- ISO/IEC 27001:2022 define los requisitos de un sistema de gestión de seguridad de la información. Su Anexo A referencia 93 controles (IAF MD 26), que la guía ISO/IEC 27002 agrupa en controles organizacionales, de personas, físicos y tecnológicos.
- ISO no emite certificados. Los emite un organismo de certificación que trabaja bajo ISO/IEC 17021-1 e ISO/IEC 27006-1:2024, idealmente acreditado.
- Según IAF e ISO, la certificación acreditada no implica que el producto o servicio de la organización esté certificado, ni reemplaza una auditoría completa de cumplimiento legal.
- El ciclo de certificación dura tres años: auditoría inicial, vigilancias en el primer y el segundo año, y recertificación en el tercero. Desde el 31 de octubre de 2025, ningún certificado acreditado contra la edición 2013 sigue vigente (IAF MD 26).
Dos empresas pueden mostrar el mismo sello de ISO/IEC 27001:2022 y estar certificadas sobre cosas muy distintas. El certificado de una puede cubrir toda la plataforma que te vende, y el de la otra, solo su oficina administrativa. Los dos son válidos. Lo que los separa es el alcance, una línea del propio documento.
El documento conjunto de IAF e ISO sobre lo que se puede esperar de una certificación acreditada arranca justamente por ahí. Su fórmula central empieza con "For the defined certification scope". Todo lo que el certificado asegura vale dentro de ese alcance, y fuera de él no asegura nada.
ISO/IEC 27001 certifica un sistema de gestión, no un producto
ISO/IEC 27001 es una norma de requisitos para un sistema de gestión de seguridad de la información (SGSI). ISO la describe así: "It defines requirements an ISMS must meet." Cumplirla significa que la organización montó un sistema para gestionar los riesgos sobre los datos que tiene o maneja. La edición vigente se publicó en octubre de 2022, y en 2024 recibió una enmienda de una página que pide evaluar si el cambio climático es un tema relevante para el sistema.
Las cláusulas 4 a 10 son los requisitos, y el grupo de prácticas de auditoría del comité que escribe la norma (ISO/IEC JTC 1/SC 27) es explícito: no se puede excluir ninguna. El Anexo A es un catálogo de referencia de 93 controles que la organización compara contra los que eligió, para verificar que no omitió ninguno necesario. Respecto de la edición 2013, que tenía 114, la de 2022 suma 11 controles nuevos, fusiona 24 y actualiza 58, según el documento de transición de IAF.
El resultado de esa comparación es la Declaración de Aplicabilidad: el documento donde la organización lista qué controles necesita, por qué, si están implementados y por qué excluye los del Anexo A que no aplica. Un control no es obligatorio por estar en el Anexo A. Lo decide la propia organización a partir de su evaluación de riesgos.
Esto la separa de ISO/IEC 30107-3, que es una norma de ensayo: define cómo medir el desempeño de un mecanismo de detección de ataques de presentación, y excluye de su alcance la evaluación de seguridad del sistema completo. Un ensayo de ese tipo, como el que hace el laboratorio iBeta, mide un mecanismo puntual. ISO/IEC 27001 audita cómo una organización gestiona el riesgo, y un resultado no dice nada sobre el otro.
Lo que el certificado sí le garantiza a tus usuarios
Un certificado acreditado le garantiza a quien lo recibe que, dentro del alcance declarado, la organización tiene políticas y procesos para cumplir los objetivos de la norma, y que un tercero independiente lo auditó. El documento de IAF e ISO sobre resultados esperados lo formula como confianza en que la organización tiene un sistema de gestión que cumple los requisitos aplicables de la norma.
Entre los resultados que ese documento enumera, los que más le sirven a un cliente son estos:
- Un sistema adecuado al contexto de la organización y al alcance de la certificación.
- Riesgos y oportunidades identificados y tratados en función de ese contexto.
- Auditoría interna y revisión por la dirección implementadas y efectivas.
A eso se suma la mejora continua, que ISO pone en la descripción misma de la norma: establecer, implementar, mantener y mejorar el sistema de forma continua.
Para los usuarios, la consecuencia práctica es que la confidencialidad, la integridad y la disponibilidad de la información se gestionan con un proceso de riesgos que un tercero revisa todos los años. El ciclo de certificación dura tres años, con una auditoría inicial en dos etapas, vigilancias en el primer y el segundo año y una recertificación en el tercero, antes del vencimiento.
Lo que el certificado no garantiza
Un certificado ISO/IEC 27001 no garantiza que el producto sea seguro, ni cubre lo que quede fuera de su alcance. Lo dice el documento de IAF e ISO, en su sección sobre lo que la certificación acreditada no significa: las normas de sistemas de gestión fijan requisitos sobre el sistema, no criterios de desempeño específicos. Una auditoría de sistema de gestión tampoco es una auditoría completa de cumplimiento legal. Y dentro de su alcance, la certificación no implica que la organización ofrezca un producto superior, ni que su producto o servicio esté certificado contra una norma.
Leído desde el lado del usuario:
- El producto. Que un proveedor tenga ISO/IEC 27001 no dice nada sobre si su motor biométrico detecta un ataque. Eso lo mide un ensayo como el de ISO/IEC 30107-3.
- Los incidentes. IAF e ISO no lo dicen con esas palabras, pero se deduce de lo anterior: si la norma no fija un desempeño, un certificado vigente no promete que no vaya a haber una brecha. Promete que hay un sistema para gestionar ese riesgo y responder.
- Lo que queda fuera del alcance. Un servicio, un sitio o un proceso que el certificado no nombra no está cubierto, aunque lo preste la misma empresa.
Un certificado emitido a un proveedor cloud grande, reemitido en enero de 2026, lo escribe en el propio documento: aclara que por la naturaleza muestral de la evaluación no expresa ninguna garantía sobre el desempeño de la organización certificada.
El alcance es la letra chica que define todo
El alcance es la parte del certificado que dice qué actividades, productos, servicios y sitios cubre, y es la que más pesa. La lista de verificación con la que un organismo de acreditación revisa a las certificadoras, construida sobre ISO/IEC 17021-1, pide que el certificado identifique:
- La organización y la ubicación de cada sitio incluido.
- Las fechas de otorgamiento y de vencimiento.
- Un código de identificación único.
- La norma, con su edición.
- El alcance, por producto, servicio o proceso en cada sitio.
- El nombre de la certificadora y, si corresponde, la marca de acreditación.
En ISO/IEC 27001 se suma la Declaración de Aplicabilidad. La guía del grupo de auditoría del SC 27 indica que los documentos de certificación deben referenciar la versión de la Declaración de Aplicabilidad. Esa guía cita la edición 2015 de la norma que rige a las certificadoras. La edición 2024 mantiene una sección sobre los documentos de certificación, aunque no pudimos leer su texto, y un certificado reemitido en enero de 2026 todavía trae la fecha de su Declaración de Aplicabilidad.
Entre los ejemplos de certificado falsificado que da IAF está el de un alcance presentado como más amplio de lo que realmente es.
Cómo verificar un certificado antes de confiar en él
Un certificado se verifica mirando la edición, quién lo emitió, el registro público y el alcance. La edición primero: desde el último día de abril de 2024, las certificaciones iniciales y las recertificaciones se hacen solo contra ISO/IEC 27001:2022. El 31 de octubre de 2025 terminó la transición, y según IAF MD 26 todas las certificaciones basadas en la edición 2013 "shall expire or be withdrawn". Un certificado acreditado que hoy dice 2013 no está vigente, aunque la fecha impresa sea posterior.
Después, quién lo emitió. ISO no certifica a nadie, y la frase "certificado por ISO" es incorrecta. Lo emite un organismo de certificación, y la confianza adicional viene de que un organismo de acreditación haya confirmado su competencia. Desde el 1 de enero de 2026, IAF dejó de operar y su rol lo asumió Global Accreditation Cooperation (Global ACI); las acreditaciones reconocidas bajo IAF siguen valiendo durante la transición.
El registro público ayuda, con un límite. IAF CertSearch permite confirmar el estado de un certificado acreditado, pero no es exhaustivo. El documento que lo regula admite que una certificadora no cargue datos por leyes de privacidad o requisitos regulatorios, o que marque datos como confidenciales, y el organismo de acreditación alemán, DAkkS, aclaró en noviembre de 2024 que no exige su uso. Si un certificado no aparece, se le pregunta a la certificadora que figura en él.
Por último, el alcance, con preguntas concretas: ¿incluye el servicio que me presta?, ¿cubre los sitios desde donde se opera?, ¿qué versión de la Declaración de Aplicabilidad referencia?, ¿cuándo fue la última vigilancia?
En la región, esta lectura cae del lado del comprador. Ninguna de las normas que revisamos de los reguladores financieros de Brasil, México, Colombia y Argentina exige ISO/IEC 27001 por nombre. En Brasil, la Resolução CMN 4.893 le pide a la institución verificar que su proveedor de nube adhiere a las certificaciones que la propia institución exija, y tener acceso a los informes del auditor independiente de ese proveedor. Qué certificado pedir y cómo leerlo es decisión de la entidad.
Qué hace VU
VU tiene certificación ISO/IEC 27001:2022 e ISO/IEC 27017:2015. ISO/IEC 27017 es una guía de controles para servicios en la nube, hoy en su edición 2026. No se certifica sola: sus controles se incorporan al sistema de gestión de ISO/IEC 27001 a través de la Declaración de Aplicabilidad. Si evalúas una plataforma de identidad, pide el alcance y la Declaración de Aplicabilidad como parte de la evaluación. Conoce Verifica, la verificación de identidad de VU.
Un certificado ISO/IEC 27001 vale exactamente lo que dice su alcance, y eso se lee, se pregunta y se verifica.
conversemos.
