¿Necesita una pequeña empresa ISO 27001?

ISO 27001 es la certificación de seguridad más reconocida del mundo, y a las pequeñas empresas se les dice con frecuencia que la necesitan. El formulario de compras de un gran cliente la solicita; una licitación la exige; un consultor la recomienda. La respuesta sincera a «¿la necesitamos?» es: depende de quién lo pida, y nunca es una cuestión de todo o nada.

Cuándo merece la pena

• Los clientes o las licitaciones la exigen. Si los compradores empresariales o del sector público piden específicamente la certificación ISO 27001, un certificado evita un cuestionario en cada operación y puede ser decisivo.
• Vende a nivel internacional. Fuera de EE. UU., ISO 27001 es la moneda común de la seguridad de los proveedores.
• Quiere un programa, no un proyecto. El sistema de gestión (evaluación de riesgos, objetivos, auditoría interna, revisión por la dirección) crea hábitos que perduran más allá de cualquier auditoría concreta.

Cuándo debe ir primero otra cosa

• Los clientes estadounidenses piden SOC 2. Entonces, el informe SOC 2 es el entregable; consulte qué marco elegir para empezar.
• Todavía nadie lo pide. Una línea base técnica sólida, como el Grupo de Implementación 1 de los CIS Controls o un esquema de referencia gubernamental, aporta más seguridad por hora que un sistema de gestión que no está obligado a certificar.
• Aún no tiene producto. Implemente el núcleo común que exige todo marco (inventario de activos, parcheo, MFA, copias de seguridad y respuesta a incidentes) y certifique cuando el negocio lo necesite.

Mantenerlo proporcionado

ISO 27001 no exige la burocracia de una gran organización. Una empresa de diez personas puede certificarse con:

• un alcance ajustado (el producto y las personas que lo desarrollan y lo operan);
• políticas breves que describan lo que realmente hace;
• una evaluación de riesgos real de quizá unas pocas decenas de riesgos, con responsables asignados;
• una Declaración de Aplicabilidad con exclusiones justificadas (consulte cómo redactarla);
• una auditoría interna realizada por alguien independiente, lo que en una pequeña empresa suele significar un profesional externo a tiempo parcial.

La mayor parte de la sobrecarga que sufren las pequeñas empresas procede de adoptar plantillas diseñadas para grandes corporaciones.

Lo que realmente cuesta a una pequeña empresa

Los honorarios de la auditoría externa suelen ser la parte menor. El coste real es el tiempo: alguien debe responsabilizarse del programa, y en una pequeña empresa suele tratarse de un fundador o de un responsable de ingeniería que dedica parte de cada semana durante seis meses o más, y después algunos días al mes para mantenerlo en marcha. A ello se suman las herramientas y, si no tiene a nadie independiente, un auditor interno externo.

El retorno llega a través de las operaciones comerciales. Si un cliente empresarial al año exige el certificado, normalmente se amortiza; si ninguno lo exige, el mismo tiempo dedicado a controles técnicos aporta más seguridad. Por eso la decisión debe partir de quién lo solicita. Para hacerse una idea de cuánto de otros marcos cubre un programa ISO, consulte nuestro análisis de punto de partida y, para la visión requisito por requisito, la página del marco ISO 27001.

Puntos clave

• Obtenga ISO 27001 cuando lo exijan los clientes o las licitaciones; en caso contrario, primero desarrolle la seguridad.
• Dimensione el SGSI según la empresa: alcance ajustado, políticas breves, una evaluación de riesgos real.
• La mayor parte de las dificultades de las pequeñas empresas se deben a las plantillas empresariales, no a la norma en sí.

En resumen

Si los clientes exigen el certificado, obténgalo y dimensiónelo según su empresa. Si no lo exigen, desarrolle primero la seguridad y obtenga el certificado cuando le compense. En cualquier caso, el trabajo se aprovecha: ISO 27001 se correlaciona con la mayoría de los marcos que las pequeñas empresas afrontan después.

Dirección	Correspondencia	Relación tangencial	Sin correspondencia
Tiene ISO 27001 → necesita SOC 2	41 de 61 (67%)	0	20	informe →
Tiene SOC 2 → necesita ISO 27001	98 de 123 (80%)	21	4	informe →

La guía de ISO 27001 explica la certificación paso a paso.

Preguntas

¿Es ISO 27001 demasiado para una startup?

No necesariamente, si se dimensiona según la empresa: un alcance reducido, políticas breves y una evaluación de riesgos que refleje los riesgos reales. Resulta excesiva cuando se adoptan en bloque plantillas diseñadas para grandes organizaciones.

¿Qué debe hacer primero una pequeña empresa si ningún cliente pide ISO 27001?

Implantar una línea base técnica sólida (como los CIS Controls IG1) y el núcleo común que exige todo marco: inventario de activos, parcheo, MFA, copias de seguridad y respuesta a incidentes.

¿Puede una pequeña empresa superar ISO 27001 sin consultores?

Sí. La norma es breve, y muchas pequeñas empresas se certifican con esfuerzo interno más un auditor interno independiente. Los consultores pueden acelerar el proceso, pero el SGSI debe ser suyo en cualquier caso.