Obtener una certificación internacional de seguridad de la información no significa que una empresa pueda dar por concluido el proceso. En el caso de la ISO/IEC 27001, las organizaciones deben demostrar periódicamente que mantienen los requisitos del estándar y que su Sistema de Gestión de Seguridad de la Información (SGSI) continúa funcionando y mejorando.
Según información de LigoPay, más del 50% de las empresas no logra superar satisfactoriamente la primera auditoría de seguimiento. El desafío está en demostrar que los controles continúan siendo efectivos, que los procesos se aplican como fueron definidos y que la organización ha respondido a los nuevos riesgos.
“El reto está en demostrar que los procesos no se quedaron estáticos. Las empresas debemos evidenciar que nuestros controles siguen funcionando, que hemos respondido a nuevos riesgos y que hemos incorporado mejoras desde la certificación inicial”, indica Fernando Gonzales, Oficial de Seguridad de la Información (OSI) de LigoPay.
El mantenimiento de una certificación ISO 27001 contempla un ciclo continuo de evaluación, seguimiento y mejora. Gonzales explica las principales etapas:
- Obtención de la certificación. Un organismo independiente evalúa que la empresa haya implementado los requisitos establecidos por la ISO/IEC 27001 y cuente con un Sistema de Gestión de Seguridad de la Información que cumpla con el estándar. Obtener el certificado acredita el cumplimiento de estas condiciones, pero da inicio a un proceso de seguimiento.
- Auditorías de seguimiento. La empresa debe demostrar periódicamente que mantiene los estándares y que sus controles funcionan de manera efectiva. Las principales dificultades surgen por documentación desactualizada, incumplimiento de procesos, falta de auditorías internas o acciones correctivas insuficientes. No basta con tener los controles documentados, hay que demostrar que se aplican, funcionan y generan evidencia.
- Revalidación de la certificación. Luego de superar satisfactoriamente las auditorías correspondientes, la organización mantiene o revalida su certificación, confirmando que continúa cumpliendo con los requisitos del estándar. “La auditoría nos permitió identificar con mayor claridad qué procesos requerían ajustes y dónde podíamos elevar nuestros estándares. La revalidación es el resultado de ese trabajo y, al mismo tiempo, una referencia para seguir fortaleciendo nuestra gestión de seguridad”, finaliza Gonzales.