ISO 27001 en El Salvador: análisis de brechas y pruebas de penetración

ISO/IEC 27001:2022 establece los requisitos de un sistema de gestión de seguridad de la información, el SGSI. Es una norma de gestión: pide decidir el alcance, evaluar riesgos, elegir controles, medir si funcionan y mejorar. No dice qué firewall comprar ni cada cuánto hacer un pentest.

ISO no certifica. Su propio centro de ayuda lo dice: ISO no realiza certificación ni evaluación de la conformidad. La certificación la emiten organismos de certificación independientes. Toukan no es uno de ellos. Lo que hacemos es el análisis de brechas frente a la norma y las pruebas técnicas que muestran si los controles resisten un ataque.

La política de ISO sobre su nombre y logo tampoco deja margen: "Don't use or copy the ISO logo". Si su área de mercadeo quiere anunciar la certificación, use el nombre completo de la norma y el texto que le autorice su organismo de certificación, sin el logo de ISO.

En los textos que revisamos para esta guía (NRP-23, NRP-32, Ley de Ciberseguridad y ley de protección de datos personales) ninguno exige la certificación ISO 27001. Todos apuntan a estándares internacionales como referencia, sin nombrar uno.

La NRP-23 lo dice de forma expresa al final de su Art. 10: "En función a su tamaño, naturaleza y complejidad de productos, servicios y operaciones, las entidades podrán someter sus procesos a certificaciones reconocidas internacionalmente en relación a la seguridad de la información." Podrán, no deberán.

La Ley de Ciberseguridad pide a sus sujetos obligados una estrategia de seguridad "apegado a estándares o marcos de referencia nacionales e internacionales" (Art. 6 b), y las normativas de la ACE se basarán en estándares de ese tipo (Art. 5). La ley de protección de datos personales encarga a la ACE dictar medidas de seguridad con "buenas prácticas a nivel internacional" (Art. 50 i). ISO 27001 es una forma reconocida de ordenar ese trabajo. La ley no la nombra.

La NRP-23 usa el mismo término, SGSI, y su Art. 10 sigue el ciclo de un sistema de gestión. Para establecerlo pide definir el alcance, una política, el análisis de riesgos con la metodología aprobada por la Junta Directiva y controles documentados. Para operarlo, un plan de tratamiento, la medición de la efectividad de los controles y capacitación al menos una vez al año. Después vienen las revisiones periódicas y las acciones correctivas. Quien ya tiene un SGSI alineado a ISO 27001 tiene buena parte del camino hecho.

Lo que ISO 27001 no trae son las obligaciones salvadoreñas de reporte y plazos. Esas hay que agregarlas al SGSI. La tabla resume las principales.

Si su empresa da servicios de tecnología a un banco, una aseguradora o una AFP en El Salvador, el Anexo 1 de la NRP-23 explica por qué le piden documentos. El numeral 6 de la Sección A obliga a la entidad a "requerir al proveedor de servicios prestados una declaración jurada o certificación vigente, que indique que cuentan con un programa o gestión de la seguridad de la información, planes de continuidad del negocio, pruebas desarrolladas y resultados de las pruebas".

El numeral 7 agrega que la entidad debe poder pedir al proveedor "informes de auditoría vigentes" y entregarlos a la Superintendencia cuando ella los pida. La debida diligencia sobre el proveedor se documenta y se revisa cada año (numeral 3 c).

Para un centro de llamadas, una fintech o una empresa de software, eso deja dos caminos. Uno es la certificación ISO 27001 de un organismo de certificación. El otro es una declaración jurada respaldada por evidencia: su programa de seguridad, su plan de continuidad y los resultados de pruebas recientes. Un informe de pentest con correcciones verificadas sirve en los dos casos como prueba desarrollada con resultado.

Un análisis de brechas compara lo que su organización hace hoy con lo que pide la norma y entrega una lista de diferencias, con prioridad y responsable. En El Salvador conviene hacerlo contra ISO 27001 y contra la NRP-23 a la vez, para no construir dos sistemas paralelos.

El resultado no es una certificación ni una opinión de cumplimiento. Es un plan de trabajo. Las brechas documentales, como una política sin aprobar o un inventario incompleto, se cierran con su equipo. Las técnicas, como un control de acceso que no funciona, se confirman con pruebas.

El análisis de riesgos del Art. 10 de la NRP-23 debe considerar "las amenazas y las vulnerabilidades" a las que están expuestos los activos. Sin una prueba, las vulnerabilidades del análisis son supuestos. El mismo artículo pide especificar cómo se medirá la efectividad de los controles, y un pentest es una medición directa: el control resistió o no resistió.

Un mismo informe puede servir a varios lectores. Auditoría interna lo revisa para la NRP-23, el auditor de su organismo de certificación lo ve como evidencia de gestión de vulnerabilidades técnicas, y un banco cliente lo recibe como resultado de pruebas bajo el Anexo 1. Cada hallazgo de Toukan se confirma a mano y lleva su corrección. La verificación de las correcciones va incluida, dentro de 90 días.

Los precios de Toukan parten de USD 3,000 por alcance definido, y del contrato firmado al informe pasan de 2 a 4 semanas. El informe ejecutivo y técnico lo firma la persona que acordó el alcance y dirigió la prueba. Firmamos un NDA antes de recibir información.

Antes de firmar con un consultor o con un organismo de certificación, aclare estos puntos por escrito:

• ¿La propuesta es de consultoría para implementar, o de auditoría para certificar? Son servicios distintos.
• ¿El alcance del SGSI coincide con los procesos que la NRP-23 o su cliente bancario necesitan ver?
• ¿Incluye pruebas técnicas o solo documentos y políticas?
• ¿Quién hace las pruebas, quién firma el informe y cuántas verificaciones de correcciones incluye?
• ¿El plan considera los plazos salvadoreños, como el informe a la Superintendencia dentro de 120 días del cierre?