Consultoría e implementación ISO/IEC 27001:2022
Te pidieron ISO 27001. Te llevamos hasta el certificado — y hacemos que siga siendo verdad después.
Implementamos con tu equipo un sistema de gestión de seguridad de la información (SGSI) basado en ISO/IEC 27001:2022, para empresas en Chile a las que un cliente, una licitación o el directorio les exigen demostrar cómo gestionan la seguridad. Del diagnóstico de brecha a la auditoría interna, hasta llegar preparados a la auditoría de certificación, que realiza un organismo certificador independiente.
ISO/IEC 27001 Lead Auditor · ISO/IEC 27001 Lead Implementer · ISO/IEC 27032 · CISSP en el equipo de JanusNet Chile.
Con experiencia en salud, servicios financieros, fintech, aeropuertos, autopistas y tecnología, entre otros rubros.
Por qué estás aquí
Casi nadie quiere certificarse. Le toca.
Un cliente corporativo lo puso como condición
El contrato está listo y el área de compras pide el certificado, o el cuestionario de seguridad respondido.
Te caíste de una licitación
Por no tener el papel.
El directorio lo puso como meta
Alguien preguntó cómo se compara la empresa con el estándar y no hubo respuesta.
Estás por cerrar una operación
Due diligence, fusión o inversionista. Y una fecha.
En todos los casos el problema es el mismo: hay una fecha, hay alguien esperando, y adentro nadie ha hecho esto antes.
Lo que cambia cuando estás preparado
Las mismas cuatro preguntas, con respuesta
Cuando un cliente pregunte por seguridad, tienes evidencia
El cuestionario se responde con lo que el sistema ya documenta, no con una semana de correos internos.
Cuando llegue una licitación, ISO 27001 deja de ser una barrera de entrada
El requisito se acredita con el certificado y el sistema que lo respalda. Compites por lo que haces.
Cuando el directorio pregunte por riesgos, tienes una respuesta estructurada
Un inventario de riesgos, un plan de tratamiento y una revisión periódica que la gerencia presenta como propios.
Cuando llegue una auditoría, no reconstruyes meses de evidencia
Los registros existen porque el sistema opera, no porque alguien los armó la semana anterior.
Nada de esto garantiza un contrato ni una adjudicación. Garantiza que, cuando la pregunta llegue, no la respondes desde cero.
Por qué ahora
¿Cuánto cuesta seguir postergándolo?
El costo de implementar ISO 27001 suele compararse con el de otra consultoría. Cuando la norma ya es requisito, el costo real puede estar en otra parte:
- Licitaciones, homologaciones y procesos de compra en los que no puedes participar mientras ISO 27001 sea requisito.
- Cierres comerciales que se retrasan cada vez que un cliente manda su cuestionario de seguridad.
- Meses de tu equipo construyendo un sistema de gestión sin haberlo hecho antes, con el riesgo de llegar a la auditoría con lo que no era.
- Brechas que se descubren demasiado tarde: en la auditoría, en la due diligence o en un incidente.
Ninguno es seguro. Ninguno aparece en la cotización, y todos aparecen en la conversación con el gerente general cuando ya pasaron.
Cómo implementamos ISO/IEC 27001:2022
Nueve pasos, y sabes en cuál estás
JanusNet Chile es una empresa de ciberseguridad con sede en Santiago. Implementamos el SGSI con tu equipo, y en cada paso sabes quién participa de tu lado y qué queda al terminarlo.
- Gap assessment
- Roadmap
- Diseño del SGSI
- Gestión de riesgos
- Controles
- Evidencia
- Auditoría interna y revisión
- Preparación para certificación
- Mejora continua
01
Gap assessment
Evaluación de brecha contra los requisitos de ISO/IEC 27001:2022 y los controles de su Anexo A. Sale lo que ya cumples —siempre es más de lo que crees—, lo que falta, qué se reutiliza y qué brechas son técnicas y cuáles de gestión.
Participa: Gerencia, TI y los dueños de los procesos clave, en entrevistas cortas.
Queda: Informe de brecha en lenguaje de gestión, presentable al directorio.
02
Roadmap
Qué implementar, en qué orden, quién lo hace y qué decisiones necesita la gerencia, con el esfuerzo interno estimado antes de empezar.
Participa: Sponsor gerencial y responsable del proyecto por tu lado.
Queda: Plan de trabajo aprobado, con hitos y responsables.
03
Diseño del SGSI
Alcance, política de seguridad, roles y responsabilidades. Lo construimos con tu gente, no en un escritorio aparte: un sistema que nadie de la empresa entiende se cae en la primera auditoría de seguimiento.
Participa: Gerencia y los responsables designados.
Queda: Alcance, política y estructura de responsabilidades aprobadas por la dirección.
04
Gestión de riesgos
Metodología con criterios de aceptación aprobados por la dirección, evaluación, plan de tratamiento y declaración de aplicabilidad: qué controles aplican, cuáles no y por qué. Es lo que el auditor mira primero.
Participa: Dueños de proceso, TI y quien aprueba el riesgo residual.
Queda: Registro de riesgos, plan de tratamiento y declaración de aplicabilidad.
05
Implementación de controles
Controles técnicos y de proceso, según lo que la declaración de aplicabilidad dejó dentro. Cuando aparece una brecha técnica, podemos ayudarte a entenderla y a abordarla, no solo a anotarla como pendiente.
Participa: TI, recursos humanos, legal y compras, según el control.
Queda: Controles operando, con sus procedimientos y sus responsables.
06
Generación de evidencia
Los registros que la auditoría va a pedir, organizados desde el primer día y no armados la semana anterior. Capacitación del personal incluida: también es evidencia.
Participa: Toda la organización dentro del alcance, en distinto grado.
Queda: Evidencia organizada, en un solo lugar y actualizada.
07
Auditoría interna y revisión por la dirección
Auditoría interna completa, con hallazgos y plan de acción, y la revisión por la dirección que la norma exige. Es el ensayo general: lo que falle aquí se corrige antes de que lo vea el organismo certificador.
Participa: Gerencia en la revisión; los responsables de cada control en la auditoría.
Queda: Informe de auditoría interna, acta de revisión por la dirección y acciones correctivas cerradas.
08
Preparación para la certificación
Elección del organismo certificador, preparación del equipo y acompañamiento en las dos etapas de la auditoría. La auditoría entrevista a tu gente, no a nosotros. Se preparan.
Participa: Todos los que serán entrevistados.
Queda: Tu equipo listo y las no conformidades, si aparecen, con plan de cierre.
09
Mejora continua
El certificado dura tres años, con auditorías de seguimiento anuales. Puedes mantener el sistema con tu equipo —te dejamos preparados— o con nuestro acompañamiento.
Participa: El responsable del sistema y la dirección, en el ciclo anual.
Queda: Un sistema que sigue siendo verdad en la primera auditoría de seguimiento.
Ninguna consultora puede prometer el certificado: lo emite un organismo independiente después de su propia auditoría. Lo que sí podemos prometer es llegar preparados. Ningún plazo se compromete acá: depende del alcance y de cuánto orden previo exista, y se define en la propuesta.
La diferencia que se nota después
Hay dos formas de certificar y solo una sirve después
El SGSI tiene que existir también fuera del documento. Los controles tienen que operar, generar evidencia y sostenerse en el tiempo. Somos una empresa de ciberseguridad que implementa sistemas de gestión: una brecha técnica la analizamos desde la práctica, no desde el papel.
| Consultoría de plantilla | Con JanusNet | |
|---|---|---|
| El sistema de gestión | Documentación adaptada de otro cliente | Construido sobre tu operación real |
| Quién lo entiende | El consultor, mientras dura el proyecto | Tu equipo, porque lo construyó |
| Los controles | Documentados | Documentados y operando |
| Las brechas técnicas | Quedan anotadas como pendiente | Se entienden y se abordan: somos una empresa de ciberseguridad |
| Después del certificado | Se va | Puede seguir acompañando la mantención |
| La primera auditoría de seguimiento | Se improvisa de nuevo | Ya está la evidencia acumulada |
Certificar con documentación prestada sirve para pasar la auditoría. Falla cuando el cliente que te pidió el certificado manda además su cuestionario técnico, o cuando un incidente obliga a mostrar que los controles existían de verdad.
Qué recibes
No recibes solamente documentos
Estos son los entregables concretos, uno por cada paso del camino.
Gap assessment
Brechas y prioridades, en lenguaje de gestión.
Roadmap de implementación
Qué debe hacerse, quién es responsable y en qué orden. Con el esfuerzo interno estimado.
Gestión de riesgos
Inventario de activos, riesgos identificados, evaluación, criterios de aceptación y plan de tratamiento.
Declaración de aplicabilidad
Los controles del Anexo A que aplican, los que no, y la justificación de cada decisión.
Políticas y procedimientos
La documentación que la norma exige, escrita sobre cómo funciona de verdad tu organización.
Evidencias
Los registros que demuestran que cada control opera.
Auditoría interna
Hallazgos, plan de acción y revisión por la dirección, antes de la auditoría externa.
Preparación para la certificación
Tu equipo listo para las entrevistas y acompañamiento en las dos etapas de la auditoría del organismo certificador.
Todo esto queda en tu organización y lo entiende tu gente. El sistema no depende de que nosotros sigamos ahí, aunque podamos seguir.
Para seguir leyendo
Para quién es, y para quién no
Encaja bien si
- Un cliente, una licitación, el directorio o una auditoría te exigen ISO 27001, y hay una fecha
- Hay un sponsor a nivel gerencial que va a participar en las decisiones
- Ya tienes algo de orden y quieres que el sistema lo entienda tu equipo, no solo el consultor
- Quieres que el certificado siga siendo verdad en la primera auditoría de seguimiento
No encaja si
- Quieres certificarte en tres meses sin tocar procesos
- Buscas documentación de plantilla para pasar la auditoría y seguir igual
- Nadie de la gerencia va a participar. Sin eso el proyecto se estanca, y te lo decimos antes de empezar
Gap assessment
Dónde estás parado frente a ISO/IEC 27001:2022
Qué evaluamos
- Los requisitos de ISO/IEC 27001:2022
- Los controles de su Anexo A
- Lo que ya cumples y qué se reutiliza
- Qué brechas son técnicas y cuáles de gestión
Qué recibes
Un informe de brecha en lenguaje de gestión, presentable al directorio: qué falta y en qué orden conviene hacerlo. Después te damos un plazo concreto para tu caso. Con eso decides si sigues con nosotros o con tu equipo.
Quién participa
Gerencia, TI y los dueños de los procesos clave, en entrevistas cortas. Se firma un acuerdo de confidencialidad antes de empezar.
Solicita tu gap assessment
Te contactamos en menos de 24 horas hábiles para acordar el alcance.
Antes de la reunión
¿Qué tan preparada está tu empresa para ISO 27001?
15 preguntas · aproximadamente 4 minutos. Responde y descubre tu nivel estimado de preparación, lo que ya tienes avanzado y tus principales brechas. Sin registrarte y sin reuniones.
Preguntas frecuentes
¿Cuánto trabajo le cae a mi equipo?
¿Cuánto puede tardar?
¿Tenemos que partir desde cero? Ya tenemos políticas y controles.
¿JanusNet entrega la certificación?
¿Qué ocurre después de certificarnos?
¿Sirve para responder cuestionarios de seguridad de clientes?
¿Qué pasa con la información que ven durante el proyecto?
¿Se puede hacer junto con la Ley 21.719?
Parte por saber cuánto te falta
Un diagnóstico de brecha te dice dónde estás parado frente a ISO/IEC 27001:2022, qué falta y en qué orden conviene hacerlo. Con eso decides si sigues con nosotros o con tu equipo.
Que funcione. Y que puedas demostrarlo.