Para obtener la certificación ISO 27001, una empresa define y registra su alcance, evalúa sus riesgos, escribe la declaración de aplicabilidad sobre los 93 controles del Anexo A, opera el sistema de gestión el tiempo suficiente para tener registros, elige un organismo de certificación acreditado para ISO/IEC 27001 y supera una revisión documental de fase 1 seguida de una auditoría de fase 2 del sistema en funcionamiento. De cuatro a siete meses es realista para una pequeña empresa de software, después una auditoría de seguimiento cada año y la recertificación en el tercer año. Los pasos tienen un orden, y los pasos dados fuera de orden hay que repetirlos.

1. Defina el alcance, y déjelo por escrito

Lo que cubre el certificado: qué partes de la organización, qué servicios, qué sedes. El alcance determina todo lo que viene después, incluidos los honorarios de auditoría, porque los días de auditor salen de la plantilla cubierta. Escríbalo de forma estrecha y veraz. Un alcance que se extralimita cuesta días e invita a hallazgos en áreas que no necesitaba certificar.

2. Contexto, partes interesadas y la evaluación de riesgos

Cláusulas 4 y 6. Qué afecta a su capacidad de operar un sistema de gestión de la seguridad de la información, quién tiene interés en él y qué podría salir mal. Esta es la base contra la que un auditor comprueba todo lo demás.

3. La declaración de aplicabilidad

Cláusula 6.1.3, y el documento que un organismo de certificación lee primero. Los 93 controles del Anexo A, cada uno declarado aplicable o excluido, cada uno con una justificación. Las exclusiones son legítimas y deben justificarse. Una DdA que marca todo como aplicable para parecer exhaustiva crea 93 cosas que evidenciar.

4. Opere el sistema, y guarde los registros

Políticas aprobadas, riesgos tratados, proveedores evaluados, accesos revisados, incidentes gestionados. Aquí el calendario importa más que los documentos: el auditor pedirá registros que cubran un periodo, así que el sistema tiene que haber estado funcionando, no solo diseñado.

Mínimo antes de la fase 2: una auditoría interna y una revisión por la dirección, ambas con registros. Son las dos razones más comunes por las que se aplaza una fase 2.

5. Elija un organismo de certificación acreditado

Una empresa distinta, contratada y pagada directamente. Verifique la acreditación específicamente para ISO/IEC 27001 en el registro público del organismo de acreditación. Cómo comprobarlo.

6. Fase 1

Una revisión de preparación, normalmente más corta y a menudo a distancia. El auditor lee su información documentada y decide si merece la pena reservar la fase 2. Los hallazgos aquí son baratos. Este es el punto en el que estar realmente preparado ahorra dinero.

7. Fase 2

La auditoría completa. El auditor muestrea registros y comprueba si el sistema funciona tal como está documentado. Las no conformidades se levantan como mayores o menores; las mayores deben corregirse antes de que se emita un certificado.

8. Los tres años siguientes

Auditorías de seguimiento cada año de aproximadamente un tercio del tiempo de auditoría inicial, después recertificación de unos dos tercios. Esto es la mayor parte del ciclo y la mayor parte del coste total. La aritmética.

La parte que lo decide

Si la evidencia existe cuando se pide. A las empresas que lo pasan mal rara vez les faltan políticas. Les faltan los doce meses de registros que demuestran que las políticas se siguieron.