Gestión de la seguridad — ISO 27001 y RGPD aplicados a mi propia infraestructura
Una forma estructurada de decidir qué riesgos de seguridad importan, qué hacer con ellos y cómo demostrarlo, aplicada al servidor que hay detrás de este sitio.
La necesidad
Decir «es seguro» no demuestra nada. Las organizaciones usan la norma ISO 27001 para decidir, documentar y demostrar lo que hacen frente a los riesgos de seguridad; quería practicarla con algo real.
La idea
Tratar mi propio servidor como el de un cliente: definir el alcance, analizar los riesgos, elegir los controles, auditar… y publicar las carencias en lugar de ocultarlas.
Lo que construí
- Un alcance y un inventario de lo que hay que proteger.
- Un análisis de riesgos con EBIOS RM, el método nacional francés.
- Una revisión, uno por uno, de los 93 controles de ISO 27001 (edición de 2022), incluidos 35 excluidos, cada uno con una justificación por escrito.
- Una política de seguridad, procedimientos operativos y un registro RGPD para los datos de visitantes que trata este sitio.
- Una auditoría interna de 17 controles, con las carencias redactadas en su totalidad.
- Pruebas en directo: algunos requisitos se miden automáticamente cada hora, no solo se declaran.
El resultado
- 93controles revisados uno por uno
- 35excluidos, cada uno con una justificación por escrito
- 17controles auditados internamente
- 14 · 2 · 1conformes · parciales · carencia
De los 93 controles: 12 implantados, 30 parciales, 16 pendientes y 35 no aplicables (recuento revisado el 12 de septiembre de 2026). Hay extractos públicos en línea; el análisis de riesgos completo y la declaración de aplicabilidad se muestran en las entrevistas.
En imágenes
Lo que aprendí
Excluir un control con una buena razón dice tanto como aplicarlo. Y un sistema de seguridad que solo enumera sus éxitos no lo es: es un folleto.
Detalles técnicos Tecnologías, arquitectura y decisiones, para lectores técnicos
Tecnologías
- ISO/IEC 27001:2022
- EBIOS RM
- RGPD
- Ubuntu
- nginx
- systemd
- Cloudflare
- Litestream + restic
Cómo funciona
- Alcance: máquina virtual de producción, aplicación, base de datos, datos de visitas y accesos de administración. Fuera del alcance de forma explícita: el equipo personal y las cuentas de terceros.
- EBIOS RM en cinco talleres; riesgos residuales aceptados por escrito. Los talleres 4 y 5 no se publican, a propósito.
- Declaración de aplicabilidad: 12 implantados, 30 parciales, 16 pendientes y 35 no aplicables, en su mayoría controles sobre personas y seguridad física transferidos al proveedor de la nube.
- RGPD: registro de actividades de tratamiento (art. 30), ponderación del interés legítimo, información a los interesados (art. 13), procedimiento de derechos (art. 15–21), procedimiento ante brechas (art. 33) y análisis de EIPD y de DPD (art. 35 y 37).
- Auditoría interna: 17 controles; 14 conformes, 2 parciales y 1 carencia estructural redactada en su totalidad; registro de incidentes publicado.
- Se abandonó una función automatizada de agregación OSINT por falta de una base jurídica sólida según el artículo 14 del RGPD.
- Carencias conocidas: continuidad de negocio no probada desde que se retiró la máquina de respaldo; sin análisis continuo de vulnerabilidades.
Lo que aún falta
- Sin certificación: no es posible para un particular
- Continuidad no probada
- Sin análisis continuo de vulnerabilidades