Para muchas startups, ISO 27001 aparece de golpe: un cliente corporativo la pide en medio de una negociación, o un fondo pregunta por ella en una ronda. La norma no se pensó para empresas de 15 personas, pero se adapta bien a ellas. Esta guía explica qué ventajas y desafíos tiene una startup, cómo definir el alcance, quién hace qué en un equipo chico y cómo planificar el camino.
Resumen rápido
- Cuándo conviene: cuando clientes corporativos, licitaciones o socios la exigen, o cuando los cuestionarios de seguridad empiezan a frenar ventas.
- La ventaja de ser chico: pocas personas, infraestructura en la nube y poco sistema heredado que adaptar.
- La clave: un alcance acotado al producto que evalúan los clientes.
- Roles: la dirección, un responsable del SGSI, quien lleva la tecnología y quien gestiona las personas. La auditoría interna conviene contratarla afuera.
- Plazo y costo: de 6 a 12 meses partiendo de cero; los costos obligatorios del primer año arrancan en unos USD 4.300, más la implementación.
Cuándo tiene sentido para una startup
El tamaño no define la necesidad: la definen los clientes. Las señales más comunes son:
- Un cliente corporativo o del sector público la pone como condición en un contrato.
- El equipo dedica cada vez más horas a responder cuestionarios de seguridad.
- La startup apunta a vender en otros países, donde ISO 27001 es una credencial reconocida.
- Un inversor pregunta por la seguridad en una debida diligencia.
Si ninguna de estas situaciones está en el horizonte cercano, puede no ser el momento de certificar, aunque sí de ordenar las bases. El análisis completo está en ¿Quién necesita ISO 27001?
Las ventajas de certificar siendo chico
- Pocas personas en el alcance
Menos personas significa menos días de auditoría, menos capacitaciones y menos accesos para controlar.
- Infraestructura en la nube
El proveedor de nube se encarga de la seguridad física de los centros de datos; la startup gestiona la configuración y los accesos.
- Poco sistema heredado
No hay años de procesos y sistemas viejos que adaptar: la seguridad se puede diseñar desde el principio.
- Decisiones rápidas
La dirección está cerca del día a día, lo que facilita aprobar riesgos, recursos y políticas.
Los desafíos más comunes
- Nadie dedicado a seguridad
El proyecto compite con el producto y las ventas por el tiempo de las mismas personas.
- Todos hacen de todo
Eso complica la independencia que exige la auditoría interna y la separación de funciones.
- Muchas herramientas SaaS
Cada área suma aplicaciones que manejan información y que hay que tener inventariadas.
- Presupuesto ajustado
Una consultora tradicional puede costar más que lo que vale el primer contrato que exige la certificación.
Cómo definir el alcance
El alcance es la decisión que más impacto tiene en el plazo y en el costo. Para una startup, lo habitual es certificar el producto o servicio que evalúan los clientes, con todo lo que lo hace funcionar:
| Suele entrar en el alcance | Puede quedar afuera, si no toca la información del producto |
|---|---|
| El producto, su infraestructura en la nube y su código | Proyectos experimentales sin datos de clientes |
| El equipo que desarrolla, opera y da soporte | Áreas que no acceden a sistemas ni a datos del producto |
| Las herramientas con datos de clientes (soporte, CRM, almacenamiento) | Herramientas internas sin información sensible |
| Los proveedores críticos del producto | Proveedores sin acceso a información |
Ejemplo orientativo. Cada exclusión tiene que poder justificarse, y conviene validar el alcance con el cliente que pidió el certificado.
En una startup chica, muchas veces toda la empresa termina dentro del alcance, porque casi todos tocan el producto. No es un problema: el sistema sigue siendo pequeño.
La nube como aliada
Con la infraestructura en un proveedor de nube, la seguridad se reparte: el proveedor responde por los centros de datos, el hardware y la red física; la startup, por cómo configura los servicios, quién accede y cómo protege los datos. Eso simplifica varios controles del Anexo A, sobre todo los físicos, que se gestionan a través de la seguridad en el uso de servicios de nube (control 5.23) y de las certificaciones del propio proveedor.
Algunos controles físicos siguen aplicando aunque no haya oficinas, como el escritorio y la pantalla limpios o la protección de laptops fuera de la oficina. Y lo que no se traslada es la responsabilidad sobre la configuración: accesos con privilegios, cifrado, registros de actividad y copias de seguridad siguen siendo tarea de la startup, y el auditor los va a revisar.
La forma de justificar esas decisiones está explicada en la guía de la Declaración de Aplicabilidad.
Quién hace qué en un equipo chico
| Rol | Quién suele ocuparlo | Qué hace |
|---|---|---|
| Dirección | CEO o fundadores | Aprueba la política, los recursos y los riesgos; participa en la revisión por la dirección |
| Responsable del SGSI | CTO, COO o una persona de operaciones | Coordina el proyecto, la evaluación de riesgos y la relación con el auditor |
| Controles técnicos | CTO y equipo de ingeniería | Accesos, nube, código, copias de seguridad, monitoreo |
| Personas | Quien gestiona RRHH | Ingresos y salidas, capacitación, acuerdos de confidencialidad |
| Auditoría interna | Un auditor externo contratado | Revisa el sistema con independencia antes de la certificación |
La auditoría interna es el rol más difícil de cubrir adentro, porque quien la hace no puede auditar lo que implementó. Las opciones y los costos están en la guía de auditoría interna.
Un plan realista en 8 meses
- Mes 1: decidir y planificar. Compromiso de los fundadores, responsable del SGSI, alcance y calendario.
- Meses 2 y 3: riesgos y brechas. Inventario de activos y herramientas, evaluación de riesgos y análisis de lo que falta.
- Meses 3 a 5: controles y políticas. Configuraciones de seguridad, políticas cortas y propias, Declaración de Aplicabilidad y capacitación.
- Meses 5 y 6: operar y juntar evidencia. El sistema funciona y deja registros; se contrata al organismo certificador.
- Mes 6: auditoría interna y revisión por la dirección. Se corrigen los hallazgos antes de la auditoría externa.
- Meses 7 y 8: certificación. Etapa 1, Etapa 2 y decisión del organismo.
Plan orientativo para una startup de unas 20 personas sin certificaciones previas. El detalle de cada etapa está en la guía de cuánto se tarda en certificar.
Cuánto presupuestar
El costo de una startup combina la auditoría del organismo certificador, la auditoría interna, la capacitación y la forma de implementar (consultora, plataforma o recursos propios). Para una empresa chica en Latinoamérica, los costos obligatorios (auditoría de certificación, auditoría interna y capacitación) van de USD 4.300 a 21.700 el primer año, más la implementación. Valores sin impuestos.
¿Cuánto cuesta certificar ISO 27001?
Costos obligatorios, caminos de implementación y escenarios con precios de Latinoamérica.
Errores frecuentes en startups
- Sobredocumentar
Políticas de 30 páginas que nadie lee. Mejor documentos cortos que reflejen lo que la empresa hace.
- Copiar plantillas de empresas grandes
Procesos que no existen generan no conformidades cuando el auditor pide evidencia.
- Dejar todo en manos de un fundador
Si el proyecto depende de alguien sin tiempo, se estira meses.
- Olvidar las salidas
Accesos que siguen activos después de que alguien se va son uno de los hallazgos más comunes.
- No inventariar las herramientas SaaS
Aplicaciones con datos de clientes que nadie registró ni evaluó.
- Certificar y olvidarse
La primera auditoría de seguimiento llega antes de lo que parece.
Cómo ayuda Certenza a una startup
Una startup no necesita un proyecto de consultoría de varios meses: necesita un camino claro que su propio equipo pueda recorrer sin descuidar el producto. Certenza está pensada para ese escenario:
- Un plan pensado para equipos chicos
El Plan Startup incluye varios estándares y Trust Center, para empezar por ISO 27001 y sumar otros marcos cuando los clientes los pidan.
- Políticas a la medida de una startup
La IA de Certenza ayuda a redactar políticas cortas y alineadas con cómo trabaja el equipo, sin copiar documentos de empresas grandes.
- Evidencia desde las herramientas en la nube
Al conectar la nube, la gestión de identidades y los repositorios, buena parte de la evidencia se reúne automáticamente, sin quitarle horas a ingeniería.
La auditoría interna la hace una persona independiente, y el certificado lo emite un organismo acreditado que se contrata por separado.
¿Tu startup necesita ISO 27001?
Te mostramos cómo empezar con el equipo que ya tenés.