Guía pública de repaso

ISO 27002:2022: 93 controles, preguntas y ejemplos

Estudia el propósito de cada control y cuándo puede ser pertinente. Practicar consiste en distinguir medidas cercanas, pedir evidencia y justificar una elección según el contexto, no solo memorizar números.

Qué estudiar y qué significan los números

Los 93 controles se agrupan en 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos. Cada control es un tema, no una pregunta. La preparación contiene cuatro variantes por tema y permite estudiar por bloques sin mezclar la práctica de requisitos de ISO 27001.

Diferencia entre ISO 27001 e ISO 27002

ISO 27001 establece requisitos para un sistema de gestión de seguridad de la información (SGSI). ISO 27002 explica controles de seguridad y su aplicación. La selección de controles se justifica según riesgos y requisitos aplicables; no consiste en marcar los 93 como obligatorios. Una certificación del SGSI se evalúa respecto a ISO 27001, no por responder estas preguntas.

Cómo preparar tu práctica

Recorre los cuatro grupos: organización (5), personas (6), protección física (7) y tecnología (8). Para cada control anota propósito, situación de uso y evidencia posible.
Compara medidas que se parecen: gestionar identidades (5.16) no equivale a revisar derechos de acceso (5.18); hacer copias (8.13) no cubre por sí solo toda la preparación TIC para continuidad (5.30).
Practica casos de una sola norma y revisa las explicaciones. Cuando necesites una evaluación más amplia, elige un simulacro de 20, 40, 60 o 100 preguntas; varias pueden tratar un mismo control sin repetir una variante.

Pregunta de ejemplo con respuesta explicada

Situación y datos ficticios creados por Nexsora. Consulta el texto completo en una copia autorizada de la norma.

Un equipo registra 20 copias de seguridad completadas, pero nunca ha probado recuperarlas. ¿Qué control debes consultar para comprobar que las copias sirven para la recuperación?

Respuesta razonada

8.13, copias de seguridad de la información. Que un proceso termine sin error no demuestra que los datos puedan recuperarse. Deben comprobarse las copias y la restauración según las necesidades y procedimientos de la organización.

Qué comprobar

Revisa registros de copias, resultados de restauración y comparación con objetivos de recuperación aprobados. Si se recuperan 19 de 20 copias de prueba, el 95 % describe esa muestra; no es un umbral universal de conformidad fijado por ISO 27002.

Confusiones que conviene evitar

La existencia de un control en ISO 27002 no lo vuelve automáticamente obligatorio. Relaciónalo con riesgos, obligaciones y la selección justificada de la organización.
Una herramienta instalada o una política publicada no demuestran por sí solas que el control opere eficazmente. Busca configuraciones, registros y resultados pertinentes.

Ir a preguntas y simulacros ISO

En el apartado de práctica selecciona la norma. Para guardar intentos y probar la muestra gratuita necesitas iniciar sesión; los modos completos requieren acceso vigente o rol administrador.

ISO 27001:2022: guía de repaso, preguntas y simulacros

Fuente oficial y alcance editorial

Ficha oficial ISO/IEC 27002 (sitio externo; abre otra pestaña)

Base de estudio: ediciones 2022. No incluye las modificaciones de 2024. ISO 27001 establece requisitos del SGSI; ISO 27002 orienta sobre controles. No todos los controles son obligatorios: su selección debe justificarse según los riesgos y requisitos aplicables. Material disponible en español, inglés, portugués de Brasil y francés. Quechua y aimara mantienen apoyo en español. Las traducciones y el contenido requieren revisión editorial independiente especializada; no son versiones oficiales de las normas.

Material original e independiente de Nexsora. No es un examen oficial, no acredita certificación ISO ni está avalado por ISO. Las explicaciones no sustituyen la consulta de una copia autorizada de las normas.