CevroCertificación ISO 27001 para empresas que venden globalmente
ISO/IEC 27001 es la norma internacional para un sistema de gestión de seguridad de la información (SGSI). A diferencia de SOC 2, da lugar a un certificado emitido por un organismo de certificación acreditado, lo que le da peso en las compras fuera de Estados Unidos.
Qué exige la norma
Defines el alcance de tu SGSI, evalúas los riesgos de seguridad de la información, eliges e implementas controles para tratarlos y mejoras de forma continua mediante auditorías internas y revisión por la dirección. El sistema de gestión importa tanto como los controles individuales.
Los controles del Anexo A
La edición 2022 del Anexo A enumera 93 controles agrupados en cuatro temas. Documentas cuáles se aplican a ti y por qué en una Declaración de Aplicabilidad.
- Controles organizativos
- Controles de personas
- Controles físicos
- Controles tecnológicos
Cómo funciona la certificación
Un organismo de certificación audita en dos fases: una revisión documental y, después, una evaluación de la implantación. Los certificados duran tres años con auditorías de seguimiento anuales. Las organizaciones certificadas con la edición de 2013 debían migrar a la de 2022 antes del 31 de octubre de 2025.
Preparación práctica
- Fija un alcance realista antes de asociar los controles
- Mantén un registro de riesgos vivo, con responsables y plazos
- Recoge las evidencias de forma continua en lugar de justo antes de la auditoría
- Realiza una auditoría interna y una revisión por la dirección antes de la auditoría de certificación
Cómo ayuda Cevro
- Cevro ejecuta comprobaciones automáticas sobre 11 sistemas conectados (nube, código fuente, identidad, personas y pagos) y asocia cada resultado con ISO 27001 y con los demás marcos que sigues.
- Cada control fallido incluye una corrección concreta y una forma de volver a comprobarlo, de modo que la lista de brechas se convierte en una lista de tareas.
- Las evidencias recogidas para un marco se reutilizan en los demás, y lo que un escaneo no puede producir va a la bóveda de evidencias.
- Una página de confianza en vivo y evidencias exportables permiten responder a clientes y auditores sin empezar desde una hoja de cálculo en blanco.
Preguntas frecuentes
¿Es obligatoria ISO 27001 por ley?
No, es voluntaria. Clientes, reguladores o licitaciones pueden exigirla, sobre todo en Europa, Oriente Medio y Asia.
¿Pueden ISO 27001 y SOC 2 compartir evidencias?
En gran medida, sí. Las evidencias de control de acceso, registro, gestión de cambios y evaluación de riesgos se solapan mucho, por lo que asociar un mismo conjunto de evidencias a ambos marcos ahorra tiempo.