Preparación para la certificación ISO 27001. Controles técnicos y evidencia, listos para el auditor.
Te ayudamos a llegar a la auditoría con los controles de nube, servidores, repositorios y código funcionando, y con evidencia fechada de antes y después. La certificación la otorga un organismo acreditado, no WITS.
La necesita sobre todo quien vende software, servicios en la nube o procesa datos de otras empresas y recibe la pregunta en un contrato, una licitación o un cuestionario de seguridad. Certificarse es voluntario: lo que la vuelve urgente suele ser un cliente grande que la pide con fecha. Si primero quieres entender la norma, lee qué es ISO 27001 y para qué sirve.
SaaS y plataformas
Tus clientes corporativos piden ISO 27001, o un cuestionario equivalente, antes de firmar.
Agencias y fábricas de software
Operas la nube o el código de varios clientes y necesitas demostrar cómo los proteges.
Empresas que manejan datos de terceros
Nómina, salud, pagos o datos personales: la norma ordena cómo gestionas ese riesgo.
¿Cómo es el proceso de certificación ISO 27001?
ISO no certifica a nadie, como explica en su página de certificación. El certificado lo emite un organismo de certificación externo, que conviene que esté acreditado. Esos organismos trabajan con los requisitos de ISO/IEC 17021-1 para auditar sistemas de gestión. El camino típico es este:
Implementas el SGSI: alcance, evaluación y tratamiento de riesgos, Declaración de Aplicabilidad y los controles del Anexo A que decidiste aplicar.
Haces la auditoría interna y la revisión por la dirección, que piden las cláusulas 9.2 y 9.3 de ISO/IEC 27001:2022.
Etapa 1: el organismo revisa tu documentación y si estás listo para la siguiente etapa.
Etapa 2: el auditor comprueba, con evidencia, que los controles funcionan.
Si no quedan no conformidades mayores abiertas, el organismo emite el certificado. Lo habitual es un ciclo de tres años con auditorías de seguimiento anuales y una recertificación al final.
¿Qué hace WITS para preparar tu certificación?
Nos enfocamos en la parte técnica del Anexo A, que es donde más se atoran las empresas: demostrar que el control existe y funciona. «Usamos MFA» no es evidencia; un reporte con cada usuario y su segundo factor, sí. Es el trabajo de Security OS (diagnóstico, corrección y vigilancia) aplicado a los controles que revisará tu auditor.
El camino de preparación, en seis fases
01/ 06 · Diagnóstico de solo lectura
01
Diagnóstico de solo lectura
Conectamos nube, repositorios y servidores con permisos que no pueden cambiar nada y dejamos tu línea base.
02
Análisis de brechas
Comparamos lo encontrado contra los controles técnicos del Anexo A que declaraste aplicables y priorizamos por riesgo.
03
Corrección con tu OK
Cada cambio llega preparado con qué se cambia, por qué y cómo revertirlo. Nada se aplica sin tu autorización.
04
Evidencia antes y después
Dos corridas del mismo motor de auditoría, control por control, fechadas y listas para tu consultor y tu auditor.
05
Ensayo de auditoría
Armamos la lista de evidencia por control y ensayamos las preguntas técnicas. La auditoría interna la conduce alguien objetivo, como pide la cláusula 9.2.
06
Vigilancia entre auditorías
La misma auditoría corre cada mes para que los controles no se degraden antes del seguimiento anual.
Control del Anexo A
Qué revisamos y corregimos
Evidencia que te queda
5.15 a 5.18 Control de acceso, identidades y derechos de acceso
Usuarios, roles y llaves en la nube y en GitHub; accesos de exempleados y proveedores
Inventario de accesos fechado, antes y después
5.23 Seguridad en el uso de servicios de nube
Configuración de la cuenta: raíz, regiones, registro, alertas de detección y de costo
Línea base de la cuenta y diferencias entre corridas
8.2 Acceso privilegiado y 8.5 Autenticación segura
Administradores, MFA, llaves sin rotar, acceso SSH
Estado de MFA por usuario y de cada llave
8.8 Gestión de vulnerabilidades técnicas
Versiones de sistema, PHP y dependencias; fallas publicadas que te afectan
Hallazgos con prioridad, corrección y fecha de cierre
8.9 Gestión de la configuración
Línea base de nube y servidores, y cambios contra esa línea
Línea base y diferencias entre corridas
8.13 Respaldo de la información
Respaldos de bases y almacenamiento, copias protegidas contra borrado
Configuración de respaldo y prueba de restauración
8.15 Registro y 8.16 Monitoreo
Registro de actividad, alertas de detección y a quién le llegan
Configuración de registros y alertas activas
8.20 Seguridad de redes y 8.24 Criptografía
Puertos abiertos, firewall, TLS, cifrado de discos y bases
Reglas de red y estado de cifrado por recurso
8.25 y 8.28 Desarrollo y codificación seguros
Revisión de código (inyección SQL, XSS, secretos, dependencias) y protección de ramas
Hallazgos con archivo y línea, y su corrección
Qué evidencia acepta el auditor lo decide él; nuestro trabajo es que la tengas completa y fechada. Si tu sistema vive en AWS, la guía de auditoría de seguridad AWS detalla los controles de la cuenta.
¿Qué queda fuera de nuestro trabajo?
La certificación: la emite el organismo de certificación que elijas.
Redactar tu SGSI completo. Las políticas, la evaluación de riesgos y la Declaración de Aplicabilidad son de tu empresa o de tu consultor; si ya trabajas con uno, nos coordinamos.
Los controles de personas y físicos (temas 6 y 7 del Anexo A): contratación, concientización, oficinas y equipos.
El pentest. No somos una empresa de pentest: preparamos el sistema antes de la prueba y corregimos lo que encuentre. Más en pentest vs. auditoría.
La asesoría legal.
Para un primer dato hoy, el chequeo gratis revisa lo que tu sitio muestra a internet, y las alertas de la semana te dicen qué parchar antes de la auditoría.
Empezamos con un diagnóstico de solo lectura. Dinos tu alcance y la fecha de tu auditoría.
No. El certificado lo emite un organismo de certificación externo, idealmente acreditado; ISO tampoco certifica. Nosotros preparamos los controles técnicos y la evidencia para tu auditoría.
¿Garantizan que voy a aprobar la auditoría?
No. La decisión es del organismo de certificación. Lo que entregamos es la evidencia técnica completa, fechada y con su antes y después, para que el auditor pueda verificar cada control.
¿Cuánto tarda la preparación?
Depende del alcance y de cuántos hallazgos salgan. El diagnóstico de solo lectura te da una lista priorizada con la que puedes planear fechas con tu organismo de certificación.
¿Necesito un consultor de SGSI además de WITS?
Si nadie en tu empresa conoce la norma, suele convenir. El consultor lleva riesgos, políticas y Declaración de Aplicabilidad; nosotros la parte técnica de nube, servidores, repositorios y código, coordinados.
¿Qué versión de la norma aplica?
ISO/IEC 27001:2022, con su enmienda 1 de 2024. Su Anexo A tiene 93 controles en cuatro temas: organizacionales, de personas, físicos y tecnológicos.
¿Sirve si mi sistema no está en AWS?
Sí. Revisamos servidores Linux, repositorios de GitHub y código donde estén. Si usas AWS, además revisamos la cuenta a fondo.
La revisión y elaboración de documentos legales se realiza con apoyo de especialistas legales. WITS identifica necesidades y riesgos, pero no presta servicios jurídicos.
