ISO/IEC 27001 es la norma internacional que define cómo construir y mantener un sistema de gestión de seguridad de la información (SGSI), y es la certificación de seguridad más reconocida por clientes corporativos en todo el mundo. Para una pyme o startup, el camino realista empieza por definir un alcance pequeño, hacer un análisis de riesgos y aplicar los controles que de verdad reducen esos riesgos; una certificación bien planificada suele tomar entre 6 y 12 meses.
Qué es ISO 27001:2022 y qué cambió
La norma tiene dos partes. Las cláusulas 4 a 10 son obligatorias y describen el sistema de gestión: contexto, liderazgo, planificación por riesgos, soporte, operación, evaluación del desempeño y mejora. El Anexo A es un catálogo de 93 controles agrupados en cuatro temas:
| Tema | Controles | Ejemplos |
|---|---|---|
| Organizacionales (A.5) | 37 | Políticas, inventario de activos, proveedores, servicios cloud, gestión de incidentes |
| Personas (A.6) | 8 | Verificación de antecedentes, concienciación, teletrabajo |
| Físicos (A.7) | 14 | Perímetros, escritorio limpio, equipos |
| Tecnológicos (A.8) | 34 | Control de acceso, cifrado, respaldos, logs, desarrollo seguro |
La edición 2022 redujo los 114 controles de la versión 2013 a 93 e incorporó 11 nuevos, entre ellos inteligencia de amenazas, seguridad en servicios cloud, gestión de configuración, borrado de información, enmascaramiento de datos, prevención de fuga de datos, monitoreo y codificación segura. En 2024 se publicó una enmienda que añade la consideración del cambio climático en el contexto de la organización.
El plazo de transición terminó el 31 de octubre de 2025: desde esa fecha, los certificados emitidos contra la versión 2013 dejaron de ser válidos. Si un proveedor te muestra hoy un certificado ISO 27001:2013, está vencido.
Certificarse o alinearse: la primera decisión
Alinearse significa aplicar la norma como marco de buenas prácticas sin auditoría externa. Certificarse significa que un organismo de certificación acreditado audita tu SGSI y emite un certificado válido por tres años, con auditorías de seguimiento anuales.
- Certifícate si tus clientes lo exigen en licitaciones o contratos, si vendes software o servicios a bancos, aseguradoras o multinacionales, o si quieres dejar de responder cuestionarios de seguridad desde cero.
- Alinéate primero si nadie te lo pide todavía, si tu equipo es muy pequeño o si necesitas ordenar la seguridad antes de pagar auditorías.
Alinearse no es tiempo perdido: el trabajo sirve íntegro para certificar después. En Ecuador, además, la LOPDP permite apoyarse en estándares internacionales para demostrar medidas de seguridad, y el sector público aplica el Esquema Gubernamental de Seguridad de la Información (EGSI), cuya versión 3.0 se alineó con ISO 27001:2022. Revisa cómo encajan en nuestra guía técnica de la LOPDP.
Pasos para implementar ISO 27001
- Alcance: define qué entra en el SGSI. Para una startup, lo razonable es el producto, su infraestructura y los equipos que lo construyen y operan, no toda la empresa.
- Inventario de activos: sistemas, datos, proveedores, dispositivos y personas dentro del alcance.
- Análisis y tratamiento de riesgos: metodología documentada, escala de probabilidad e impacto, y decisión por riesgo (mitigar, aceptar, transferir, evitar).
- Declaración de Aplicabilidad (SoA): los 93 controles con cuáles aplicas, cuáles excluyes y por qué. Es el documento que más revisa el auditor.
- Políticas y procedimientos: pocas y útiles: seguridad de la información, control de acceso, uso aceptable, respaldos, gestión de incidentes, proveedores y desarrollo seguro.
- Implementar controles y guardar evidencia de que operan: tickets, logs, actas, capturas de configuración.
- Auditoría interna independiente de quien implementó.
- Revisión por la dirección: la gerencia revisa riesgos, incidentes, métricas y decide mejoras.
- Auditoría de certificación: la Etapa 1 revisa documentación y preparación; la Etapa 2 verifica que los controles funcionan en la práctica.
Plazos realistas y qué mueve el costo
Para una organización pequeña con alcance acotado, un plan habitual es de 2 a 3 meses de diagnóstico, riesgos y documentación, 3 a 6 meses de implementación con evidencia acumulada, y luego auditoría interna, revisión por la dirección y las dos etapas de certificación. Total: entre 6 y 12 meses. Prometer "certificación en 30 días" suele significar documentos de plantilla sin controles reales detrás.
El costo no tiene un precio estándar; depende de:
- Número de personas dentro del alcance: el tiempo de auditoría que fija el organismo certificador crece con él.
- Sedes y complejidad técnica: oficinas, nubes, productos y proveedores críticos.
- Madurez de partida: si ya tienes MFA, respaldos probados y control de cambios, el trabajo baja mucho.
- Apoyo externo: consultoría, herramientas de cumplimiento y pruebas técnicas como el pentesting.
- Tiempo interno: el costo más subestimado; alguien debe ser dueño del SGSI.
Un equipo externo puede encargarse de buena parte de la implementación técnica (hardening de la nube, logs, desarrollo seguro y pruebas), como hacemos en nuestro servicio de ciberseguridad, mientras las decisiones y la propiedad del SGSI se quedan en tu empresa.
Victorias rápidas para las primeras semanas
Antes de escribir políticas, cierra los riesgos que más incidentes causan en pymes. Todos corresponden a controles del Anexo A:
- MFA en correo, nube, repositorios y herramientas administrativas.
- Inventario de cuentas y salida ordenada del personal (revocar accesos el mismo día).
- Respaldos con al menos una copia aislada y una restauración probada; clave frente a ransomware.
- Gestor de contraseñas corporativo y cifrado de discos en laptops.
- Logs centralizados de la nube y de la aplicación.
- Lista de proveedores con acceso a datos y sus contratos.
- Plan de respuesta a incidentes de una página; desarróllalo con nuestra guía de plan de respuesta a incidentes.
Si tu infraestructura está en AWS, el checklist de hardening de AWS cubre buena parte de los controles tecnológicos.
ISO 27001 y los cuestionarios de seguridad de tus clientes
Cuando vendes a una empresa grande, su área de compras o de riesgos te envía un cuestionario de seguridad de decenas o cientos de preguntas. Un SGSI bien llevado cambia esa dinámica: tienes políticas, evidencia y una Declaración de Aplicabilidad para responder rápido y con consistencia, y muchas empresas aceptan el certificado vigente como sustituto de buena parte del cuestionario. Para un proveedor de software, eso acorta ciclos de venta y evita perder licitaciones por no tener respaldo formal.
Errores comunes al implementar ISO 27001
- Alcance demasiado grande: incluir toda la empresa en el primer ciclo multiplica el trabajo y el tiempo de auditoría. Empieza por el producto o servicio que tus clientes evalúan y amplía después.
- Comprar un paquete de plantillas y darlo por hecho: el auditor no certifica documentos sino controles operando. Una política de control de acceso sin revisiones de accesos registradas es un hallazgo seguro.
- Análisis de riesgos genérico: copiar una matriz de otra organización produce controles que no corresponden a tus amenazas reales. Los riesgos deben salir de tus activos, tus proveedores y tu forma de trabajar.
- Dejar la evidencia para el final: la Etapa 2 pide pruebas de que los controles funcionaron durante un tiempo. Si empiezas a guardar evidencia una semana antes, no alcanza.
- Delegar todo en un consultor: el apoyo externo acelera, pero la dirección debe asumir el sistema, revisar riesgos y decidir. Sin un dueño interno, el SGSI se abandona después del certificado y la auditoría de seguimiento lo detecta.
- Olvidar a los proveedores: la nube, el desarrollo tercerizado y las herramientas SaaS están dentro de tu riesgo; necesitas saber qué datos tienen y con qué contrato.
Si vendes software a empresas de Estados Unidos, ten en cuenta que allí suelen pedir un informe SOC 2 en lugar de ISO 27001. Los controles se solapan en gran medida, así que un SGSI bien diseñado te deja a pocos pasos de ese informe.
Preguntas frecuentes
¿Cuánto tiempo toma certificarse en ISO 27001?
Para una pyme o startup con alcance acotado, lo realista es entre 6 y 12 meses: diagnóstico y análisis de riesgos, implementación de controles con evidencia de operación, auditoría interna, revisión por la dirección y auditoría de certificación en dos etapas. El plazo depende sobre todo de la madurez inicial y de cuánto tiempo dedica el equipo interno.
¿Cuántos controles tiene ISO 27001:2022?
El Anexo A de ISO/IEC 27001:2022 tiene 93 controles agrupados en cuatro temas: 37 organizacionales, 8 de personas, 14 físicos y 34 tecnológicos. No todos son obligatorios: cada organización decide cuáles aplica según su análisis de riesgos y justifica las exclusiones en la Declaración de Aplicabilidad.
¿Sigue siendo válida la certificación ISO 27001:2013?
No. El periodo de transición terminó el 31 de octubre de 2025 y desde entonces los certificados emitidos contra la versión 2013 dejaron de ser válidos. Toda certificación vigente debe estar emitida contra ISO/IEC 27001:2022. Si un proveedor te presenta un certificado 2013, pídele el certificado actualizado.
¿Una pyme pequeña puede certificarse en ISO 27001?
Sí. La norma no exige un tamaño mínimo y se adapta al contexto de cada organización. La clave es definir un alcance acotado, por ejemplo un producto de software y su infraestructura, y documentar solo lo necesario. Una empresa de pocas personas puede certificarse si mantiene los controles operando y la evidencia al día.
¿Qué diferencia hay entre ISO 27001 e ISO 27002?
ISO/IEC 27001 contiene los requisitos del sistema de gestión y es la norma contra la que te certificas. ISO/IEC 27002 es una guía que explica cómo implementar cada uno de los controles del Anexo A, con propósito y orientación práctica. No es certificable, pero es muy útil para diseñar los controles.
Conclusión
ISO 27001 no es un archivo de políticas: es un sistema para decidir, con base en riesgos, qué controles aplicar y demostrar que funcionan. Empieza con un alcance pequeño, cierra las victorias rápidas y construye evidencia desde el primer día. Si quieres un diagnóstico de brechas frente a ISO 27001 o apoyo técnico para implementar los controles, conoce nuestro servicio de ciberseguridad o agenda una consulta gratuita.