Consultoría ISO 27001: implantamos tu SGSI y te acompañamos en la auditoría de certificación
Si un cliente te pide la ISO 27001 en un cuestionario o en un contrato, necesitas un sistema que funcione y unas evidencias que aguanten una auditoría. Implantamos contigo el sistema de gestión de la seguridad de la información que pide la ISO/IEC 27001 y te acompañamos en la auditoría de la entidad de certificación.
Por qué te piden la ISO 27001
La ISO/IEC 27001 es la norma internacional de referencia para gestionar la seguridad de la información. Certificarse es voluntario, pero se pide en los cuestionarios de seguridad de los clientes y en los contratos con empresas grandes: es una forma reconocida de demostrar, con un tercero de por medio, que tu seguridad no depende de la buena voluntad.
Lo que certifica no es un producto ni una foto fija: es un sistema de gestión (SGSI) que identifica riesgos, decide controles, los mide y los mejora. Si te aplican además otras normas, conviene abordarlas juntas: es lo que hacemos desde el cumplimiento normativo.
Qué te exige exactamente la norma
- Un alcance definido: qué parte de la empresa, qué servicios y qué ubicaciones cubre el sistema. Un alcance bien acotado es la decisión que más condiciona el esfuerzo.
- Contexto y partes interesadas: qué esperan de tu seguridad tus clientes, tus contratos y las normas que te aplican.
- Compromiso de la dirección: una política de seguridad aprobada, roles con nombre y apellidos y recursos asignados.
- Análisis y tratamiento de riesgos con una metodología repetible: qué puede pasar, con qué impacto y qué decides hacer con cada riesgo.
- Declaración de Aplicabilidad: qué controles del anexo A aplicas, cuáles excluyes y por qué. Es el documento que más mira el auditor.
- Controles en marcha y evidencias de que funcionan, no solo de que están escritos.
- Auditoría interna y revisión por la dirección antes de la auditoría de certificación, y mejora continua después.
El anexo A recoge 93 controles en cuatro grupos —37 organizativos, 8 de personas, 14 físicos y 34 tecnológicos—, según la nota de UNE sobre la edición vigente (17 de mayo de 2023). No todos te aplicarán: decidir cuáles, y justificarlo, es parte del trabajo.
La certificación ISO 27001 no la damos nosotros
Conviene decirlo claro: el certificado lo emite una entidad de certificación independiente, no la consultora que te ayuda a implantar la norma. Quien implanta no puede auditar su propio trabajo. Nuestro papel es que llegues a esa auditoría con el sistema funcionando y las evidencias preparadas, y acompañarte mientras dura. Desconfía de quien te prometa el certificado como resultado garantizado: eso lo decide el auditor.
Cómo es la implantación de ISO 27001 con nosotros
Análisis GAP
Medimos tu situación real contra los requisitos de la norma y los controles del anexo A. Si aún no tienes un diagnóstico de seguridad, empezamos por el Análisis de Madurez CIS18: los controles CIS mapean contra el anexo A y el mismo trabajo te sirve para la ISO y para lo que venga después.
Diseño del SGSI
Alcance, metodología y análisis de riesgos, plan de tratamiento y Declaración de Aplicabilidad. Un plan con prioridades, plazos y responsables, pensado para que tu equipo lo ejecute mientras sigue operando.
Implantación
Redactamos contigo las políticas y procedimientos, implantamos los controles técnicos y organizativos, formamos a la plantilla y dejamos las evidencias ordenadas. Después, una auditoría interna y la revisión por la dirección.
Auditoría de certificación
Te acompañamos en la auditoría de la entidad de certificación que elijas, en sus dos fases, y en el cierre de las no conformidades que salgan. Y después, en las auditorías de seguimiento y en la renovación: el certificado se mantiene o se pierde.
Trabajo hecho
A Grupo EUN lo llevamos a la doble meta —ISO/IEC 27001 y ENS categoría Media a la vez— con un programa llave en mano: evaluación basada en los CIS Controls, análisis GAP contra los dos marcos, hoja de ruta priorizada, cuerpo documental completo y soporte técnico para implantar los controles, sin interrumpir su operación. Terminó con las dos certificaciones. Lee el caso completo
Si además vendes a la Administración, la ISO no basta: mira qué añade la certificación ENS o empieza por nuestra guía del Esquema Nacional de Seguridad.
La conocemos desde los dos lados
Minery Report también está certificada: ISO/IEC 27001:2022, certificado nº CI 9765-ES, vigente hasta el 4 de marzo de 2029. Sabemos lo que pide un auditor porque pasamos sus auditorías. Los datos de nuestros certificados están en el Trust Center.
Preguntas frecuentes sobre la ISO 27001
La norma internacional ISO/IEC 27001 fija los requisitos de un sistema de gestión de la seguridad de la información (SGSI): cómo una organización identifica sus riesgos, decide qué controles aplica y demuestra que los mantiene y los mejora. En España se publica como UNE-ISO/IEC 27001:2023, la versión española de la edición de 2022. Su anexo A recoge los 93 controles de referencia de la ISO/IEC 27002, organizados en cuatro grupos: organizativos, de personas, físicos y tecnológicos.
Una entidad de certificación independiente, que en España suele estar acreditada por ENAC. No la emite la consultora que te ha ayudado a implantarla: quien implanta no puede certificar lo que ha implantado. Nosotros preparamos el sistema y te acompañamos en la auditoría; el resultado depende de lo que el auditor compruebe.
Meses, no semanas. Depende del alcance, del tamaño de la organización y de tu punto de partida: si ya tienes controles en marcha o un diagnóstico CIS, se acorta. Tras el análisis GAP te damos un calendario concreto, no una horquilla de folleto.
La ISO 27001 es una norma internacional voluntaria que certifica un sistema de gestión. El Esquema Nacional de Seguridad es una obligación legal española (Real Decreto 311/2022) para el sector público y, en la empresa privada, para los sistemas con los que por contrato presta servicios o soluciones a la Administración para el ejercicio de sus competencias. Comparten buena parte del trabajo, pero no son intercambiables: tener una no te da la otra.
Sí, y suele salir más a cuenta que hacerlas por separado: un análisis de riesgos, un cuerpo documental y unas evidencias que sirven a las dos, completados con lo que exige cada una. Es lo que hicimos con Grupo EUN.
No. El certificado demuestra que gestionas la seguridad con método y que un auditor lo ha comprobado. La seguridad real la dan los controles que hay debajo. Por eso empezamos por los controles y dejamos que el certificado sea la consecuencia.
¿Te la está pidiendo un cliente? Cuéntanos qué te piden y para cuándo, y te decimos qué alcance tiene sentido y cuánto te falta de verdad. Te responde un socio en menos de 1 hora, en horario laboral.
Hablar con un socio