¿Está la empresa certificada en ISO 27001?

Certificación o solo la norma aplicada

Esta pregunta indaga sobre un certificado, no sobre una intención. "ISO 27001 certificada" significa que un organismo certificador independiente ha evaluado la empresa y ha expedido un certificado, con una fecha de vigencia y una descripción del alcance. Si la empresa funciona de acuerdo con la norma, pero nunca ha sido auditada, la respuesta a esta pregunta específica es no, incluso si la práctica sustantiva podría ser comparable. Esa es precisamente la materia de los cuestionarios de este tipo: no "¿aplicamos la seguridad de la información", sino "¿ha sido verificada y confirmada externamente".

Si no hay certificado, es habitual comunicarlo así simplemente, posiblemente con una breve explicación de lo que sí existe: una política de seguridad de la información, un análisis de riesgos, o medidas que se alinean sustantivamente con la norma sin la evaluación formal. Muchos clientes aceptan eso como respuesta intermedia, especialmente cuando las medidas subyacentes — como la política para análisis de riesgos y la protección de los sistemas de información o los acuerdos sobre control de acceso y activos — están en orden. Lo que falta entonces es el certificado como prueba, no la práctica que lo respalda.

Anexo A como prueba práctica

La fundamentación de lo que audita un auditor se encuentra en el Anexo A de ISO/IEC 27001: la lista de medidas de control que prescribe la norma, desde el control de acceso hasta las relaciones con proveedores hasta la gestión de incidentes. Esa lista es útil como checklist, incluso sin certificado: quien pueda demostrar que la mayoría de las medidas del Anexo A han sido implementadas puede proporcionar eso como explicación junto con una respuesta "no" a la pregunta de certificación. El certificado en sí, con alcance y fecha de vigencia, sigue siendo la única prueba que responde literalmente "sí" a la pregunta.