ISO 27001 en Centroamérica: análisis de brechas y pentest como evidencia técnica

ISO, la organización que publica la norma, lo dice en su propio sitio: ISO no realiza la certificación ni la emite. La certificación la otorgan organismos de certificación externos, que auditan su sistema de gestión y deciden. Si alguien le ofrece la certificación ISO 27001 sin una auditoría de un organismo de certificación, desconfíe.

Toukan no es un organismo de certificación. Lo que hacemos es medir la distancia entre lo que su institución tiene hoy y lo que pide ISO/IEC 27001:2022, y producir evidencia técnica con pentests. Usted, o su consultor de implementación, usa ese resultado para cerrar brechas antes de la auditoría del certificador.

Esta separación le conviene. Quien le ayuda a prepararse no debería ser quien le audita, y quien le audita no debería venderle la corrección.

La norma tiene dos partes que importan para el análisis. La primera son los requisitos del sistema de gestión de seguridad de la información (SGSI), entre ellos evaluar y tratar los riesgos y revisar el sistema por dentro de forma periódica. La segunda es un anexo de controles, del que usted elige cuáles aplica y lo deja escrito en la declaración de aplicabilidad.

El análisis de brechas recorre las dos partes y responde, para cada requisito, si existe, si está documentado, si se aplica en la práctica y qué evidencia lo demuestra. El resultado es una lista priorizada de lo que falta, con responsables sugeridos, que puede convertirse en su plan de trabajo.

• Alcance del SGSI: qué procesos, sedes y sistemas entran.
• Revisión de documentos: políticas, análisis de riesgos, declaración de aplicabilidad, procedimientos.
• Entrevistas con TI, seguridad, riesgos, auditoría interna y las áreas dueñas de los procesos.
• Muestreo técnico: comprobar en sistemas reales que algunos controles declarados funcionan.
• Informe de brechas con prioridad y una hoja de seguimiento.

Un SGSI se sostiene con evidencia. Para muchos controles basta con un documento y un registro. Para los que tratan vulnerabilidades técnicas, accesos y segmentación de redes, la mejor evidencia es una prueba que intente romperlos y deje constancia del resultado.

El orden que recomendamos es análisis de brechas primero y pentest después. Así el pentest se enfoca en los sistemas que están dentro del alcance del SGSI y en los controles que usted va a declarar. Hacerlo al revés suele terminar en un informe técnico que no conversa con la declaración de aplicabilidad.

Después del pentest viene la parte que más pesa ante un auditor: el tratamiento. Cada hallazgo entra a su registro de riesgos, se corrige o se acepta formalmente, y se verifica. Toukan incluye una verificación de las correcciones dentro de 90 días. Ese ciclo, prueba, corrección y verificación, es lo que un auditor espera ver repetido en el tiempo.

Para un banco, ISO 27001 casi nunca llega sola. Las normas locales ya piden buena parte de lo que la norma internacional organiza, y un análisis de brechas bien hecho le muestra dónde se cruzan.

En El Salvador, la NRP-23 se llama Normas Técnicas para la Gestión de la Seguridad de la Información y usa el término SGSI. Su Art. 29 pide entregar a la Superintendencia, dentro de los 120 días calendario siguientes al cierre de cada ejercicio, un informe sobre el nivel de cumplimiento de los requisitos del SGSI. En Honduras, la Circular CNBS 025/2022 pide pruebas de intrusión por terceros (Art. 24) y una función de seguridad independiente de TI (Art. 20). En Guatemala, la JM-98-2025 pide pentest interno y externo anual con informe técnico (Art. 18) y un Oficial de Seguridad designado por el consejo (Art. 4 y 19).

En Costa Rica, el Acuerdo CONASSIF 5-24 (Art. 31) pide un sistema de gestión de seguridad de la información con declaración de aplicabilidad, bajo el estándar internacional que elija la entidad. No nombra ISO 27001. Allí la norma la piden con más frecuencia clientes y casas matrices.

El análisis de brechas se cotiza según el alcance del SGSI: número de procesos, sedes y sistemas, y si ya existe documentación. Una fintech con un producto y una sede no se parece a un banco con agencias en todo el país. Lo definimos en una llamada de alcance y el precio queda cerrado una vez acordado.

Los pentests que acompañan el proyecto siguen los paquetes publicados: red externa desde USD 3,000, aplicación web o API desde USD 3,000, y red externa más una aplicación desde USD 5,500. De la firma al informe de un pentest pasan entre 2 y 4 semanas.

Lo que Toukan no cotiza es la certificación. Las tarifas de auditoría y certificación las fija el organismo de certificación que usted elija.

Casi todos vienen de empezar por el final.

• Comprar una plantilla de políticas y creer que eso es el SGSI. La norma pide que se apliquen, y el auditor busca registros.
• Definir un alcance tan amplio que no se termina, o tan estrecho que el cliente que pidió la norma no queda cubierto.
• Hacer el pentest sin conectar los hallazgos al registro de riesgos.
• Confundir la auditoría interna del SGSI con la auditoría de certificación. La primera la hace su institución o alguien que usted contrata. La segunda solo la hace un organismo de certificación.