La norma internacional de gestión de incidentes de seguridad de la información (Information Security Incident Management) aporta la base de procesos que hay detrás de la respuesta a incidentes y el análisis forense: desde la preparación hasta el ciclo de lecciones aprendidas.
La ISO/IEC 27035 describe un ciclo de vida estructurado y repetible para el tratamiento de los incidentes de seguridad de la información. En lugar de reaccionar de forma improvisada ante ataques, caídas o fugas de datos, la norma establece un proceso de extremo a extremo: detectar, notificar, evaluar, decidir, contener, recuperar y aprender de cada incidente.
La norma consta de varias partes: la parte 1 (27035-1:2023) define los principios y el proceso, la parte 2 (27035-2:2023) la planificación y preparación, la parte 3 (27035-3:2020) la respuesta operativa a incidentes ICT y la parte 4 (27035-4:2024) la coordinación entre organizaciones. La ISO/IEC 27035 es una guía y no es certificable por sí misma, pero constituye la columna vertebral operativa del tratamiento de incidentes de un SGSI certificado según ISO/IEC 27001.
La ISO/IEC 27035 divide el tratamiento de incidentes en cinco fases sucesivas.
Política de respuesta a incidentes, roles, un equipo de respuesta a incidentes (IRT), canales de notificación, playbooks, herramientas y concienciación se establecen antes del primer incidente: la base de toda respuesta sólida.
Los eventos se captan mediante monitorización, SIEM, reportes y detección, se reconocen como relevantes para la seguridad y se notifican con prontitud por canales definidos.
Los eventos notificados se trian, clasifican y priorizan. Se decide si existe un incidente de seguridad y qué escalado es necesario.
Contención, erradicación, recuperación y, cuando procede, preservación forense de pruebas, además de la comunicación interna y externa, incluidas las notificaciones a las autoridades.
Revisión posterior, análisis de causa raíz, actualización de controles y playbooks e indicadores: cada incidente mejora de forma demostrable el nivel de seguridad.
La ISO/IEC 27035 es el fundamento normativo de las obligaciones regulatorias de notificación y respuesta.
Los plazos escalonados de NIS2 —alerta temprana en 24 horas, notificación en 72 horas, informe final en un mes— presuponen exactamente el proceso que aporta la ISO/IEC 27035 mediante detección, evaluación y notificación.
Para las entidades financieras, el ciclo de vida cubre en el plano normativo la clasificación y notificación de incidentes graves relacionados con las TIC (major ICT-related incidents) exigidas por DORA, desde la notificación inicial hasta el informe final.
Los controles A.5.24 a A.5.28 del anexo A de la ISO/IEC 27001:2022 (planificación, evaluación, respuesta, aprendizaje, recopilación de pruebas) se operativizan directamente y se hacen auditables mediante la ISO/IEC 27035.
El Reglamento de Ciberresiliencia (CRA) exige una gestión activa de vulnerabilidades y la notificación de vulnerabilidades explotadas; los procesos de respuesta y notificación de la 27035 se alinean directamente con ello.
Del diagnóstico inicial a una capacidad de respuesta a incidentes operativa.
Evaluamos su tratamiento de incidentes actual frente a las cinco fases de la ISO/IEC 27035 y frente a sus obligaciones regulatorias (NIS2, DORA, ISO 27001).
Diseñamos la política de respuesta a incidentes, los roles, las cadenas de notificación y playbooks por escenario, incluida la lógica de notificación 24h/72h/1 mes.
Capacitamos a su equipo de respuesta a incidentes con ejercicios de mesa e incidentes simulados e integramos la detección, el SIEM y el escalado.
Anclamos los ciclos de lecciones aprendidas, los indicadores y revisiones periódicas: el proceso se mantiene eficaz y auditable.
Fuentes primarias de la norma y servicios de VamiSec correspondientes.
Respuestas sobre la ISO/IEC 27035 en la práctica.
No. La ISO/IEC 27035 es una guía y no es certificable por sí misma. Lo certificable es el SGSI global según la ISO/IEC 27001; la ISO/IEC 27035 aporta el proceso operativo de gestión de incidentes, en especial para los controles A.5.24 a A.5.28.
La norma establece exactamente los pasos del proceso —detección, evaluación, decisión, notificación— necesarios para cumplir de forma fiable los plazos escalonados de NIS2 (alerta temprana a las 24 horas, notificación a las 72 horas, informe final a un mes).
Un evento es un cambio de estado identificable que puede ser relevante para la seguridad. Un incidente es uno o varios eventos que amenazan realmente la seguridad de la información. La fase de Evaluación y decisión realiza precisamente esta distinción.
De cuatro partes: 27035-1:2023 (principios y proceso), 27035-2:2023 (planificación y preparación), 27035-3:2020 (operaciones de respuesta a incidentes ICT) y 27035-4:2024 (coordinación entre organizaciones).
La ISO/IEC 27001 exige un proceso de gestión de incidentes, pero lo describe solo de forma breve. La ISO/IEC 27035 detalla y refuerza ese proceso, cerrando la brecha entre el requisito y una implementación a prueba de auditorías.
Elevamos su respuesta a incidentes al nivel ISO/IEC 27035, en línea con NIS2, DORA y su SGSI ISO 27001.
