ISO/IEC 27001 es el estándar internacional para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información, que en inglés aparece como ISMS y en español como SGSI. La palabra que hace el trabajo en esa definición es sistema.
El malentendido más frecuente es tratarlo como un catálogo de controles técnicos que se compran e instalan. Los controles son una parte, pero la norma evalúa sobre todo si existe un proceso vivo que los define, los revisa y los corrige. Una empresa puede tener excelente tecnología y no pasar una auditoría; y puede pasar con tecnología modesta si el sistema de gestión funciona y está documentado.
Qué incluye un SGSI
El alcance es más amplio de lo que sugiere la palabra seguridad. Incluye el contexto de la organización y sus partes interesadas, el liderazgo y el compromiso de la dirección, la gestión de riesgos, las políticas, los controles seleccionados y justificados, los procesos que los sostienen, la evidencia de que se aplican, la auditoría interna y la mejora continua.
Ese último punto es el que más se subestima: la norma no pregunta solo si hoy está bien, sino si existe un mecanismo para detectar cuándo deja de estarlo y corregirlo.
Certificarse no es el punto de partida
Hay una diferencia práctica entre alinearse con ISO 27001 y certificarse. Alinearse significa construir las capacidades de gestión que la norma describe: gobierno, riesgos, políticas, controles y evidencia. Certificarse significa que un organismo certificador acreditado, externo e independiente, audita ese sistema y emite el certificado. Si todavía no hay un cliente pidiendo el certificado y lo que falta es saber por dónde empezar, un marco no certificable como NIST CSF 2.0 suele ser el primer paso más barato.
Para muchas medianas empresas la exigencia real que reciben de sus clientes se satisface con lo primero. La certificación agrega costo, plazo y una carga de mantención permanente que conviene asumir cuando existe una razón comercial concreta —una licitación, un contrato, un mercado que la exige— y no como objetivo en sí mismo.
Cuándo aparece la exigencia
Rara vez surge por iniciativa propia. Lo habitual es que llegue desde afuera: un cliente corporativo la incorpora a sus requisitos de proveedor, una base de licitación la menciona, un socio internacional la asume como estándar mínimo, o una due diligence la levanta como brecha.
Cuando eso ocurre, el error caro es intentar resolverlo con un esfuerzo concentrado de tres meses para llegar a una fecha. La norma pide evidencia de que el sistema opera en el tiempo, y esa evidencia no se puede fabricar hacia atrás.
Cómo se estructura el proyecto
El primer paso es un gap assessment: comparar lo que la empresa hace hoy contra lo que la norma exige, y traducir esa distancia en un plan con hitos y responsables. Es también el momento de acotar el alcance, que es la decisión que más determina el costo total.
Luego viene la construcción del sistema de gestión: contexto y partes interesadas, análisis de riesgos, declaración de aplicabilidad, políticas, y los controles que esos riesgos justifican. En paralelo se empieza a generar la evidencia de que el sistema opera, porque es lo único que no se puede fabricar hacia atrás.
Antes de la auditoría de certificación va una auditoría interna y una revisión por la dirección, ambas exigidas por la norma. Recién ahí entra el organismo certificador, que es una entidad acreditada e independiente: quien te preparó no puede certificarte.
Vale notar que ISO 27001 y la normativa chilena no compiten. Un SGSI bien armado cubre buena parte de lo que exigen la Ley 21.719 en materia de medidas de seguridad y la Ley 21.663 en gestión de incidentes, aunque ninguna de las dos obligue a certificarse.
Dónde suele aparecer primero
Cómo se ve en la práctica
Una empresa proveedora de servicios recibe una base de licitación que exige ISO 27001 o un plan de adecuación con plazos verificables. Le quedan cuatro meses hasta la presentación.
Certificarse en ese plazo no es realista. Lo que sí es alcanzable es un gap assessment que determine qué tan lejos está del estándar, un roadmap con hitos y responsables, y las políticas y registros que demuestren que el sistema ya empezó a operar.
En la mayoría de los procesos eso es suficiente para calificar, porque lo que el cliente necesita saber no es si ya tienes el certificado, sino si estás gestionando la seguridad de forma verificable.
Lo que la gerencia tiene que decidir
ISO 27001 compromete presupuesto y tiempo de varias áreas durante meses. Estas decisiones conviene tomarlas antes de partir, no a mitad de camino.
- 01
¿Certificarse o alinearse a la norma?
Si un contrato o una licitación exige el certificado, no hay sustituto. Si lo que recibes es un cuestionario de seguridad, alinearte y poder demostrarlo suele resolverlo con bastante menos costo.
- 02
¿Cuál es el alcance que se certifica?
La norma no obliga a cubrir toda la empresa. Acotar el alcance a la línea de negocio que enfrenta la exigencia reduce el proyecto de forma drástica — pero el certificado dirá exactamente qué cubre.
- 03
¿Quién sostiene el sistema después de la auditoría?
Un SGSI exige mantención permanente y auditorías de seguimiento. Certificarse sin decidir quién lo opera después es la forma más cara de perder el certificado en el primer ciclo.
- 04
¿Existe una razón comercial concreta y con fecha?
Certificarse como objetivo en sí mismo rara vez se sostiene. Con una licitación, un contrato o un mercado detrás, el proyecto tiene prioridad y presupuesto reales.
Cómo lo abordamos en Brumaz
Cómo trabaja Brumaz este concepto
Brumaz no vende certificaciones: acompaña la construcción de las capacidades de gestión que la norma exige —gap assessment, roadmap, SGSI, documentación, controles y preparación para la auditoría— hasta el punto en que el organismo certificador entra. La certificación siempre la emite un tercero acreditado e independiente.
Ver los proyectos complementariosRecibe esta guía en PDF
El mismo contenido, con formato para leerla en el celular, imprimirla o compartirla con tu equipo. Te llega por correo en un minuto.
Preguntas frecuentes
¿Brumaz emite la certificación ISO 27001?
¿Cuánto demora certificarse?
¿Necesito certificarme o me basta con alinearme a la norma?
Fuentes
Este contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Once años en redes, infraestructura y seguridad. Esa base técnica es la que sostiene la dirección de riesgo: no recomienda un control que no sepa verificar, ni pide evidencia que no sepa leer.
- Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
- Diplomado en Data Science (Universidad Adolfo Ibáñez)
- Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
- Implementador de Sistemas de Gestión Integrados usando Inteligencia Artificial (Diplomados en Ciberseguridad)
Seguir leyendo