Estamos preparando Qalion para la certificación ISO/IEC 27001. Qué cubre la norma, cómo funciona la auditoría, qué papel tiene el RGPD y qué puedes pedirnos mientras tanto.
Los datos de prueba rara vez son solo datos de prueba. Un flujo de pago lleva números de tarjeta de sandbox, un registro lleva nombres y direcciones de correo, y las capturas que demuestran que una ejecución ha pasado muestran todo lo que había en pantalla. Al confiarlos a una plataforma de pruebas, le confías una parte de tu producto y, a veces, de tus clientes. Por eso trabajamos para obtener la certificación ISO/IEC 27001, y por eso queremos ser precisos sobre lo que significará y lo que no.
Qué es la ISO 27001
La ISO/IEC 27001 es la norma internacional de los sistemas de gestión de la seguridad de la información, o SGSI: las políticas, las personas y los procesos que una organización utiliza para identificar sus riesgos de seguridad y mantenerlos bajo control. La edición vigente se publicó en 2022.
La norma no prescribe un ajuste concreto del producto ni una regla de cortafuegos. Pide un sistema que funcione de forma continua: saber qué información se tiene, evaluar los riesgos que la amenazan, elegir los controles que tratan esos riesgos, comprobar que funcionan y mejorarlos.
Qué incluye
- Una evaluación de riesgos y un plan de tratamiento que cubren la información que tratamos, incluidos tus casos de prueba, tus resultados de ejecución y tus evidencias.
- Una declaración de aplicabilidad que indica cuáles de los 93 controles de referencia del anexo A se aplican a nosotros, y por qué. Se agrupan en controles organizativos, de personas, físicos y tecnológicos.
- Responsables designados, auditorías internas y revisiones por la dirección, para que el sistema no lo revisen solo quienes lo construyeron.
- Un registro de incidentes, cambios y acciones correctivas, mantenido a lo largo del tiempo.
Cómo funciona la certificación
La certificación la concede un organismo de certificación independiente y acreditado, tras una auditoría en dos fases. La primera revisa el diseño y la documentación del SGSI. La segunda comprueba, con evidencias, que funciona realmente como se describe.
Un certificado es válido durante tres años, con una auditoría de seguimiento cada año y una recertificación completa al final. No es una insignia puntual: el auditor vuelve.
Qué papel tiene el RGPD
La ISO 27001 y el RGPD responden a preguntas distintas. El RGPD es una ley: establece cuándo pueden tratarse datos personales y qué derechos tienen las personas sobre ellos. Su artículo 32 pide a los responsables y encargados del tratamiento que apliquen medidas técnicas y organizativas apropiadas para proteger esos datos. La ISO 27001 es una de las formas más extendidas de demostrar que esas medidas existen y se mantienen.
La certificación no hace, por sí sola, que una organización cumpla el RGPD, y nunca la presentaremos así. Lo que aporta es una base de seguridad verificada de forma independiente bajo los compromisos que ya asumimos: tratamiento en la región que elijas, ninguna transferencia fuera de ella, cifrado en tránsito con las credenciales cifradas en reposo y datos aislados por organización.
Dónde estamos hoy
Nuestro SGSI se está preparando para la auditoría de un organismo de certificación acreditado. Publicaremos el certificado, su alcance y el organismo emisor en cuanto se emita. Hasta entonces, no presentaremos Qalion como certificado en ISO 27001.
Si tu revisión de seguridad no puede esperar, pregúntanos. Podemos explicar a tu equipo nuestros controles actuales, nuestros flujos de datos y nuestras regiones de alojamiento, y firmar un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.
Lo que viene después
Una vez obtenida la ISO 27001, el siguiente paso de nuestra hoja de ruta es un examen SOC 2 Type II, que comprueba cómo se mantienen nuestros controles durante meses y no en un solo día.