ISO 27001 en Costa Rica: análisis de brechas y pruebas de penetración

El Reglamento General de Gobierno y Gestión de la Tecnología de Información, Acuerdo CONASSIF 5-24, se publicó en el Alcance 130 a La Gaceta 134 del 22 de julio de 2024 y rige desde esa fecha. Su Art. 2 alcanza a bancos estatales y privados, financieras no bancarias, cooperativas de ahorro y crédito, mutuales, la Caja de ANDE, puestos de bolsa, aseguradoras, corredoras de seguros, operadoras de pensiones y las controladoras de grupos financieros supervisados.

Para quien está armando o revisando su sistema de gestión, estos son los artículos que importan:

• Art. 31. La entidad debe diseñar, implementar, mantener y monitorear un sistema de gestión de la seguridad de la información, con controles basados en riesgo que se registran en una declaración de aplicabilidad. Puede apoyarse en estándares internacionales.
• Art. 33. Cada año, la entidad establece "programas de análisis de vulnerabilidades y pruebas" que incluyan los controles de seguridad. Los tipos de prueba y su alcance van según el riesgo, y los puede ejecutar personal interno, externo o ambos.
• Art. 14. Auditoría Interna aplica un plan basado en riesgo que evalúa la calidad y la eficacia de la seguridad de la información y la seguridad cibernética.
• Art. 48. La auditoría externa de TI se hace cada tres años, salvo que el supervisor decida adelantarla o aplazarla.
• Disposición transitoria séptima. Las entidades con brechas frente al reglamento tienen tres años desde la publicación para terminar sus planes de implementación, es decir, hasta julio de 2027. Desde el sexto mes, esos planes deben estar disponibles cuando la Superintendencia los pida.

El texto del Acuerdo CONASSIF 5-24 no menciona ISO 27001. En sus considerandos cita a NIST, las normas ISO, los Controles CIS y la Cloud Security Alliance como referencias que la industria ha desarrollado, y el Art. 31 deja que cada entidad elija la suya. Una entidad puede construir el sistema de gestión con ISO 27001 sin certificarse nunca.

Lo que el reglamento sí fija es el formato de la declaración de aplicabilidad. Sus lineamientos piden que cada control indique un identificador, una descripción, un objetivo, la justificación ligada al apetito de riesgo y el estado de implementación (planificación, diseño u operación). Cada control también se clasifica como preventivo, detectivo o correctivo, y se asocia a las funciones de seguridad cibernética: gobernar, identificar, proteger, detectar, responder y recuperar.

Si su entidad ya trabaja con ISO 27001, buena parte de ese trabajo existe. La brecha suele estar en los atributos que la Superintendencia pide y que su declaración actual no registra.

Hay una excepción que conviene conocer. Para las cooperativas sujetas al Acuerdo SUGEF 25-23 y para las corredoras de seguros, el Art. 3 convierte el programa anual de pruebas del Art. 33 en una referencia de sanas prácticas, que adoptan según su tamaño y riesgo. El resto del capítulo de seguridad les aplica completo.

Muchas empresas de software en Costa Rica trabajan para clientes en Estados Unidos y Europa. Una guía de compra publicada por Deepstrike en agosto de 2026 lo dice de esas empresas nearshore: sus clientes grandes piden cada vez más un pentest antes de firmar, y la prueba termina ayudando a cerrar la venta.

La presión también llega desde el sistema financiero local. El Art. 25 del Acuerdo CONASSIF 5-24 hace a cada entidad supervisada responsable de la seguridad de los servicios de TI que le dan sus proveedores, y le pide establecer controles para comprobar que esos proveedores gestionan la seguridad de la información según los requisitos que la entidad defina. El Art. 46 permite que la Superintendencia pida auditorías externas de TI a proveedores, según los riesgos. Si su empresa le vende software a un banco, una financiera o una aseguradora costarricense, el cuestionario de seguridad que recibe es esa obligación en acción.

Antes de comprometerse a una certificación, pregunte por escrito qué quiere ver su cliente. Una certificación ISO/IEC 27001:2022 emitida por un organismo acreditado, una declaración de aplicabilidad y un informe de pentest reciente son pedidos distintos, con costos y plazos distintos. ISO aclara que certificarse es opcional y que muchas organizaciones aplican la norma sin hacerlo.

Un análisis de brechas compara lo que su organización tiene contra ISO 27001 o contra el reglamento, y deja una lista de riesgos en el orden en que conviene corregirlos. No es una certificación ni la auditoría externa de TI del Art. 46. Así lo trabajamos:

• Definir el alcance: procesos, sedes, sistemas y proveedores. Una entidad supervisada puede partir del perfil tecnológico que actualiza cada año para su Superintendencia (Art. 42).
• Revisar la clasificación y el etiquetado de los activos de información, que el Art. 19 pide según el modelo de los lineamientos.
• Leer la evaluación de riesgos y la declaración de aplicabilidad, control por control, con los atributos que piden los lineamientos.
• Pedir evidencia de cada control: la política, el registro que demuestra que se aplica y, cuando el control es técnico, una prueba que demuestre que funciona.
• Entregar un plan con responsable y fecha para cada brecha, que Auditoría Interna pueda seguir.

El análisis de brechas en papel le dice si un control existe. El pentest le dice si aguanta. Una política puede exigir doble factor para los accesos remotos de proveedores, y la VPN expuesta a internet puede no pedirlo. Solo una prueba técnica lo muestra.

Use la declaración de aplicabilidad para definir el alcance. Los controles en estado "operación" que protegen la red externa, las aplicaciones con datos de clientes o los accesos privilegiados son los candidatos a probar. Los que siguen en "planificación" todavía no tienen nada que probar.

El orden también importa. Haga el análisis de brechas primero, el pentest después y deje tiempo para corregir y volver a probar antes de que llegue el auditor externo, cuyos resultados presenta el auditor CISA responsable (Art. 51). Nuestro informe ejecutivo y técnico lleva la firma de quien acordó el alcance y dirigió la prueba, cada hallazgo se confirma a mano y la verificación de las correcciones está incluida dentro de 90 días.

El Art. 33 permite que las pruebas las haga personal interno. Aun así, si el informe va a servir como evidencia ante un auditor o un cliente, conviene que lo haga alguien independiente de quien administra los sistemas.

Un caso público muestra lo que pasa cuando el presupuesto no tiene componentes. En 2021, la Auditoría Interna del INVU registró que TI había pedido ₡9 millones para ejercicios de intrusión, unos USD 14,500 de ese año. Solo se aprobaron ₡2,7 millones, que TI calificó de "insuficiente", y la prueba no se compró. En el Ministerio de Justicia y Paz, un informe de Auditoría Interna de 2017 cita como evidencia las pruebas de penetración contratadas en 2016. En ambos casos fue Auditoría Interna quien puso el tema sobre la mesa.

Presupueste por alcance. Un pentest de Toukan arranca en USD 3,000 por un alcance definido: la red externa con hasta 16 IP públicas activas en 4 días de prueba, o una aplicación web o API con hasta 2 roles y 20 endpoints en 5 días. La red externa más una aplicación en una sola prueba arranca en USD 5,500. Del contrato firmado al informe pasan de 2 a 4 semanas.

El costo de una certificación ISO lo fija el organismo certificador según el alcance y el tamaño de la organización. Toukan no certifica y no da esa cifra.

Para elegir proveedor sirve una lista corta de preguntas, hechas a todos por igual y respondidas por escrito. Así las respuestas se pueden comparar y quedan en el expediente:

• ¿Quién hará la prueba y quién firmará el informe? Pida nombres y subcontratistas.
• ¿Qué sistemas, roles y procesos entran, y qué queda fuera?
• ¿Qué validará a mano y cómo documentará la evidencia de cada hallazgo?
• ¿Puede mostrar un informe anonimizado? La guía de Deepstrike lo resume: el informe es el producto.
• ¿Qué correcciones verificará, cuántas rondas incluye y en qué plazo?
• Si le ofrecen certificar, ¿qué organismo emite la certificación y quién lo acredita?