ISO 27001 en Honduras: análisis de brechas y pruebas de penetración

ISO/IEC 27001 es la norma internacional para sistemas de gestión de seguridad de la información (SGSI). En palabras de ISO, "define los requisitos que debe satisfacer un SGSI". La versión vigente es la tercera edición, publicada en octubre de 2022, con una enmienda de 2024 sobre cambio climático (ISO/IEC 27001:2022/Amd 1:2024). La edición de 2013 está retirada.

La norma no es una lista de controles técnicos que se marcan uno por uno. Pide un sistema de gestión: alcance definido, evaluación y tratamiento de riesgos, políticas, responsables, auditoría interna, revisión por la dirección y mejora continua. Los controles técnicos salen de ese análisis de riesgo.

En Honduras la demanda llega por dos caminos. Las instituciones supervisadas por la CNBS la usan como marco para ordenar lo que la circular les pide. Los proveedores de esas instituciones, como procesadores o centros de datos, la necesitan porque un banco cliente les pide evidencia de su gestión de seguridad.

Conviene decirlo claro: la Circular CNBS 025/2022 no menciona ISO 27001 ni exige certificarse. Lo que sí hace es remitir varias veces a estándares internacionales. El Art. 19 pide gestionar la ciberseguridad "basado en las mejores prácticas y estándares internacionales". El Art. 25 pide un marco de continuidad del negocio "con base en las mejores prácticas y estándares internacionales". El Art. 14 pide que la auditoría del procesamiento de datos tercerizado se haga "de conformidad con las mejores prácticas internacionales".

ISO 27001 es una forma razonable de responder a esas remisiones, no la única. La tabla muestra dónde coinciden los temas. No es una equivalencia oficial y la CNBS no la ha publicado. Úsela como punto de partida para su análisis de brechas.

Un análisis de brechas compara lo que la institución tiene hoy con lo que la norma pide, y produce una lista priorizada de lo que falta. En Honduras, una institución supervisada rara vez parte de cero. El Art. 46 de la circular le pidió un plan de adecuación aprobado por el Órgano de Administración, con fechas, responsables y actividades. Si ese plan se ejecutó, ya existe buena parte del material.

Un orden de trabajo que funciona:

El resultado útil no es un porcentaje de avance. Es una lista corta, con dueño y fecha para cada brecha, que el comité pueda aprobar y presupuestar. Si una brecha aparece tanto frente a ISO como frente a la circular, póngala primero.

• Defina el alcance del SGSI. En un grupo financiero, decida si cubre una sola institución o varias, y qué procesos entran.
• Reúna lo que ya existe por la circular: el marco del Art. 18, la metodología de riesgos, las políticas del Art. 22, el plan de continuidad, los informes de auditoría de sistemas.
• Compare cada requisito de la norma con esa evidencia y marque si está completo, parcial o ausente.
• Separe las brechas de documento (falta una política) de las brechas de operación (la política existe pero nadie la aplica). Las segundas son las que un auditor encuentra.
• Pruebe en la práctica los controles técnicos más expuestos. Aquí entra el pentest.

ISO 27001 se construye sobre riesgo. Si su evaluación de riesgos dice que la banca en línea o la API de pagos están bien protegidas, alguien tiene que comprobarlo. Un pentest es la forma directa de hacerlo: un tercero intenta explotar los sistemas dentro de un alcance autorizado y documenta qué logró y qué no.

Hecho antes del análisis de brechas, le dice si los controles que figuran en papel funcionan. Después alimenta el tratamiento de riesgos, porque cada hallazgo confirmado es un riesgo con evidencia y no una suposición. Auditoría interna lo usa como prueba de que los controles técnicos se verificaron y de que las correcciones se volvieron a probar.

Para una institución supervisada hay una ventaja adicional. Si la prueba la ejecuta un tercero y el alcance sale del análisis de riesgo de los procesos, el mismo informe puede servir como evidencia del Art. 24 de la circular y como insumo del SGSI. Conviene dejar escrito en el alcance para qué se usará el informe.

Lo que un pentest no hace es reemplazar el sistema de gestión. Un informe sin hallazgos críticos no dice nada sobre políticas o continuidad. Es una pieza de evidencia, no el SGSI.

ISO no certifica a nadie. Su sitio lo dice sin rodeos: "ISO does not perform certification or issue certificates". La certificación la hacen organismos de certificación externos. Según ISO, la certificación de un organismo acreditado puede dar una capa adicional de confianza, porque un organismo de acreditación ya confirmó de forma independiente su competencia.

La certificación es opcional. Según ISO, algunas organizaciones adoptan la norma para usar sus buenas prácticas y otras además se certifican para dar confianza a sus clientes. Si un banco le pide "ISO 27001" a su empresa proveedora, pregunte qué espera exactamente: una certificación con alcance definido, o evidencia de que usted gestiona la seguridad con ese marco.

Al elegir certificador, pida el nombre del organismo que lo acredita y confirme que el alcance de la certificación cubre los servicios que presta a su cliente. ISO pide citar la norma con su referencia completa, por ejemplo "ISO/IEC 27001:2022", y no solo "ISO 27001".

Toukan no es organismo de certificación ni consultor de implementación. Hacemos la prueba técnica y entregamos el informe que usted presenta a su certificador o a la CNBS.

No publicamos cifras de costo de implementación o certificación ISO 27001 en Honduras porque no tenemos una fuente que las respalde. Dependen del alcance del SGSI y del certificador que elija. Pida cotizaciones con el mismo alcance escrito a cada proveedor para poder compararlas.

Lo que sí podemos decir es lo que cuesta la parte técnica con Toukan. Un pentest de red externa, hasta 16 IP públicas activas en 4 días, o de una aplicación web o API, hasta 2 roles y 20 endpoints en 5 días, parte de USD 3,000. Red externa más una aplicación en una sola prueba parte de USD 5,500. Cada paquete incluye una verificación de correcciones dentro de 90 días. De la firma al informe pasan de 2 a 4 semanas.

Si su meta es una auditoría de certificación con fecha, haga el pentest con tiempo para corregir y verificar antes de la auditoría. Un informe con hallazgos abiertos y sin plan es peor evidencia que uno con hallazgos cerrados.