los auditores espera ver independientemente del tamaño de la empresa.
- Trata cada salvaguarda completada, junto con su propietario y los resultados de las pruebas, como evidencia de auditoría para el resultado correspondiente del Anexo A.
Consejo profesional: Mantén una hoja de seguimiento única que vincule cada control del Anexo A con su salvaguarda de CIS, propietario y última fecha de prueba; ahorra horas durante la auditoría interna.
Una vez que las salvaguardas estén en funcionamiento, incorpora sus métricas (quién es el responsable, con qué frecuencia se verifican, qué mostró la última prueba) en tu programa de monitorización de ISO y en la revisión por la dirección. Eso es lo que convierte un control técnico en prueba de que tu ISMS funciona tal como está documentado, no solo de que una herramienta está activada.
Paso a paso: mapeo del Anexo A a las salvaguardas de CIS para tu SoA
- Completa la evaluación de riesgos de ISO 27001 y elabora la lista de controles necesarios; luego configura una plantilla de SoA con columnas para la salvaguarda mapeada y la justificación.
- Extrae los mapeos de salvaguardas de CIS para tu Grupo de Implementación y asigna qué salvaguardas satisfacen cada control aplicable del Anexo A.
- Registra el propietario de la salvaguarda, la frecuencia de prueba y la evidencia de la última prueba directamente en tu registro de monitorización y en los registros de auditoría interna.
- Cuando ninguna salvaguarda de CIS cubra un control del Anexo A (habitual en controles organizativos o de personas), documenta un control personalizado o una justificación clara en la SoA en lugar de dejarlo en blanco.
Los dominios del Anexo A relacionados con la concienciación y la formación suelen ser un punto de brecha frecuente; un resumen seleccionado de formación en concienciación sobre seguridad es una referencia de partida razonable cuando los mapeos de CIS son escasos en esa área.
Elegir ISO, CIS o ambos
La decisión suele depender de lo que realmente está impulsando el trabajo.
- Si los clientes o los reguladores exigen pruebas certificadas, ISO/IEC 27001 es el requisito, y debes prever tiempo para la documentación de gobierno y el ciclo de auditoría externa.
- Si la necesidad inmediata es reducir rápidamente la exposición técnica, comienza con los Grupos de Implementación 1 y 2 de CIS antes de preocuparte por la documentación de certificación.
- La mayoría de los programas maduros ejecutan ambos: el trabajo de gobierno de ISO avanza en su propio itinerario mientras las salvaguardas de CIS se implementan como el flujo de trabajo técnico que alimenta la evidencia.
Una secuencia habitual consiste en dedicar un período inicial a la evaluación de riesgos y la redacción de la SoA, y luego ejecutar la implementación de CIS IG1 en paralelo antes de programar la auditoría de certificación.
Dónde encontrar los mapeos oficiales y el texto de las normas
Acude a las fuentes primarias en lugar de los resúmenes cuando necesites el texto exacto.
- El documento técnico de mapeo de CIS Controls v8 proporciona el detalle del mapeo salvaguarda por salvaguarda con ISO/IEC 27001:2022.
- La página de la norma ISO/IEC 27001:2022 cubre las cláusulas y el contexto del Anexo A directamente desde la fuente.
- Los análisis de mapeo y cobertura de terceros son útiles para la planificación una vez que tienes el texto primario en mano.
Una visión práctica sobre la secuenciación
Los equipos que tienen dificultades con las auditorías suelen haber construido sus controles técnicos antes de saber qué les exigía el Anexo A. El orden que funciona: evaluación de riesgos, luego SoA, luego salvaguardas de CIS priorizadas, luego medición y revisión.
Una matriz de trazabilidad sencilla, con una fila por control del Anexo A con su salvaguarda mapeada, propietario y evidencia, es el artefacto que auditores y revisores de la dirección solicitan repetidamente. Antes de comprometer presupuesto en cualquiera de los dos itinerarios, merece la pena realizar una estimación rápida del esfuerzo para que la secuenciación anterior se ajuste a tus recursos reales.
— Martin
ISMS Calculator: planifica el esfuerzo de ISO 27001 y CIS antes de comenzar
Hemos desarrollado nuestra Calculadora de Costes ISO 27001 para ofrecerte una estimación del esfuerzo y el coste específica para tu organización antes de comprometer presupuesto en el itinerario de gobierno de ISO o en la construcción técnica de CIS.
Las estimaciones de nuestra plataforma se adaptan al tamaño de la empresa, el sector y la madurez de seguridad actual, y puedes guardar múltiples escenarios para comparar diferentes enfoques.
- Realiza nuestra verificación de preparación gratuita para identificar tus brechas antes de planificar.
- Usa nuestra Evaluación de Preparación para medir cuánto trabajo de gobierno y técnico queda pendiente.
- Utiliza las estimaciones y los artefactos de planificación para informar a las partes interesadas o consultores sobre el calendario y los costes.
Comienza con la verificación gratuita o realiza una estimación instantánea en nuestra calculadora de costes para obtener un plan preliminar en minutos.
Preguntas frecuentes
¿Qué es mejor, NIST o CIS?
Ninguno es estrictamente mejor; NIST CSF es un marco de gestión de riesgos más amplio, mientras que CIS Controls son una lista de acciones técnicas prescriptiva, y muchas organizaciones los utilizan conjuntamente. Nuestra comparación de ISO 27001 y NIST CSF explica cómo funciona cada uno junto con conjuntos de controles técnicos como CIS.
¿Está obsoleto ISO 27001?
No, la edición vigente es ISO/IEC 27001:2022, que actualizó la estructura del Anexo A y sigue siendo la norma certificable activa. Las organizaciones que buscan la certificación hoy trabajan con la versión de 2022, no con una anterior.
¿Son obligatorios los CIS Controls?
No, CIS Controls son voluntarios y no certificables, pensados para la autoevaluación y la higiene práctica en lugar de para auditorías de terceros. Algunos contratos o aseguradoras pueden hacer referencia a ellos de manera informal, pero ningún organismo de certificación emite una credencial de CIS.
¿Qué es mejor, ISO 27001 o NIST?
La elección correcta depende de tu motivación: ISO 27001 es adecuado para organizaciones que necesitan un ISMS certificado y auditable para clientes o reguladores, mientras que NIST CSF conviene a quienes desean una estructura flexible de gestión de riesgos sin certificación. Muchos equipos utilizan ISO 27001 para el gobierno y hacen referencia a NIST o CIS para mayor profundidad técnica.
¿Necesito tanto ISO 27001 como CIS Controls?
No es estrictamente necesario contar con ambos, pero combinarlos es habitual: ISO 27001 te proporciona un gobierno certificado y CIS Controls te ofrecen las especificaciones técnicas para satisfacer muchos resultados del Anexo A. Nuestra guía sobre los requisitos de certificación ISO 27001 explica en detalle qué espera el propio proceso de certificación.
Fuentes
- CIS Controls v8 Mapping to ISO/IEC 27001:2022
- ISO 27001 vs CIS v8 — Comparación de marcos | ControlMap
- ISO/IEC 27001:2022 - Sistemas de gestión de seguridad de la información
- Goteleport