Puede implantar ISO 27001 sin consultor, y empresas de diez a doscientas personas lo hacen cada año. La tarifa de auditoría es la misma en ambos casos: para una empresa de 20 personas, unos siete días de auditor a 1.200 € a 2.000 € cada uno, fijados por la entidad de certificación a partir de ISO/IEC 27006 y no según quién escribió sus políticas.

Lo que cambia cuando va solo es su tiempo interno, el criterio que tiene que absorber, y el riesgo de que la primera auditoría encuentre las cosas que un principiante no sabe buscar. Esta página es el reparto honesto, luego la secuencia, luego la lista de lo que la gente pasa por alto.

Qué vende realmente un consultor

Qué compra Qué es
El alcance Equivocarse en cualquier dirección sale caro.
Una evaluación de riesgos que sobrevive al contacto No el registro en sí, sino un método que un auditor acepta, aplicado con coherencia, con criterios que puede defender cuando le pregunten por qué un 3 es un 3.
Saber lo que va a preguntar el auditor Esto es experiencia y es realmente difícil sacarla de la lectura.
Alguien con quien discutir Una mirada externa sobre si un control está implantado o solo escrito.

Lo que un buen consultor vende en realidad

No los documentos. Las plantillas de políticas están en todas partes y un conjunto de políticas generado le lleva más o menos al mismo sitio. Lo que un buen consultor vende es criterio en cuatro sitios, y vale la pena nombrarlos porque son los cuatro sitios donde tiene que aportarlo usted mismo.

El alcance. Equivocarse en cualquier dirección sale caro. Demasiado amplio, y paga días de auditor cubriendo sistemas que a ningún cliente le importan. Demasiado estrecho, y el equipo de seguridad de un cliente lee el certificado, ve que el producto que compra queda fuera, y lo rechaza. La declaración de alcance es un párrafo; es el párrafo de mayores consecuencias de todo el sistema.

Una evaluación de riesgos que sobrevive al contacto. No el registro en sí, sino un método que un auditor acepta, aplicado con coherencia, con criterios que puede defender cuando le pregunten por qué un 3 es un 3.

Saber lo que va a preguntar el auditor. Esto es experiencia y es realmente difícil sacarla de la lectura. Es la diferencia entre superar la fase 2 y que le digan que vuelva dentro de tres meses, y tres meses sin certificado son licitaciones a las que no puede presentarse y operaciones paradas en la revisión de seguridad. Esa espera es el coste real de una ronda fallida, mucho más que la tarifa.

Alguien con quien discutir. Una mirada externa sobre si un control está implantado o solo escrito.

Si tiene a alguien interno que ya ha pasado por una auditoría, tiene la mayor parte de esto. Si no, las secciones de abajo dicen dónde conseguirlo, y dónde comprar un día.

La secuencia, porque en desorden es donde se va el tiempo

  1. Alcance y contexto (apartados 4.1 a 4.3). Qué partes de la empresa, qué ubicaciones, qué sistemas, los datos de qué clientes. Las partes interesadas y lo que exigen. Escríbalo y hágalo aprobar.
  2. Política y roles (capítulo 5). Una política de seguridad de la información, aprobada y fechada, y responsables con nombre para el SGSI, el registro de riesgos y la auditoría interna.
  3. Evaluación y tratamiento de riesgos (6.1.2, 6.1.3). Su método, sus criterios, su registro, y un plan de tratamiento que nombre un control para cada riesgo que decidió tratar.
  4. La declaración de aplicabilidad (6.1.3 d). Para cada uno de los 93 controles del anexo A: aplicable o no, por qué, y si está implantado. Es el documento que el auditor lee primero y el que el equipo de seguridad de un cliente pide después del certificado.
  5. Implantar y operar (capítulo 8). Los controles funcionando de verdad, produciendo evidencia con fechas.
  6. Medir, auditar, revisar (capítulo 9). Resultados de seguimiento, una auditoría interna, una revisión por la dirección, todo registrado.
  7. Auditoría de certificación. La fase 1 revisa los documentos y la preparación; la fase 2 comprueba que el sistema funciona. Después una auditoría de seguimiento cada año y una renovación cada tres.

Los pasos fuera de orden se rehacen. La versión más común es escribir políticas antes de fijar el alcance, y descubrir después que la mitad describen sistemas que ahora están excluidos.

Los dos sitios donde comprar un día de todos modos

Ir sin consultor no tiene por qué significar ir sin ayuda. Dos cosas concretas merecen comprarse por días, y salen caras si se hacen mal.

La auditoría interna (apartado 9.2). Tiene que ocurrir antes de la certificación y el auditor no debe auditar su propio trabajo. En una empresa de diez personas donde quien construyó el SGSI es el único que lo entiende, eso es realmente difícil, y es la razón más común por la que la gente trae a alguien por un día en lugar de por un programa. Un auditor interno contratado uno o dos días al año es normal, aceptado, y un día de trabajo en lugar de un programa.

Un ensayo de la fase 1. Una hora con alguien que se ha sentado en el lado del auditor, repasando su alcance, su DdA y su método de riesgos, antes de la fase 1 real. Encontrará la exclusión que no puede justificar y los criterios que no puede explicar. Esa hora es la parte más útil de un contrato de consultoría, y puede comprarla por separado.

Lo que los principiantes pasan por alto

Esta es la lista por la que el lector está realmente aquí. Sale de revisar cuestionarios y borradores de DdA de empresas pequeñas, y las mismas cinco cosas aparecen casi siempre.

Políticas que existen pero nunca se aprobaron. Una política sin aprobador ni fecha es un borrador, y un borrador es un hallazgo. Cada política necesita un nombre y una fecha, y después una fecha de revisión.

Monitorización y registro de eventos descritos en futuro. "Vamos a centralizar los logs" es una carencia. Los controles A.8.15 y A.8.16 quieren logs que existan y se revisen, con evidencia de que alguien miró.

Proveedores listados pero nunca evaluados. Casi todo el mundo puede listar sus subencargados. Casi nadie puede demostrar que evaluó a uno antes de firmar. Los controles A.5.19 a A.5.23 quieren la evaluación, el acuerdo y la revisión periódica, fechados.

"No aplicable" sin motivo. En un cuestionario de cliente eso está bien. En una declaración de aplicabilidad una exclusión sin justificar es un hallazgo, y la justificación tiene que ser un argumento, no una preferencia. "Somos ocho personas y no tenemos oficina física" es un argumento. "No relevante" no lo es.

Evidencia que operó una vez. Un control que funcionó hace dieciocho meses no está operando. Los auditores muestrean por fecha, y una captura de pantalla del mes anterior a la auditoría les dice exactamente cuándo se tocó el sistema por última vez.

Luego el sexto, que no es un control pero es lo que decide si el certificado sobrevive a su primer año: los registros se detienen después de la auditoría. La certificación no es la meta. Las auditorías de seguimiento llegan cada año y el auditor espera que el registro, las revisiones y la evidencia tengan fechas intermedias. Las empresas que se certifican con éxito por su cuenta son las que llevaron los registros sobre la marcha en lugar de reunirlos antes de cada visita.

¿Qué voy a pasar por alto? Lea el registro

La pregunta debajo de todo esto es "qué voy a pasar por alto", y la respuesta honesta es que cualquier herramienta, plantilla o consultor cubre unos apartados por completo y otros menos, y la diferencia rara vez está escrita. Nosotros escribimos la nuestra.

El registro de cobertura de ISO 27001 enumera cada apartado de la norma, lo que el producto guarda para él, y dónde una entrada estaba solo parcialmente cubierta y se ha cerrado desde entonces, en lenguaje llano, con el historial conservado. Existe porque "qué voy a pasar por alto" merece una lista y no una palabra tranquilizadora, y porque un registro que nos halagara no valdría la pena leerlo.

Úselo como lista de comprobación, use o no el producto. Cada apartado que contiene es un apartado por el que preguntará el auditor.

El coste que no cambia

La auditoría. Los días de auditor salen de las tablas de ISO/IEC 27006 por alcance y plantilla, así que una empresa de 20 personas ronda los siete días, con o sin consultor, a una tarifa diaria que fija la entidad de certificación. La aritmética, con ejemplos resueltos. Hacerlo usted mismo cambia su coste interno y el criterio que absorbe. No cambia la tarifa de auditoría, y quien le diga que el software abarata la auditoría le está vendiendo la mitad fácil.

La recomendación

Hacerlo usted mismo es una opción razonable, sobre todo si alguien interno ya lo ha hecho o el alcance es pequeño. Hacer la mayor parte usted mismo y comprar la auditoría interna y un ensayo de la fase 1 es lo que muchas empresas hacen en realidad, y es la fórmula con la mejor relación entre criterio comprado y dinero gastado. Contratar un proyecto completo es razonable cuando nadie interno puede hacerse cargo y el certificado está bloqueando ingresos ahora.

Lo que no es razonable es decidir en función del software. Ninguna herramienta sustituye los cuatro criterios de arriba. Lo que una herramienta debe hacer es que la mitad recurrente sea llevadera: políticas con fechas y responsables, evidencia recogida según un calendario de los sistemas donde ya vive, una DdA que es un documento vivo, y un calendario que no se queda en silencio entre el certificado y la primera visita de seguimiento.

Registros completos, fechados y sin modificar el día en que el auditor los pide. Ese es todo el trabajo, y dura todo el año.

Fuentes

  • ISO/IEC 27001:2022, capítulos 4 a 10, 6.1.3 d) (declaración de aplicabilidad), 9.2 (auditoría interna; objetividad e imparcialidad), controles del anexo A 5.1, 5.19 a 5.23, 8.15, 8.16.
  • ISO/IEC 27006-1:2024, anexo C (tiempo de auditoría), vía Cuántos días de auditor requiere ISO 27001.
  • ISO/IEC 17021-1:2015, apartado 9.6 (seguimiento al menos una vez por año natural; ciclo de renovación).
  • La lista de "lo que los principiantes pasan por alto": el método de nuestra revisión gratuita de cuestionarios, aplicado a DdA y cuestionarios de empresas pequeñas.