La ISO 27001 es la norma internacional de referencia para la gestión de la seguridad de la información. Tener la certificación significa que la empresa ha implementado un Sistema de Gestión de Seguridad de la Información estructurado, auditado por terceros independientes y conforme con requisitos reconocidos a nivel mundial. Lo que muchas empresas no saben es que la auditoría ISO 27001 no es un evento único. Es un proceso con etapas definidas, requisitos técnicos previos y un ciclo de mantenimiento que continúa después de la certificación inicial. En este artículo entenderás cómo funciona el proceso de auditoría, cuáles son sus etapas, cuánto suele durar y qué necesita tener estructurado la empresa antes de iniciarlo. Buena lectura.
Qué es la auditoría ISO 27001
La auditoría ISO 27001 es la verificación formal, realizada por un organismo de certificación acreditado, de que el SGSI de la empresa cumple los requisitos de la norma. Evalúa no solo si existen controles de seguridad, sino también si están documentados, implementados, supervisados y sujetos a una mejora continua.
La norma sigue el ciclo PDCA: planificar, hacer, verificar y actuar. La auditoría comprueba si este ciclo funciona realmente en la empresa y no se limita a estar descrito en documentos.
Auditoría interna y auditoría externa
Antes de llegar a la certificación, la empresa debe pasar por dos tipos de auditoría con funciones diferentes.
La auditoría interna es realizada por la propia empresa o por un consultor externo contratado para este fin. Sirve para identificar brechas antes de la auditoría oficial, comprobar que los controles implementados funcionan según lo documentado y preparar al equipo para el proceso formal. No genera la certificación, pero es un paso necesario para conseguirla.
La auditoría externa es realizada por un organismo de certificación acreditado por INMETRO en Brasil o por organismos equivalentes en otros países. Es la que da lugar a la certificación ISO 27001 y valida formalmente que el SGSI cumple los requisitos de la norma.
Las etapas de la auditoría ISO 27001
El proceso de certificación sigue una secuencia que la mayoría de los organismos de certificación divide en dos fases formales, precedidas por una etapa de preparación interna.
Fase de preparación
Antes de cualquier contacto con el organismo certificador, la empresa debe tener el SGSI implementado. Esto incluye el alcance de la certificación definido y documentado, la política de seguridad de la información aprobada por la dirección, el proceso de evaluación y tratamiento de riesgos completado, los controles del Anexo A de la norma implementados o excluidos justificadamente, y la realización de al menos un ciclo completo de auditoría interna.
Esta etapa no tiene un plazo fijo. Lleva el tiempo necesario para que la empresa implemente lo que exige la norma. Para las organizaciones que parten de cero, el proceso de implementación suele durar entre seis meses y un año antes de que la empresa esté preparada para solicitar la auditoría formal. Las empresas que ya cuentan con controles de seguridad estructurados y cumplimiento de normas de seguridad de la información pueden reducir este plazo considerablemente.
Etapa 1: revisión documental
El organismo certificador analiza la documentación del SGSI para comprobar si está completa y es adecuada a los requisitos de la norma. En esta fase, el auditor evalúa si el alcance está bien definido, si la política de seguridad está aprobada, si los riesgos han sido identificados y tratados adecuadamente y si se ha ejecutado el programa de auditoría interna.
La etapa 1 no verifica la implementación práctica de los controles, sino únicamente la adecuación de la documentación. Al finalizar, el auditor emite un informe en el que indica qué aspectos cumplen los requisitos y cuáles deben corregirse antes de pasar a la etapa 2. Las no conformidades identificadas en esta fase deben tratarse antes de avanzar.
Etapa 2: auditoría de certificación
Es la verificación in situ de que los controles documentados en la etapa 1 están efectivamente implementados y funcionan. El auditor entrevista a empleados, observa procesos, verifica registros y comprueba que lo que está escrito corresponde con lo que ocurre en la práctica.
Las no conformidades encontradas en la etapa 2 se clasifican según su gravedad. Las mayores bloquean la certificación hasta que se corrijan y verifiquen. Las menores deben tratarse dentro de un plazo definido después de la certificación.
Al finalizar la etapa 2, si las no conformidades mayores están resueltas, el organismo recomienda la certificación. El certificado ISO 27001 tiene una validez de tres años.
Cuánto dura el proceso completo
El plazo total depende de tres factores: el tamaño de la empresa, la madurez del entorno de seguridad antes de comenzar y la disponibilidad interna para llevar a cabo la implementación.
Para una empresa mediana que parte de cero, el proceso completo, desde la implementación inicial hasta la emisión del certificado, suele durar entre 12 y 18 meses. Las empresas más pequeñas con operaciones más sencillas pueden completarlo en 6 a 9 meses. Las organizaciones más grandes, con múltiples centros o alcances más amplios, con frecuencia superan los 18 meses.
Lo que más influye en este plazo no es el tamaño de la empresa, sino la cantidad de brechas encontradas durante la fase de preparación y la rapidez con la que la organización consigue tratarlas. Las empresas que ya han realizado una evaluación técnica independiente del entorno de seguridad antes de iniciar el proceso de certificación suelen encontrarse con menos sorpresas durante la auditoría y completar el proceso más rápidamente.
Qué ocurre después de la certificación
La certificación ISO 27001 no es permanente. El certificado tiene una validez de tres años, pero durante ese periodo el organismo certificador realiza auditorías de seguimiento anuales para comprobar que el SGSI continúa funcionando conforme a lo certificado.
En el tercer año, la empresa pasa por una auditoría de recertificación, que repite el proceso de la etapa 2 para renovar el certificado durante otros tres años.
Esto significa que la ISO 27001 exige una actitud de mejora continua, no solo un esfuerzo puntual de certificación. Las empresas que tratan el SGSI como un proyecto con una fecha de finalización suelen tener dificultades para mantener la conformidad durante las auditorías de seguimiento.
Qué necesita tener la empresa antes de comenzar
Además de los requisitos técnicos de la norma, existen elementos organizativos que determinan si el proceso avanza con fluidez o se bloquea.
El compromiso de la dirección es el factor más crítico. La ISO 27001 exige evidencias de implicación de la alta dirección, incluida la aprobación de la política de seguridad, la asignación de recursos y la participación en las revisiones del SGSI. Sin este compromiso formal, la auditoría identificará la brecha.
La definición del alcance también es un aspecto que muchas empresas subestiman. Un alcance mal definido puede dar lugar a una certificación que no cubra los procesos más relevantes para clientes y socios, o a un proceso más largo de lo necesario por incluir áreas que no tendrían que formar parte de la certificación inicial.
Por último, la empresa debe contar con una rutina de seguimiento de indicadores de seguridad. La norma exige que se mida el rendimiento del SGSI y que los resultados alimenten las decisiones de mejora. Este ciclo debe estar funcionando antes de la auditoría, no crearse con prisas para demostrárselo al auditor. Un entorno que ya cuenta con análisis de vulnerabilidades en ciclos regulares tiene parte de este seguimiento integrado de forma natural en el proceso.
STWBrasil ayuda a las empresas en el proceso de preparación para la auditoría ISO 27001, desde el diagnóstico inicial del SGSI hasta la realización de auditorías internas y el apoyo durante las fases formales de certificación. Si tu empresa está considerando iniciar este proceso, habla con nuestro equipo.
