Seguridad de la información · Seguridad de la Información | Octubre de 2026 | Lectura: 7 minutos
La seguridad de la información exige saber dónde están los datos, quién los utiliza y cómo se protegen. ISO/IEC 27001 ofrece un marco para revisar esos riesgos.
Haz este ejercicio en tu próximo comité.
Pregunta en voz alta: “¿Dónde están exactamente los datos de nuestros clientes en este momento?”
Y fíjate en lo que pasa.
Casi siempre ocurre lo mismo: alguien menciona el servidor. Otro menciona el ERP. Alguien recuerda que el área comercial usa una herramienta que contrataron el año pasado. Y al final queda flotando una respuesta incómoda: “habría que revisar.”
Esa pausa es el verdadero estado de la seguridad de la información en la mayoría de las empresas colombianas. No es que falten controles. Es que nadie sabe con precisión qué hay que proteger ni dónde está.
Lo que cambió, y casi nadie ajustó
Durante años, proteger la información fue un problema de perímetro.
Los datos vivían en un servidor, el servidor vivía en un cuarto, el cuarto tenía una puerta con llave. La seguridad consistía en levantar un muro alrededor y controlar quién entraba.
Hoy ese modelo no describe a ninguna empresa real.
Tus datos están repartidos entre tres o cuatro proveedores de nube, en el correo corporativo de un servicio externo, en aplicaciones que distintas áreas contrataron por su cuenta, en el computador de alguien que trabaja desde casa y en la base de datos que tu equipo de desarrollo copió para hacer pruebas.
No hay muro que levantar. Lo que hay es un perímetro difuso que exige una cosa distinta: visibilidad permanente.
La mayoría de los sistemas de gestión de seguridad de la información que auditamos siguen diseñados para el modelo viejo. Documentan muy bien el control de acceso físico al centro de cómputo, y no tienen idea de qué hace el proveedor que les procesa la nómina.
Seguridad de la información e ISO/IEC 27001
La norma internacional de referencia es ISO/IEC 27001, en su versión vigente de 2022.
Su Anexo A contiene 93 controles, organizados en cuatro categorías: 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos.
Vale la pena notar algo de esa estructura: solo 34 de los 93 controles son tecnológicos. El resto depende de decisiones de gestión, de contratos, de cómo se comportan las personas y de cómo está organizada la empresa.
Esa proporción explica por qué tantos sistemas fallan. Se delegan por completo al área de TI, aunque 59 de los 93 controles pertenecen a categorías distintas de la tecnológica.
Los cinco puntos donde más falla en auditoría
Después de auditar sistemas de gestión de seguridad de la información en empresas colombianas, hay hallazgos que se repiten con una constancia casi aburrida.
1. El inventario de activos no refleja la realidad
Existe un documento de activos de información que se hizo al implementar el sistema y se actualizó dos veces desde entonces. Mientras tanto, la empresa contrató cuatro servicios nuevos, cambió de proveedor de correo y montó una aplicación interna.
Este es el hallazgo raíz. Si no sabes qué tienes ni dónde está, ningún control posterior te protege: estás asegurando una lista que ya no corresponde a tu empresa.
2. La nube que nadie mapeó
El control de servicios en la nube cubre cómo eliges, usas y dejas de usar esos servicios. Incluye una pregunta que casi nadie tiene respondida por escrito: ¿qué pasa con tus datos cuando terminas el contrato con un proveedor?
¿Los devuelve? ¿En qué formato? ¿Los borra? ¿Cómo lo demuestra? ¿En qué plazo?
Si la respuesta no está en el contrato, no existe.
3. Datos reales en ambientes de prueba
El control de enmascaramiento de datos existe por una razón muy concreta: en una enorme cantidad de empresas, el equipo de desarrollo trabaja con una copia de la base de datos real de clientes.
Nombres reales, cédulas reales, teléfonos reales, historiales reales. En un ambiente que no tiene ni la mitad de los controles del ambiente de producción, y al que suele tener acceso gente que jamás pasaría un control de acceso a los datos originales.
Si esto pasa en tu empresa, es probablemente tu riesgo más alto y más fácil de corregir.
4. Información que debió borrarse hace años
El control de eliminación de información suena trivial hasta que lo piensas bien: la información que ya no deberías tener es exactamente la que más fácil se filtra, porque nadie la está vigilando.
Bases de datos de campañas de 2019. Hojas de vida de procesos de selección cerrados. Respaldos de sistemas que se dieron de baja. Carpetas compartidas que acumulan años.
Eliminar de forma sistemática lo que ya no se necesita reduce tu superficie de exposición sin comprar una sola herramienta.
5. Los proveedores quedaron fuera del alcance
Se audita lo propio y se asume que lo del proveedor está cubierto porque tiene un certificado colgado en su página web.
Pero la responsabilidad sobre los datos de tus clientes no se terceriza. Contratar un proveedor no elimina tus deberes como responsable del tratamiento. El proveedor también tiene obligaciones legales y contractuales según su papel y las circunstancias del incidente.
El contexto colombiano que no aparece en la norma
En Colombia, la seguridad de la información no vive sola.
Convive con la Ley 1581 de 2012 de protección de datos personales y con el régimen de vigilancia de la Superintendencia de Industria y Comercio. Convive con requisitos sectoriales, especialmente en el sistema financiero y en salud. Y convive con exigencias contractuales cada vez más duras: muchos clientes corporativos y multinacionales piden evidencia de controles de seguridad como condición para contratar.
Son tres marcos distintos que piden, en buena medida, lo mismo: saber qué datos tienes, dónde están, quién los toca y qué harías si algo sale mal.
Un sistema de gestión bien implementado te sirve para los tres al mismo tiempo. Uno implementado solo para colgar un certificado, para ninguno.
Las preguntas con las que puedes medirte hoy
No necesitas una auditoría para hacer un primer diagnóstico. Necesitas respuestas honestas a seis preguntas:
Uno. ¿Existe un inventario de activos de información actualizado en los últimos seis meses?
Dos. ¿Puedes listar todos los servicios en la nube que usa tu empresa, incluyendo los que contrataron áreas distintas a TI?
Tres. ¿Tu equipo de desarrollo trabaja con datos reales de clientes?
Cuatro. ¿Hay un criterio definido sobre cuánto tiempo se conserva cada tipo de información, y alguien lo aplica?
Cinco. ¿Sabes qué datos tuyos maneja cada proveedor y bajo qué condiciones contractuales?
Seis. ¿Alguna vez probaron el plan de recuperación tecnológica, o solo está escrito?
Si tres o más respuestas son dudosas, ahí está tu punto de partida.
¿Quieres saber qué tan expuesta está tu información?
En Dinámika Consultoría hacemos auditorías internas y de diagnóstico bajo ISO 27001, evaluando el estado real de tu sistema de gestión de seguridad de la información frente a los 93 controles del Anexo A y a los requisitos legales colombianos aplicables.
No entramos con una lista de chequeo para castigar lo que falta en infraestructura. Entramos a identificar dónde está realmente expuesta tu información, qué encontraría un auditor externo y qué conviene cerrar primero.
No somos un ente certificador. Esa es justamente la ventaja: nuestro trabajo no es aprobarte, es decirte la verdad sobre tu sistema mientras todavía hay tiempo de hacer algo.
Cobertura nacional, auditores líderes con formación certificada, y un informe priorizado que tu equipo puede empezar a ejecutar al día siguiente.
📞 (601) 379 7194
📱 WhatsApp: +57 316 026 5143
📧 comercial@dinamikaconsultoria.com
📍 Bogotá: Cra. 17 # 89-31, Of. 803
Preguntas rápidas
¿Cuál es la versión vigente de ISO 27001? La versión 2022, con 93 controles en el Anexo A organizados en cuatro categorías.
¿Todos los controles son de tecnología? No. Solo 34 de los 93 son tecnológicos. Hay 37 organizacionales, 14 físicos y 8 de personas. Es un error frecuente delegar el sistema completo al área de TI.
¿ISO 27001 me sirve para cumplir la ley de datos personales en Colombia? Ayuda de forma significativa, pero son marcos distintos. La Ley 1581 de 2012 tiene requisitos propios que deben verificarse aparte.
¿Mi proveedor de nube responde por mis datos? El proveedor puede tener obligaciones legales propias, además de las pactadas en el contrato. Tus deberes como responsable del tratamiento tampoco desaparecen; por eso hay que definir responsabilidades y verificar los controles.
¿Por dónde se empieza si no tenemos nada? Por el inventario de activos de información. Sin saber qué tienes y dónde está, ningún control posterior funciona.
Conoce nuestro servicio de auditorías internas y de diagnóstico o contáctanos para revisar tu caso.
Fuentes y referencias
Información revisada al 14 de octubre de 2026. ISO/IEC 27001 vigente · Responsables y encargados de datos personales — SIC.
