---
title: Definiendo los Roles y Responsabilidades ISO 27001
description: Conoce los principales roles y responsabilidades ISO 27001 que debes tener en tu organización para un SGSI efectivo.
image: https://sugeris.com/hubfs/Blog%20Centro%20de%20Mejora/2024/Destacadas%20y%20TN/Art%C3%ADculo%2082-3-D.jpeg
---
[Skip to content](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#main-content)
whatsapp icon
#### [+52 33 11 688 490](https://wa.me/523311688490?text=%C2%A1Hola!%20Estamos%20interesados%20en%20los%20servicios%20de%20Sugeris)
map-marker-alt icon
#### [Cd. de México](https://share.google/Rr1j3IPpkqMcNyjzB) y [Guadalajara](https://share.google/Vqc46xRnEVkhxiYpE)
-
-
-
[](https://sugeris.com)
- [Acompañamiento](https://sugeris.com/es/consultoria)
- Normas y modelos
- [CMMI](https://sugeris.com/implementar-cmmi)
- [CMMI Implementación](https://sugeris.com/implementar-cmmi)
- [CMMI Cursos Oficiales](https://sugeris.com/cursos-oficiales-cmmi)
- [CMMI Evaluación Benchmark](https://sugeris.com/evaluaciones-cmmi)
- [ISO 27001](https://sugeris.com/iso27001)
- [ISO 20000](https://sugeris.com/iso20000)
- [ISO 29110](https://sugeris.com/iso29110)
- [ITIL para empresas](https://sugeris.com/itil)
- [Sobre nosotros](https://sugeris.com/es/nosotros)
- [Nosotros](https://sugeris.com/es/nosotros)
- [CMMI Licensed Partner](https://sugeris.com/es/cmmi-licensed-partner)
- [Recursos](https://sugeris.com/recursos)
- [Recursos gratuitos](https://sugeris.com/recursos)
- [Libros](https://sugeris.com/publicaciones)
- [Blog](https://sugeris.com/blog)
- [Todos los Artículos](https://sugeris.com/blog)
- [Artículos sobre CMMI](https://sugeris.com/blog/tag/cmmi)
- [Artículos sobre Calidad en Desarrollo](https://sugeris.com/blog/tag/calidad-en-el-desarrollo-de-software)
- [Artículos sobre Gestión de Servicios de TI](https://sugeris.com/blog/tag/gesti%C3%B3n-de-servicios-de-ti)
- [Artículos sobre Seguridad e ISO 27001](https://sugeris.com/blog/tag/iso-27001)
- [Artículos sobre Gestión de proyectos](https://sugeris.com/blog/tag/gesti%C3%B3n-de-proyectos)
- [Artículos sobre Gestión empresarial](https://sugeris.com/blog/tag/gesti%C3%B3n-empresarial)
Este es un campo de búsqueda con una función de sugerencia automática adjunta.
- No hay sugerencias porque el campo de búsqueda está vacío.
Contáctanos
✖
1
Blog de Sugeris
# Definiendo los Roles y Responsabilidades ISO 27001
[ Adolfo Mota](https://sugeris.com/blog/author/adolfo-mota) diciembre 1, 2023 8 minutos de lectura
[ISO 27001](https://sugeris.com/blog/tag/iso-27001)
Al construir tu Sistema de Gestión de Seguridad de la Información (SGSI) bajo la ISO 27001, asegurarte de que cada miembro clave comprenda claramente su papel es crucial. En este artículo, exploraremos los roles esenciales y responsabilidades que impulsarán el éxito de tu SGSI, siguiendo los estándares de la norma ISO 27001.
Sigue leyendo para descubrir cómo fortalecer la seguridad de la información en tu empresa con un buen equipo.
#### ¿Qué encontrarás en este artículo?
- [¿Por qué es fundamental para el programa de seguridad comprender los roles?](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#importancia)
- [Cinco roles y responsabilidades fundamentales para la ISO 27001 y la seguridad de la información](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#cinco-roles)
- [Líder de Seguridad o Comisario de Seguridad](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#lider)
- [Consejo de Riesgos de la Información y Administrador de Riesgos de Seguridad](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#administracion)
- [Auditor Interno de Seguridad](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#auditor)
- [Propietarios de Control](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#propietarios)
- [Toda la empresa](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#personal)
- [Integra el mejor equipo para la seguridad de la información](https://sugeris.com/blog/roles-y-responsabilidades-iso-27001#equipo)
## ¿Por qué es fundamental para el programa de seguridad comprender los roles?
La implementación de un programa de seguridad de la información es realmente una iniciativa de toda la organización. Se necesita el liderazgo de seguridad, a nivel de departamento y de toda la organización para respaldar, adoptar, impulsar y socializar los conceptos de seguridad de la información. Un programa de seguridad aislado nunca podrá superar el nivel de cumplimiento de la casilla.
La buena noticia es que la mayoría de los líderes de la organización comprenden la importancia de la seguridad de la información y, por lo general, están dispuestos a respaldar un programa de seguridad del tamaño adecuado y bien pensado.
Si estás a cargo de implementar el programa de seguridad, es tu trabajo comunicar el "por qué" y el "qué" detrás del programa de seguridad. Y si estás buscando[alinearte con la norma ISO 27001](https://sugeris.com/blog/certificacion-iso-27001-guia-rapida), también será necesario que definas y comuniques los roles y responsabilidades para lograr la certificación.
## Cinco roles y responsabilidades fundamentales para la ISO 27001 y la seguridad de la información
Si bien el nombre y el lugar específicos en el organigrama pueden variar, todos los programas de seguridad tienen al menos cinco "tipos de roles". Estos tipos de roles son un requisito mínimo para cualquier programa de seguridad y un requisito para cumplir con los requisitos descritos en las [cláusulas 4-10 de la norma ISO 27001:](https://sugeris.com/blog/iso27001-2022)
1. Líder de seguridad o comisario de seguridad
2. Administrador de riesgos de seguridad
3. Auditor interno de seguridad
4. Propietarios de control
5. Todo el personal de la empresa
### 1) Líder de Seguridad o Comisario de Seguridad
Es el líder definido de un [sistema de gestión de seguridad de la información (SGSI)](https://sugeris.com/blog/que-es-sgsi) y sus funciones y perfil pueden variar dependiendo de la forma y el tamaño de la organización.
En algunas organizaciones pequeñas, el liderazgo en seguridad puede compartirse con miembros de otros departamentos, como el de tecnología de la información, ingeniería o legal. En las organizaciones más grandes, el líder de seguridad puede ser un director de seguridad de la información (CISO) o comúnmente conocido como Comisario de Seguridad, un vicepresidente o un profesional de la seguridad a nivel de director.
En cualquier caso, esta persona debe ser dueño del programa de seguridad de la información (incluida la responsabilidad y la autoridad formalizadas).
**Sus responsabilidades típicas incluyen:**
1. Definir el contexto del programa de seguridad, incluida la alineación del programa con los objetivos de la empresa y garantizar que se hayan tenido en cuenta las partes interesadas adecuadas.
2. Establecimiento del objetivo estratégico, diseño de la hoja de ruta y proyectos del programa de seguridad, asignación de presupuesto, personal y plan de trabajo.
3. Desarrollar, rastrear e informar los KPI de seguridad a las partes interesadas relevantes.
### 2) Consejo de Riesgos de la Información y Administrador de Riesgos de Seguridad
La [administración de riesgos de seguridad](https://sugeris.com/blog/administracion-seguridad-de-la-informacion)suele consistir en uno o varios comités frecuentemente conocidos como Consejo de Riesgos de la Información (IRC), Consejo de Riesgos de Seguridad (SRC) o simplemente Grupo de Riesgos, presidido por un Administrador de Riesgos de Seguridad.
Estos grupos se encargan de las actividades generales de [gestión de riesgos](https://sugeris.com/blog/evaluacion-de-riesgos-iso27001) en relación con la seguridad de la información incluyendo la supervisión, la definición de las políticas y las actividades de gestión de riesgos.
Estos grupos también están diseñados para ser de naturaleza multifuncional, no aislados de los profesionales de la seguridad de la información o la tecnología, sino trabajando en conjunto y coordinadamente.
A menudo, los jefes de departamento de finanzas, recursos humanos, ventas, legal y otros son representantes en estos consejos y además es conveniente que así sea porque la representación multifuncional ayuda a impulsar el cambio organizacional y la socialización de las iniciativas de seguridad de la información, así como a la gestión multifactorial de riesgos ya que estos frecuentemente se presentan desde varios orígenes dentro de la organización.
**Las tareas fundamentales incluyen:**
1. Asistencia a las reuniones trimestrales de gestión de riesgos (trimestral suele ser un buen ritmo que no es excesivo para los miembros).
2. Definición del proceso de gestión de riesgos, incluido el análisis de riesgos, la medición de riesgos y el tratamiento de riesgos.
3. Supervisar la evaluación anual de riesgos, incluida la revisión periódica del registro de riesgos.
4. Revisar, aprobar, socializar y hacer cumplir las decisiones de políticas en toda la organización.
5. Revisión de los resultados de las evaluaciones de seguridad y otras actividades relacionadas con la seguridad.
6. Encargado de la gestión de incidentes de seguridad y la respuesta a incidentes de seguridad (puede ser un subcomité o equipo separado bajo la función de gestión de riesgos).
### 3) Auditor Interno de Seguridad
Un principio filosófico clave de la norma ISO 27001 es el compromiso de la Dirección General con la mejora continua. Es por esto por lo que la Dirección debe impulsar la ejecución de las auditorías internas de seguridad como una parte clave para supervisar e impulsar la mejora continua de tu programa de seguridad. Debido a que la auditoría interna debe ser calificada e independiente del SGSI, muchas organizaciones optan por aprovechar a terceros como una consultora especializada para realizar evaluaciones de seguridad o entrenar a personal competente y comprometido para realizarla.
**Las tareas fundamentales son:**
1. Estar cualificado para ser auditor interno y realizar una evaluación de seguridad, por ejemplo, un auditor líder ISO 27001 o similar.
2. Mantenerse independiente del SGSI, sin conflicto de intereses como por ejemplo tener también en su responsabilidad controles operativos o que rijan el SGSI.
3. Creación de un plan anual de auditorías intentas de seguridad.
4. Ejecución del plan de auditoría.
5. Informar de los resultados de las auditorías de seguridad a la dirección general.
### 4) Propietarios de Control
Los propietarios de control son las personas responsables de la operación de las diversas tareas y deberes que componen el programa de seguridad. Muchas de estas funciones están definidas por los controles descritos en el [anexo A de la norma ISO 27001](https://sugeris.com/blog/controles-iso27001). Estas funciones variarán ampliamente de una organización a otra, pero es fundamental que una organización se tome el tiempo necesario para definir estas funciones y medir periódicamente su desempeño.
**Las tareas esenciales son:**
1. Ingeniería, desarrollo y operaciones seguras (DevOps) en la empresa, con los proveedores, con los asociados y con los clientes.
2. Operaciones de seguridad, como la gestión de vulnerabilidades, la supervisión de intrusiones y la defensa activa.
3. Ingeniería de red y soporte perimetral haciendo evaluaciones de configuración de dispositivos activos y pasivos de la red, desde impresoras, móviles, hasta enrutadores y switches, acceso a dispositivos activos y pasivos, acceso a centro de datos, control de configuración de la red informática y equipos conectados, etc.
4. Gestionar la disponibilidad de sistemas, incluidas las copias de seguridad y su restauración, autorización de accesos, altas/bajas de usuarios, retiro definitivo de versiones de software, instalación de aplicaciones libres o de paga, lista de aplicaciones autorizadas institucionales, acceso a bases de datos y sistemas, etc.
### 5) Todo el personal de la empresa
Cabe destacar que todos los colaboradores desempeñan un papel fundamental en lo que respecta a la seguridad de la información. De acuerdo con un estudio de la IAPP (*Inter-Access Point Protocol*, *[Data indicates human error prevailing cause of breaches, incidents](https://iapp.org/news/a/data-indicates-human-error-prevailing-cause-of-breaches-incidents/)*), el principal origen de los incidentes de seguridad está en el propio personal de la empresa, ya sea por omisión, error operativo e incluso intención.
**Sus responsabilidades típicas relacionadas con la seguridad de la información incluyen:**
1. Capacitación básica de concientización sobre seguridad del usuario final (por ejemplo, phishing por correo electrónico, navegación por Internet).
2. Capacitación sobre lo que se debe y no se debe hacer acorde a su función (por ejemplo, una persona en finanzas debe entender que nunca debe cambiar el número de ruta de la cuenta bancaria de un cliente en función de una solicitud por correo electrónico).
3. Formación basada en requisitos normativos o contractuales.
## Integra el mejor equipo para la seguridad de la información
Asegura el éxito de tu sistema de gestión de seguridad de la información al elegir a los profesionales más comprometidos y capacitados. En este viaje, recordemos que "ninguno de nosotros es tan inteligente como todos nosotros juntos". La conformación de un equipo motivado, con una comprensión plena del SGSI y la ISO 27001 y respaldado por la dirección general, es esencial.
Si eres el líder de sistemas y estás pensando en abordar esto solo con el apoyo de tu personal de sistemas te adelantamos que tendrás una gran cantidad de complicaciones. Invita a aquellos que puedan aportar al desarrollo de tu SGSI, sin importar su área, y juntos construirán un sólido futuro en seguridad de la información. ¡La excelencia comienza con la elección del equipo correcto!
¿Listo para llevar tu seguridad de la información al siguiente nivel con la norma ISO 27001? Estamos aquí para apoyarte en cada paso del camino. Si necesitas orientación o acompañamiento en la implementación, acércate a Sugeris.
Nuestro equipo de consultores especializados está comprometido a hacer que este proceso sea eficiente y exitoso para tu empresa.
Contáctanos para iniciar juntos este viaje hacia una seguridad de la información robusta y conforme. ¡Estamos aquí para respaldarte!
[](https://sugeris.com/hs/cta/wi/redirect?encryptedPayload=AVxigLK%2FC1xfOg24QGmATpFSJGtmrXGrICvsIzUgDpQ0fhNjCIxfc4VW2Pi05VhHpsuFO5kTO%2BjOt9Vbu5uUJncxhxb58cy11Tfj9aa2gy0EUvhCYQWiI2ReFIfVWaJWeS9CdCbCWU9gpLSv8UkLKCIOmWIJIdHYd%2BV4GOXhhuxzudwG19k1j6QTml0lTY32sK0LuJd0&webInteractiveContentId=125502993530&portalId=6327868)
[Adolfo Mota](https://sugeris.com/blog/author/adolfo-mota) | Sobre el autor
Consultor en Calidad y Procesos
[ Anterior Navegando la Transformación Digital en las Empresas](https://sugeris.com/blog/transformación-digital)
[ Siguiente Uniendo Fuerzas: Sinergia en la Empresa](https://sugeris.com/blog/sinergia-en-la-empresa)
### Sugeris
Acompañamiento personalizado, ágil y sencillo para lograr la mejora y certificación.
##### Temas
- [Gestión Empresarial](https://sugeris.com/blog/tag/gestión-empresarial)
- [Calidad en el Desarrollo de Software](https://sugeris.com/blog/tag/calidad-en-el-desarrollo-de-software)
- [ISO 27001](https://sugeris.com/blog/tag/iso-27001)
- [Gestión de Servicios de TI](https://sugeris.com/blog/tag/gestión-de-servicios-de-ti)
- [CMMI](https://sugeris.com/blog/tag/cmmi)
- [Procesos](https://sugeris.com/blog/tag/procesos)
- [Gestión de Proyectos](https://sugeris.com/blog/tag/gestión-de-proyectos)
- [Certificaciones](https://sugeris.com/blog/tag/certificaciones)
##### Recientes
- [](https://sugeris.com/blog/alfa-pcs-max-cmmi-development-nivel3-de-saas-local-a-visión-nacional)
#### [De SaaS Local a Visión Nacional: El Camino de Alfa PCS Max hacia CMMI Development Nivel 3](https://sugeris.com/blog/alfa-pcs-max-cmmi-development-nivel3-de-saas-local-a-visión-nacional)
septiembre 29, 2026
- [](https://sugeris.com/blog/indicadores-madurez-procesos/)
#### [Indicadores para medir la madurez de procesos: KPIs que todo directivo debe conocer](https://sugeris.com/blog/indicadores-madurez-procesos/)
septiembre 8, 2026
- [](https://sugeris.com/blog/beneficios-comerciales-iso-27001-empresas-ti/)
#### [Beneficios de implementar la norma ISO 27001: Ventaja comercial](https://sugeris.com/blog/beneficios-comerciales-iso-27001-empresas-ti/)
septiembre 8, 2026
- [](https://sugeris.com/blog/que-hace-cmmi-licensed-partner/)
#### [¿Qué hace un CMMI Licensed Partner y por qué contratarlo?](https://sugeris.com/blog/que-hace-cmmi-licensed-partner/)
septiembre 8, 2026
[Ver todos los artículos](https://sugeris.com/blog)
### También te podría interesar
[](https://sugeris.com/blog/costo-de-certificacion-cmmi)
##### [Costo de Certificación en CMMI: ¿Realmente es Tan Alto?](https://sugeris.com/blog/costo-de-certificacion-cmmi)
[ Luis Lomelí](https://sugeris.com/blog/author/luis-lomeli)
Existe un mito muy extendido que relaciona una certificación CMMI con un costo tan alto...
[Leer artículo](https://sugeris.com/blog/costo-de-certificacion-cmmi)
[](https://sugeris.com/blog/controles-iso27001)
##### [Controles ISO 27001: cuáles son y qué debes saber para implementarlos](https://sugeris.com/blog/controles-iso27001)
[ Luis Lomelí](https://sugeris.com/blog/author/luis-lomeli)
La norma ISO 27001 establece las mejores prácticas para la gestión de la seguridad de la...
[Leer artículo](https://sugeris.com/blog/controles-iso27001)
[](https://sugeris.com/blog/ser-eficaz-con-procesos)
##### [¿Por Qué es Más eficaz una Empresa con Procesos?](https://sugeris.com/blog/ser-eficaz-con-procesos)
[ Adolfo Mota](https://sugeris.com/blog/author/adolfo-mota)
Una empresa que tiene sus **procesos documentados** y los ejecuta tal y como están declarados...
[Leer artículo](https://sugeris.com/blog/ser-eficaz-con-procesos)
Acompañamiento personalizado, ágil y sencillo para lograr la mejora y certificación en tu organización.
Consultoría para la Implementación de
CMMI | ISO 27001 | ISO 20000 | ISO 29110 | ITIL
Contáctanos
Solicita una reunión
- Lun-Vie: 09:00 AM – 06:00 PM
- Sáb-Dom: Cerrado
Guadalajara | Ciudad de México |
🇲🇽
Explora
- [Home](https://sugeris.com)
- [Sobre Nosotros](https://sugeris.com/es/nosotros)
- [Acompañamiento](https://sugeris.com/es/consultoria)
- [Blog](https://sugeris.com/blog)
- [Contacto](https://sugeris.com/contacto)
- [Declaración de Privacidad](https://sugeris.com/declaracion-de-privacidad)
© 2026 Sugeris. Todos los derechos reservados. Guadalajara | Ciudad de México | México
Mejores Empresas, Mejor Sociedad.
```json
{
"@context" : "https://schema.org",
"@type" : "BlogPosting",
"author" : {
"@type" : "Person",
"name" : "Adolfo Mota",
"url" : "https://sugeris.com/blog/author/adolfo-mota"
},
"dateModified" : "2026-05-12T16:19:47.564Z",
"datePublished" : "2023-12-01T14:40:00.000Z",
"headline" : "Definiendo los Roles y Responsabilidades ISO 27001",
"image" : [ "https://sugeris.com/hubfs/Blog%20Centro%20de%20Mejora/2024/Destacadas%20y%20TN/Art%C3%ADculo%2082-3-D.jpeg" ],
"mainEntityOfPage" : {
"@id" : "https://sugeris.com/blog/roles-y-responsabilidades-iso-27001",
"@type" : "WebPage"
},
"publisher" : {
"@type" : "Organization",
"logo" : {
"@type" : "ImageObject",
"url" : "https://sugeris.com/hubfs/_Sugeris/Logo%20Principal%20Negativo%20R@2x.png"
},
"name" : "Sugeris"
}
}
```
```json
{
"@context" : "https://schema.org",
"@id" : "https://sugeris.com/#organization",
"@type" : "Organization",
"alternateName" : "Innevo",
"description" : "Implementamos estándares y modelos para empresas de servicios y departamentos de TI acompañándote en todo el proceso para la certificación.",
"logo" : "https://sugeris.com/hubfs/_Sugeris/SugerisFavicon.png",
"name" : "Sugeris",
"sameAs" : [ ],
"url" : "https://sugeris.com/"
}
```
```json
{
"@context" : "https://schema.org",
"@id" : "https://sugeris.com/#service",
"@type" : "ProfessionalService",
"areaServed" : {
"@type" : "Country",
"name" : "México"
},
"description" : "Consultoría empresarial especializada en estándares, modelos y certificaciones para empresas de servicios y áreas de TI.",
"image" : "https://sugeris.com/hubfs/_Sugeris/SugerisFavicon.png",
"name" : "Sugeris",
"provider" : {
"@id" : "https://sugeris.com/#organization"
},
"serviceType" : [ "Consultoría empresarial", "Consultoría TI", "Certificaciones", "Gestión de servicios", "Implementación de estándares" ],
"url" : "https://sugeris.com/"
}
```
```json
{
"@context" : "https://schema.org",
"@id" : "https://sugeris.com/#website",
"@type" : "WebSite",
"description" : "Consultoría empresarial para servicios y áreas de TI.",
"inLanguage" : "es-MX",
"name" : "Sugeris",
"publisher" : {
"@id" : "https://sugeris.com/#organization"
},
"url" : "https://sugeris.com/"
}
```