Qué es ISO 27001 y qué implica realmente certificarse

ISO/IEC 27001 es el estándar internacional para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información, que en inglés aparece como ISMS y en español como SGSI. La palabra que hace el trabajo en esa definición es sistema.

El malentendido más frecuente es tratarlo como un catálogo de controles técnicos que se compran e instalan. Los controles son una parte, pero la norma evalúa sobre todo si existe un proceso vivo que los define, los revisa y los corrige. Una empresa puede tener excelente tecnología y no pasar una auditoría; y puede pasar con tecnología modesta si el sistema de gestión funciona y está documentado.

Qué incluye un SGSI

El alcance es más amplio de lo que sugiere la palabra seguridad. Incluye el contexto de la organización y sus partes interesadas, el liderazgo y el compromiso de la dirección, la gestión de riesgos, las políticas, los controles seleccionados y justificados, los procesos que los sostienen, la evidencia de que se aplican, la auditoría interna y la mejora continua.

Ese último punto es el que más se subestima: la norma no pregunta solo si hoy está bien, sino si existe un mecanismo para detectar cuándo deja de estarlo y corregirlo.

Certificarse no es el punto de partida

Hay una diferencia práctica entre alinearse con ISO 27001 y certificarse. Alinearse significa construir las capacidades de gestión que la norma describe: gobierno, riesgos, políticas, controles y evidencia. Certificarse significa que un organismo certificador acreditado, externo e independiente, audita ese sistema y emite el certificado.

Para muchas medianas empresas la exigencia real que reciben de sus clientes se satisface con lo primero. La certificación agrega costo, plazo y una carga de mantención permanente que conviene asumir cuando existe una razón comercial concreta —una licitación, un contrato, un mercado que la exige— y no como objetivo en sí mismo.

Cuándo aparece la exigencia

Rara vez surge por iniciativa propia. Lo habitual es que llegue desde afuera: un cliente corporativo la incorpora a sus requisitos de proveedor, una base de licitación la menciona, un socio internacional la asume como estándar mínimo, o una due diligence la levanta como brecha.

Cuando eso ocurre, el error caro es intentar resolverlo con un esfuerzo concentrado de tres meses para llegar a una fecha. La norma pide evidencia de que el sistema opera en el tiempo, y esa evidencia no se puede fabricar hacia atrás.

Cómo se estructura el proyecto

El primer paso es un gap assessment: comparar lo que la empresa hace hoy contra lo que la norma exige, y traducir esa distancia en un plan con hitos y responsables. Es también el momento de acotar el alcance, que es la decisión que más determina el costo total.

Luego viene la construcción del sistema de gestión: contexto y partes interesadas, análisis de riesgos, declaración de aplicabilidad, políticas, y los controles que esos riesgos justifican. En paralelo se empieza a generar la evidencia de que el sistema opera, porque es lo único que no se puede fabricar hacia atrás.

Antes de la auditoría de certificación va una auditoría interna y una revisión por la dirección, ambas exigidas por la norma. Recién ahí entra el organismo certificador, que es una entidad acreditada e independiente: quien te preparó no puede certificarte.

Vale notar que ISO 27001 y la normativa chilena no compiten. Un SGSI bien armado cubre buena parte de lo que exigen la Ley 21.719 en materia de medidas de seguridad y la Ley 21.663 en gestión de incidentes, aunque ninguna de las dos obligue a certificarse.

Preguntas frecuentes

¿Brumaz emite la certificación ISO 27001?

No, y ningún consultor puede hacerlo. La certificación la emite un organismo certificador acreditado que audita de forma independiente. Quien te ayuda a prepararte no puede ser quien te certifica, justamente para que la certificación tenga valor. Brumaz acompaña la preparación y el proceso de auditoría.

¿Cuánto demora certificarse?

Depende del punto de partida, del alcance que se defina y del tamaño de la organización, pero no es un proyecto de semanas. La auditoría de certificación requiere evidencia de que el sistema estuvo operando durante un período, así que el plazo lo marca esa operación real y no la velocidad con que se redacte la documentación.

¿Necesito certificarme o me basta con alinearme a la norma?

Depende de qué te estén pidiendo exactamente. Si un contrato o una licitación exige el certificado, no hay sustituto. Si lo que recibes es un cuestionario de seguridad o una exigencia genérica de buenas prácticas, alinearse y poder demostrarlo con evidencia suele resolverlo con bastante menos costo.