El control 6.1 del Anexo A de ISO/IEC 27001:2022 pide verificar a los candidatos antes de que se incorporen y de forma continua, con proporcionalidad. En Argentina, ese requisito convive con la Ley 25.326 y vence su transición.

Escrito por Guido Schenone

¿Qué pide el control de screening de ISO 27001:2022?

El control 6.1 del Anexo A de la ISO/IEC 27001:2022 se refiere al screening del personal. No pudimos leer el texto en la fuente oficial de ISO (la página de ISO/IEC 27002:2022 no muestra la cláusula), por lo que seguimos una consultora, HighTable, que reproduce el control: los controles de verificación de antecedentes de todos los candidatos “deberían llevarse a cabo antes de que se incorporen a la organización” y de forma continua, “teniendo en cuenta las leyes, regulaciones y ética aplicables”, y deben ser “proporcionales a los requisitos del negocio, la clasificación de la información a la que se accederá y los riesgos percibidos” (traducción nuestra del inglés). Es una cita de fuente secundaria y debe cotejarse con el estándar. Como contraste histórico, un anexo de política modelo de un organismo público argentino (2021), basado en la serie ISO 27002:2013, listaba como verificaciones referencias, currículum, títulos académicos y profesionales e identidad.

¿Qué pasó con la transición a la versión 2022?

El plazo de transición de tres años terminó el 31 de octubre de 2025, según SGS, y la revista del comité ISO/IEC JTC 1/SC 27 (2026) lo confirma, atribuyéndolo al documento IAF MD 26 que no pudimos leer directamente. En consecuencia, los certificados bajo la versión 2013 ya no son válidos y las organizaciones certificadas deberían estar auditadas contra la versión 2022. En cuanto a la adopción, la encuesta ISO Survey 2024 contabilizó 96.709 certificados ISO/IEC 27001 y 179.877 sitios en el mundo, aunque el salto desde 47.291 en 2023 se debió en parte a una mejor agregación de datos; DQS informó el 8 de octubre de 2026 que la edición 2025 llega a 125.622 certificados. No encontramos cifras para Argentina: la infografía de 2024 no la lista, y el ranking regional lo encabezan México, Brasil y Colombia.

¿Cómo se relaciona esto con la normativa argentina?

La referencia local es la norma IRAM-ISO/IEC 27001; un artículo de la revista AADECA basado en IRAM afirma que su cumplimiento “garantiza una adopción adecuada” y menciona la adopción por Nosis, Grupo MSA y Conexia. Por otro lado, el texto ordenado del BCRA de 2021 sobre riesgos de tecnología, hoy derogado por la Com. “A” 7724, no mencionaba ISO 27001 ni exigía verificación de antecedentes; no pudimos leer la versión vigente. La Decisión Administrativa 641/2021 aprobó requisitos mínimos de seguridad de la información para el sector público nacional, sin que encontráramos una referencia explícita a ISO 27001. La Ley 25.326 impone, por su parte, que los datos sean “ciertos, adecuados, pertinentes” y “no excesivos en relación al ámbito y finalidad” (art. 4.1) y que el consentimiento sea “libre, expreso e informado” (art. 5). El vínculo entre “leyes aplicables” del control y la Ley 25.326 es un razonamiento nuestro, no una declaración de la norma.

¿Qué significa “proporcional” y “continuo” para una empresa?

La proporcionalidad se traduce en que no todos los puestos tienen la misma verificación: un administrador de sistemas con acceso privilegiado justifica más controles que un puesto sin acceso a información crítica. El término “continuo” abre una pregunta que la norma no responde por sí sola: cuánto y con qué frecuencia volver a verificar, y con qué base legal en Argentina. Una lectura prudente es documentar en la política del sistema de gestión qué se verifica por categoría de puesto, con qué frecuencia y con qué consentimiento, y revisar con un asesor legal cualquier verificación posterior al ingreso. “El control de ISO pide proporcionalidad y legalidad: la mejor evidencia para una auditoría es una política clara, consentimiento del candidato y registro de cada verificación”, señala Guido Schenone, Comercial & Growth Manager de Validato. No encontramos citas de auditores o certificadores argentinos sobre este control.

¿Qué debería exigirle una empresa a su proveedor de screening?

Si una organización certificada terceriza la verificación, su proveedor entra en el alcance de sus controles de proveedores y de protección de datos. Tiene sentido pedirle el alcance de su propia certificación, no solo la mención en su sitio web. En el caso de Validato, su sitio internacional afirma ser “ISO 27001-certified and GDPR-compliant”; no pudimos verificar el organismo certificador, el alcance ni la vigencia, por lo que corresponde pedir el certificado antes de afirmar más, y no afirmamos que cuente con otras certificaciones, como ISO 27701 o 42001. Una buena práctica es solicitar al proveedor su política de retención, de destrucción de datos al finalizar el encargo (art. 25 de la Ley 25.326) y de acceso del personal a los informes. El texto de este artículo no reemplaza el estándar ni una auditoría.

Referencias

1. HighTable, “ISO 27001:2022 Annex A 6.1 Employee Screening”. https://hightable.io/iso-27001-annex-a-6-1-screening. Fuente secundaria.
2. ISO, ISO/IEC 27002:2022. https://www.iso.org/standard/75652.html.
3. SGS, “ISO/IEC 27001 transition: what you should know” (2024). https://www.sgs.com/en/news/2024/05/iso-iec-27001-transition-what-you-should-know.
4. ISO/IEC JTC 1/SC 27 Journal 2026, issue 1. https://committee.iso.org/files/live/sites/jtc1sc27/files/resources/Journal%202026%20Issue%201.pdf.
5. Infografía ISO Survey 2024 (Globalstd). https://www.globalstd.com/wp-content/uploads/2025/10/Infografia-ISO-Survey-2024_ES.pdf.
6. DQS, ISO Survey 2025, 08/10/2026. https://www.dqsglobal.com/es/acerca-de/sala-de-prensa/iso-survey-2025-las-certificaciones-iso-crecen-un-11-en-el-mundo-y-un-28-en-espana.
7. AADECA Revista n.º 19, “Seguridad de la información: aplicación de IRAM-ISO/IEC 27001”. https://www.editores-srl.com.ar/sites/default/files/iram_20220303_seguridad_de_la_informacion_aplicacion_de_iram_iso_iec_27001.pdf.
8. BCRA, texto ordenado de requisitos mínimos de riesgos de tecnología (versión 2021, derogada por la A 7724). https://www.bcra.gob.ar/archivos/Pdfs/Texord/t-rmsist.pdf.
9. Decisión Administrativa 641/2021. https://www.argentina.gob.ar/normativa/nacional/norma-351345/texto.
10. Ley 25.326 (arts. 4 y 5). https://www.argentina.gob.ar/normativa/nacional/64790/texto.
11. Validato, sitio internacional. https://validato.com/us-en/.
12. Anexo de política de seguridad de la información de un organismo público argentino (2021). https://argentina.gob.ar/sites/default/files/9._if-2021-19601238-apn-slyamec_anexo_psi.pdf.