ISO 27001: certificarse es el principio, mantener la seguridad es el verdadero trabajo
Qué ocurre durante una auditoría de certificación, por qué una buena auditoría interna puede evitar problemas y qué debes saber si estás pensando en cambiar de entidad certificadora.
Solutions ITS ·
Conseguir el certificado puede abrir una puerta comercial. Lo que ocurre después determina si la seguridad forma parte de la empresa o se queda en una carpeta que solo se abre antes de la auditoría. Un SGSI útil permite decidir qué proteger, quién debe hacerlo y cómo comprobar que las medidas funcionan cuando hacen falta.
En Solutions ITS entendemos la implantación de ISO 27001 desde esa realidad: seguridad con criterio, a la medida de tu negocio. La documentación debe ayudar a trabajar, no convertirse en un fin en sí misma.
Certificación ISO 27001: qué preparar antes de la auditoría
El punto de partida es un alcance claro: qué servicios, procesos, ubicaciones y dependencias cubre el sistema. Después hay que conectar los riesgos con decisiones concretas, responsables y evidencias. Una política de control de accesos aporta poco si nadie revisa qué permisos conserva una persona al cambiar de puesto.
Antes de acordar fechas, conviene comprobar que el sistema está funcionando y genera evidencias suficientes. El calendario debe responder a la madurez del SGSI, su alcance y los requisitos del proceso de certificación; fijar una fecha sin revisar estos elementos puede obligar a rehacer el trabajo.
- Alcance, contexto y responsabilidades definidos.
- Evaluación de riesgos, plan de tratamiento y declaración de aplicabilidad coherentes con la actividad.
- Controles implantados y registros que permitan comprobar su funcionamiento.
- Auditoría interna y revisión por la dirección, con resultados y acciones que se puedan seguir.
Al comparar entidades certificadoras, revisa su acreditación para el esquema, la experiencia en tu actividad, el alcance ofertado y las condiciones del ciclo completo. La planificación debe permitir que participen los interlocutores que conocen los procesos.
Fases de la auditoría de certificación ISO 27001
Fase 1: comprobar la preparación del sistema
La primera fase revisa la información documentada y el grado de preparación para la fase 2. También permite entender el alcance, las condiciones de la organización y cómo se han planificado la auditoría interna y la revisión por la dirección. No consiste únicamente en contar documentos: hay que comprobar que el sistema tiene sentido para la actividad que se quiere certificar.
Los resultados permiten identificar aspectos que deben resolverse antes de continuar y ajustar la planificación. Si el alcance deja fuera una dependencia esencial o la evaluación de riesgos no representa la operativa, es mejor detectarlo en este momento.
Fase 2: comprobar la implantación y la eficacia
La segunda fase contrasta el sistema con la práctica mediante entrevistas, observación y muestreo de evidencias. El equipo auditor examina cómo se aplican los controles y cómo se evalúan los resultados. El plan de auditoría ayuda a organizar las personas, procesos y evidencias que se revisarán.
Por ejemplo, si el procedimiento exige retirar accesos al finalizar una relación laboral, una muestra de bajas permite comprobar quién comunica el cambio, quién lo ejecuta y qué evidencia queda. Esa conexión entre lo escrito y lo realizado es la que da valor a la auditoría.
Hallazgos, acciones correctivas y decisión
Si se detectan no conformidades, hay que atender la desviación, analizar su causa y definir acciones que eviten su repetición. La entidad establece los requisitos y plazos para su tratamiento según la clasificación del hallazgo. Entregar un documento actualizado no siempre demuestra que el problema haya quedado resuelto.
La decisión de certificación corresponde a la entidad certificadora, mediante su proceso de revisión y decisión. El acompañamiento de una consultora no sustituye esa evaluación ni garantiza un resultado favorable.
Auditoría interna ISO 27001: una oportunidad para detectar lo que no funciona
Una buena auditoría interna debe ofrecer una visión objetiva del SGSI. Para ello, necesita personas competentes, criterios definidos y una organización del trabajo que preserve la imparcialidad. Revisar el propio trabajo sin una mirada independiente puede dejar problemas sin detectar.
Conviene seguir procesos completos. En una restauración de copias, por ejemplo, interesa comprobar si se recuperan los datos necesarios, si alguien verifica su integridad y si el servicio vuelve a funcionar en el tiempo esperado. El registro de una copia correcta es solo una parte de esa historia.
El informe debe facilitar decisiones: qué requisito no se cumple, qué evidencia lo demuestra y quién se encargará de actuar. Reservar tiempo para verificar la eficacia de las acciones evita llegar a la certificación con una lista de tareas aparentemente cerradas que siguen fallando en la práctica.
Mantenimiento de ISO 27001: el trabajo entre auditorías
El ciclo habitual combina auditorías de seguimiento anuales y una renovación cada tres años. Las fechas y condiciones concretas deben confirmarse con la entidad. Entre esas revisiones, la organización necesita mantener el sistema activo.
Esto implica revisar riesgos cuando cambian los servicios, evaluar proveedores, atender incidentes, medir objetivos y comprobar que las responsabilidades siguen cubiertas. La dirección debe disponer de información útil para decidir prioridades y recursos.
Un calendario sencillo, con responsables y evidencias asociadas a cada actividad, suele ser más útil que acumular tareas antes de la visita del auditor. Si necesitas apoyo para coordinarlo, el servicio de responsable del SGSI permite dar continuidad al trabajo.
Cambiar de entidad certificadora ISO 27001: qué revisar
Cambiar de entidad puede responder a necesidades de servicio, cobertura o coordinación. Antes de decidir, conviene distinguir una transferencia de certificación de una nueva certificación. La entidad receptora debe comprobar si el certificado reúne las condiciones para ser transferido.
En las transferencias de certificación acreditada, IAF MD 2 establece una revisión previa y exige certificación válida; un certificado suspendido no puede aceptarse para transferencia. Se revisan, entre otros elementos, el alcance, los informes recientes, las no conformidades y el estado del ciclo. Cambiar de entidad no elimina los hallazgos pendientes.
- Reúne el certificado vigente y los informes de auditoría disponibles.
- Comprueba la situación de las acciones correctivas y las próximas fechas de seguimiento o renovación.
- Solicita a la nueva entidad confirmación de la viabilidad y las condiciones de la transferencia.
- Coordina las condiciones contractuales y el calendario para evitar interrupciones en la certificación.
No des por hecho que bastará con enviar el certificado o que el cambio reiniciará su vigencia. Aclara qué actuaciones necesita la nueva entidad y qué fechas se conservarán antes de cerrar el proceso.
Acompañamiento independiente, desde el primer certificado hasta el cambio de entidad
En Solutions ITS te ayudamos a entender tu punto de partida, ordenar el trabajo y preparar evidencias que reflejen cómo funciona tu empresa. Si buscas tu primera certificación, trabajamos contigo en el alcance, los riesgos, la implantación y la preparación para la auditoría.
Si ya estás certificado, podemos revisar el mantenimiento del SGSI, realizar una auditoría interna con la objetividad necesaria o ayudarte a preparar la información para valorar un cambio de entidad. El objetivo es que tomes decisiones con criterio y sepas qué tareas, condiciones y plazos debes atender.
Nuestro papel es de consultoría y auditoría interna, independiente de la decisión de certificación. Puedes conocer nuestro enfoque de trabajo o contarnos en qué punto está tu SGSI.
El certificado es un hito. Mantener una seguridad que tu equipo entiende, aplica y revisa es el trabajo que le da sentido.