Guía definitiva para el proceso de certificación de ISO 27001

Cuánto dura el proceso de certificación ISO 27001

La mayor parte del tiempo se va en la preparación. La auditoría en sí ocupa pocos días, pero entre etapas, correcciones y la decisión del organismo pueden pasar varias semanas.

Plazos de referencia. Dependen del punto de partida, del alcance, del tiempo que el equipo pueda dedicarle y de la agenda del organismo certificador.

Los factores que más alargan el proceso son un alcance demasiado amplio, la falta de un responsable con tiempo asignado y la evidencia que se junta a último momento.

Fase 1: preparar el sistema de gestión (pasos 1 a 5)

El objetivo de esta fase es tener un SGSI funcionando, no solo documentado. El auditor va a pedir evidencia de que el sistema opera desde hace un tiempo, por lo que conviene arrancar a generar registros lo antes posible.

Paso 1. Conseguir el compromiso de la dirección y armar el plan

Sin respaldo de la dirección, el proyecto se frena en cuanto compite con la operación diaria. En este paso se designa a un responsable del SGSI, se asignan recursos y se arma un plan con etapas, dueños y fechas. La norma exige que la dirección demuestre liderazgo (cláusula 5), y el auditor lo verifica en entrevistas.

Paso 2. Definir el alcance del SGSI

El alcance indica qué parte de la organización se certifica: qué productos o servicios, procesos, sedes, sistemas y personas. Un alcance acotado al servicio que piden los clientes reduce el trabajo de implementación y los días de auditoría. Uno demasiado estrecho, en cambio, puede no servirle al cliente que pidió el certificado, así que conviene validarlo con él.

Paso 3. Evaluar los riesgos y medir la brecha

La organización identifica qué puede afectar la confidencialidad, la integridad y la disponibilidad de su información, estima la probabilidad y el impacto de cada riesgo y decide cómo tratarlo. En paralelo, un análisis de brechas compara lo que ya existe con lo que pide la norma. El resultado es un plan de tratamiento de riesgos con responsables y plazos.

Paso 4. Implementar los controles y las políticas

Con el plan de tratamiento como guía, se implementan los controles que faltan y se redactan las políticas y los procedimientos. La Declaración de Aplicabilidad resume qué controles del Anexo A aplican, cuáles no y por qué, y cuál es su estado. Es uno de los documentos que el auditor revisa con más detalle.

El detalle de cada requisito y de los controles está en las guías de requisitos de ISO 27001 y de controles del Anexo A.

Paso 5. Capacitar y concientizar al personal

Todas las personas dentro del alcance deben conocer la política de seguridad, entender su rol y saber cómo reportar un incidente (cláusulas 7.2 y 7.3). Además de capacitar, hay que conservar registros: el auditor suele pedir la lista de asistencia o los certificados de finalización, y puede preguntarle a cualquier persona qué haría ante un incidente.

Fase 2: superar la auditoría de certificación (pasos 6 a 9)

Paso 6. Hacer la auditoría interna y la revisión por la dirección

Antes de la auditoría externa, el organismo certificador espera ver el ciclo completo del sistema funcionando: al menos una auditoría interna (cláusula 9.2) y una revisión por la dirección (cláusula 9.3) terminadas, con sus hallazgos tratados. La auditoría interna la tiene que hacer alguien con competencia e independencia respecto de lo que audita.

Funciona como un ensayo general: lo que se detecta y corrige acá no aparece como no conformidad en la auditoría de certificación.

Paso 7. Elegir el organismo certificador y planificar la auditoría

Conviene pedir cotización a dos o tres organismos acreditados para ISO 27001. La cantidad de días de auditoría depende sobre todo de las personas dentro del alcance, según la norma ISO/IEC 27006, por lo que el precio varía con el tamaño de la organización (ver cuánto cuesta certificar ISO 27001).

Una vez contratado, el organismo envía el plan de auditoría con fechas, auditores y áreas a revisar. Algunos ofrecen una preauditoría opcional, pero no pueden asesorar sobre cómo implementar: eso afectaría su imparcialidad.

Paso 8. Etapa 1: revisión de la documentación

En la Etapa 1, el auditor confirma que la organización está lista para la auditoría completa. Revisa el alcance, la política de seguridad, la metodología y los resultados de la evaluación de riesgos, el plan de tratamiento, la Declaración de Aplicabilidad y los registros de la auditoría interna y la revisión por la dirección.

Al terminar, entrega un informe con los puntos a resolver antes de la Etapa 2. Si son menores, se avanza igual, pero si siguen abiertos en la Etapa 2 pueden convertirse en no conformidades. Si el auditor concluye que la organización no está lista, puede postergar la Etapa 2.

Paso 9. Etapa 2: auditoría de certificación y decisión

La Etapa 2 verifica que lo documentado se cumple en la práctica. El auditor entrevista a responsables y a personal, revisa evidencia de los controles (accesos, copias de seguridad, gestión de proveedores, incidentes, capacitación) y comprueba que los riesgos se tratan según lo planificado. Puede ser presencial, remota o combinada.

Con el informe del auditor, el organismo certificador toma la decisión de certificación. Si no hay no conformidades pendientes, emite el certificado, que indica el alcance y la versión de la Declaración de Aplicabilidad.

Qué pasa si el auditor encuentra no conformidades

Encontrar desvíos es habitual, incluso en organizaciones bien preparadas. Lo importante es cómo se clasifican y qué hay que hacer con cada uno:

Si una no conformidad mayor no se resuelve dentro del plazo que fija el organismo (como máximo seis meses desde el último día de la Etapa 2, según ISO/IEC 17021-1), hay que repetir la Etapa 2. Por eso conviene que la auditoría interna sea exigente: es la oportunidad de encontrar esos desvíos antes.

Fase 3: mantener la certificación (paso 10)

Paso 10. Sostener el sistema durante el ciclo de 3 años

El certificado no es el final del proceso. Durante su vigencia, el organismo realiza auditorías de seguimiento: la primera dentro de los 12 meses posteriores a la certificación y luego al menos una vez por año. Cada una revisa una parte del sistema, los cambios desde la última visita y las no conformidades menores pendientes.

Antes del vencimiento se hace la auditoría de recertificación, que vuelve a revisar el sistema completo e inicia un nuevo ciclo de 3 años.

Entre auditorías, la organización tiene que seguir operando el SGSI: revisar los riesgos, hacer auditorías internas y revisiones por la dirección, y actualizar la documentación. La norma no fija con qué frecuencia; pide hacerlo a intervalos planificados que define cada organización. Si cambia el alcance (un producto nuevo, otra sede), hay que avisarle al organismo certificador.

Errores frecuentes en el proceso de certificación

• Empezar por los documentos

  Redactar políticas antes de evaluar los riesgos produce documentos genéricos que no reflejan lo que la empresa hace.

• Un alcance mal definido

  Demasiado amplio alarga el proyecto; demasiado estrecho puede no servirle al cliente que pidió el certificado.

• Juntar evidencia a último momento

  El auditor busca registros de un período, no de la semana anterior a la auditoría.

• Saltear la auditoría interna

  Sin ella, los desvíos aparecen en la Etapa 2, cuando corregirlos cuesta más tiempo.

• Un plan de tratamiento débil

  Riesgos sin responsable, sin plazo o sin justificación de por qué se aceptan.

• Abandonar el sistema después de certificar

  Es la causa más común de problemas en la primera auditoría de seguimiento.

El proceso de certificación en Latinoamérica

• Acreditación: los organismos de acreditación de cada país, como el OAA en Argentina, el INN en Chile, la EMA en México, el ONAC en Colombia o el INACAL en Perú, no certifican empresas: acreditan a los organismos certificadores. Lo que hay que verificar es que el organismo elegido esté acreditado específicamente para ISO 27001.
• Acreditación extranjera: un certificado emitido bajo una acreditación de otro país, como UKAS o ANAB, también es válido, siempre que el acreditador sea firmante del acuerdo de reconocimiento del IAF.
• Idioma y modalidad: la mayoría de los organismos que operan en la región auditan en español y aceptan auditorías remotas o combinadas, lo que reduce viáticos.
• Sector público: en Perú, las entidades públicas deben implementar su SGSI según la NTP-ISO/IEC 27001 vigente (Resolución N° 003-2023-PCM/SGTD). En el resto de los casos, la certificación es voluntaria y la impulsan los clientes.

Cómo acelera el proceso una plataforma de cumplimiento

Una plataforma de cumplimiento ordena la fase de preparación, que es la más larga: convierte los requisitos en tareas con responsables, ayuda a redactar las políticas, guía la evaluación de riesgos y recolecta la evidencia desde las herramientas que la organización conecta. Así, cuando llega la auditoría, la documentación y los registros ya están reunidos.

También simplifica el mantenimiento, porque la evidencia se sigue recolectando entre auditorías. La auditoría y el certificado, en cambio, siempre los emite un organismo acreditado que se contrata por separado.