Certificarse en ISO 27001: guía realista para empresas

La ISO 27001 es la norma internacional de referencia para los Sistemas de Gestión de Seguridad de la Información (SGSI). Certificarse demuestra ante clientes, aseguradoras y licitaciones que gestionas la seguridad de forma sistemática, no improvisada.

Qué pide la norma, en lenguaje llano

No exige comprar herramientas concretas. Exige que identifiques tus activos y riesgos, decidas qué controles aplicas (y justifiques los que no), lo documentes, lo midas y lo mejores de forma continua. El anexo A de la versión 2022 recoge 93 controles agrupados en cuatro dominios: organizativos, de personas, físicos y tecnológicos.

Los documentos que siempre te van a pedir

• › Alcance del SGSI: qué partes de la organización quedan dentro.
• › Análisis y tratamiento de riesgos, con metodología explícita.
• › Declaración de aplicabilidad (SoA): control a control, aplica o no y por qué.
• › Política de seguridad y políticas específicas derivadas.
• › Evidencias: registros de formación, incidentes, revisiones por dirección y auditorías internas.

Plazos realistas

Una pyme que parte de cero suele tardar entre 6 y 12 meses hasta la auditoría de certificación: 2-3 meses de análisis de brechas y diseño, 3-6 de implantación y evidencias, y luego auditoría interna más las dos fases de la auditoría externa. Intentar comprimirlo a 3 meses suele acabar en no conformidades.

Dónde encaja el pentesting

El control A.8.8 (gestión de vulnerabilidades técnicas) y el A.8.29 (pruebas de seguridad en desarrollo y aceptación) empujan directamente hacia las pruebas de intrusión. Un pentesting anual con su informe y su re-auditoría es una de las evidencias más sólidas que puedes presentar al auditor: demuestra que buscas los fallos activamente y que los cierras.

Errores que cuestan la certificación

• › Copiar políticas de plantilla que no reflejan lo que se hace de verdad.
• › Definir un alcance tan estrecho que el certificado no sirva comercialmente.
• › No conservar evidencias: sin registros, para el auditor no ha ocurrido.
• › Tratar el SGSI como un proyecto que termina, en vez de un ciclo que se mantiene.

En Pentesting Team auditamos el SGSI frente a ISO 27001 y ejecutamos las pruebas técnicas que sustentan los controles, con un plan de acción priorizado antes de que llegue el auditor.

Las fases reales de una certificación

• › Análisis de brecha: dónde estás respecto a la norma, y cuánto falta.
• › Definición del alcance y de la declaración de aplicabilidad, que es el documento que dice qué controles aplicas y por qué.
• › Análisis y tratamiento de riesgos, con su metodología escrita.
• › Implantación de controles y puesta en marcha del sistema.
• › Operación real durante unos meses, generando registros.
• › Auditoría interna y revisión por la dirección.
• › Auditoría de certificación en dos fases: documental y de implantación.

La quinta fase es la que no se puede acelerar. Un sistema sin registros de operación no se certifica, por muy bien escrito que esté.

El anexo A y los 93 controles

La versión de 2022 reorganizó los controles del anexo A en cuatro grupos: organizativos, de personas, físicos y tecnológicos. Son 93 y no hay que implantarlos todos: hay que justificar en la declaración de aplicabilidad cuáles aplican y por qué se excluyen los demás. Excluir sin argumentar es el hallazgo más común en la auditoría documental.

Los controles que exigen prueba técnica

• › Gestión de vulnerabilidades técnicas: hay que detectarlas, evaluarlas y tratarlas, con evidencia de las tres cosas.
• › Seguridad en el desarrollo y pruebas de seguridad de las aplicaciones.
• › Configuración segura y gestión de la capacidad y del acceso privilegiado.
• › Monitorización de actividades y registro de eventos.

Los cuatro se responden con un informe de auditoría técnica y su retest, y lo que ese informe debe contener lo detallamos en qué debe incluir un informe de pentesting. Es la diferencia entre decirle al auditor que gestionas vulnerabilidades y enseñarle qué encontraste, cómo lo priorizaste y quién verificó que se arregló.

Qué cuesta mantenerla

La certificación dura tres años con auditorías de seguimiento anuales, así que el esfuerzo no termina con el sello. Lo que más se descuida entre auditorías es el análisis de riesgos, que envejece en cuanto cambia la infraestructura, y las pruebas técnicas, que se dejan para el mes anterior a la visita del auditor.