ISO 27001 en Guatemala: análisis de brechas y pruebas de penetración antes de la auditoría

La resolución JM-98-2025 de la Junta Monetaria, vigente desde el 30 de octubre de 2025, no exige ISO 27001 a los bancos. Lo que hace es pedirles que revisen las certificaciones de quienes les prestan servicios.

El Art. 40 a) obliga al banco a verificar que el proveedor que procesa o almacena su información aplique políticas de seguridad de la información y ciberseguridad considerando estándares internacionales, y que tenga certificaciones vigentes relacionadas con tecnología, seguridad de la información, ciberseguridad, continuidad de negocio o gestión de servicios. El Art. 45 b) pide esas mismas certificaciones cuando el banco solicita a la SIB autorización para contratar un servicio crítico. El Art. 32 b) agrega que el contrato debe permitir al banco revisar periódicamente los mecanismos de protección del proveedor o sus certificaciones de seguridad de la información reconocidas internacionalmente.

La resolución no nombra una norma. ISO 27001 es la más conocida de ese grupo, y por eso fintechs, procesadores, centros de datos y empresas de software que venden a bancos guatemaltecos la terminan poniendo en su plan.

La organización ISO escribe la norma. No certifica a nadie. Su propio sitio lo dice así: ISO "does not perform certification or issue certificates". La certificación la emite un organismo de certificación externo, que audita el sistema de gestión de seguridad de la información (SGSI) de la empresa contra la norma.

Toukan no es un organismo de certificación ni vende certificaciones. Hace dos trabajos previos a la auditoría: el análisis de brechas y la prueba de penetración. El primero le dice qué le falta a su SGSI. El segundo le da evidencia técnica de cómo responden sus sistemas a un ataque real. La decisión de certificar, y con quién, es de su empresa.

Esa separación también le sirve en una compra. Cuando un proveedor le ofrezca "la certificación" junto con la implementación, pregunte qué organismo va a emitirla y bajo qué acreditación.

Un análisis de brechas compara lo que su empresa hace hoy con lo que la norma pide. El resultado es una lista de diferencias ordenada por el riesgo que representa cada una, de modo que su equipo sepa qué corregir primero.

Para un banco o una sociedad financiera en Guatemala conviene hacerlo contra dos textos a la vez. El Art. 18 de la JM-98-2025 ya pide, entre otras cosas, clasificar la información por sensibilidad y criticidad, definir roles de seguridad, monitorear, cuidar la seguridad física y controlar los permisos lógicos. Mucho de eso coincide con lo que un SGSI documenta. Revisarlo una sola vez evita mantener dos juegos de evidencia.

En un análisis de brechas de Toukan revisamos:

• El alcance del SGSI: qué procesos, sedes y sistemas entran, y si coinciden con lo que el banco cliente espera ver.
• Las políticas escritas frente a la práctica, con muestras de permisos, bitácoras y cambios.
• El inventario de activos de información y su clasificación.
• Cómo se detectan, priorizan y corrigen las vulnerabilidades, y quién verifica la corrección.
• La relación con proveedores propios: qué contratos permiten revisar su seguridad.

Una política dice que los accesos se revisan. Un pentest muestra si un usuario de bajo privilegio puede leer datos de otro cliente. El auditor de certificación revisa documentos y registros, y un informe de prueba de penetración con fecha, alcance y correcciones verificadas es un registro difícil de improvisar.

Para una empresa que vende a bancos guatemaltecos, el mismo informe puede servir dos veces. Va en la carpeta del SGSI y también responde a la debida diligencia del banco, que bajo el Art. 40 b) de la JM-98-2025 debe verificar informes de auditorías independientes relacionadas con tecnología del último año cuando el servicio es crítico. El banco decide si lo acepta como tal. Pregunte antes de fijar el alcance.

El alcance del pentest debe salir del alcance del SGSI. Si la certificación va a cubrir la plataforma que procesa pagos, esa plataforma y sus API entran en la prueba. Probar otro sistema porque es más barato deja un hueco que el auditor puede encontrar.

Casi todos estos tropiezos vienen de tratar la norma como un trámite.

• Comprar la implementación sin conocer las brechas. El análisis previo le da algo contra qué medir la propuesta del consultor.
• Definir un alcance del SGSI que no incluye el servicio que el banco cliente contrata.
• Presentar un reporte de escaneo automático como si fuera una prueba de penetración.
• Cerrar hallazgos porque TI dice que los corrigió, sin que nadie vuelva a probar.
• Pensar que la certificación reemplaza la prueba anual que pide la JM-98-2025 a los bancos. Son exigencias distintas.

El pentest cuesta desde USD 3,000 por un alcance definido, por ejemplo una aplicación web con hasta dos roles y 20 endpoints, o la red externa con hasta 16 IP públicas activas. La red externa más una aplicación en una sola prueba cuesta desde USD 5,500. De la firma al informe pasan de dos a cuatro semanas, y la verificación de las correcciones dentro de 90 días está incluida.

Usted recibe un informe ejecutivo para gerencia y un informe técnico para TI. Cada hallazgo se confirma a mano y trae el activo afectado, el nivel de riesgo, la evidencia y la corrección. Firma el informe la persona que acordó el alcance y dirigió la prueba. Hay acuerdo de confidencialidad disponible.

El análisis de brechas se cotiza según el tamaño del alcance del SGSI. Después del análisis podemos acompañar a su equipo en las correcciones y verificar el resultado. El costo de la certificación lo fija el organismo de certificación que usted elija.