Llega un correo de un cliente corporativo con un cuestionario de seguridad de cuarenta preguntas. Casi al final aparece la que más pesa: “¿Su empresa cuenta con certificación ISO 27001?”. Y de pronto un contrato que parecía seguro depende de algo que en tu empresa nadie ha revisado a fondo.
En OCD Tech México vemos esta escena cada vez más seguido. La buena noticia es que la respuesta no siempre es “hay que certificarse ya”. A veces sí, y a veces lo más inteligente es empezar por otro lado. Aquí te ayudamos a distinguirlo.
Qué es ISO 27001, en palabras simples
ISO/IEC 27001 es un estándar internacional que define cómo construir un sistema de gestión de seguridad de la información, conocido como SGSI. No es un software, un antivirus ni una lista de equipos que hay que comprar. Es una forma ordenada de gestionar los riesgos sobre la información de tu empresa: identificar qué hay que proteger, decidir cómo protegerlo, asignar responsables y revisar periódicamente que funcione.
La versión vigente es la de 2022. Incluye un anexo con 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos. No todos aplican a todas las empresas, y justo esa es una de sus ventajas: la norma te pide justificar cuáles usas y por qué, en función de tus riesgos reales.
Alinearse no es lo mismo que certificarse
Esta es la distinción que más dinero y tiempo ahorra.
- Alinearse significa adoptar las prácticas de la norma, como el análisis de riesgos, las políticas y los controles, sin pasar por una auditoría externa. Es un excelente punto de partida y ya mejora mucho tu seguridad.
- Certificarse significa que un organismo de certificación acreditado audita tu sistema de gestión y confirma que cumple con la norma. En México, la acreditación de estos organismos la otorga la Entidad Mexicana de Acreditación. El certificado tiene una vigencia de tres años, con auditorías de seguimiento cada año.
Muchas MiPyMEs empiezan alineándose y se certifican cuando el mercado se los pide. Otras necesitan el certificado desde el primer día porque un contrato depende de ello. Ambos caminos son válidos.
Cuándo sí vale la pena certificarte
- Tus clientes lo piden en contratos, licitaciones o cuestionarios de proveedores, y ya perdiste o retrasaste alguna venta por no tenerlo.
- Manejas información sensible de terceros: datos de clientes, expedientes, propiedad intelectual, información financiera o de nómina.
- Vendes o quieres vender servicios a empresas de otros países, donde un estándar reconocido internacionalmente simplifica la conversación.
- Tu operación depende de varios sistemas críticos y la seguridad recae en una sola persona que “sabe cómo funciona todo”.
- Quieres un marco para ordenar tu seguridad y demostrarlo, no solo para cumplir.
Cuándo todavía no, y qué hacer mientras
Hay momentos en los que lanzarse a una certificación no es la mejor inversión. No porque la seguridad no importe, sino porque hay pasos previos que rinden más:
- Si todavía no tienes inventario de equipos, respaldos probados o control de accesos básico, conviene resolver eso primero.
- Si nadie en tu empresa puede dedicarle tiempo al proyecto, la certificación se va a atorar a medio camino.
- Si ningún cliente te lo pide hoy y tu presupuesto es limitado, alinearte a la norma te da buena parte del beneficio con menos costo.
En cualquiera de estos casos, el siguiente paso no es “nada”. Es un diagnóstico de brechas: una revisión de dónde estás frente a la norma, que te dice qué te falta, cuánto pesa cada hueco y en qué orden atenderlo.
Cómo es el camino hacia la certificación
- Definir el alcance. No siempre tiene que ser toda la empresa. Puede ser solo el servicio, el área o el sistema que tus clientes necesitan ver certificado.
- Analizar riesgos. Identificar qué información y qué activos tienes, qué amenazas los afectan y qué tan probable e impactante sería cada una.
- Elaborar la Declaración de Aplicabilidad. Es el documento donde explicas qué controles del anexo aplicas, cuáles no y por qué.
- Implementar controles y políticas. Aquí entra lo práctico: accesos, respaldos, gestión de proveedores, capacitación, respuesta ante incidentes.
- Hacer una auditoría interna y una revisión por la dirección. Sirven para detectar huecos antes de que los encuentre el auditor externo.
- Pasar la auditoría de certificación. Normalmente se hace en dos etapas: primero se revisa la documentación y después se verifica que el sistema funcione en la práctica.
¿Cuánto tarda? Depende más de qué tan ordenada esté tu empresa al empezar que de su tamaño. Para una MiPyME con un alcance bien acotado, suele ser un proyecto de varios meses, no de semanas.
Lo que más trabajo cuesta, y cómo anticiparlo
Cuando acompañamos a una MiPyME en este proceso, los retos casi nunca son técnicos. Son de organización:
- Que alguien sea dueño del proyecto. Sin una persona con tiempo y autoridad para empujarlo, se queda en pausa cada vez que hay una urgencia operativa.
- Conseguir evidencia. La auditoría no se conforma con que algo se haga; pide pruebas de que se hace de forma constante, como registros de accesos, de respaldos o de capacitaciones.
- Incluir a los proveedores. Si tu correo, tu nube o tu sistema contable los opera un tercero, también hay que revisar cómo protegen tu información.
Anticipar estos tres puntos desde el inicio es lo que más acorta el camino.
Cuatro mitos que frenan a las MiPyMEs
“Es puro papeleo”
Hay documentación, sí, pero el objetivo es que la seguridad deje de depender de la memoria de una persona. Un buen SGSI se usa en el día a día, no se archiva.
“Es solo para empresas grandes”
La norma no exige un tamaño mínimo. De hecho, en una empresa pequeña el alcance suele ser más claro y las decisiones más rápidas.
“Si me certifico, ya estoy seguro”
El certificado demuestra que gestionas tus riesgos con método, no que seas invulnerable. Por eso se complementa con prácticas como las pruebas de penetración y un plan de respuesta ante incidentes.
“Tengo que certificar toda la empresa”
El alcance lo defines tú. Empezar por lo que tus clientes necesitan ver es una forma muy válida de arrancar.
Una decisión de negocio, no solo de TI
ISO 27001 vale la pena cuando te abre puertas, ordena tu operación y le da a tus clientes una razón concreta para confiar en ti. Si todavía no es el momento, lo importante es saber qué te falta para llegar.
En OCD Tech México acompañamos a las empresas en todo el camino: desde el diagnóstico de brechas hasta la preparación para la auditoría de certificación, con un plan realista para el tamaño de tu negocio.
Si un cliente ya te preguntó por ISO 27001, o crees que pronto lo hará, platiquemos.
Leave a Reply
Your email is safe with us.