Nota
ISO 27001: qué implica certificar y cuándo conviene
ISO/IEC 27001 certifica un sistema de gestión de seguridad de la información, no un producto ni una red. Lo que audita el certificador es que la organización haya definido un alcance, evaluado sus riesgos, elegido controles justificados y pueda demostrar con registros que el sistema funciona y se revisa. En una empresa mediana el camino hasta la auditoría de etapa 2 rara vez baja de nueve a doce meses, y el mayor costo no es el del certificador sino el tiempo interno.
La ISO 27001 aparece casi siempre por la misma vía: un cliente grande la pide en el pliego. Y la primera reacción suele ser buscar cuánto cuesta el certificado.
El problema: no se certifica un sistema, se certifica una gestión
ISO 27001 no dice que tu red sea segura. Dice que la organización tiene un sistema de gestión para decidir qué proteger, con qué controles y con qué evidencia de que se cumple.
Eso cambia el proyecto entero. El costo grande no es el del certificador: es el tiempo interno. Y el plazo no se comprime contratando más consultores, porque el cuello de botella es la evidencia, y la evidencia necesita tiempo transcurrido para existir. En una empresa mediana que parte de cero, el camino honesto hasta la auditoría de etapa 2 es de nueve a doce meses.
Cómo se resuelve
La auditoría va a pedir tres cosas, en este orden:
- El alcance, por escrito y justificado. Qué procesos, qué sedes, y por qué queda afuera lo que queda afuera. Un certificado que cubre el datacenter y no las oficinas es válido y es una respuesta parcial: conviene leer el alcance antes que el logo.
- La evaluación de riesgos y su tratamiento, con dueños y fechas. No una planilla armada para la auditoría.
- Doce meses de registros: revisiones por la dirección, auditorías internas, incidentes, acciones correctivas.
Cuándo no conviene certificar todavía
Cuando la seguridad de base no está resuelta. Certificar arriba de una red plana, sin segundo factor y sin backups probados es pagar por documentar un problema.
Hay una alternativa intermedia que a muchas organizaciones les alcanza: adoptar los controles del Anexo A y armar el sistema sin presentarse a certificación. Se consigue casi todo el beneficio interno, se responden los cuestionarios de clientes con evidencia concreta, y el día que aparezca el pliego el camino ya está hecho.
Cómo te ayudamos
Arrancamos con un diagnóstico contra los requisitos de la norma: qué tenés, qué falta y cuánto tiempo real lleva. De ahí sale una decisión informada —certificar, adoptar sin certificar, o arreglar los fundamentos primero— en vez de un proyecto de doce meses aprobado a ciegas.
Preguntas frecuentes
¿ISO 27001 es obligatoria en Argentina?
No existe una obligación legal general de certificar ISO 27001. Sí aparece como requisito contractual en pliegos públicos y privados, y en sectores regulados el organismo de control puede exigir controles equivalentes a los de la norma.
¿Cuánto tarda certificar ISO 27001?
En una empresa mediana que parte de cero, entre nueve y doce meses hasta la auditoría de etapa 2. El plazo está limitado por la evidencia: la auditoría necesita ver el sistema funcionando durante varios meses, y eso no se acelera sumando gente.
¿Qué diferencia hay entre ISO 27001 y ISO 27002?
ISO 27001 es la norma certificable: fija los requisitos del sistema de gestión. ISO 27002 es una guía de implementación que desarrolla en detalle cada uno de los controles. Se audita contra la 27001; se trabaja con la 27002 al lado.
¿Qué es la Declaración de Aplicabilidad?
Es el documento que recorre control por control el Anexo A de la norma y dice si cada uno aplica a la organización o no, y por qué. Es donde más se nota si el sistema de gestión es real o si se armó para la auditoría: una Declaración de Aplicabilidad copiada de una plantilla se detecta en la primera pregunta del auditor.
Fuentes