Obtener la certificación es solo el primer paso. El verdadero desafío está en demostrar que los estándares se mantienen, que los controles continúan funcionando y que el sistema de seguridad de la información evoluciona frente a nuevos riesgos.
Obtener una certificación internacional de seguridad de la información no significa que una empresa pueda dar por concluido el proceso. En el caso de la ISO/IEC 27001, las organizaciones deben demostrar periódicamente que mantienen los requisitos del estándar y que su Sistema de Gestión de Seguridad de la Información (SGSI) continúa funcionando y mejorando.
Según información de LigoPay, más del 50% de las empresas no logra superar satisfactoriamente la primera auditoría de seguimiento. El desafío está en demostrar que los controles continúan siendo efectivos, que los procesos se aplican como fueron definidos y que la organización ha respondido a los nuevos riesgos.
“El reto está en demostrar que los procesos no se quedaron estáticos. Las empresas debemos evidenciar que nuestros controles siguen funcionando, que hemos respondido a nuevos riesgos y que hemos incorporado mejoras desde la certificación inicial”, indica Fernando Gonzales, Oficial de Seguridad de la Información (OSI) de LigoPay.
Las tres fases del proceso
El mantenimiento de una certificación ISO 27001 contempla un ciclo continuo de evaluación, seguimiento y mejora. Gonzales, de LigoPay, explica las principales etapas:
- Obtención de la certificación. Un organismo independiente evalúa que la empresa haya implementado los requisitos establecidos por la ISO/IEC 27001 y cuente con un Sistema de Gestión de Seguridad de la Información que cumpla con el estándar. Obtener el certificado acredita el cumplimiento de estas condiciones, pero da inicio a un proceso de seguimiento.
- Auditorías de seguimiento. La empresa debe demostrar periódicamente que mantiene los estándares y que sus controles funcionan de manera efectiva. Las principales dificultades surgen por documentación desactualizada, incumplimiento de procesos, falta de auditorías internas o acciones correctivas insuficientes. No basta con tener los controles documentados, hay que demostrar que se aplican, funcionan y generan evidencia.
- Revalidación de la certificación. Luego de superar satisfactoriamente las auditorías correspondientes, la organización mantiene o revalida su certificación, confirmando que continúa cumpliendo con los requisitos del estándar. “La auditoría nos permitió identificar con mayor claridad qué procesos requerían ajustes y dónde podíamos elevar nuestros estándares. La revalidación es el resultado de ese trabajo y, al mismo tiempo, una referencia para seguir fortaleciendo nuestra gestión de seguridad”, señala Gonzales.
El desafío está en mantener el sistema activo
Los riesgos, amenazas, tecnologías y procesos cambian constantemente. Por ello, mantener la certificación exige revisar riesgos, actualizar controles y procedimientos, gestionar incidentes, realizar auditorías internas, capacitar a los equipos y documentar las acciones implementadas.
Cuando se identifica una no conformidad, la organización debe determinar la causa raíz, establecer acciones correctivas, responsables y plazos, y demostrar que fueron implementadas. Si las observaciones mayores no se resuelven, la certificación puede ser suspendida y posteriormente retirada.
En este escenario, LigoPay acaba de superar satisfactoriamente su primera auditoría de seguimiento de la certificación ISO 27001, obtenida el año pasado, y recibió la correspondiente revalidación. El proceso permitió verificar la continuidad de su Sistema de Gestión de Seguridad de la Información y las mejoras implementadas durante el periodo evaluado.
La certificación de LigoPay cuenta además con un alcance que respalda los servicios ofrecidos desde Perú hacia mercados de Latinoamérica bajo este estándar internacional. “En mercados digitales cada vez más integrados, las certificaciones internacionales también cumplen un rol comercial: permiten que clientes y aliados tengan un punto de referencia objetivo al evaluar a un proveedor. Ese respaldo cobra mayor importancia cuando una empresa busca operar en distintos mercados”, comenta Fernando Gonzales, Oficial de Seguridad de la Información (OSI) de LigoPay.
