01 · Análisis de gaps
Comparamos la postura actual contra cada requisito de las cláusulas 4 a 10 y los controles del Anexo A, con un informe priorizado que muestra exactamente qué falta para la conformidad y el esfuerzo estimado de cada frente.
Compliance · Gobernanza
Consultoría ISO 27001 y certificación del SGSI
La consultoría ISO 27001 de Berghem lleva a su organización del diagnóstico a la certificación del Sistema de Gestión de Seguridad de la Información (SGSI): análisis de gaps contra la ISO/IEC 27001:2022, evaluación y tratamiento de riesgos, implementación de los controles del Anexo A y preparación para la auditoría por un organismo acreditado.
¿Qué es la certificación ISO 27001?
La ISO/IEC 27001 es la norma internacional que define los requisitos para establecer, operar y mejorar continuamente un Sistema de Gestión de Seguridad de la Información (SGSI). La certificación, emitida por un organismo de certificación acreditado, demuestra a terceros — clientes, reguladores y socios — que la seguridad de la información se gestiona mediante procesos formales y auditables, no controles aislados.
La edición vigente, ISO/IEC 27001:2022, incluye un Anexo A con 93 controles organizados en cuatro temas: organizativos, de personas, físicos y tecnológicos. Berghem estructura el SGSI en torno al contexto y los riesgos reales de su negocio, para que la certificación sea consecuencia de una operación segura — y no un ejercicio de papel para el auditor.
Qué está incluido
•Análisis de gaps contra la ISO/IEC 27001:2022
•Definición del alcance y contexto del SGSI
•Evaluación y tratamiento de riesgos + Declaración de Aplicabilidad
•Implementación de los controles del Anexo A
•Políticas, procedimientos y evidencias auditables
•Auditoría interna y preparación para las Etapas 1 y 2
Roadmap
¿Cómo funciona el camino hacia la certificación ISO 27001?
La certificación sigue un camino predecible: diagnóstico, tratamiento de riesgos, implementación, auditoría interna y la auditoría de certificación en dos etapas. Berghem acompaña cada fase y prepara las evidencias que el organismo certificador exigirá.
02 · Contexto y alcance del SGSI
Definimos las fronteras del sistema — unidades, procesos, activos y partes interesadas —, los objetivos de seguridad y las responsabilidades de la dirección, base sobre la que se sostienen el SGSI y la certificación.
03 · Evaluación y tratamiento de riesgos
Estructuramos la metodología de riesgo, identificamos y evaluamos los riesgos de seguridad de la información y definimos el tratamiento de cada uno, consolidado en la Declaración de Aplicabilidad (SoA).
04 · Implementación de los controles
Ponemos en operación los controles aplicables del Anexo A — políticas, gestión de accesos, criptografía, seguridad de operaciones y respuesta a incidentes —, con procedimientos y registros que generan evidencia real.
05 · Auditoría interna y revisión por la dirección
Realizamos la auditoría interna del SGSI y apoyamos la revisión por la dirección, corrigiendo no conformidades antes de que el organismo certificador las encuentre.
06 · Auditoría de certificación
Preparamos la organización para la Etapa 1 (revisión documental) y la Etapa 2 (auditoría de la implementación) del organismo acreditado, y apoyamos el tratamiento de hallazgos hasta la emisión del certificado.
Anexo A
¿Qué controles exige la ISO/IEC 27001:2022?
La edición de 2022 organiza los 93 controles del Anexo A en cuatro temas. La Declaración de Aplicabilidad define cuáles aplican a su contexto — Berghem implementa y evidencia cada control seleccionado.
Controles organizativos
Políticas de seguridad, roles y responsabilidades, gestión de proveedores, clasificación de la información, continuidad y cumplimiento — la columna vertebral de gobernanza del SGSI.
Controles de personas
Selección en la contratación, concienciación y formación, responsabilidades disciplinarias y trabajo remoto — el factor humano, blanco recurrente de la ingeniería social.
Controles físicos
Perímetros seguros, control de acceso, protección de equipos, medios y áreas sensibles — la seguridad del mundo físico que sostiene la capa lógica.
Controles tecnológicos
Gestión de accesos, criptografía, seguridad de redes y endpoints, desarrollo seguro, registro y monitoreo — la capa técnica validada con pruebas reales.
¿Cuáles son las etapas de la certificación y el cronograma?
La auditoría de certificación ocurre en dos etapas realizadas por el organismo acreditado. Del análisis de gaps a la emisión del certificado, el cronograma típico va de 4 a 9 meses, según la madurez y el alcance de la organización.
Etapa 1 — auditoría documental
El organismo acreditado revisa la documentación del SGSI — alcance, política, evaluación de riesgos y Declaración de Aplicabilidad — para confirmar que el sistema está formalizado y listo para la auditoría de implementación.
Etapa 2 — auditoría de implementación
El auditor verifica en campo que los controles del Anexo A operan y generan evidencia, entrevistando a los responsables y examinando registros. Superada la Etapa 2, se emite el certificado.
Cronograma típico (4–9 meses)
Del diagnóstico a la certificación, la mayoría de los proyectos lleva de 4 a 9 meses. Luego siguen las auditorías de mantenimiento anuales y la recertificación completa cada tres años.
¿Cuál es la diferencia entre la auditoría interna y la de certificación?
Son dos auditorías distintas y ambas obligatorias. La auditoría interna es suya; la de certificación es del organismo acreditado.
Auditoría interna (revisión por la dirección)
Requisito del propio SGSI: su organización audita los controles y lleva los resultados a la revisión por la dirección, corrigiendo no conformidades antes de la certificación. Berghem realiza esta auditoría como preparación.
Auditoría de certificación
Realizada por un organismo de certificación acreditado e independiente en dos etapas (documental y de implementación). Es la que da lugar a la emisión del certificado ISO/IEC 27001.
¿Cuánto cuesta la certificación ISO 27001?
No hay un precio único: la inversión depende de factores que definimos en el análisis de gaps inicial. Sume al proyecto de consultoría la tasa que cobra aparte el organismo certificador.
Alcance
Cuántas unidades, procesos y activos entran en el SGSI. Un alcance reducido certifica más rápido y por menos; uno amplio exige más controles y evidencias.
Madurez actual
Las organizaciones con controles y políticas ya en operación parten con ventaja; las que empiezan de cero deben construir buena parte del SGSI antes de la auditoría.
Equipo y disponibilidad
El tamaño del equipo, la disponibilidad de los responsables y la complejidad tecnológica influyen en el esfuerzo de implementación y, por tanto, en el costo total.
Para un presupuesto a medida, hable con un especialista: Hablar con un especialista.
¿La ISO 27001 es lo mismo que cumplir con la LGPD?
No. La ISO 27001 es una norma internacional de gestión de la seguridad de la información; la LGPD es la ley brasileña de protección de datos personales. El SGSI de la ISO 27001 aporta gran parte de los controles técnicos y de gobernanza que exige la LGPD, pero no cubre las obligaciones jurídicas — bases legales, derechos del titular e informe de impacto. Integrados, ambos programas reducen mucho el esfuerzo de cumplimiento.
¿Cómo se aplica la ISO 27001 por sector?
El SGSI se adapta al contexto y los riesgos de cada sector. Algunos ejemplos de cómo estructuramos el alcance y los controles:
Financiero
Bancos, fintechs y medios de pago usan el SGSI como base para las resoluciones del BACEN/CMN y el PCI DSS, reutilizando controles entre frameworks.
Salud
Operadoras, clínicas y healthtechs alinean la protección de datos sensibles de pacientes con la LGPD sobre la estructura de controles de la ISO 27001.
Tecnología
SaaS y proveedores de software usan la certificación como requisito comercial, demostrando a clientes y socios que la seguridad se gestiona por procesos.
Sector público y otros
Organismos y empresas reguladas construyen una gobernanza de seguridad auditable, conectando el SGSI con los demás requisitos de cumplimiento de su sector.
Por qué Berghem
¿Por qué hacer la ISO 27001 con una empresa ofensiva?
La mayoría de las consultorías de ISO 27001 se detienen en el papel. Berghem valida los controles tecnológicos del Anexo A con pentest real, convirtiendo la certificación en evidencia de seguridad — no solo de cumplimiento.
Controles validados en la práctica
Los controles tecnológicos del Anexo A ganan prueba de eficacia al confrontarse con nuestro pentest. El auditor recibe evidencia de que los controles funcionan, y su organización gana una postura de seguridad real.
Integración con su programa de seguridad
Conectamos el SGSI con el resto de su programa — pentest, DevSecOps y respuesta a incidentes — para que la certificación refuerce la operación de seguridad en lugar de competir por recursos.
Preparación para múltiples frameworks
El SGSI de la ISO 27001 sirve de base para PCI DSS, LGPD y las resoluciones del BACEN/CMN sobre seguridad cibernética, incluida la 4.893. Estructuramos los controles para que un mismo esfuerzo atienda varios requisitos.
FAQ
Preguntas frecuentes sobre la certificación ISO 27001
¿Cuánto tiempo lleva obtener la certificación ISO 27001?
Depende de la madurez actual, el alcance y la disponibilidad del equipo. Las organizaciones con controles informales avanzan más rápido; las que parten de cero deben construir el SGSI antes de la auditoría. El análisis de gaps inicial define el cronograma realista.
¿Cuál es la diferencia entre ISO 27001 e ISO 27002?
La ISO 27001 contiene los requisitos certificables del SGSI y el Anexo A con la lista de controles. La ISO 27002 es la guía de implementación que detalla cada control. Se certifica la ISO 27001 y se usa la ISO 27002 como referencia práctica.
¿Berghem emite el certificado ISO 27001?
No. El certificado lo emite un organismo de certificación acreditado e independiente, que audita el SGSI en las Etapas 1 y 2. Berghem actúa como consultoría: estructura el sistema, implementa los controles y prepara la organización para superar esa auditoría.
¿Qué es la Declaración de Aplicabilidad (SoA)?
Es el documento que lista todos los controles del Anexo A y justifica cuáles aplican a su contexto, cuáles se excluyeron y por qué, además del estado de implementación de cada uno. Es uno de los artefactos centrales examinados por el auditor.
¿La ISO 27001 ayuda con el cumplimiento de la LGPD?
Sí. El SGSI de la ISO 27001 aporta la estructura de gobernanza y los controles técnicos que sostienen buena parte de las exigencias de seguridad de la LGPD. No sustituye la adecuación jurídica, pero reduce mucho el esfuerzo cuando los programas se integran.
Empecemos
¿Listo para certificar su SGSI en ISO 27001?
En una conversación de 30 minutos mapeamos su madurez actual y diseñamos el camino a la certificación — del análisis de gaps a la auditoría del organismo acreditado.