ISO 27001 para una PyME: ¿sirve si no te vas a certificar?

Un despacho de arquitectura de 14 personas en Naucalpan gana un proyecto con una desarrolladora grande. Antes de firmar, el área de compras de la desarrolladora les manda un cuestionario de seguridad de 60 preguntas. “¿Tienen política de control de accesos? ¿Cada cuándo prueban sus respaldos? ¿Están certificados en ISO 27001?”. El dueño me llama: “Gabo, ¿me tengo que certificar para que me paguen?”.

Mi respuesta fue no. Y es la misma que le doy a casi todos los negocios de 10 a 100 personas que me hacen esa pregunta. Pero la respuesta larga es más útil, porque la norma sí tiene cosas que un negocio chico debería usar aunque nunca vea a un auditor de certificación.

Soy auditor líder en ISO 27001 y en este artículo te doy mi opinión sobre para qué sirve la norma en tu tamaño y para qué no.

Qué es ISO 27001 en una frase que un dueño entiende

ISO/IEC 27001 es la norma internacional de sistemas de gestión de seguridad de la información. En palabras de negocio: es una forma ordenada de decidir qué información te importa, qué le puede pasar, qué haces para evitarlo y cómo demuestras que lo hiciste.

La propia ISO dice que está pensada para empresas de cualquier tamaño y sector, y que certificarse es una decisión opcional: puedes implementarla sin pasar por una auditoría externa. Ese detalle es la clave de todo lo que sigue.

La certificación es el papel. La norma es el método. Puedes usar el método sin pedir el papel.

Lo que sí te sirve de la norma aunque no te certifiques

En mi experiencia, hay cuatro ideas de ISO 27001 que cambian cómo opera un negocio chico. Ninguna requiere certificado.

1. Decidir qué proteger. La norma te obliga a listar tus activos de información: base de clientes, contraseñas, contratos, el número de WhatsApp, la FIEL. La mayoría de los dueños nunca ha hecho esa lista. Cuando la hacen, descubren que lo más valioso vive en un celular personal.

2. Pensar en riesgos, no en productos. Antes de comprar un antivirus, la norma te pregunta: ¿qué te puede pasar, qué tan probable es y qué tan grave sería? Ese ejercicio evita gastar en lo que no importa y deja claro qué sí. Es la diferencia entre “compré un firewall” y “sé qué pasa si pierdo el correo”.

3. Controles con dueño y evidencia. La norma tiene un catálogo de controles (MFA, respaldos, accesos, proveedores, continuidad). Lo importante no es implementarlos todos. Es elegir los que aplican a tu riesgo, asignarlos a alguien y poder mostrar que existen. Esa evidencia es lo que contesta el cuestionario de 60 preguntas.

4. Revisar y mejorar. La norma no termina. Te pide revisar cada cierto tiempo qué cambió y ajustar. Para un negocio chico esto es media hora al mes. Es lo que distingue a quien “ya se protegió” en 2023 de quien sigue protegido.

Lo que no te sirve (y donde se pierde dinero)

También hay cosas de la norma que, en un negocio de 15 personas, son peso muerto si las copias tal cual.

La documentación de corporativo. He visto PyMEs con 40 políticas de 10 páginas que nadie lee, hechas con plantillas. Un negocio chico necesita cinco hojas que el equipo entienda, no un manual que solo existe para el auditor.

Los roles que no tienes. La norma habla de comités, responsables de riesgo, dueños de proceso. En tu negocio eso es una persona con tres sombreros. Está bien. Lo que importa es que ese nombre exista por escrito.

Y la certificación misma cuando nadie te la pide. Certificarse implica auditoría externa, mantenimiento anual y tiempo del equipo. Yo recomiendo hacerlo cuando un cliente o un contrato lo exige o cuando vas a licitar con quien lo pide. Si no es tu caso hoy, el esfuerzo rinde más en implementar bien los controles que en el papel.

Cómo le contestas al cliente grande sin certificado

Volvamos al despacho de arquitectura. Lo que hicimos no fue certificarlo. Fue esto:

• Listar sus activos y riesgos en una hoja.
• Implementar los controles que el cuestionario preguntaba y que de verdad aplicaban: MFA, accesos por persona, respaldo probado, acuerdo con proveedores, plan de continuidad de una página.
• Documentar cada control con evidencia: capturas, fechas, responsable.
• Hacer que alguien externo lo revisara y firmara que lo que decía la hoja era cierto.

Con eso contestaron el cuestionario con hechos y pasaron. La desarrolladora no pidió el certificado. Pidió saber si el despacho sabía lo que hacía. Eso se demuestra con evidencia y con una validación independiente, no con un sello.

Mi regla es esta: alinearte a ISO 27001 es para ti; certificarte es para quien te lo exige. Haz lo primero siempre. Lo segundo, cuando el mercado te lo pida.

Lo que veo cuando un dueño lo entiende

Cuando el dueño deja de ver la norma como un trámite y la ve como un método, pasa algo práctico: empieza a usar las preguntas de la norma en sus propias decisiones. “¿Qué pasa si el contador se va con esta contraseña?” es una pregunta de riesgo. “¿Quién es el responsable de que el respaldo se pruebe?” es una pregunta de control. No necesita saber que vienen de la norma. Solo necesita hacerlas.

Y ahí está el valor real para una PyME. No el certificado en la pared. La forma de pensar.

Qué puedes hacer esta semana

1. Escribe en una hoja los diez activos de información más importantes de tu negocio y dónde viven (qué computadora, qué celular, qué nube).
2. Para cada uno, contesta: ¿qué le puede pasar y qué tan grave sería? Marca los tres peores.
3. Para esos tres, anota qué control tienes hoy y quién es responsable. Si la respuesta es “nadie”, ya sabes qué hacer.
4. Guarda evidencia de un control: una captura de MFA activo, la fecha de tu última restauración de respaldo.
5. Pregúntale a tu cliente más grande si en el próximo contrato te van a pedir controles de seguridad. Mejor saberlo antes.

Cómo ayuda AgileNext

Blindaje Empresarial es exactamente esto: alinearte a ISO 27001 sin obligarte a certificarte, en un sprint de 45 días. Definimos tus activos y riesgos, implementamos MFA, contraseñas y accesos controlados, probamos respaldos de verdad, dejamos continuidad del negocio y gestión de riesgos documentadas, y lo validamos con aliados especializados. El resultado es protección que puedes demostrar a clientes y socios cuando te manden el cuestionario.

Empieza con el autodiagnóstico de seguridad sin costo y sabrás qué tan lejos estás de contestar ese cuestionario con hechos.

Te puede interesar: El riesgo que entra por terceros: contador, diseñador y hosting · Respaldo no es lo mismo que continuidad del negocio