ISO27001:2013

NORMA
INTERNACIONAL
ISO/IEC
27001
Segunda edición
2013-10-01

Tecnología de la Información –
Técnicas de Seguridad
Sistemas de Gestión
de la Seguridad de la Información - Requisitos
Technologies de l’information — Techniques de sécurité — Systèmes
de management de la sécurité de l’information — Exigences

ISO/IEC 27001:2013(E)
Número de referencia
© ISO/IEC 2013

Prólogo
ISO(Organización Internacional para la Estandarización) y el IEC (Comisión Electrotécnica
Internacional) constituyen el sistema especializado para la estandarización a nivel internacional.
Los entes nacionales que forman parte de ISO e IEC participan en el desarrollo de Normas
Internacionales a través de comités técnicos formados por la misma organización para
ocuparse de campos específicos de laactividad técnica. Los comités técnicos de ISO y la IEC
colaboran en campos de mutuo interés. Otras organizaciones y entidades gubernamentales y no
gubernamentales, en coordinación con ISO y la IEC, también participan en esta labor.
En el campo de la tecnología de la información, ISO y la IEC han establecido un comité técnico
colectivo, ISO/IEC JTC 1.
Se ha seleccionado normas internacionalesde acuerdo a las reglas dadas en las Directivas ISO
/IEC, Parte 2.
El principal objetivo del comité técnico colectivo es elaborar las Normas Internacionales. Las
Normas Internacionales diseñadas por el comité técnico colectivo son circuladas a los entes
nacionales para ser sometidos a votación. La publicación de la Norma Internacional requiere de
la aprobación de al menos el 75% de los entesnacionales con derecho a voto.
Se tiene un especial cuidado sobre la posibilidad de que uno de los elementos del presente
documento sean sujetos a derechos de patente.
ISO y la IEC no se hacen responsables de la identificación de alguna o todas los derechos de
patente.
ISO/IEC 27001 fue elaborado por el Comité Técnico Colectivo ISO/IEC JTC 1, Tecnología de la
Información, el Sub-ComitéSC27, IT, Técnicas de Seguridad.
Esta segunda edición anula y reemplaza a la primera edición (ISO/IEC 27001:2005), la misma
que ha sido revisada técnicamente.

0 Introducción
0.1 General
Esta Norma Internacional ha sido elaborada con la finalidad de proporcionar los requisitos para
el establecimiento, implementación, mantenimiento y mejora continua del sistema de gestión de
la seguridad de lainformación. La adopción del sistema de gestión de la seguridad de la
información es una decisión estratégica de la organización. El establecimiento e implementación
de un sistema de gestión de seguridad de la información depende de las necesidades y objetivos,
requisitos de seguridad, procesos organizacionales utilizados y del tamaño y estructura de la
organización. Se espera que todos estosfactores cambien con el paso del tiempo.
El sistema de seguridad de la información conserva la confidencialidad, integridad y
disponibilidad de la información mediante la aplicación de un proceso de gestión del riesgo y
garantiza, a las partes interesadas, que los riesgos sean manejados adecuadamente.
Es importante que el sistema de gestión de la seguridad de la información forme parte y seintegre con los procesos y estructuras de gestión integral de la organización y que se considere a
la seguridad de la información en el diseño de los procesos, sistemas de la información y
controles.
Se espera que la implementación del sistema de gestión de la seguridad de la información se
amplíe de acuerdo a las necesidades de la organización.
Esta Norma Internacional puede ser utilizadapor las partes internas y externas para la
evaluación de la capacidad de la información para cumplir con sus propios requisitos de
seguridad de la información. El orden en que son presentados los requisitos de la presente
Norma Internacional no refleja su importancia ni implica un orden en el cual deben ser
implementados. La lista de ítems son enumerados sólo de manera referencial.
ISO/IEC...