Durante años, la forma más habitual de certificar ISO 27001 fue contratar una consultora y armar el sistema en planillas y carpetas compartidas. Las plataformas de cumplimiento cambiaron esa ecuación, pero no reemplazan todo. Esta guía compara los dos enfoques tarea por tarea, explica qué se puede automatizar y qué no, y propone criterios para elegir.
Resumen rápido
- Manual: planillas, documentos y consultoría. Flexible, pero lento de mantener y dependiente de personas clave.
- Automatizado: una plataforma organiza el trabajo y recolecta evidencia de forma continua. Reduce horas de preparación y de mantenimiento.
- Lo que no se automatiza: las decisiones sobre riesgos y alcance, la revisión por la dirección, la auditoría interna y la auditoría de certificación.
- Costo: la diferencia más grande suele estar en las horas de consultoría y en el trabajo interno, no en la auditoría externa, que se paga igual.
- Cuándo conviene automatizar: cuando la empresa usa herramientas en la nube, tiene poco tiempo interno o piensa sumar más estándares.
Qué significa cada enfoque
- ISO 27001 manual
El SGSI vive en planillas y documentos: un registro de riesgos en Excel, políticas en Word, evidencia en carpetas compartidas. Una consultora suele guiar el proceso y redactar buena parte de la documentación.
- ISO 27001 automatizada
Una plataforma de cumplimiento centraliza los controles, ayuda a redactar las políticas y se conecta con las herramientas de la empresa (nube, identidad, repositorios, dispositivos) para reunir evidencia con mucho menos trabajo manual.
No son excluyentes: muchas empresas usan una plataforma y contratan horas puntuales de un especialista para la evaluación de riesgos o la auditoría interna.
Comparación tarea por tarea
| Tarea | Manual | Automatizada |
|---|---|---|
| Saber qué falta | Análisis de brechas de la consultora, en un documento que envejece rápido | Estado de cada control actualizado en una sola vista |
| Políticas y procedimientos | Plantillas genéricas o redacción desde cero | Borradores generados y adaptados a la empresa, que el equipo revisa |
| Evaluación de riesgos | Planilla propia, difícil de mantener consistente | Proceso guiado, con riesgos vinculados a controles |
| Evidencia | Capturas y exportaciones juntadas a mano antes de cada auditoría | Recolección continua desde las herramientas conectadas |
| Monitoreo | Revisiones puntuales; los desvíos se descubren tarde | Alertas cuando un control deja de cumplirse |
| Auditoría externa | Semanas armando carpetas para el auditor | Documentación y evidencia ya reunidas |
| Mantenimiento | Depende de que alguien se acuerde de hacerlo | Tareas recurrentes y evidencia que siguen corriendo |
| Otros estándares | Cada uno se trabaja casi desde cero | Controles y evidencia reutilizados entre estándares |
Comparación general. Las funciones concretas varían entre plataformas, y la recolección automática depende de qué herramientas se conecten y con qué permisos.
Qué no se puede automatizar
Una plataforma ahorra mucho trabajo operativo, pero hay partes de ISO 27001 que siempre requieren personas:
- Las decisiones
Definir el alcance, aceptar un riesgo o elegir un tratamiento es responsabilidad de la organización.
- El liderazgo
La revisión por la dirección y la asignación de recursos no se delegan en un software.
- La auditoría interna
La tiene que hacer una persona competente e independiente.
- La auditoría de certificación
La realiza un organismo acreditado, con entrevistas y revisión propia.
- Los controles físicos y de personas
Acceso a oficinas, condiciones de contratación o capacitación presencial se gestionan fuera de las integraciones.
- El criterio
Una política generada automáticamente sirve si alguien la revisa y la ajusta a lo que la empresa realmente hace.
Cómo cambia el costo
La auditoría del organismo certificador, la auditoría interna y la capacitación se pagan en los dos enfoques. La diferencia está en la implementación y en el mantenimiento:
| Componente | Manual | Automatizado |
|---|---|---|
| Implementación | Consultoría: en Chile, USD 8.000 a 20.000 para una empresa de 11 a 49 empleados | Suscripción a una plataforma: las internacionales parten de USD 14.000 a 15.000 al año, para equipos de hasta 20 o 50 personas según la plataforma |
| Trabajo interno | Alto, sobre todo para juntar evidencia | Menor, porque parte de la evidencia se recolecta automáticamente |
| Mantenimiento | Horas de consultoría o de equipo cada año | La plataforma está incluida en la suscripción; el trabajo del equipo, la auditoría interna y los seguimientos del organismo se siguen pagando aparte |
Referencias de la guía de costos: consultoría según GRC360 (Chile) y planes de entrada de plataformas internacionales según sus precios de lista en AWS Marketplace, consultados en octubre de 2026. Valores sin impuestos.
Cuándo conviene cada enfoque
El enfoque manual puede alcanzar si…
- El alcance es muy acotado y la infraestructura es mayormente física o local.
- El equipo ya tiene experiencia con ISO 27001 y tiempo asignado.
- La empresa no planea sumar otros estándares en el corto plazo.
Conviene automatizar si…
- La empresa trabaja con herramientas en la nube que se pueden conectar.
- Hay poco tiempo interno y una fecha comprometida con un cliente.
- Se espera sumar SOC 2, ISO 27701, ISO 42001 u otros marcos.
- El objetivo no es solo certificar, sino mantener el certificado sin rehacer el trabajo cada año.
Cómo elegir una plataforma de cumplimiento
- Integraciones con las herramientas que ya usa la empresa. Sin ellas, la evidencia vuelve a ser manual.
- Idioma y contexto. Políticas, guías y soporte en español, y conocimiento de las leyes de datos de la región.
- Precio total, no solo el de entrada. Qué incluye el plan, cuántos estándares cubre y cuánto cuesta sumar uno.
- Soporte. Quién responde las dudas sobre la norma y por qué canal.
- Seguridad de la propia plataforma. Va a tener acceso a información sensible: conviene revisar sus prácticas y certificaciones.
- Transparencia sobre la certificación. Ninguna plataforma certifica: la auditoría la hace siempre un organismo acreditado.
Por qué Certenza
Certenza es una plataforma de cumplimiento pensada para empresas de Latinoamérica que necesitan prepararse para ISO 27001 sin un proyecto de consultoría tradicional:
- En español y con foco regional
La plataforma, las políticas y el soporte están en español, con el contexto de las empresas de la región.
- Varios estándares en el mismo plan
ISO 27001 y otros marcos se gestionan juntos, reutilizando controles y evidencia, e incluye Trust Center.
- Soporte de especialistas
Un equipo de especialistas en cumplimiento responde por email las dudas sobre la norma, para que el proyecto no se frene.
Las decisiones sobre riesgos y la auditoría interna siguen siendo de la organización, y el certificado lo emite un organismo acreditado que se contrata por separado.
¿Querés comparar con tu enfoque actual?
Te mostramos cómo se vería tu proyecto de ISO 27001 en Certenza.