El mejor software de cumplimiento ISO 27001 es el que puede mostrarle, cláusula por cláusula, qué registros guarda y cuáles no, mantiene esos registros fechados durante todo el ciclo de certificación de tres años y le deja marcharse con todo en formatos abiertos. El número de funciones no decide una auditoría. Cuatro preguntas sí, y cada respuesta puede comprobarse antes de pagar.
1. Pida la cobertura por cláusulas, brechas incluidas
ISO 27001 son las cláusulas 4 a 10 más 93 controles del Anexo A. Un auditor recorre las cláusulas. Pida a cualquier proveedor una declaración cláusula por cláusula de para qué guarda registros su producto, y para qué no.
Las brechas son la mitad informativa. Un proveedor que no puede producir esa lista no ha mapeado su producto a la norma, y un proveedor cuya lista no tiene brechas no la ha leído con honestidad. La nuestra está publicada con sus brechas, y se genera a partir del mismo registro con el que funciona el producto.
2. Pregunte qué pasa en el mes catorce
La certificación son tres años con auditorías de seguimiento cada año. La mayoría de las herramientas están construidas para el primer mes: redactar la declaración de aplicabilidad, generar políticas, parecer organizado. El trabajo que se repite es la evidencia que caduca y hay que recoger de nuevo.
Pregunte qué hace el producto cuando la evidencia caduca. Si la respuesta es un correo recordatorio, eso es una lista de tareas. Si la evidencia lleva fecha de caducidad y los sistemas conectados la renuevan, eso es un sistema.
3. Pregunte si puede marcharse
Pida una exportación con cada registro que pediría un auditor, en un formato que pueda leer sin el proveedor. Pregunte si puede usar cualquier organismo de certificación acreditado, o solo el suyo. Una herramienta vendida junto con una auditoría puede ser cómoda, y también le quita la posibilidad de comparar presupuestos.
4. Valore las integraciones por lo que hacen realmente
El número de integraciones es la cifra estrella de esta categoría. Importan cuando mantienen la evidencia al día sin que nadie tenga que acordarse, y eso es valor real. Importan mucho menos como total. Treinta integraciones que no usa no son mejores que cinco que sí usa, y cada una que produce hallazgos que nadie revisa se convierte en ruido que el equipo aprende a ignorar.
De lo que nada de esto trata
El precio. Las categorías de este mercado abarcan aproximadamente un orden de magnitud, y la diferencia entre herramientas rara vez merece optimizarse frente a los honorarios de auditoría, que los fijan los días de auditor y no el software. Elija la que siga teniendo sus registros en el mes catorce.