ISO 27001 Annex A Access Control Guide: Guía Práctica de Roles y Revisiones

El Anexo A de ISO/IEC 27001:2022 reorganizó los controles de seguridad en cuatro temas y 93 controles. Dentro de ese conjunto, el control de acceso dejó de ser un capítulo único y pasó a repartirse entre los controles organizacionales (5.15 a 5.18) y los tecnológicos (8.2 a 8.5). Esa dispersión es deliberada: la norma quiere que la política, las identidades, la autenticación y los privilegios se gestionen como un sistema, no como una lista de tareas sueltas.

Una ISO 27001 annex a access control guide útil no se limita a enumerar controles. Sirve para decidir quién entra, con qué credenciales, a qué recursos y con qué evidencia. Este artículo recorre esos puntos con referencias concretas a los apartados y con criterios que un auditor puede verificar.

Qué exige el Anexo A en materia de control de acceso

ISO/IEC 27001:2022 sustituyó la estructura de 14 dominios de la edición 2013 por cuatro temas: organizacional (cláusula 5), personas (6), físico (7) y tecnológico (8). El antiguo A.9 "Control de acceso" desapareció como bloque y sus requisitos se redistribuyeron.

La gobernanza quedó en los controles 5.15 (control de acceso), 5.16 (gestión de identidades), 5.17 (información de autenticación) y 5.18 (derechos de acceso). La aplicación técnica se reparte EN 8.2 (derechos de acceso privilegiado), 8.3 (restricción de acceso a la información), 8.4 (acceso al código fuente) y 8.5 (autenticación segura).

Del A.9 de 2013 a los controles 5.15–5.18 y 8.x

Si tu sistema de gestión viene de ISO/IEC 27001:2013, la declaración de aplicabilidad necesita una tabla de correspondencia. La política de control de acceso (A.9.1.1) se mapea ahora a 5.15; el registro y la baja de usuarios (A.9.2.1–A.9.2.6) a 5.16 y 5.18; la gestión de contraseñas (A.9.4.3) a 5.17 y 8.5. Documenta el mapeo antes de la auditoría de transición: es lo primero que se revisa.

Cómo se traduce cada control en práctica

5.15 Control de acceso. Exige una política aprobada, comunicada y revisada, con reglas basadas en necesidades de negocio y en el principio de mínimo privilegio. Debe cubrir el acceso lógico y el físico, y describir el ciclo completo: alta, modificación, revisión y baja.

5.16 Gestión de identidades. Cada persona y cada servicio necesita una identidad única. Prohíbe cuentas compartidas salvo excepciones justificadas y con control compensatorio. Los usuarios genéricos —"admin", "root", "pruebas"— son un hallazgo habitual en auditoría.

5.17 Información de autenticación. Cubre contraseñas, tokens, certificados y factores biométricos. La norma pide procedimientos de asignación, custodia y revocación, además de concienciación para evitar la reutilización de credenciales.

5.18 Derechos de acceso. Debe existir un proceso formal de concesión, cambio y retirada, con aprobación del propietario del activo o del sistema. La revisión periódica de derechos es la evidencia más solicitada.

8.2 Derechos de acceso privilegiado. Las cuentas con privilegios elevados se restringen y se controlan aparte. Bóvedas de contraseñas, grabación de sesiones y doble factor son mecanismos habituales.

8.3 Restricción de acceso a la información. Aquí entra la segmentación: listas de control de acceso, roles, etiquetado y separación de entornos (producción, pruebas, desarrollo).

8.5 Autenticación segura. La autenticación se alinea con el riesgo: autenticación multifactor para accesos remotos, administrativos o a información sensible.

Documentación mínima y trazabilidad

Una ISO 27001 annex a access control guide se vuelve operativa cuando produce documentos concretos. Como mínimo: política de control de acceso; procedimiento de gestión de identidades y derechos; matriz de roles o modelo RBAC; registro de accesos privilegiados; y calendario de revisiones.

El enfoque documental es el mismo que se describe en la guía de requisitos de documentación de ISO 9001: cada documento necesita propietario, versión, criterio de aprobación y fecha de revisión. Cambia la estructura de la norma, no la lógica del control documental.

Para el inventario de identidades y activos, la checklist del registro de aspectos ambientales de ISO 14001 puede parecer ajena, pero su mecánica —identificar, evaluar, registrar, actualizar— es idéntica a la que necesitas para el registro de accesos.

Plantilla mínima de matriz de acceso

Una tabla con cinco columnas resuelve la mayor parte del trabajo: identidad, sistema o recurso, rol, fecha de aprobación y fecha de última revisión. Si una fila no tiene propietario identificable, el derecho de acceso no está justificado. Puedes contrastar el formato con la checklist de requisitos de documentación de ISO 9001 para mantener coherencia entre sistemas de gestión.

Evidencias para la auditoría

El auditor no pregunta si tienes una herramienta; pregunta si puedes demostrar que el control funciona. Prepara:

• Solicitudes de acceso con aprobación y fecha.
• Revisiones de derechos firmadas, con las excepciones documentadas.
• Registros de baja de empleados y contratistas, incluida la revocación de credenciales el mismo día.
• Listado de cuentas privilegiadas con su justificación.
• Configuración de autenticación multifactor por tipo de acceso.

Un error frecuente: revisar derechos solo cuando se acerca la auditoría. La revisión debe ser periódica y estar planificada; la frecuencia la fija tu análisis de riesgo, no el calendario del auditor.

Métricas, revisión y mejora

Mide lo que puedas sostener en el tiempo: cuentas sin propietario, tiempo medio de revocación tras una baja, porcentaje de accesos con autenticación multifactor, número de cuentas privilegiadas por sistema y excepciones abiertas con más de 90 días.

Estas métricas alimentan la revisión por la dirección (cláusula 9.3 de ISO/IEC 27001) y el tratamiento de riesgos. Si una excepción se repite, no es una excepción: es un control mal diseñado.

Piensa en esta ISO 27001 annex a access control guide como una lista de comprobación viva. Los controles 5.15 a 5.18 y 8.2 a 8.5 no se auditan de forma aislada: se auditan como un ciclo que empieza en la identidad y termina en la evidencia de la baja.