Lo he visto más de una vez en pymes colombianas: se detecta una fuga de información, el gerente quiere “ver qué tiene el equipo”, lo reinicia o lo formatea para reasignarlo, y en minutos se pierde la memoria volátil, cambian las fechas de acceso y la evidencia deja de servir. La ISO 27037 existe para evitar exactamente eso, y es una de las piezas más subestimadas de la seguridad de la información.
¿Qué es la ISO/IEC 27037 y para qué sirve?
La ISO/IEC 27037:2012 es una guía de seguridad de la información para identificar, recopilar, adquirir y preservar evidencia digital sin alterar su integridad ni autenticidad. No es certificable ni impone herramientas: define método y personal competente para que la evidencia resista una auditoría o un proceso legal.
Publicada en 2012, cubre computadores, medios de almacenamiento, teléfonos móviles, cámaras, videovigilancia y redes. Llega hasta la preservación: no entra en el análisis de la evidencia ni en los procesos judiciales. Además, advierte que no reemplaza los requisitos legales de ninguna jurisdicción, y eso conviene tenerlo presente.
El texto que revisé para este artículo es el proyecto de adopción del instituto uruguayo UNIT, abierto a consulta hasta el 30 de noviembre de 2026, señal de que la norma sigue vigente en la región.
¿Cuáles son los cuatro procesos de la ISO 27037?
La norma define cuatro procesos secuenciales: identificación de dispositivos que pueden contener evidencia, recopilación física de esos dispositivos, adquisición de una copia verificada de los datos y preservación para mantener su integridad. Cada proceso exige documentación y cadena de custodia desde el primer momento.
| Proceso | Qué exige la norma | Error típico en una pyme |
| Identificación | Buscar, reconocer y documentar dispositivos y medios que puedan contener evidencia, priorizando por volatilidad. | Olvidar el celular, la USB, el NAS o la cuenta en la nube. |
| Recopilación | Trasladar los dispositivos a un entorno controlado, con embalaje y etiquetado a prueba de manipulación. | Apagar o desconectar sin registrar el estado del equipo. |
| Adquisición | Producir una copia (disco completo, partición o selección lógica) verificada con una función hash. | Copiar archivos “arrastrando” desde el equipo original. |
| Preservación | Proteger integridad con almacenamiento controlado, traslado seguro y cadena de custodia. | Dejar el portátil en el escritorio del jefe de TI. |
El orden importa. Cuando el caso lo requiere, la norma pide priorizar por volatilidad: primero lo que se pierde al quitar la energía (memoria RAM, procesos en ejecución, conexiones), después lo que persiste en disco. También advierte que nubes, NAS y SAN agregan un componente virtual difícil de ubicar.
¿Quiénes son el DEFR y el DES que menciona la norma?
El DEFR (primer responsable de la evidencia digital) es quien llega primero, identifica, recopila y adquiere evidencia. El DES (especialista en evidencia digital) tiene conocimientos adicionales para casos técnicamente complejos, como redes o sistemas en vivo. Ambos deben actuar solo dentro de su competencia.
En una pyme, el DEFR suele ser el jefe de TI o el oficial de seguridad, siempre que esté formado y designado por escrito. El DES casi nunca está en nómina: se contrata un perito o un laboratorio forense cuando el caso lo amerita. El Anexo A de la norma trae ejemplos de competencias que sirven como base para la matriz de perfiles, y ahí se conecta con el requisito de competencia (cláusula 7.2) de la ISO 27001.
¿Qué principios debe cumplir la evidencia digital?
La norma pide evidencia relevante, confiable y suficiente. Para lograrlo, el manejo debe ser auditable, justificable y, según el caso, repetible o reproducible. En la práctica, un tercero independiente debe poder revisar la documentación y entender qué se hizo y por qué.
| Principio | Pregunta que debe poder responder el DEFR |
| Auditabilidad | ¿Un asesor independiente puede evaluar mis actividades a partir de lo que documenté? |
| Justificabilidad | ¿Puedo explicar por qué elegí este método y no otro? |
| Repetibilidad | ¿Con el mismo método e instrumentos se obtiene el mismo resultado? |
| Reproducibilidad | ¿Se llega al mismo resultado con otros instrumentos o en otras condiciones? |
Hay un matiz honesto: la norma reconoce que a veces no se puede repetir la prueba, por ejemplo con memoria volátil o cuando el disco original volvió a operar. Ahí lo que protege al responsable es el control de calidad y la documentación del proceso.
¿Cómo ayuda la ISO 27037 a implementar la ISO 27001?
La ISO 27037 operacionaliza el control 5.28 de la ISO 27001:2022, recopilación de evidencia, y da sustento práctico a los controles de gestión de incidentes 5.24 a 5.27. Convierte una exigencia genérica en procedimientos, formatos y competencias que un auditor puede verificar en campo.
La propia norma lo dice: complementa a la ISO/IEC 27001 y a la ISO/IEC 27002, en particular en el control sobre adquisición de evidencia. El control 5.28 pide procedimientos para identificar, recopilar, adquirir y preservar evidencia, que son justamente los cuatro procesos de la 27037.
| Requisito ISO 27001:2022 | Aporte de la ISO 27037 | Lo que verá el auditor |
| 5.24 Planificación de la gestión de incidentes | Roles DEFR y DES, criterios para escalar a un tratamiento forense. | Procedimiento con responsables designados. |
| 5.25 y 5.26 Evaluación y respuesta a eventos | Priorización por volatilidad y reglas de qué no tocar. | Instructivo “no apague, no reinicie, llame al responsable”. |
| 5.27 Aprender de los incidentes | Documentación auditable para análisis de causa raíz. | Informes y lecciones aprendidas. |
| 5.28 Recopilación de evidencia | Los cuatro procesos, hash, cadena de custodia. | Procedimiento y formatos diligenciados. |
| 5.31 Requisitos legales | Adaptar el método a la normativa local. | Matriz legal vigente. |
| 7.2 Competencia | Perfiles y habilidades del DEFR. | Registros de formación y designación. |
Con la transición a la versión 2022 ya cerrada, un auditor de un organismo de certificación acreditado por el ONAC no te pedirá un informe pericial. Lo normal es que pregunte quién está autorizado a tocar un equipo comprometido, qué hace esa persona primero y dónde quedan los registros. Si la respuesta es “depende”, el control 5.28 está en el papel, no en la operación.
¿Qué debe considerar una empresa colombiana al aplicarla?
La norma no reemplaza la ley local. En Colombia, la evidencia debe respetar la Ley 527 de 1999 sobre mensajes de datos, la Ley 1273 de 2009 de delitos informáticos, la Ley 1581 de 2012 de datos personales y el Código General del Proceso.
Tres desafíos se repiten en las pymes. Primero, la base legal para revisar equipos de trabajadores: la política de uso aceptable y el reglamento interno deben decir, antes del incidente, que los activos corporativos pueden ser inspeccionados, y el tratamiento de datos personales debe cumplir la Ley 1581. La norma misma pide cuidado con la información personal y sensible que se recoja.
Segundo, la frontera con la autoridad: si el hecho es un delito informático y se denuncia ante la Fiscalía, lo que la empresa preservó bien antes de que llegue el investigador puede definir qué se aprovecha. Tercero, la nube: revisa la retención de registros de tu correo y tus plataformas, porque muchos planes los conservan por poco tiempo y luego no hay nada que recuperar.
¿Cómo se aplica la ISO 27037 en un caso real de pyme?
Un caso ilustrativo: una distribuidora de 80 empleados detecta que un comercial copió su cartera de clientes antes de renunciar. Aplicando los cuatro procesos de la norma, la empresa preserva evidencia verificable en un día y puede sustentar la acción disciplinaria y la civil.
Es un caso construido con situaciones típicas de pymes colombianas, no una empresa identificable. El viernes a las 4 p.m., la alerta del correo muestra un envío masivo de la base de clientes a una cuenta personal. El comercial ya presentó su renuncia y el gerente quiere formatear el portátil para entregárselo a otro vendedor el lunes.
¿Qué se hizo, paso a paso?
El jefe de TI, designado como DEFR en el procedimiento, frenó el formateo del portátil y siguió los cuatro procesos de la norma en orden. Cada paso dejó un registro firmado, desde el inventario de dispositivos hasta el sellado final y el traslado al archivo.
| Proceso | Acción | Registro generado |
| Identificación | Inventario del portátil (encendido), el celular corporativo, el correo y la carpeta en la nube. Se prioriza exportar registros de acceso antes de cualquier cambio. | Acta con hora y fotografías. |
| Recopilación | Se documenta el estado y la hora del equipo, se capturan procesos y conexiones activas con una herramienta validada, y se embala en bolsa sellada. | Formato de recopilación y etiqueta numerada. |
| Adquisición | Imagen del disco con bloqueador de escritura; hash SHA-256 del original y de la copia, que coinciden. Exportación de logs del correo. | Informe de adquisición con valores hash. |
| Preservación | Original sellado bajo llave, copia de trabajo para análisis, firma en cada movimiento. | Registro de cadena de custodia. |
¿Qué resultado y qué lecciones dejó el caso?
El perito externo, actuando como DES, analizó la copia sin tocar el original y documentó la salida de la base de clientes. Con esa evidencia la empresa sustentó su decisión disciplinaria y su reclamación, y el procedimiento quedó integrado al SGSI.
Las lecciones son las que repito en cada proyecto. La decisión de quién puede tocar un equipo se toma antes del incidente, no durante. Un formato sencillo, bien diligenciado, vale más que una herramienta cara sin procedimiento. Y lo que vive en la nube se sobrescribe más rápido que lo que vive en un disco.
¿Por dónde empezar si mi empresa aún no tiene nada?
Empieza por tres cosas: designar un responsable de evidencia digital, redactar un procedimiento corto basado en los cuatro procesos y preparar formatos de cadena de custodia. Con eso cubres el control 5.28 en lo básico y reduces el riesgo de destruir evidencia por apuro.
Un orden razonable para las primeras semanas:
- Semana 1: designar al DEFR, definir el DES externo y la regla de oro: ante un incidente, nadie apaga, reinicia ni formatea.
- Semana 2: redactar el procedimiento de evidencia y los formatos de identificación, adquisición y cadena de custodia.
- Semana 3: ajustar políticas de uso aceptable y avisos de privacidad, y revisar la retención de registros en la nube.
- Semana 4: simular un incidente de medio día y corregir lo que falle.
Si prefieres acompañamiento, en Prisma Consultoría integramos este tipo de controles dentro de proyectos de Consultoría en ISO 27001, con procedimientos que una pyme puede sostener sin un laboratorio propio. La evidencia digital no avisa cuándo va a hacer falta; lo único que se controla es si el día que haga falta existe un procedimiento y alguien que lo sepa aplicar.