Contexto operativo
Sector financiero regulado, mediana escala, operación en mercado LATAM con marcos de continuidad y seguridad supervisados por autoridad nacional. Certificación previa: ISO 27001:2013 desde 2019, tres ciclos de auditoría de seguimiento aprobados sin no conformidades mayores. Transición a 2022 prevista para el siguiente ciclo de recertificación.
Pregunta del directorio
¿Por qué un SGSI con tres ciclos limpios de seguimiento mostraría brechas materiales frente a la revisión 2022 si la transición se limita a renominar controles? El comité de auditoría sospechaba que la certificación vigente cubría documentación, no comportamiento.
Metodología aplicada
- 1Fase 1 (Board Intake) · 1 semana: alcance, exclusión de procesos no certificados, acuerdo de imparcialidad reforzado por Firewall 01C.
- 2Fase 2 (Diagnostic Snapshot) · 1 semana: vista semáforo por cláusula de ISO 27001:2022.
- 3Fase 3 (Clause-Based Gap Review) · 3 semanas: muestreo de evidencias, entrevistas a 12 propietarios de control y revisión de 23 procedimientos.
- 4Fase 4 (Risk Prioritization) · 1 semana: mapa de acción de 47 acciones con dueño, fecha tope y criterio de cierre.
Cinco hallazgos prioritarios
- 01Gestión de proveedores: dependencia operativa total en proveedor cloud crítico para procesamiento de pagos, sin plan de salida documentado (A.5.19 + A.5.30).
- 02Monitorización de actividades: ausencia de detección de uso anómalo de cuentas privilegiadas con criterio de respuesta operativa definido (A.8.16).
- 03Gestión de identidades: cuentas de servicio con privilegios elevados sin rotación documentada en 18 meses (A.5.16).
- 04Shadow IT: dos áreas funcionales habían adoptado herramientas SaaS de terceros sin pasar por el proceso de aprobación de seguridad — una procesaba datos regulados.
- 05Gap entre madurez declarada y observable: el nivel 4 declarado se sostuvo solo en 4 de los 9 dominios cuando se muestreó evidencia.
Lo que el directorio decidió
Plan de cierre a 90 días con presupuesto y dueño por cada no conformidad mayor
Aprobado por el comité en sesión extraordinaria
Creación de comité de proveedores críticos con representación CIO, CISO y CFO
Operativo con mandato formal a los 21 días
Mandato al CTO de presentar plan de salida del proveedor cloud crítico en 120 días
Plan entregado en plazo con cronograma de 18 meses para diversificación
Política de adopción de SaaS por unidad de negocio con check obligatorio de seguridad
Política aprobada y comunicada en 45 días
Frecuencia trimestral de revisión por la dirección durante el ciclo de transición
Cuatro revisiones realizadas en el período
Cierre con evidencia
La auditoría de certificación de transición a ISO 27001:2022 se condujo por organismo de certificación acreditado distinto del titular del informe preliminar, sin que existiera relación contractual entre ambas instancias. Resultado de la certificación: aprobada, con dos observaciones menores no críticas, ninguna no conformidad mayor.
Lecciones transferibles
L1. Ciclos limpios de seguimiento no garantizan paridad con la revisión 2022. Los 11 controles nuevos del Anexo A 2022 son áreas en las que una organización 2013 limpia puede tener brechas materiales sin advertirlas.
L2. El gap entre madurez declarada y observable se evidencia con muestreo de evidencias, no con cuestionarios autocompletados. Si el comité de auditoría no requiere evidencia, la madurez declarada se infla.
L3. La concentración de proveedor cloud crítico es una no conformidad mayor en la versión 2022, y en general una vulnerabilidad estructural de continuidad y seguridad simultáneamente. Es punto de cruce ISO 27001 + ISO 22301.
L4. Shadow IT en áreas funcionales con datos regulados es síntoma de un proceso de adopción débil, no de una falla individual. La acción no es reprender; es rediseñar el flujo de adopción.
"Tres ciclos limpios de seguimiento certificaron la documentación, no el sistema."
¿Su organización necesita una evaluación similar?
Aplicable a la misma norma (ISO 27001) o a su equivalente sectorial. Diagnóstico inicial en 72 horas operativas con la metodología de cinco fases.