ISO 27001: implementación y soporte

1) Para qué ISO 27001 iGaming-operador

Licencias y confianza: simplifica el diálogo con los reguladores/bancos/proveedores PSP/KYC.
Enfoque sistémico: un único modelo de riesgos y controles para los productos, la plataforma y la cadena de vendedores.
Ahorro: menos incidentes y multas, requisitos predecibles para los contratistas.

2) Ámbito y contexto ISMS

Definir los límites del ISMS (productos/regiones/procesos), partes interesadas (actores, reguladores, bancos, socios), obligaciones (ley, licencias, contratos) y suposiciones/dependencias (nube, subprocesadores).
Resultado: documento Scope & Context + tarjeta stakeholder y requisitos.

3) Activos y registro de riesgos

Registro de activos: datos (PII/KYC/finanzas), servicios (pagos, antifraude, KYC), infraestructura (K8s/cloud), software/repositorios, claves/secretos, personas y roles.
Modelo de amenazas: fugas PII, fraude, downtime PSP/KYC, exploits SDK, fallas de DR.
La apreciación de los riesgos: los criterios de la probabilidad/influencia, el nivel del riesgo (Low-High-Critical), los propietarios de los riesgos y los planes del recurso: prinyatie/snizhenie/izbezhanie/peredacha.
Relación con los controles: riesgo → control de la prueba A → KPI/KRI →.

4) Políticas y procedimientos (ISMS Documentation Set)

• Política de IB, Clasificación de Datos, Acceso y Segmentación (RBAC/ABAC/SoD/JIT/PAM), Contraseñas y MFA, Registros y Auditoría, Gestión de Incidentes, Backups y DR, Desarrollo y Versiones (SSB) DLC/DevSecOps), Vulnerabilidades/Pentestas, Criptografía/Administración de Claves, Administración de Vendedores (TPRM), Privacidad (GDPR), Formación y Sensibilización, Gestión de Cambios, Gestión de Activos y Uso Aceptable, Seguridad Física.
• Los documentos se llevan por control de versiones, con registro de cambios y estado (Draft/Approved/Effective).

5) Anexo A (A.5-A. 8): medidas prácticas para iGaming

A.5 Medidas de organización

Delimitación de roles, SoD, RACI; Comité ISMS; objetivos anuales del BI; Papel DPO/Privacidad.
IGA/JML (Joiner-Mover-Leaver), re-certificación de derechos, directorios de roles como código.

A.6 Recursos humanos

Verificaciones de contratación (donde es legal), NDA, onboarding con MFA/WebAuthn, entrenamientos regulares (phishing/privacidad), offboarding ≤ 15 min.

A.7 Medidas físicas

Control de acceso a la oficina/centro de datos, segmentación, CCTV/registros, mesas/pantallas limpias, protección de dispositivos y medios.

A.8 Medidas tecnológicas

Arquitectura segura: WAF/CDN, mTLS, KMS/HSM, encriptación en tránsito/in, tokenización PII, RLS/CLS/enmascaramiento.
SDLC: scanning SAST/DAST/Dependency, escaneo IaC, escáneres de secreto, firma de artefactos, control de cadena de suministro.
Operaciones: registro (WORM + hash chain), SIEM/SOAR, antipattern de lógica de secretos, backups (3-2-1), pruebas de DR, vulnerabilidades/paths SLA, tablas de reversión de lanzamientos.
CIAM/jugadores: protección de autenticación, evaluación de riesgos de dispositivos, antibots de comportamiento.

6) Declaración de aplicabilidad (SoA)

La matriz: el control → el estatus (es aplicable/no es aplicable) → la argumentación → la realización → las pruebas → el propietario → las partidas de nacimiento.

7) Gestión de documentos y registros (evidence)

Registros: riesgos, activos, incidentes, vulnerabilidades, capacitación, accesos, auditorías, CAPA, vendedores/subprocesadores.
Requisitos de registro: inmutabilidad, integridad (firmas/hashes), tiempo de retención, búsqueda rápida, enlace a controles y KPI.

8) Auditorías internas y revisión por parte de la administración

Auditoría interna: plan anual (orientado al riesgo), auditorías de diseño/eficacia operativa, muestreos, informes y CAPA.
Revisión de gestión (1-2 veces/año): estado de KPI/KRI, resultados de auditorías/incidentes, evaluación de recursos, riesgos y oportunidades, soluciones/objetivos para el próximo período.

9) Métricas (KPI/KRI) para ISMS

• Cobertura de políticas y relevancia de documentos ≥ 95%
• Ejecución de planes de auditoría/capacitación ≥ 95%
• SLA de resolución de vulnerabilidades (High/Critical) ≥ 95% a tiempo
• Proporción de controles automatizados ↑ QoQ

• Fugas/incidentes con PII = 0; notificaciones ≤ 72 h - 100%
• Violaciones de SoD/JIT/enmascaramiento = 0
• No respuesta de la prueba DR = 0; RTO/RPO reales normalmente

10) Integración con prácticas ya existentes

Vincule la norma ISO 27001 a las secciones existentes de su wiki: Políticas de acceso y segmentación, Privilegio RBAC/Least, Política de contraseñas y MFA, Registros de auditoría, TPRM y SLA, Controles internos y su auditoría, GPR DPR/DPO/PIA, Incidentes y fugas, DR/BCP.

11) Roles y RACI

12) Plan de certificación: Stage 1 → Stage 2

Etapa 1 (documentación y preparación): Scope, contexto, modelo de riesgo, SoA, políticas/procedimientos clave, registro de implementación, plan de etapa 2.
Etapa 2 (práctica y evidencia): entrevistas, muestreos, rastreo, cumplimiento de controles en el caso.
Después - informe, inconsistencias, remediación, emisión de certificado (normalmente 3 años) + auditoría anual de supervisión.

13) Hoja de ruta para la implementación (12 semanas → certificado)

Semanas 1-2: contexto/Scope, mapa de stakeholder, registro de activos y riesgos (borrador), plan de comunicaciones, asignación de propietarios.
Semanas 3-4: paquete de políticas v1, SoA (borrador), directorios de registro/lógica, inicio de aprendizaje, ejecución del proceso TPRM.
Semanas 5-6: Implementación de controles críticos (MFA/WebAuthn, RBAC/ABAC/JIT, Registros WORM, Plan Backups/DR, Vulnerabilidades/Patches), Lanzamiento de la Auditoría Interna # 1 (DE).
Semanas 7-8: eliminación de hallazgos, refinamiento de SoA, almacenamiento de información, dashboards KPI/KRI, ejercicio de tabletop sobre incidentes y mini prueba de DR.
Semanas 9-10: Auditoría Interna # 2 (OE), Revisión de Gestión, Reserva de Auditor, Preparación para la Etapa 1 (Paquete de Documentos).
Semanas 11-12: Etapa 1 → revisiones rápidas → Etapa 2, remediación operativa, paquete final de pruebas.

14) Hojas de cheques

14. 1 Preparación para el Escenario 1

• Scope/Context aprobados
• Registro de activos/riesgos y metodología de valoración
• Políticas y procedimientos v1 (mínimo 12 claves)
• SoA (estados y justificaciones)
• Plan de auditorías/capacitación, propietarios designados

14. 2 Preparación para Stage 2

• Evidence para cada control de A.5-A. 8
• Revistas: accesos, incidentes, vulnerabilidades, backups/DR, capacitaciones
• Protocolos DR/simulacros de incidentes, muestras, CAPA
• Total de KPI/KRI y soluciones de revisión de administración

14. 3 Auditorías de soporte y supervisión

• Plan anual de auditoría y actualización de riesgos
• Actualización de SoA/políticas en cambios de entorno
• Prueba de RD ≥ 1-2 veces/año, alarmas de aprendizaje
• Formación de personal y principiantes 100%

15) Errores frecuentes y cómo evitarlos

ISMS «sobre papel»: no existe un ligamento «riesgo → control de la → métrica de la → de la videncia». Haz dashboards y rugidos regulares.
Scope demasiado amplio: comience con un bucle crítico (pagos/KUS/principal) y amplíe.
Sin propietarios de riesgo: asigne propietarios de dominio y RACI.
Sin automatización: transfiera controles repetibles a CCM (SIEM/SOAR, validadores de circuitos, verificadores IGA).
Olvidado de los vendedores: TPRM, DPA/SLA/derecho de auditoría, registro de subprocesadores y monitoreo.

16) Mantenimiento de la conformidad (Run ISMS)

PDCA: Planificar → Hacer → Comprobar → Mejorar (ciclos trimestrales).
Gestión de cambios: cambios significativos (arquitectura, regiones, vendedores) → revisión de riesgos/SoA.
Informes KPI/KRI: mensualmente Bord, trimestralmente - Informe ISMS ampliado.
Incidentes y vulnerabilidades: correcciones de SLA, retrospectivas, CAPA en el registro de mejoras.

TL; DR

Éxito ISO 27001 = modelo de riesgo y Scope claro, conjunto de políticas prácticas, SoA con conjunto de risk→kontrol→evidence, controles automatizados (MFA/RBAC/logs/DR/vulnerabilidades), auditorías internas + Revisión de gestión, y soporte PDCA Haga una hoja de ruta de 12 semanas y tenga un ISMS de trabajo listo para la certificación y operación diaria.