Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
ISO/IEC 27001
Es la norma internacional que más aparece en licitaciones, contratos y cuestionarios de proveedor, y la única de esta lista que certifica la forma en que la empresa gestiona el riesgo en lugar de una tecnología. DM11 conduce del alcance a la auditoría, con un especialista sénior al frente y tu equipo aprendiendo a operar lo que queda.
DM11 prepara a tu empresa y conduce la implementación. Quien audita y emite el certificado es un organismo de certificación acreditado, contratado por ti. Esa separación no es elección nuestra: quien prepara no puede certificar, y funciona así en cualquier esquema serio.
Quién conduce la implementación
ISO/IEC 27001 Lead Auditor certificado por BSI
ISO/IEC 27002 Foundation
17 años de gobernanza, riesgos y cumplimiento
Experiencia en auditorías de bancos y de las Big Four
QUÉ ES, DE VERDAD
La ISO/IEC 27001 define los requisitos de un sistema de gestión de seguridad de la información. No lista herramientas y no exige fabricante: exige que la empresa conozca sus riesgos, decida qué hacer con cada uno, ejecute lo que decidió y lo demuestre a lo largo del tiempo. Por eso vale para una fintech de treinta personas y para una industria de tres mil, y por eso el certificado atraviesa sectores.
A diferencia de TISAX y TPN, aquí sí existe certificado, emitido por un organismo acreditado. Vale tres años, con auditorías de seguimiento en el intervalo. Fallar en el seguimiento cuesta el certificado, así que la norma premia la rutina y no el esfuerzo concentrado.
La revisión de 2022 reorganizó el Anexo A de 114 controles a 93, agrupados en cuatro temas en lugar de catorce secciones. Quien se certificó por la versión de 2013 ya tuvo que migrar. Una propuesta que todavía habla de 114 controles está desactualizada.
La norma te deja definir qué entra: una unidad, un producto, la empresa entera. Demasiado amplio multiplica evidencia, plazo y costo; demasiado estrecho hace que tu cliente pregunte por qué su área quedó fuera. Esa conversación es lo primero que tenemos, antes de cualquier proyecto.
Los 93 controles son referencia, no obligación en bloque. La Declaración de Aplicabilidad es donde la empresa registra qué aplica, qué no y por qué. Una exclusión bien redactada pesa más en una auditoría que un control implantado sin propósito.
CUÁNDO LLEGA LA EXIGENCIA
En diecisiete años, casi todo proyecto empezó por uno de estos tres caminos. Reconocer el tuyo define el alcance y el plazo con la cabeza correcta.
Una cláusula pide la certificación, o el cuestionario de seguridad del cliente fue rechazado. Aquí el plazo es del cliente, no tuyo, y la conversación empieza por qué se puede mostrar la semana que viene mientras el programa avanza.
Licitaciones y RFP ponen la 27001 como requisito de habilitación. Sin ella la propuesta ni se lee. El alcance aquí tiene que cubrir exactamente lo que la licitación cita y nada más, para no pagar por certificación que nadie pidió.
Una ronda de inversión, la entrada en un mercado regulado, o un incidente que asustó. En este camino el plazo es tuyo, y es el escenario más barato: se puede hacer en el orden correcto en lugar del urgente.
Traducción
En la ISO 27001 el alcance es la decisión que lo cambia todo: qué unidades entran, qué servicios entran y qué queda fuera, escrito de forma que cualquiera en la empresa pueda repetirlo. Un alcance menor no es trampa, es lo que la norma espera. Un alcance mal escrito es lo que detiene la auditoría.
| Lo que llega por correo | Lo que significa | Lo que cambia en el trabajo |
|---|---|---|
| “Necesitamos que tengan ISO 27001” | Solicitud incompleta. Falta saber si el cliente quiere el certificado de toda la empresa o solo del servicio que contrata. | Pregunte antes de presupuestar. Certificar la empresa entera cuando el cliente solo necesita un servicio multiplica el trabajo sin ganancia comercial. |
| “Certificación para el servicio que nos prestan” | Alcance por servicio. Entran las personas, los sistemas y los proveedores que sostienen ese servicio, y nada más. | Es el alcance más común y el más barato. Exige dibujar la frontera con cuidado: lo que la atraviesa necesita control aunque esté fuera. |
| “Certificación corporativa, todas las sedes” | Alcance organizacional. Todas las unidades, todos los servicios, todos los proveedores relevantes. | Multiplica el levantamiento y la auditoría por sede. Tiene sentido cuando muchos clientes lo piden, no cuando lo pide uno. |
| “Necesitamos el Anexo A completo” | Malentendido común. El Anexo A es una lista de referencia de 93 controles, y la norma no exige todos. | Lo que la norma exige es la declaración de aplicabilidad, diciendo qué control aplica y por qué. Excluir con justificación es procedimiento normal. |
| “El plazo es la renovación del contrato, en cuatro meses” | Por debajo del ciclo mínimo. La norma exige un período de operación con evidencia antes de la auditoría de certificación. | Se puede llegar preparado en cuatro meses, pero no certificado. El camino honesto es una declaración de avance para el cliente y el certificado después. |
| “Ya tenemos SOC 2, ¿sirve?” | No lo sustituye, pero lo acorta. Ambos piden controles parecidos, con formatos de evidencia distintos. | El trabajo baja bastante: buena parte de la evidencia ya existe. Lo que suele faltar es la gestión de riesgo y la revisión por la dirección. |
Nada de esto es precio. El alcance cambia el esfuerzo en órdenes de magnitud, y por eso la conversación empieza por ahí y no por una cifra.
El ciclo
La ISO 27001 no es un examen único. Dos auditorías para emitir y dos de mantenimiento antes de recomenzar. Quien lo trata como un evento pierde el certificado en el primer mantenimiento, cuando el auditor pide la evidencia de los meses transcurridos.
Organismo certificador
El auditor comprueba si el sistema existe en el papel: alcance, política, declaración de aplicabilidad, análisis de riesgo. Termina con una lista de lo que falta antes de la fase 2.
Organismo certificador
El auditor comprueba si lo escrito ocurre de verdad, con entrevistas y evidencia. Aquí se emite el certificado, o se registra la no conformidad.
Organismo certificador
Una auditoría al año, más corta, sobre una parte del sistema. Una no conformidad grave en mantenimiento suspende el certificado.
Organismo certificador
El ciclo recomienza, con el sistema entero reexaminado. La empresa que mantuvo la rutina pasa sin sobresaltos; la que paró rehace casi todo.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Tecnología, software como servicio
Un cliente grande condicionó la renovación a la presentación del certificado ISO 27001, con un plazo de doce meses. La empresa tenía buena práctica técnica y ningún sistema de gestión: las decisiones de seguridad vivían en la cabeza de dos personas y en ningún documento.
Empezamos por el alcance, limitado a la plataforma que ese cliente usaba y no a la empresa entera. En los dos primeros meses subimos la higiene técnica en paralelo: MFA en todos los accesos críticos y política de respaldo, cosas que mejoran la postura antes de cualquier papel. Después vinieron el análisis de riesgos, la Declaración de Aplicabilidad y la recolección de evidencia.
Certificación obtenida dentro del plazo del contrato. Lo que la dirección no esperaba fue el efecto colateral: meses después, el mismo conjunto de evidencias respondió los cuestionarios de seguridad de otros dos clientes, sin proyecto nuevo.
Industria, tres plantas
La empresa iba a certificar las tres plantas de una vez, porque parecía más simple y más impresionante. Solo una de ellas trataba la información del cliente que generó la exigencia; las otras dos hacían producción con diseño propio.
Detuvimos el proyecto antes de empezar y escribimos, junto con la dirección, qué pedía realmente el cliente. El alcance quedó en una planta y en los procesos corporativos que la sostienen. Las otras dos entraron en el programa de gestión, sin entrar en el certificado.
La certificación salió con mucho menos esfuerzo. Las otras dos plantas se incorporaron en la auditoría de seguimiento del año siguiente, a su ritmo, y el costo se diluyó en dos ejercicios en lugar de concentrarse en uno.
Servicios financieros
La empresa había comprado un paquete de políticas prefabricadas a un proveedor y creía estar a un paso de la certificación. Las políticas eran buenas y no describían nada de lo que la empresa hacía de verdad. En la primera entrevista de ensayo, nadie de operaciones reconoció el proceso escrito.
Reescribimos las políticas a partir de lo que la empresa hacía, manteniendo lo que ya funcionaba y corrigiendo lo que no sobrevivía a una pregunta. Después simulamos la auditoría con entrevistas, incluyendo a quien ejecuta el proceso y no solo a quien lo firmó.
El ensayo encontró lo que la auditoría encontraría, con tiempo de corregir. En la auditoría de certificación, la distancia entre el proceso escrito y el practicado ya había desaparecido, que es exactamente lo que el auditor pone a prueba.
AUTODIAGNÓSTICO
Veinte preguntas sobre lo que la auditoría de certificación examina de verdad: las cláusulas 4 a 10 y los controles del Anexo A de 2022. El resultado aparece completo en la pantalla, con la nota de cada área. Es autodeclarado, así que vale como retrato de lo que sabes hoy, y no como evaluación de conformidad.
La lectura de cada área, en las tres franjas de resultado. Es el mismo texto que llega por correo a quien se identifica, publicado aquí para quien quiere entender qué mide la nota antes de responder.
Menos de 50
Sin alcance escrito y sin foro de decisión, todo lo demás queda sin referencia: no hay cómo decir qué controles aplican ni quién responde por ellos. Empieza por una frase de alcance que cualquier persona de la empresa pueda repetir, cita las unidades y los servicios que entran, y escribe lo que queda fuera. Después agenda la primera reunión de dirección con temario y registro, aunque sea corta.
De 50 a 79
Hay entendimiento, y falta formalización. En la práctica eso significa que el auditor va a escuchar tres respuestas distintas sobre dónde termina el alcance. El paso más barato es escribir lo que ya es consenso, aprobarlo en una reunión y fecharlo. La política suele ser el ítem más fácil de destrabar, porque casi siempre ya existe: el trabajo es acercarla a lo que la empresa hace de verdad, y no al revés.
80 o más
Alcance, política y dirección están en su lugar. El riesgo de este rango es la distancia entre el documento y quien ejecuta: pídeles a dos personas fuera de TI que expliquen qué les pide la política. Si la respuesta no llega, el problema no es el texto, es su comunicación, y eso aparece en la auditoría como no conformidad de concientización.
Menos de 50
Este es el dominio que más predice el tamaño del proyecto, y es donde la nota baja sale más cara después. Sin método de riesgo con criterio de aceptación definido de antemano, cada riesgo se discute desde cero y las decisiones no se sostienen frente al auditor. Sin inventario, el análisis se vuelve un ejercicio de imaginación. El orden que funciona es inventario, método, evaluación, plan de tratamiento y solo entonces la Declaración de Aplicabilidad.
De 50 a 79
Hay material, y falta encadenamiento. El síntoma clásico es la planilla de riesgos que no conversa con el plan de tratamiento, y el plan que no conversa con la Declaración de Aplicabilidad. El auditor lee los tres documentos juntos, y es en la costura entre ellos donde aparece la inconsistencia. Antes de evaluar más riesgo, vale cerrar el ciclo de lo que ya se evaluó, con dueño, plazo y decisión registrada.
80 o más
El ciclo está montado. A partir de aquí lo que sostiene la nota es la frecuencia: riesgo reevaluado cuando cambia el contexto, y no una vez al año por obligación. Vale revisar si cada exclusión de la Declaración de Aplicabilidad tiene una justificación que sobreviva a una pregunta, porque una exclusión mal justificada es el hallazgo más común en este rango.
Menos de 50
Es el dominio más barato de mejorar y uno de los más visibles en la auditoría, porque el auditor lo prueba solo: pide la lista de quienes salieron en los últimos meses y revisa si los accesos se cortaron. Empieza por la desvinculación, que es el punto de mayor riesgo y el de corrección más rápida. La concientización con registro de quién la concluyó viene después, y resuelve buena parte de la cláusula 7.
De 50 a 79
Las piezas existen y dependen de que alguien se acuerde. Un proceso que depende de que el área avise falla justo el día en que nadie avisó, y ese día es el que se convierte en hallazgo. Lo que cierra la brecha es atar el disparador a un sistema, y no a una persona. En la capacitación, lo que suele faltar no es contenido, es la evidencia de conclusión.
80 o más
El ciclo de personas está cubierto. Lo que diferencia en este rango es separar competencia de concientización con claridad: quien tiene un papel definido en seguridad necesita comprobar formación, y el resto de la empresa necesita entender el porqué. Un auditor con experiencia pregunta por las dos cosas de formas distintas.
Menos de 50
Aquí la brecha es operativa y tiene corrección rápida en relación con el resto de la norma. El orden por retorno es autenticación en dos pasos en los accesos administrativos y remotos, después revisión de acceso con registro, después plazo de corrección por gravedad. Ninguno de los tres exige una compra grande, y los tres aparecen en cualquier auditoría.
De 50 a 79
La protección existe y la evidencia no. Es la diferencia entre estar seguro y poder demostrarlo, y la auditoría solo ve lo segundo. Una revisión de acceso sin registro de quién revisó y de qué se quitó no cuenta. Un escaneo sin cola de corrección acompañada tampoco. El trabajo aquí es menos técnico de lo que parece.
80 o más
Los controles operan con registro. El punto de atención de este rango son las excepciones: cuenta de servicio, integración antigua y proveedor con acceso permanente suelen quedar fuera de la regla y aparecen tarde. Una excepción documentada con compensación vale; una excepción que nadie mapeó es la que se vuelve hallazgo.
Menos de 50
Si la empresa es remota, buena parte de este dominio se desplaza hacia el equipo fuera de la oficina y hacia el documento en papel, y eso sigue siendo responsabilidad tuya. Del lado de los proveedores, el paso inicial es la lista: quién accede a tu información, a tus sistemas o a tu red. Sin esa lista no hay cómo evaluar a nadie, y casi nunca existe hecha.
De 50 a 79
Hay contrato con cláusula y falta evaluación antes de que el proveedor entre, que es el orden que la norma espera. Evaluar después convierte el análisis en formalidad. El camino práctico es clasificar por criticidad y aplicar un cuestionario proporcional, porque evaluar a todo proveedor con el mismo rigor no es sostenible ni se exige.
80 o más
El control de terceros está maduro. Lo que suele faltar en este rango es la reevaluación periódica de los críticos y la salida: un proveedor que termina el contrato manteniendo el acceso es un hallazgo silencioso, y la prueba es la misma de la desvinculación de personas.
Menos de 50
Sin registro de incidente no hay historial, y sin historial no hay mejora demostrable, que es lo que exige la cláusula 10. Empieza registrando también lo que no llegó a ser crisis, porque es el volumen pequeño el que forma la serie. Del lado de la continuidad, el primer ejercicio no necesita ser grande: restaurar un respaldo y registrar el resultado ya responde la pregunta más importante.
De 50 a 79
El equipo sabe actuar y la organización no consigue demostrarlo. Un proceso escrito con papeles definidos es lo que separa una respuesta que depende de que las personas correctas estén disponibles de una que funciona en un feriado. Si los planes existen y nunca se ejercitaron, el ejercicio vale más que cualquier mejora en su redacción.
80 o más
El proceso y el ejercicio existen. A partir de aquí el valor está en cerrar el ciclo: cada incidente relevante debería cambiar algo, un control, un guion o una capacitación. El auditor pregunta qué cambió después del último incidente, y la ausencia de respuesta pesa más que el incidente en sí.
Menos de 50
Es el dominio que más atrasa la certificación, y el motivo es que no se resuelve con esfuerzo concentrado: auditoría interna, revisión por la dirección y tratamiento de no conformidad necesitan haber ocurrido, con fecha. Si la certificación tiene plazo, este es el ítem para empezar ahora, incluso con el resto todavía en construcción, porque es el único que no acepta comprimirse al final.
De 50 a 79
Existe revisión, y falta independencia o registro. Quien implantó no ve su propia falla, y la norma trata esto como requisito. Si no hay alguien interno independiente, la salida habitual es una auditoría interna conducida por un tercero que no participó en la implantación. Del lado de la dirección, recibir un informe no es revisión: lo que la norma pide es decisión registrada.
80 o más
El ciclo de mejora está vivo, y es lo que más protege el certificado a lo largo del tiempo. El punto de atención es la verificación de eficacia: registrar la acción es común, verificar meses después si funcionó es raro, y es exactamente lo que el auditor busca cuando quiere poner a prueba la madurez del sistema.
CÓMO LO CONDUCIMOS
La mayoría de los proyectos de certificación pasa meses produciendo documentos antes de cambiar nada en el entorno. El nuestro acelera la higiene técnica en paralelo con la gobernanza, así la empresa está más segura desde el segundo mes y no solo en el duodécimo. Conducido por un especialista externo, con un punto focal de tu equipo. La evaluación de cada requisito es binaria: cumple, no cumple, cumple parcialmente o no aplica, sin nota subjetiva que nadie sepa defender en la auditoría.
Definimos y homologamos el alcance y los límites del sistema de gestión (cláusula 4), comprometemos a la alta dirección y constituimos el comité de seguridad (cláusula 5). En paralelo, mapeamos y catalogamos los activos de información críticos e implantamos la higiene técnica básica.
Alcance y límites del sistema de gestión homologados
Comité de seguridad constituido, con la dirección comprometida
Inventario de los activos de información críticos
Política de seguridad de la información aprobada
Hito de entregaAlcance homologado, política aprobada y MFA activo en el 100% de los accesos críticos.
Definimos la metodología de riesgo y ejecutamos el análisis de brechas frente a las cláusulas 6 y 7, con talleres de identificación y evaluación junto a las áreas. De ahí salen el plan de tratamiento de riesgos y la primera versión de la Declaración de Aplicabilidad.
Metodología de gestión de riesgos definida y aprobada
Análisis de brechas de las cláusulas 6 y 7
Plan de tratamiento de riesgos
Declaración de Aplicabilidad inicial
Hito de entregaDeclaración de Aplicabilidad firmada y matriz de riesgos homologada por la dirección.
Documentamos y aplicamos la planificación operativa de seguridad (cláusula 8) y formalizamos las políticas complementarias. Es la fase en la que entran los controles avanzados: continuidad del negocio, recuperación ante desastres y pruebas técnicas que producen evidencia de que el control funciona.
Planificación operativa documentada y en uso
Políticas organizativas complementarias publicadas
Plan de continuidad del negocio y de recuperación ante desastres
Escaneo de vulnerabilidades y pruebas preventivas
Hito de entregaPolíticas publicadas, simulación de continuidad ejecutada y primer escaneo concluido.
Ejecutamos la auditoría interna (cláusula 9) con un consultor independiente de quien implantó, conducimos la revisión por la dirección y tratamos las desviaciones (cláusula 10). Consolidamos el repositorio de evidencias y te acompañamos durante las dos fases de la auditoría externa.
Auditoría interna conducida por consultor independiente
Revisión por la dirección, con desviaciones tratadas
Repositorio centralizado de evidencias técnicas
Acompañamiento en las fases 1 y 2 de la auditoría externa
Hito de entregaAuditoría de certificación concluida y certificado emitido por el organismo acreditado.
CUÁNTO TIEMPO LLEVA
No publicamos un plazo estándar porque un plazo publicado se vuelve promesa, y esta es una promesa que depende más de ti que de nosotros. Nuestros clientes se certificaron a los nueve, a los doce y a los dieciocho meses. Lo que los separó está abajo, y la primera conversación ya alcanza para estimar con honestidad.
Una unidad y un producto avanzan mucho más rápido que la empresa entera. Es la variable que más mueve el plazo, y la única que se puede decidir al inicio.
Quien ya tiene inventario de activos, respaldo probado y control de acceso organizado empieza en la práctica por la fase dos. Quien no lo tiene pasa los dos primeros meses construyendo la base.
Es la variable que más sorprende. Un comité que se reúne y decide acorta meses; un comité que existe en el papel estira el proyecto sin que nadie logre señalar dónde. La norma exige participación de la dirección justamente por esto.
LOS PAPELES ESTÁN SEPARADOS
La separación aparece dos veces en este camino, y en las dos te protege. En la auditoría externa, quien emite el certificado es un organismo acreditado contratado por ti, nunca DM11. En la auditoría interna, exigida por la cláusula 9, quien la conduce debe ser independiente de quien implantó: cuando DM11 hace la implantación, la auditoría interna la conduce un consultor que no participó en ella.
DM11 prepara, implanta y acompaña. No audita para certificar y no emite certificado
Tú contratas el organismo de certificación, y la elección es tuya
La auditoría interna de la cláusula 9 la hace quien no implantó
Ayudamos a comparar organismos acreditados, sin interés propio en la respuesta
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
No, y nadie que implanta puede emitirlo. El certificado lo emite un organismo de certificación acreditado, contratado por ti. DM11 prepara la empresa, implanta el sistema de gestión junto a tu equipo y te acompaña en las dos fases de la auditoría externa. Esa separación es regla del esquema de acreditación, no elección nuestra, y es lo que da valor al certificado.
Entre nueve y dieciocho meses, y la diferencia no es aleatoria. Tres cosas la deciden: el tamaño del alcance, cuánto ya existe listo en el entorno y el compromiso real de la dirección. Las empresas que llegan con inventario de activos, respaldo probado y control de acceso organizado empiezan prácticamente por la segunda fase. En la primera conversación ya podemos estimar con honestidad en lugar de repetir un número de folleto.
No. El Anexo A es referencia, y la Declaración de Aplicabilidad es donde la empresa registra qué aplica, qué no y la justificación de cada exclusión. Una exclusión bien fundamentada se acepta sin problema en una auditoría; un control implantado sin propósito, solo para constar, suele generar más preguntas que su ausencia.
La 27001 trae los requisitos, y es la que se certifica. La 27002 es la guía que detalla cómo implementar cada control del Anexo A, y no es certificable. En la práctica te certificas en la 27001 usando la 27002 como manual de consulta. Una propuesta que ofrece certificación en la 27002 está equivocada.
Sirve bastante, y al revés también. Buena parte de la evidencia vale para las dos, porque los controles se superponen en acceso, cambios, continuidad y proveedores. Lo que la ISO 27001 pide de más es el sistema de gestión en sí: análisis de riesgos formal, Declaración de Aplicabilidad, auditoría interna y revisión por la dirección. Quien tiene SOC 2 suele llegar con el trabajo técnico adelantado y el de gobernanza por hacer.
Lo fue, y es una duda legítima. La norma no fija tamaño de equipo, cantidad de documentos ni estructura de área: exige que los riesgos sean conocidos y tratados de forma proporcional. Una empresa de treinta personas se certifica con un sistema de gestión ligero, y el alcance bien definido es lo que impide que el proyecto se convierta en burocracia de multinacional.
Vale tres años, con auditorías de seguimiento en el intervalo, normalmente anuales. Si el seguimiento falla, el certificado se suspende o se cancela. Por eso la última fase de nuestra metodología se llama sostenibilidad: el objetivo no es pasar la auditoría, es que la empresa logre operar el sistema sola después de que nos vamos.
Reprobar es raro cuando hubo auditoría interna y ensayo antes, y para eso existen ambos en la metodología. Las no conformidades menores son comunes y se resuelven con plan de acción, sin perder el proceso. Una no conformidad mayor exige corrección y nueva verificación del organismo. En los dos casos acompañamos el tratamiento hasta el cierre.
Con la cláusula del contrato o el cuestionario en mano, definimos el alcance correcto, lo que ya tienes en casa que suma y una estimación de plazo que se sostiene.
Comparativas sobre este tema
Ver las 13 comparativasISO/IEC · ISO/IEC 27001:2022, edição 3, com a emenda 1:2024 · consultado el
ISO/IEC · ISO/IEC 27701:2025, edição 2, publicada em outubro de 2025 · consultado el
NIST, instituto nacional de padrões e tecnologia dos Estados Unidos · NIST CSWP 29, publicado em 26/02/2024 · consultado el
Esta página es informativa y describe cómo la DM11 lee y aplica las fuentes anteriores. No reproduce el texto de las normas, no sustituye la lectura del documento oficial y no sustituye una auditoría, una certificación, una evaluación independiente ni el asesoramiento jurídico. Donde la norma exige evaluación formal, quien la conduce es un organismo, auditoría o evaluador acreditado, siempre separado de quien preparó.