Informe Integral sobre el Ecosistema Normativo y la Certificación ISO/IEC 27001 en la Ciberseguridad de Activos Digitales en Colombia

1. Contexto Estratégico y Evolución de la Ciberseguridad Nacional

La inmersión en la economía digital ha transformado de manera irreversible la arquitectura de valor de las organizaciones, trasladando el peso de los activos desde los componentes físicos hacia las infraestructuras de datos y los activos digitales. Sin embargo, esta hiperconectividad ha traído consigo una expansión exponencial de la superficie de ataque. Las métricas recientes revelan una realidad ineludible: durante la vigencia de 2024, la República de Colombia enfrentó aproximadamente 36.000 millones de intentos de ciberataques, consolidándose como el segundo país más atacado de América Latina, concentrando el 17% de los incidentes regionales, con impactos críticos en los sectores financiero, energético y de salud.1

La respuesta del Estado colombiano ante este panorama ha sido progresiva y estructurada. El desarrollo de la política pública inició con el Documento CONPES 3701 de 2011, el cual delineó los primeros lineamientos para la ciberseguridad y ciberdefensa.2 Posteriormente, la Política Nacional de Confianza y Seguridad Digital, materializada en el Documento CONPES 3995 de 2020, reconoció formalmente que los ciberataques y las vulnerabilidades tecnológicas constituyen uno de los principales riesgos globales.3 Más recientemente, la Estrategia Nacional de Seguridad Digital de Colombia 2025-2027 ha evidenciado que, a pesar de los avances normativos, persiste una debilidad institucional y una preocupante falta de preparación técnica en las organizaciones para enfrentar riesgos cibernéticos complejos.4 Esta estrategia enfatiza que la protección de las infraestructuras críticas cibernéticas y la implementación de modelos de confianza cero (Zero Trust) son imperativos para la resiliencia nacional.4

En este intrincado contexto, las organizaciones que operan bajo la jurisdicción colombiana, y muy especialmente aquellas que se encuentran en proceso de certificación o que ya ostentan la certificación internacional ISO/IEC 27001:2022, se enfrentan a un mandato dual: deben proteger sus activos digitales no solo para salvaguardar su viabilidad operativa, sino para dar cumplimiento estricto a un corpus normativo nacional que penaliza severamente la negligencia y la omisión en el tratamiento de la información. La ejecución de auditorías de salud digital, el despliegue de pruebas de intrusión ofensivas (pentesting) y la remediación proactiva han dejado de ser buenas prácticas para convertirse en obligaciones jurídicas y técnicas verificables.

2. Régimen Penal y la Protección del Dato: Ley 1273 de 2009

El primer pilar normativo que fundamenta la necesidad absoluta de asegurar los activos digitales es la Ley 1273 de 2009, mediante la cual se modificó el Código Penal colombiano para crear un nuevo bien jurídico tutelado, denominado expresamente “de la protección de la información y de los datos”.6 Esta disposición legislativa reconoce que los datos y los sistemas informáticos poseen un valor intrínseco que requiere la máxima protección del aparato punitivo del Estado.9

Para las organizaciones certificadas bajo ISO 27001, la relevancia de esta ley radica en que la materialización de cualquiera de las conductas tipificadas en sus sistemas evidencia, de facto, una falla crítica en los controles de seguridad perimetral, lógica o administrativa. A continuación, se presenta la transcripción literal y el análisis de los artículos correspondientes al Título VII BIS del Código Penal, ilustrando cómo cada tipo penal se correlaciona con la necesidad de fortalecer los activos digitales.

Artículo (Ley 1273 de 2009)	Texto Literal de la Norma	Implicación Técnica y Riesgo Corporativo
Artículo 269A: Acceso abusivo a un sistema informático 8	“El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.”	Sanciona la intrusión básica. Para una entidad, sufrir este delito denota deficiencias en los controles de acceso (ej. falta de autenticación multifactor o políticas de contraseñas débiles), lo cual vulnera directamente las exigencias de control lógico.
Artículo 269B: Obstaculización ilegítima de sistema informático o red de telecomunicación 8	“El que, sin estar facultado para ello, impida u obstaculice el funcionamiento o el acceso normal a un sistema informático, a los datos informáticos allí contenidos, o a una red de telecomunicaciones, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con una pena mayor.”	Tipifica los ataques de Denegación de Servicio (DoS/DDoS). Exige a las organizaciones implementar arquitecturas resilientes, redes de entrega de contenido (CDN) y balanceadores de carga para mantener la disponibilidad del servicio.
Artículo 269C: Interceptación de datos informáticos 8	“El que, sin orden judicial previa intercepte datos informáticos en su origen, destino o en el interior de un sistema informático, o las emisiones electromagnéticas provenientes de un sistema informático que los transporte incurrirá en pena de prisión de treinta y seis (36) a setenta y dos (72) meses.”	Refiere a ataques de Man-in-the-Middle. Su mitigación técnica legal requiere la implementación obligatoria de criptografía fuerte en tránsito (como TLS 1.3) y configuraciones estrictas como HSTS.
Artículo 269D: Daño Informático 8	“El que, sin estar facultado para ello, destruya, dañe, borre, deteriore, altere o suprima datos informáticos, o un sistema de tratamiento de información o sus partes o componentes lógicos, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.”	Aborda el sabotaje digital. Las empresas deben prevenirlo mediante esquemas de copias de seguridad inmutables, segregación de redes y controles rigurosos de gestión de cambios.
Artículo 269E: Uso de software malicioso 8	“El que, sin estar facultado para ello, produzca, trafique, adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u otros programas de computación de efectos destructivos, dañinos o que generen riesgos para la seguridad de la información, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.”	Penaliza la propagación de malware y ransomware. Requiere la adopción de soluciones de protección de endpoints (EDR/XDR) y el escaneo continuo de vulnerabilidades para evitar que la infraestructura propia sea utilizada como vector de infección.
Artículo 269F: Violación de datos personales 8	“El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.”	Constituye el eslabón penal directo con la fuga de información (Data Breach). Una fuga masiva no solo es un desastre reputacional, sino un ilícito penal que expone a los directivos si se demuestra negligencia en la custodia.
Artículo 269G: Suplantación de sitios web para capturar datos personales 8	“El que con objeto ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe páginas electrónicas, enlaces o ventanas emergentes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con pena más grave.”	Enfocado en el phishing y el secuestro de dominios. Obliga a las entidades a implementar controles de protección de marca, autenticación de correo electrónico (DMARC, SPF, DKIM) y monitoreo de reputación digital.
Artículo 269J: Transferencia no consentida de activos 8	“El que, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consiga la transferencia no consentida de cualquier activo en perjuicio de un tercero, siempre que la conducta no constituya delito sancionado con pena más grave, incurrirá en pena de prisión de cuarenta y ocho (48) a ciento veinte (120) meses y en multa de 200 a 1.500 salarios mínimos legales mensuales vigentes. […] Si la conducta descrita en los dos incisos anteriores tuviere una cuantía superior a 200 salarios mínimos legales mensuales, la sanción allí señalada se incrementará en la mitad.”	Tipifica el fraude electrónico corporativo, como los compromisos de correos electrónicos empresariales (BEC) que derivan en pagos fraudulentos. La prevención requiere controles exhaustivos en las aplicaciones financieras y en la integridad transaccional.

Adicionalmente, la arquitectura de la Ley 1273 de 2009 insertó modificaciones estructurales en el marco penal general. De manera literal, el Artículo 2 adiciona al artículo 58 del Código Penal el numeral 17, tipificando como circunstancia de mayor punibilidad: “17. Cuando para la realización de las conductas punibles se utilicen medios informáticos, electrónicos o telemáticos.”.7 Esto consolida un mensaje claro para la alta dirección corporativa: el cibercrimen goza de una atención procesal agravada, y la negligencia en la mitigación técnica expone a la organización a que su propia infraestructura sea instrumentalizada para cometer o facilitar estas conductas.12

3. Obligaciones Administrativas y Responsabilidad Demostrada: Ley 1581 de 2012 y Circulares SIC

Mientras que la Ley 1273 establece las sanciones penales contra el agresor, la Ley Estatutaria 1581 de 2012 transfiere la responsabilidad administrativa, operativa y civil directamente a las organizaciones. Esta norma se encarga de desarrollar el derecho constitucional de hábeas data consagrado en el artículo 15 de la Constitución Política y eleva la protección de la información a un imperativo empresarial regulado.14

La interdependencia entre esta ley y la norma ISO/IEC 27001 es insoslayable. El Artículo 4 de la Ley 1581 consagra principios rectores como el de acceso y circulación restringida, pero es el Principio de Seguridad el que demanda una materialización técnica. De forma literal, el texto ordena que la información “se deberá manejar con las medidas técnicas, humanas y administrativas que sean necesarias para otorgar seguridad a los registros evitando su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento”.16 Este postulado es la equivalencia jurídica de las cláusulas de implementación de controles tecnológicos estipuladas en la norma internacional.

3.1. Articulado Literal sobre Deberes de Seguridad (Artículos 17 y 18)

Las obligaciones se desagregan de forma explícita para quienes deciden los fines del tratamiento (Responsables) y para quienes ejecutan el procesamiento de los datos por cuenta de un tercero (Encargados).

Respecto a los Deberes de los Responsables del Tratamiento (Artículo 17 de la Ley 1581 de 2012), la norma exige de forma literal el cumplimiento estricto, entre otros, de los siguientes mandatos 15:

• Literal g) “Rectificar la información cuando sea incorrecta y comunicar lo pertinente al Encargado del Tratamiento;”.14
• Literal k) “Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y en especial, para la atención de consultas y reclamos;”.17
• Literal m) “Informar a solicitud del Titular sobre el uso dado a sus datos;”.15
• Literal n) “Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.”.15

Para los Deberes de los Encargados del Tratamiento (Artículo 18 de la Ley 1581 de 2012), las responsabilidades literales incluyen 15:

• Literal b) “Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta, uso o acceso no autorizado o fraudulento;”.15
• Literal f) “Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la presente ley y, en especial, para la atención de consultas y reclamos por parte de los Titulares;”.15
• Literal k) “Informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los Titulares.”.15

El escrutinio detallado de los literales n del Artículo 17 y k del Artículo 18 es revelador: impone la obligación ineludible de notificar a la Superintendencia de Industria y Comercio (SIC) la ocurrencia de incidentes cibernéticos que comprometan los códigos de seguridad.17 Para que una organización tenga la capacidad técnica de detectar una violación y reportarla oportunamente, necesita contar obligatoriamente con sistemas de monitoreo avanzados y evaluaciones continuas de vulnerabilidades, componentes esenciales que se validan a través de certificaciones como la ISO 27001.

3.2. Directrices Reglamentarias de la Superintendencia de Industria y Comercio (SIC)

El papel de la SIC, como autoridad nacional de protección de datos, trasciende la mera vigilancia, emitiendo instrucciones de forzoso cumplimiento agrupadas en el Título V de su Circular Única.

La Circular Externa 002 de 2015 reglamentó la creación del Registro Nacional de Bases de Datos (RNBD), estableciendo requerimientos formales y literales sobre la declaración de las posturas de seguridad. Textualmente, la norma señala que las “Medidas de seguridad de la información. Corresponde a los controles implementados por el Responsable del Tratamiento para garantizar la seguridad de las bases de datos que está registrando”.19 En complemento, esta circular impone detallar los “Mecanismos de supervisión, auditoría y/o control para la debida protección de los datos personales” 21, así como las medidas técnicas y operativas para el aseguramiento integral.

Más incisiva resulta la Circular Externa 002 de 2025 (emitida en el contexto de la rápida adopción de tecnologías emergentes e inteligencia artificial). Esta directriz consagra formalmente el principio de “Responsabilidad Demostrada” o Accountability. De forma literal, exige a los actores del ecosistema digital 22:

• “Verificación preliminar: Confirma si la tecnología implica tratamiento de datos personales y cumple la normativa, especialmente en transferencias internacionales.”
• “Responsabilidad demostrada: Implementa mecanismos para identificar y gestionar riesgos, documenta decisiones y aplica acciones correctivas antes de usar la tecnología.”
• “Protección desde el diseño y por defecto: Se incorpora medidas de seguridad, limita la recolección de datos a lo necesario y promueve la anonimización o seudonimización.”.22

Esta evolución jurídica de la SIC alinea a Colombia con los estándares más severos a nivel global, dictando que la simple instalación de software sin una evaluación profunda del riesgo (por ejemplo, omitiendo un análisis de vulnerabilidades o un test de penetración) constituye una infracción a priori del principio de responsabilidad demostrada.

4. Estándares Transversales para la Administración y Particulares: Decreto 1078 de 2015

En el ámbito de la función pública, así como para aquellos particulares que prestan servicios administrativos o interactúan con plataformas gubernamentales, el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones (Decreto 1078 de 2015) constituye la columna vertebral del cumplimiento tecnológico.23

Dentro de la Parte 2, Libro 2, Título 9 de este decreto, se consolida la estructura de la Política de Gobierno Digital, estableciendo las reglas de juego para la provisión de servicios ciudadanos digitales seguros. El texto literal del Artículo 2.2.9.1.2.1, subrogado y actualizado por normatividades conexas (como el Decreto 620 de 2020), decreta de forma explícita:

“La Política de Gobierno Digital será definida por el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC) y se desarrollará a través de componentes y habilitadores transversales que, acompañados de lineamientos y estándares, permitirán el logro de propósitos que generarán valor público en un entorno de confianza digital a partir del aprovechamiento de las TIC. […] los habilitadores transversales de la Política de Gobierno Digital, son los elementos fundamentales de Seguridad de la Información, Arquitectura y Servicios Ciudadanos Digitales, que permiten el desarrollo de los componentes y el logro de los propósitos de dicha Política.”.24

El reconocimiento de la “Seguridad de la Información” como un “habilitador transversal” es una declaración jurídica de profundo calado. Implica que ningún proyecto de transformación digital, interconexión de bases de datos o migración a la nube pública puede materializarse sin antes asegurar que el entorno cuente con los niveles de resiliencia adecuados.25 Complementariamente, resoluciones emitidas bajo la sombrilla del MinTIC obligan a la adopción del Modelo de Seguridad y Privacidad de la Información (MSPI), un marco metodológico estructurado y derivado directamente de la norma internacional NTC-ISO/IEC 27001.26 Así, la auditoría y fortalecimiento de los activos no es una opción operativa, sino un requerimiento indispensable para el despliegue del MSPI y la integración a ecosistemas estatales como el portal GOV.CO.28

5. El Estándar Internacional: ISO/IEC 27001:2022 y su Arquitectura de Cumplimiento

Las disposiciones legales colombianas expuestas en las secciones precedentes no proporcionan instrucciones técnicas granulares sobre cómo configurar un enrutador o cómo programar una aplicación web segura; proporcionan directrices de obligatoriedad, principios y sanciones. Es la adopción del estándar internacional ISO/IEC 27001:2022 (Tecnología de la información, seguridad de la información, ciberseguridad y protección de la privacidad - Sistemas de gestión de la seguridad de la información - Requisitos) la que traduce el riesgo jurídico en un marco metodológico y operativo.30

El proceso de certificación, o el mantenimiento de este, exige la demostración incesante de que los activos digitales se evalúan y refuerzan mediante auditorías y remediaciones de vulnerabilidades. Para ilustrar esta obligatoriedad, es indispensable analizar literalmente las cláusulas nucleares y los controles del Anexo A que sustentan los ejercicios de ciberseguridad ofensiva.

5.1. Cláusula 6.1.3: Tratamiento de Riesgos de Seguridad de la Información

La detección de un riesgo o una falla en un activo digital carece de utilidad sin una remediación formal. La Cláusula 6.1.3 establece la mecánica de respuesta corporativa ante las amenazas detectadas en las evaluaciones de riesgo (frecuentemente impulsadas por ejercicios de pentesting). De manera literal, la norma prescribe que la organización debe definir y aplicar un proceso de tratamiento de riesgos para 31:

• a) “seleccionar las opciones de tratamiento de riesgos de seguridad de la información apropiadas, teniendo en cuenta los resultados de la evaluación de riesgos;”
• b) “determinar todos los controles que son necesarios para implementar las opciones de tratamiento de riesgos de seguridad de la información elegidas;”
• c) “comparar los controles determinados en 6.1.3 b) con los del Anexo A y verificar que no se haya omitido ningún control necesario;”
• d) “producir una Declaración de Aplicabilidad (SoA) que contenga los controles necesarios… y la justificación para las exclusiones de cualquiera de los controles del Anexo A;”
• e) “formular un plan de tratamiento de riesgos de seguridad de la información; y”
• f) “obtener la aprobación de los propietarios de los riesgos para el plan de tratamiento de riesgos y la aceptación de los riesgos residuales.”.31

Esta cláusula fundamenta el diseño del documento maestro de la certificación: la Declaración de Aplicabilidad (SoA). Si una auditoría de ciberseguridad detecta un riesgo asociado a inyecciones de código en una plataforma web, el plan de tratamiento de riesgos (literal e) debe reflejar las acciones correctivas, integrando recursos financieros y tecnológicos para mitigar dicho riesgo. La negligencia en este punto resulta en una no conformidad mayor durante las auditorías de certificación externas.

5.2. Cláusula 9.2: Auditoría Interna

El principio fundamental del aseguramiento de la calidad es que una organización no puede calificar su propia seguridad de forma puramente endógena sin someterse a escrutinio. El texto literal de la Cláusula 9.2 de la ISO 27001:2022 ordena 35:

9.2.1 Generalidades:

“La organización debe llevar a cabo auditorías internas a intervalos planificados para proporcionar información acerca de si el sistema de gestión de seguridad de la información:

a) es conforme con:

• 1) los requisitos propios de la organización para su sistema de gestión de seguridad de la información;
• 2) los requisitos de este documento (la norma ISO 27001); b) se implementa y mantiene eficazmente.”.35

9.2.2 Programa de auditoría interna: “La organización debe planificar, establecer, implementar y mantener uno o varios programas de auditoría que incluyan la frecuencia, los métodos, las responsabilidades, los requisitos de planificación y la elaboración de informes. […] seleccionar auditores y llevar a cabo auditorías para asegurarse de la objetividad y la imparcialidad del proceso de auditoría.”.36

La cláusula de auditoría interna valida la madurez del sistema. La “objetividad e imparcialidad” exigida en la sub-cláusula 9.2.2 justifica la imperiosa necesidad de apoyarse en entidades o servicios externos de auditoría y pentesting, separando los roles de operación tecnológica de los roles de evaluación, garantizando así un diagnóstico exento de conflictos de interés.37

5.3. El Anexo A y sus Controles Tecnológicos Habilitantes (Edición 2022)

La actualización de la ISO 27001 en el año 2022 generó una restructuración del Anexo A, transitando de 114 controles divididos en 14 dominios a un diseño simplificado de 93 controles agrupados en cuatro categorías temáticas: Organizacionales, Personas, Físicos y Tecnológicos.38 La evaluación del estado de los activos digitales se fundamenta primordialmente en los controles tecnológicos, destacando los siguientes requerimientos literales:

Control Anexo A (ISO 27001:2022)	Descripción y Propósito Literal	Implicación y Exigencia Analítica
8.8 Gestión de vulnerabilidades técnicas 41	“Se debe obtener información sobre las vulnerabilidades técnicas de los sistemas de información en uso, evaluar la exposición de la organización a dichas vulnerabilidades y tomar las medidas apropiadas.”	Este es el control fundacional que obliga al escaneo de infraestructuras y a la gestión proactiva de parches. Requiere inventariar activos, monitorear boletines (CVE/CWE), establecer ventanas de mantenimiento basadas en riesgo (CVSS) y ejecutar planes de remediación técnica antes de que ocurra una explotación. Este control previene directamente la tipificación del Art. 269D y 269E de la Ley 1273.
5.15 Control de acceso 44	“Las reglas para controlar el acceso físico y lógico a la información y otros activos asociados deben establecerse e implementarse de acuerdo con los requisitos de negocio y de seguridad de la información.”	Trasladado desde dominios fragmentados de la versión 2013, consolida la política de restricción de privilegios (Principio de Menor Privilegio). Su evaluación técnica en un pentesting verifica configuraciones anómalas, escaladas de privilegios y fugas de datos que vulnerarían las leyes de Hábeas Data (Ley 1581).
8.16 Actividades de monitoreo 45	“Las redes, los sistemas y las aplicaciones deberán estar bajo monitoreo para detectar comportamientos anómalos y adoptar las medidas adecuadas para evaluar posibles incidentes de seguridad de la información.”	Aborda la visibilidad del entorno. Un SGSI sin monitoreo reactivo y preventivo carece de la capacidad para cumplir los mandatos de reporte exigidos por la SIC frente a brechas de información.

La conjunción de estas cláusulas normativas conforma una exigencia inquebrantable: para mantener la conformidad con la norma ISO 27001, una empresa debe evaluar perpetuamente las debilidades de sus componentes expuestos e internos, documentando meticulosamente todo el ciclo de diagnóstico, tratamiento y mitigación del riesgo.46

6. Operacionalización de la Seguridad: Análisis del Servicio de Auditoría de Cédula 360

La convergencia entre los requerimientos legales de la jurisdicción colombiana (Leyes 1273, 1581, Decreto 1078, Circular SIC 002/2025) y los requisitos normativos del estándar ISO/IEC 27001:2022 requiere instrumentos de ingeniería especializados que permitan traducir el mandato en evidencia medible. A fin de ilustrar esta operatividad, se procede a examinar la prestación de servicios del “Ecosistema Cédula 360 Scan”, referenciado mediante la URL pública https://pentest.cedula360.tech/, así como la evaluación específica realizada al dominio ccv.org.co disponible en https://pentest.cedula360.tech/audits/ccv-org-co/ y su análisis económico https://pentest.cedula360.tech/audits/ccv-org-co/quote.pdf.47

El análisis profundo del documento de auditoría revela un enfoque procedimental que se distancia de los escaneos convencionales, adoptando métricas que entrelazan la ingeniería ofensiva, la inteligencia artificial y la cuantificación económica del riesgo.

6.1. Arquitectura de Análisis Basada en Inteligencia Artificial (VulnSentinel)

La metodología expuesta por Cédula 360 introduce el uso intensivo de IA determinística, operando mediante modelos de lenguaje (LLM) denominados VulnSentinel, los cuales han sido entrenados (fine-tuned) de manera propietaria utilizando conjuntos de datos de ciberseguridad ofensiva, taxonomías OWASP, enumeraciones de debilidades comunes (CWE) y marcos del NIST.47 Esta aproximación difiere radicalmente de soluciones de caja negra comerciales (como la mera integración mediante promtps a ChatGPT o Claude), garantizando transparencia y reproducibilidad, dado que los pesos de la red neuronal están publicados en repositorios de código abierto como Ollama Hub.47

La ejecución de la auditoría se segmenta en niveles progresivos de análisis:

• Tier 1 (Escaneo Primario): Evaluación superficial, ejecutada en 134.4 segundos, validando la exposición perimetral del dominio ccv.org.co.47
• Tier 2 (Deep Analyze): Invocación de un endpoint Premium (POST /api/pentest/deep-analyze) que reserva CPU dedicada durante 15 a 30 minutos para un análisis exhaustivo.47
• Inferencia Especializada: Utilización del modelo bladealex/vulnsentinel:v2 (de 10 GB de tamaño, con cuantización F16) enfocado puramente en la validación técnica detallada (CVE/CWE/CVSS y plan de subsanación), y el modelo bladealex/vulnsentinel-pro:latest destinado a traducir la deuda técnica en un resumen ejecutivo que aborda el impacto corporativo y el cálculo del retorno de la inversión.47

6.2. Resultados del Dictamen Técnico para ccv.org.co

La evaluación ejecutada el 06 de mayo de 2026 bajo la petición de un operador autenticado, determinó que el dominio en cuestión presenta una condición precaria de seguridad, asignando un Score Global de 62 (Grado D) sobre una escala de 100.47

La disección de los pilares evaluados expone las vulnerabilidades específicas del activo digital:

Pilar de Evaluación	Puntuación	Análisis de Implicación Técnica y Normativa
Salud (AVG)	92	Representa una adecuada disponibilidad general. Cumple razonablemente el requisito de disponibilidad de la tríada CIA, esencial para la operatividad continua.
SEO (AVG)	77	Desempeño medio-alto en indexación.
Mejores Prácticas (AVG)	73	Nivel aceptable en la implementación de constructos estándar en desarrollo web.
Accesibilidad (AVG)	56	Subestándar respecto a directrices como WCAG 2.1 AA. Denota exclusión digital, lo cual, bajo parámetros gubernamentales del Decreto 1078, penaliza la efectividad de un servicio ciudadano digital.
Optimización (PSI)	40	Deficiencias severas en el rendimiento reportado por PageSpeed Insights (Core Web Vitals). Impacto severo en la retención del usuario final.
Ciberseguridad	31	Calificación crítica y reprobatoria. Refleja exposición a inyecciones, interceptaciones y fallas criptográficas. Es el vector primario de riesgo frente a demandas por la Ley 1581 (incumplimiento de principio de seguridad) y una falta flagrante a los controles A.8.8 y A.5.15 de la ISO 27001.

En términos de métricas de vulnerabilidad, el escaneo detectó 11 hallazgos totales en su primera iteración, fraccionados por severidad en: 1 de nivel Crítico, 4 Altos, 4 Medios y 2 de menor nivel. Para mitigar esta deuda técnica y alcanzar la subsanación total, el algoritmo VulnSentinel proyectó 18 recomendaciones consolidadas en 10 tareas de remediación.47

6.3. Garantía de Responsabilidad Demostrada: El Forensic Snapshot

Uno de los atributos más singulares de la auditoría reportada es la generación automática de un Forensic Snapshot. El sistema comprime el estado exacto de la infraestructura analizada en un archivo ZIP de 241.6 KB, firmándolo criptográficamente mediante el algoritmo de hash SHA-256 (en el caso analizado, el hash generado es a24c9490e189dfef27502ff14cd3c24b15f004a5768a4e7bcf2c0ae2e7d858dc).47

La relevancia jurídica de este componente es superlativa. La Circular Externa 002 de 2025 de la SIC impone el principio de Responsabilidad Demostrada.22 Si la organización llegase a ser víctima de una violación de datos (Art. 269F de la Ley 1273) 8, enfrentar la investigación del Centro Cibernético Policial o la inspección de la SIC resulta complejo sin evidencia irrefutable de que se tomaron medidas preventivas. El Forensic Snapshot SHA-256 constituye un artefacto forense inmutable, que certifica la ejecución del proceso de auditoría y respalda las evidencias exigidas por los auditores internos y externos de ISO 27001 para dar por cumplido el ciclo de auditoría de la Cláusula 9.2.35

6.4. Análisis Financiero y Plan de Tratamiento de Riesgos

La estructuración del archivo de cotización (quote.pdf) refleja cabalmente lo exigido por el literal e de la Cláusula 6.1.3 de la ISO 27001: “formular un plan de tratamiento de riesgos de seguridad de la información”.31 El desglose económico y técnico de las tareas asignadas para mitigar las 11 vulnerabilidades detectadas representa un esfuerzo integral de securización.47

A continuación, se tabulan los principales hitos de subsanación y su relación directa con la mitigación de los riesgos legales y normativos 47:

Ítem de Subsanación Presupuestado	Rol y Costo (USD)	Mapeo de Control ISO 27001 y Marco Normativo Colombiano
1. Implementar HSTS preload (Cabecera Strict-Transport-Security)	Junior / $62	A.8.24 (Uso de criptografía): Evita ataques Man-in-the-Middle y ataques de downgrade que configuran la “Interceptación de datos” del Art. 269C (Ley 1273).
2. Diseñar e implementar CSP estricta (Content Security Policy)	Senior / $2,100	A.8.8 (Gestión de vulnerabilidades) / A.8.26: Mitiga inyecciones Cross-Site Scripting (XSS), bloqueando vectores de “Daño informático” y acceso abusivo (Art. 269A).
3. Cabeceras OWASP básicas (XCTO, XFO, Referrer)	Junior / $62	A.8.8: Control de la superficie de la aplicación; previene el Clickjacking y el secuestro de sesiones.
5. Deshabilitar TLS 1.0/1.1 y Suites RSA (Solo permitir TLS 1.2+/1.3)	Senior / $525	A.8.24: La obsolescencia criptográfica representa una negligencia directa frente al Principio de Seguridad (Art. 4, Ley 1581).
6. Re-arquitectura performance (SSR/SSG, edge functions)	Especialista / $14,400	A.8.27 (Arquitectura de sistemas seguros): Resiliencia del activo y garantía de disponibilidad, vital para servicios regulados por el Decreto 1078.
8. Eliminar Mixed Content (http://) (Recursos íntegramente HTTPS)	Senior / $1,050	A.8.20 (Seguridad de la red): Condición sine qua non para proteger la confidencialidad del usuario (protección del Hábeas Data).
9. Monitoreo continuo + Alertas (VT, AbuseIPDB, Uptime)	Senior / $1,400	A.8.16 (Actividades de monitoreo): Instrumento técnico que habilita el reporte inmediato de violaciones a los códigos de seguridad exigido por los Artículos 17n y 18k de la Ley 1581.
10. Re-test post-subsanación (Validación integral)	Senior / $1,050	Cláusula 9.2 (Auditoría interna): Cierra el ciclo Deming (PHVA), aportando evidencia empírica de la eficacia de los controles aplicados.

Evaluación Económica (ROSI): El documento cuantifica un esfuerzo total de 116 horas operativas. Al sumar el diagnóstico ($2,500 USD) y la subsanación ($23,480 USD), la inversión total asciende a $25,980 USD.47 El cálculo financiero más trascendental incluido por el modelo VulnSentinel-Pro es la estimación del ROSI (Return on Security Investment), el cual proyecta un retorno del 7475% al comparar la inversión de $25.980 dólares contra el costo promedio de remediación de una brecha de datos en la región latinoamericana, el cual asciende a la cifra de $2,460,000 USD.47 Esta evaluación del ROSI proporciona a los líderes corporativos el sustento financiero racional exigido para aprobar los planes de tratamiento de riesgos, en consonancia con los requerimientos de la Cláusula 5 (Liderazgo) de la ISO 27001.48

7. Análisis Holístico e Implicaciones de Tercer Orden

La yuxtaposición entre las exigencias estrictas del marco penal y administrativo de Colombia, los requerimientos de la norma ISO/IEC 27001 y los resultados empíricos derivados de auditorías de ciberseguridad (como las proporcionadas por plataformas del estilo de Cédula 360) permite abstraer varias tendencias sistémicas y de tercer orden.

En primer lugar, es innegable que la brecha entre la deuda técnica operativa y la responsabilidad legal se ha cerrado drásticamente. Las fallas tecnológicas detectadas (p.ej., la ausencia de un certificado SSL robusto o la exposición de cabeceras OWASP) ya no se limitan a ser deficiencias funcionales auditables exclusivamente bajo métricas de TI. Al materializarse un incidente, estas fallas constituyen prueba pericial de negligencia frente a las obligaciones explícitas de la Ley 1581 de 2012 (Principios de Seguridad y Responsabilidad Demostrada) y la Ley 1273 de 2009 (omisión en la prevención de delitos). Las multas pecuniarias emitidas por la Superintendencia de Industria y Comercio, que pueden ascender a 2.000 salarios mínimos legales mensuales vigentes (SMLMV), superan ampliamente los costos de las remediaciones propuestas en planes de tratamiento como el analizado en el caso de ccv.org.co.

En segundo lugar, el ecosistema de certificación ISO 27001 y la legislación nacional comparten una dinámica convergente impulsada por la obligación de reporte y la evidencia forense. La creación de artefactos como el Forensic Snapshot con hash SHA-256 transforma el modelo reactivo de cumplimiento en un modelo probatorio preventivo.47 Al disponer de instantáneas inmutables que testifican el estado de la infraestructura antes, durante y después de los eventos, las organizaciones protegen no solo sus activos, sino también a la junta directiva y a los oficiales de protección de datos (DPO), mitigando riesgos de responsabilidad solidaria ante investigaciones de organismos del Estado (ej., Centro Cibernético Policial).

Finalmente, el mandato estructural delineado en el Decreto 1078 de 2015 eleva la ciberseguridad a la categoría de habilitador transversal insustituible.24 A nivel macroeconómico y sistémico, esto implica que las entidades que exhiban calificaciones deficientes (como el score 31/100 en seguridad evidenciado en el análisis de caso) representan un pasivo sistémico para el ecosistema tecnológico nacional. La no adhesión al Modelo de Seguridad y Privacidad de la Información (MSPI) y la falta de pruebas constantes de penetración invalidan la capacidad de una organización para interconectarse de forma confiable en el ecosistema digital moderno y gubernamental.

8. Consideraciones Estratégicas y Directrices Finales

El endurecimiento legislativo impulsado por el Congreso de la República de Colombia y las autoridades regulatorias demuestra que la protección del ciberespacio nacional se trata con la máxima celeridad. La promulgación de la Ley 1273 de 2009 tipificando los atentados contra los sistemas informáticos, y la promulgación de la Ley Estatutaria 1581 de 2012 estableciendo los deberes inderogables de seguridad de la información, se entrelazan de forma indivisible con las directrices de la ISO/IEC 27001:2022.

El análisis exegético del marco jurídico y de las cláusulas de certificación conduce a conclusiones y directivas determinantes para la alta gerencia:

1. Transición de CapEx a OpEx en Auditorías de Seguridad: La ciberseguridad ofensiva, incluyendo el pentesting avanzado apalancado en modelos algorítmicos finetuned, no puede abordarse como una actividad eventual, sino que debe insertarse como un proceso continuo y presupuestado. Los procesos exigidos en la Cláusula 9.2 (Auditoría Interna) y el Control Anexo A 8.8 (Gestión de Vulnerabilidades Técnicas) requieren evidencia sistemática y recurrente.
2. Mitigación Focalizada en la Responsabilidad Demostrada: Ante las directrices emanadas por la SIC en su Circular Externa 002 de 2025, el principio de Accountability demanda que cada activo tecnológico posea métricas demostrables de invulnerabilidad. El levantamiento forense mediante archivos encriptados (SHA-256) de diagnósticos continuos se erige como el escudo primario frente a sanciones de la autoridad de protección de datos.
3. Alineamiento del Plan de Tratamiento de Riesgos: El documento “Statement of Applicability” (SoA) requerido en la Cláusula 6.1.3 y los presupuestos de remediación técnica deben presentarse articulados como una única matriz de mitigación del riesgo legal y penal. El cálculo del ROSI es la herramienta óptima para viabilizar e impulsar las autorizaciones gerenciales necesarias, evidenciando que la remediación no es un costo de tecnología, sino una póliza de seguro operativo a una fracción del costo de un potencial impacto destructivo.

En síntesis, garantizar la robustez técnica, el rendimiento optimizado y la ciberseguridad de los activos digitales en Colombia constituye el pilar sobre el cual descansa el cumplimiento integral de los regímenes normativos vigentes y la obtención sostenida de la certificación ISO/IEC 27001. La ignorancia tecnológica o la pasividad operativa ya no son deficiencias corporativas manejables; en la actualidad, representan el umbral directo hacia la sanción regulatoria y el colapso del valor organizacional en el mercado global.

Obras citadas

1. Estrategia Nacional de Seguridad Digital enfrentará amenazas cibernéticas - Presidencia, fecha de acceso: mayo 6, 2026, https://www.presidencia.gov.co/prensa/Paginas/Estrategia-Nacional-de-Seguridad-Digital-enfrentara-amenazas-ciberneticas-250624.aspx
2. Compilación Jurídica IDEA - Documento 3995 de 2020 DNP, fecha de acceso: mayo 6, 2026, https://normograma.com/documentospdf/idea/v_ico/compilacion/docs/conpes_dnp_3995_2020.htm
3. Los retos entorno a la confianza y la seguridad digital en Colombia. Un análisis del documento CONPES 3995 “POLÍTICA NACIONAL DE CONFIANZA Y SEGURIDAD DIGITAL” - Blog de Derecho de los Negocios, fecha de acceso: mayo 6, 2026, https://dernegocios.uexternado.edu.co/los-retos-entorno-a-la-confianza-y-la-seguridad-digital-en-colombia-un-analisis-del-documento-conpes-3995-politica-nacional-de-confianza-y-seguridad-digital/
4. Estrategia Nacional de Seguridad Digital de Colombia 2025-2027 - MinTIC, fecha de acceso: mayo 6, 2026, https://www.mintic.gov.co/portal/715/articles-403023_recurso_2.pdf
5. Estrategia Nacional de Seguridad Digital de Colombia 2025 - 2027, fecha de acceso: mayo 6, 2026, https://www.crcom.gov.co/sites/default/files/webcrc/micrositios/documents/Estrategia-Nacional-Seguridad-Digital-Colombia.pdf
6. fecha de acceso: mayo 6, 2026, https://www.policia.gov.co/normatividad-sobre-delitos-informaticos#:\~:text=LEY%201273%20DE%202009,las%20comunicaciones%2C%20entre%20otras%20disposiciones.
7. LEY 1273 DE 2009 - UAIPIT, fecha de acceso: mayo 6, 2026, https://www.uaipit.com/uploads/legislacion/files/1361353714_LEY_1273_DE_2009_CP.pdf
8. Normograma del Ministerio de Tecnologías de la Información y las Comunicaciones [LEY_1273_2009], fecha de acceso: mayo 6, 2026, https://normograma.com/documentospdf/PruebaMintic/docs/ley_1273_2009.htm
9. Leyes desde 1992 - Vigencia expresa y control de constitucionalidad [LEY_1273_2009] - Secretaria del Senado, fecha de acceso: mayo 6, 2026, http://www.secretariasenado.gov.co/senado/basedoc/ley_1273_2009.html
10. Ley 1273 de 2009 - Gestor Normativo - Función Pública, fecha de acceso: mayo 6, 2026, https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=34492
11. ARTíCULO 269A: ACCESO ABUSIVO A UN SISTEMA INFORMÁTICO, fecha de acceso: mayo 6, 2026, http://www.oas.org/juridico/docs/colombia_ley_proteccion_datos_art_269A.doc
12. Normatividad sobre delitos informáticos - Policía Nacional de Colombia, fecha de acceso: mayo 6, 2026, https://www.policia.gov.co/normatividad-sobre-delitos-informaticos
13. Artículo 269 A, fecha de acceso: mayo 6, 2026, http://www.oas.org/juridico/english/colombia_ley_1273_2009_art_269K.doc
14. Ley 1581 de 2012 Congreso de la República de Colombia, fecha de acceso: mayo 6, 2026, https://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=49981
15. Ley 1581 de 2012, fecha de acceso: mayo 6, 2026, https://vusstaticweb.blob.core.windows.net/strapiimagenesdev/Ley_1581_de_2012_50f725afa4.pdf
16. MINISTERIO DE COMERCIO, INDUSTRIA Y TURISMO DECRETO NÚMERO DE 2012 ( ) - MinTIC, fecha de acceso: mayo 6, 2026, https://mintic.gov.co/images/documentos/documentos_comentarios/proyecto_decreto_ley_1581_de_2012_proteccion_datos.pdf
17. LEY 1581 DE 2012 - Colombia | SUIN Juriscol, fecha de acceso: mayo 6, 2026, https://www.suin-juriscol.gov.co/viewDocument.asp?id=1684507
18. Ley 1581 de 2012 - Compilación Jurídica del ICBF, fecha de acceso: mayo 6, 2026, https://www.icbf.gov.co/cargues/avance/compilacion/docs/ley_1581_2012.htm
19. Circular 2 de 2015 SIC - Gestor Normativo de la CRA, fecha de acceso: mayo 6, 2026, https://normas.cra.gov.co/gestor/docs/circular_superindustria_0002_2015.htm
20. O 3 NOV 2015, fecha de acceso: mayo 6, 2026, https://ccoa.org.co/wp-content/uploads/2021/02/sic-circular-002-de-2015.pdf
21. CIRCULAR EXTERNA No. 002 DE 2025 - Baker McKenzie, fecha de acceso: mayo 6, 2026, https://insightplus.bakermckenzie.com/bm/attachment_dw.action?attkey=8rU4Q%2F6%2BamA7rLz0keMdPLA7U%2Bazho%2FW6z5KY5ph%2FbTP0i4vxgSe1Jx2jFCRUBXSHTP7igpM5G2HQopFV9uc4S9Wh6sBrGI%3D\&nav=y4DFTgcQl0mIXoew37ZI3Cf2g8AWRMDg0LAXe4x94VecbXaLjYri9JniqRAUAtuiUCF0NgTMV7Y%3D\&attdocparam=AYMK0x3896gINvwg4JrrG6BCe%2BK9DYWo9W4l8ptMQGDqTFbLCTzUtOP9Cpoo1ibngaQzLydP703e1VE%3D\&fromContentView=1
22. SIC, Circular Externa 002 de 2025, 7-oct-2025 - Centro de Estudios Regulatorios, fecha de acceso: mayo 6, 2026, https://www.cerlatam.com/normatividad/sic-circular-externa-002-de-2025-7-oct-2025/
23. Decreto 1078 de 2015 Sector de Tecnologías de la Información y las Comunicaciones - Gestor Normativo - Función Pública, fecha de acceso: mayo 6, 2026, https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=77888
24. Compilación Juridica MINTIC, fecha de acceso: mayo 6, 2026, https://www.igac.gov.co/sites/default/files/transparencia/normograma/resolucion_mintic_2160_2020.pdf
25. MINISTERIO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES DECRETO N° DE - Centro de Estudios Regulatorios, fecha de acceso: mayo 6, 2026, https://www.cerlatam.com/wp-content//uploads/2022/02/articles-198588_proy_dec_ciber.pdf
26. Plan-de-Seguridad-de-la-Informacion-2022.docx - Agencia Nacional de Tierras, fecha de acceso: mayo 6, 2026, https://www.ant.gov.co/sites/default/files/2024-06/documentos/archivos/Plan-de-Seguridad-de-la-Informacion-2022.docx
27. MINISTERIO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES RESOLUCIÓN NÚMERO 00500 DE MARZO 10 DE 2021 “Por la cu, fecha de acceso: mayo 6, 2026, https://gobiernodigital.mintic.gov.co/692/articles-162625_recurso_2.pdf
28. Por la cual se expiden los lineamientos para estandarizar ventanillas únicas, portales específicos de programas - MinTIC, fecha de acceso: mayo 6, 2026, https://www.mintic.gov.co/portal/715/articles-152200_proyecto_resolucion.pdf
29. Resolución 2893 de 2020 MTIC - Compilación Jurídica del ICBF, fecha de acceso: mayo 6, 2026, https://www.icbf.gov.co/cargues/avance/compilacion/docs/resolucion_mintic_2893_2020.htm
30. ISO/IEC 27001:2022 - eXact learning solutions, fecha de acceso: mayo 6, 2026, https://www.exactls.com/wp-content/uploads/2025/02/ISO_IEC-270012022-ed.3.pdf
31. ISO 27001:2022 Clause 6.1.3 Information security risk treatment - PRETESH BISWAS, fecha de acceso: mayo 6, 2026, https://preteshbiswas.com/2023/12/21/iso-270012022-clause-6-1-3-information-security-risk-treatment/
32. ISO 27001 Clause 6.1.3 Information Security Risk Treatment - High Table, fecha de acceso: mayo 6, 2026, https://hightable.io/iso-27001-clause-6-1-3-information-security-risk-treatment/
33. ISO 27001 Clause 6.1.3: A Complete Guide To Risk Treatment - Cyberzoni.com, fecha de acceso: mayo 6, 2026, https://cyberzoni.com/standards/iso-27001/clause-6-1-3/
34. ISO 27001:2022 Clause 6.1.3: Information Security Risk Treatment, fecha de acceso: mayo 6, 2026, https://iso27001.com/standard/clauses/6-1-3-risk-treatment/
35. ISO 27001 Clause 9.2 Internal Audit - High Table, fecha de acceso: mayo 6, 2026, https://hightable.io/iso-27001-clause-9-2-internal-audit/
36. ISO 27001: Internal Audit Requirements - Schellman, fecha de acceso: mayo 6, 2026, https://www.schellman.com/blog/iso-certifications/iso-27001-requirements
37. ISO 27001:2022 Requirements & Clauses – 9.2 Internal Audit - ISMS.online, fecha de acceso: mayo 6, 2026, https://www.isms.online/iso-27001/requirements-2022/9-2-internal-audit-2022/
38. ISO 27001:2022 Annex A Explained & Simplified - ISMS.online, fecha de acceso: mayo 6, 2026, https://www.isms.online/iso-27001/annex-a-2022/
39. Controles ISO 27001 Explicados: Una Guía del Anexo A - Secureframe, fecha de acceso: mayo 6, 2026, https://secureframe.com/es-es/hub/iso-27001/controls
40. ISO 27001:2022 Anexo A explicado y simplificado - ISMS.online, fecha de acceso: mayo 6, 2026, https://es.isms.online/iso-27001/annex-a-2022/
41. ISO 27001:2022 Annex A 8.8 – Management of Technical Vulnerabilities - ISMS.online, fecha de acceso: mayo 6, 2026, https://www.isms.online/iso-27001/annex-a-2022/8-8-management-of-technical-vulnerabilities-2022/
42. ISO 27001 Annex A 8.8 Management of Technical Vulnerabilities: The Ultimate Implementation and Audit Guide - High Table, fecha de acceso: mayo 6, 2026, https://hightable.io/iso-27001-annex-a-8-8-management-of-technical-vulnerabilities/
43. ISO 27001:2022 Anexo A 8.8 – Gestión de vulnerabilidades técnicas - ISMS.online, fecha de acceso: mayo 6, 2026, https://es.isms.online/iso-27001/annex-a-2022/8-8-management-of-technical-vulnerabilities-2022/
44. ISO 27001 Annex A 5.15 Access Control - High Table, fecha de acceso: mayo 6, 2026, https://hightable.io/iso-27001-annex-a-5-15-access-control/
45. ISO 27001:2022 Annex A 8.16 – Monitoring Activities - ISMS.online, fecha de acceso: mayo 6, 2026, https://www.isms.online/iso-27001/annex-a-2022/8-16-monitoring-activities-2022/
46. ISO 27001 Annex A 8.8 - Management of Technical Vulnerabilities Explained - YouTube, fecha de acceso: mayo 6, 2026, https://www.youtube.com/watch?v=Mqu1DRhwgp8
47. Auditoría Salud + Optimización + Ciberseguridad — ccv-org-co — Cédula 360.pdf
48. Cambios en ISO/IEC 27001:2022 | PDF | La seguridad informática - Scribd, fecha de acceso: mayo 6, 2026, https://es.scribd.com/document/690083196/ISO-IEC-27001-2013-VS-27001-2022