Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
ISO/IEC 27001
Es la norma internacional que más aparece en licitaciones, contratos y cuestionarios de proveedor, y la única de esta lista que certifica la forma en que la empresa gestiona el riesgo en lugar de una tecnología. DM11 conduce del alcance a la auditoría, con un especialista sénior al frente y tu equipo aprendiendo a operar lo que queda.
DM11 prepara a tu empresa y conduce la implementación. Quien audita y emite el certificado es un organismo de certificación acreditado, contratado por ti. Esa separación no es elección nuestra: quien prepara no puede certificar, y funciona así en cualquier esquema serio.
Quién conduce la implementación
ISO/IEC 27001 Lead Auditor certificado por BSI
ISO/IEC 27002 Foundation
17 años de gobernanza, riesgos y cumplimiento
Experiencia en auditorías de bancos y de las Big Four
QUÉ ES, DE VERDAD
La ISO/IEC 27001 define los requisitos de un sistema de gestión de seguridad de la información. No lista herramientas y no exige fabricante: exige que la empresa conozca sus riesgos, decida qué hacer con cada uno, ejecute lo que decidió y lo demuestre a lo largo del tiempo. Por eso vale para una fintech de treinta personas y para una industria de tres mil, y por eso el certificado atraviesa sectores.
A diferencia de TISAX y TPN, aquí sí existe certificado, emitido por un organismo acreditado. Vale tres años, con auditorías de seguimiento en el intervalo. Fallar en el seguimiento cuesta el certificado, así que la norma premia la rutina y no el esfuerzo concentrado.
La revisión de 2022 reorganizó el Anexo A de 114 controles a 93, agrupados en cuatro temas en lugar de catorce secciones. Quien se certificó por la versión de 2013 ya tuvo que migrar. Una propuesta que todavía habla de 114 controles está desactualizada.
La norma te deja definir qué entra: una unidad, un producto, la empresa entera. Demasiado amplio multiplica evidencia, plazo y costo; demasiado estrecho hace que tu cliente pregunte por qué su área quedó fuera. Esa conversación es lo primero que tenemos, antes de cualquier proyecto.
Los 93 controles son referencia, no obligación en bloque. La Declaración de Aplicabilidad es donde la empresa registra qué aplica, qué no y por qué. Una exclusión bien redactada pesa más en una auditoría que un control implantado sin propósito.
CUÁNDO LLEGA LA EXIGENCIA
En diecisiete años, casi todo proyecto empezó por uno de estos tres caminos. Reconocer el tuyo define el alcance y el plazo con la cabeza correcta.
Una cláusula pide la certificación, o el cuestionario de seguridad del cliente fue rechazado. Aquí el plazo es del cliente, no tuyo, y la conversación empieza por qué se puede mostrar la semana que viene mientras el programa avanza.
Licitaciones y RFP ponen la 27001 como requisito de habilitación. Sin ella la propuesta ni se lee. El alcance aquí tiene que cubrir exactamente lo que la licitación cita y nada más, para no pagar por certificación que nadie pidió.
Una ronda de inversión, la entrada en un mercado regulado, o un incidente que asustó. En este camino el plazo es tuyo, y es el escenario más barato: se puede hacer en el orden correcto en lugar del urgente.
Traducción
En la ISO 27001 el alcance es la decisión que lo cambia todo: qué unidades entran, qué servicios entran y qué queda fuera, escrito de forma que cualquiera en la empresa pueda repetirlo. Un alcance menor no es trampa, es lo que la norma espera. Un alcance mal escrito es lo que detiene la auditoría.
| Lo que llega por correo | Lo que significa | Lo que cambia en el trabajo |
|---|---|---|
| “Necesitamos que tengan ISO 27001” | Solicitud incompleta. Falta saber si el cliente quiere el certificado de toda la empresa o solo del servicio que contrata. | Pregunte antes de presupuestar. Certificar la empresa entera cuando el cliente solo necesita un servicio multiplica el trabajo sin ganancia comercial. |
| “Certificación para el servicio que nos prestan” | Alcance por servicio. Entran las personas, los sistemas y los proveedores que sostienen ese servicio, y nada más. | Es el alcance más común y el más barato. Exige dibujar la frontera con cuidado: lo que la atraviesa necesita control aunque esté fuera. |
| “Certificación corporativa, todas las sedes” | Alcance organizacional. Todas las unidades, todos los servicios, todos los proveedores relevantes. | Multiplica el levantamiento y la auditoría por sede. Tiene sentido cuando muchos clientes lo piden, no cuando lo pide uno. |
| “Necesitamos el Anexo A completo” | Malentendido común. El Anexo A es una lista de referencia de 93 controles, y la norma no exige todos. | Lo que la norma exige es la declaración de aplicabilidad, diciendo qué control aplica y por qué. Excluir con justificación es procedimiento normal. |
| “El plazo es la renovación del contrato, en cuatro meses” | Por debajo del ciclo mínimo. La norma exige un período de operación con evidencia antes de la auditoría de certificación. | Se puede llegar preparado en cuatro meses, pero no certificado. El camino honesto es una declaración de avance para el cliente y el certificado después. |
| “Ya tenemos SOC 2, ¿sirve?” | No lo sustituye, pero lo acorta. Ambos piden controles parecidos, con formatos de evidencia distintos. | El trabajo baja bastante: buena parte de la evidencia ya existe. Lo que suele faltar es la gestión de riesgo y la revisión por la dirección. |
Nada de esto es precio. El alcance cambia el esfuerzo en órdenes de magnitud, y por eso la conversación empieza por ahí y no por una cifra.
El ciclo
La ISO 27001 no es un examen único. Dos auditorías para emitir y dos de mantenimiento antes de recomenzar. Quien lo trata como un evento pierde el certificado en el primer mantenimiento, cuando el auditor pide la evidencia de los meses transcurridos.
Organismo certificador
El auditor comprueba si el sistema existe en el papel: alcance, política, declaración de aplicabilidad, análisis de riesgo. Termina con una lista de lo que falta antes de la fase 2.
Organismo certificador
El auditor comprueba si lo escrito ocurre de verdad, con entrevistas y evidencia. Aquí se emite el certificado, o se registra la no conformidad.
Organismo certificador
Una auditoría al año, más corta, sobre una parte del sistema. Una no conformidad grave en mantenimiento suspende el certificado.
Organismo certificador
El ciclo recomienza, con el sistema entero reexaminado. La empresa que mantuvo la rutina pasa sin sobresaltos; la que paró rehace casi todo.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Tecnología, software como servicio
Un cliente grande condicionó la renovación a la presentación del certificado ISO 27001, con un plazo de doce meses. La empresa tenía buena práctica técnica y ningún sistema de gestión: las decisiones de seguridad vivían en la cabeza de dos personas y en ningún documento.
Empezamos por el alcance, limitado a la plataforma que ese cliente usaba y no a la empresa entera. En los dos primeros meses subimos la higiene técnica en paralelo: MFA en todos los accesos críticos y política de respaldo, cosas que mejoran la postura antes de cualquier papel. Después vinieron el análisis de riesgos, la Declaración de Aplicabilidad y la recolección de evidencia.
Certificación obtenida dentro del plazo del contrato. Lo que la dirección no esperaba fue el efecto colateral: meses después, el mismo conjunto de evidencias respondió los cuestionarios de seguridad de otros dos clientes, sin proyecto nuevo.
Industria, tres plantas
La empresa iba a certificar las tres plantas de una vez, porque parecía más simple y más impresionante. Solo una de ellas trataba la información del cliente que generó la exigencia; las otras dos hacían producción con diseño propio.
Detuvimos el proyecto antes de empezar y escribimos, junto con la dirección, qué pedía realmente el cliente. El alcance quedó en una planta y en los procesos corporativos que la sostienen. Las otras dos entraron en el programa de gestión, sin entrar en el certificado.
La certificación salió con mucho menos esfuerzo. Las otras dos plantas se incorporaron en la auditoría de seguimiento del año siguiente, a su ritmo, y el costo se diluyó en dos ejercicios en lugar de concentrarse en uno.
Servicios financieros
La empresa había comprado un paquete de políticas prefabricadas a un proveedor y creía estar a un paso de la certificación. Las políticas eran buenas y no describían nada de lo que la empresa hacía de verdad. En la primera entrevista de ensayo, nadie de operaciones reconoció el proceso escrito.
Reescribimos las políticas a partir de lo que la empresa hacía, manteniendo lo que ya funcionaba y corrigiendo lo que no sobrevivía a una pregunta. Después simulamos la auditoría con entrevistas, incluyendo a quien ejecuta el proceso y no solo a quien lo firmó.
El ensayo encontró lo que la auditoría encontraría, con tiempo de corregir. En la auditoría de certificación, la distancia entre el proceso escrito y el practicado ya había desaparecido, que es exactamente lo que el auditor pone a prueba.
AUTODIAGNÓSTICO
Veinte preguntas sobre lo que la auditoría de certificación examina de verdad: las cláusulas 4 a 10 y los controles del Anexo A de 2022. El resultado aparece completo en la pantalla, con la nota de cada área. Es autodeclarado, así que vale como retrato de lo que sabes hoy, y no como evaluación de conformidad.
CÓMO LO CONDUCIMOS
La mayoría de los proyectos de certificación pasa meses produciendo documentos antes de cambiar nada en el entorno. El nuestro acelera la higiene técnica en paralelo con la gobernanza, así la empresa está más segura desde el segundo mes y no solo en el duodécimo. Conducido por un especialista externo, con un punto focal de tu equipo. La evaluación de cada requisito es binaria: cumple, no cumple, cumple parcialmente o no aplica, sin nota subjetiva que nadie sepa defender en la auditoría.
Definimos y homologamos el alcance y los límites del sistema de gestión (cláusula 4), comprometemos a la alta dirección y constituimos el comité de seguridad (cláusula 5). En paralelo, mapeamos y catalogamos los activos de información críticos e implantamos la higiene técnica básica.
Alcance y límites del sistema de gestión homologados
Comité de seguridad constituido, con la dirección comprometida
Inventario de los activos de información críticos
Política de seguridad de la información aprobada
Hito de entregaAlcance homologado, política aprobada y MFA activo en el 100% de los accesos críticos.
Definimos la metodología de riesgo y ejecutamos el análisis de brechas frente a las cláusulas 6 y 7, con talleres de identificación y evaluación junto a las áreas. De ahí salen el plan de tratamiento de riesgos y la primera versión de la Declaración de Aplicabilidad.
Metodología de gestión de riesgos definida y aprobada
Análisis de brechas de las cláusulas 6 y 7
Plan de tratamiento de riesgos
Declaración de Aplicabilidad inicial
Hito de entregaDeclaración de Aplicabilidad firmada y matriz de riesgos homologada por la dirección.
Documentamos y aplicamos la planificación operativa de seguridad (cláusula 8) y formalizamos las políticas complementarias. Es la fase en la que entran los controles avanzados: continuidad del negocio, recuperación ante desastres y pruebas técnicas que producen evidencia de que el control funciona.
Planificación operativa documentada y en uso
Políticas organizativas complementarias publicadas
Plan de continuidad del negocio y de recuperación ante desastres
Escaneo de vulnerabilidades y pruebas preventivas
Hito de entregaPolíticas publicadas, simulación de continuidad ejecutada y primer escaneo concluido.
Ejecutamos la auditoría interna (cláusula 9) con un consultor independiente de quien implantó, conducimos la revisión por la dirección y tratamos las desviaciones (cláusula 10). Consolidamos el repositorio de evidencias y te acompañamos durante las dos fases de la auditoría externa.
Auditoría interna conducida por consultor independiente
Revisión por la dirección, con desviaciones tratadas
Repositorio centralizado de evidencias técnicas
Acompañamiento en las fases 1 y 2 de la auditoría externa
Hito de entregaAuditoría de certificación concluida y certificado emitido por el organismo acreditado.
CUÁNTO TIEMPO LLEVA
No publicamos un plazo estándar porque un plazo publicado se vuelve promesa, y esta es una promesa que depende más de ti que de nosotros. Nuestros clientes se certificaron a los nueve, a los doce y a los dieciocho meses. Lo que los separó está abajo, y la primera conversación ya alcanza para estimar con honestidad.
Una unidad y un producto avanzan mucho más rápido que la empresa entera. Es la variable que más mueve el plazo, y la única que se puede decidir al inicio.
Quien ya tiene inventario de activos, respaldo probado y control de acceso organizado empieza en la práctica por la fase dos. Quien no lo tiene pasa los dos primeros meses construyendo la base.
Es la variable que más sorprende. Un comité que se reúne y decide acorta meses; un comité que existe en el papel estira el proyecto sin que nadie logre señalar dónde. La norma exige participación de la dirección justamente por esto.
LOS PAPELES ESTÁN SEPARADOS
La separación aparece dos veces en este camino, y en las dos te protege. En la auditoría externa, quien emite el certificado es un organismo acreditado contratado por ti, nunca DM11. En la auditoría interna, exigida por la cláusula 9, quien la conduce debe ser independiente de quien implantó: cuando DM11 hace la implantación, la auditoría interna la conduce un consultor que no participó en ella.
DM11 prepara, implanta y acompaña. No audita para certificar y no emite certificado
Tú contratas el organismo de certificación, y la elección es tuya
La auditoría interna de la cláusula 9 la hace quien no implantó
Ayudamos a comparar organismos acreditados, sin interés propio en la respuesta
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
No, y nadie que implanta puede emitirlo. El certificado lo emite un organismo de certificación acreditado, contratado por ti. DM11 prepara la empresa, implanta el sistema de gestión junto a tu equipo y te acompaña en las dos fases de la auditoría externa. Esa separación es regla del esquema de acreditación, no elección nuestra, y es lo que da valor al certificado.
Entre nueve y dieciocho meses, y la diferencia no es aleatoria. Tres cosas la deciden: el tamaño del alcance, cuánto ya existe listo en el entorno y el compromiso real de la dirección. Las empresas que llegan con inventario de activos, respaldo probado y control de acceso organizado empiezan prácticamente por la segunda fase. En la primera conversación ya podemos estimar con honestidad en lugar de repetir un número de folleto.
No. El Anexo A es referencia, y la Declaración de Aplicabilidad es donde la empresa registra qué aplica, qué no y la justificación de cada exclusión. Una exclusión bien fundamentada se acepta sin problema en una auditoría; un control implantado sin propósito, solo para constar, suele generar más preguntas que su ausencia.
La 27001 trae los requisitos, y es la que se certifica. La 27002 es la guía que detalla cómo implementar cada control del Anexo A, y no es certificable. En la práctica te certificas en la 27001 usando la 27002 como manual de consulta. Una propuesta que ofrece certificación en la 27002 está equivocada.
Sirve bastante, y al revés también. Buena parte de la evidencia vale para las dos, porque los controles se superponen en acceso, cambios, continuidad y proveedores. Lo que la ISO 27001 pide de más es el sistema de gestión en sí: análisis de riesgos formal, Declaración de Aplicabilidad, auditoría interna y revisión por la dirección. Quien tiene SOC 2 suele llegar con el trabajo técnico adelantado y el de gobernanza por hacer.
Lo fue, y es una duda legítima. La norma no fija tamaño de equipo, cantidad de documentos ni estructura de área: exige que los riesgos sean conocidos y tratados de forma proporcional. Una empresa de treinta personas se certifica con un sistema de gestión ligero, y el alcance bien definido es lo que impide que el proyecto se convierta en burocracia de multinacional.
Vale tres años, con auditorías de seguimiento en el intervalo, normalmente anuales. Si el seguimiento falla, el certificado se suspende o se cancela. Por eso la última fase de nuestra metodología se llama sostenibilidad: el objetivo no es pasar la auditoría, es que la empresa logre operar el sistema sola después de que nos vamos.
Reprobar es raro cuando hubo auditoría interna y ensayo antes, y para eso existen ambos en la metodología. Las no conformidades menores son comunes y se resuelven con plan de acción, sin perder el proceso. Una no conformidad mayor exige corrección y nueva verificación del organismo. En los dos casos acompañamos el tratamiento hasta el cierre.
Con la cláusula del contrato o el cuestionario en mano, definimos el alcance correcto, lo que ya tienes en casa que suma y una estimación de plazo que se sostiene.
Comparativas sobre este tema
Ver las 13 comparativas