Seguridad de la información y cumplimiento ISO

Proyectos de seguridad de la información y cumplimiento ISO

Trato la seguridad de la información como parte del proceso, no como un paso separado posterior al desarrollo. En 2025 completé una formación intensiva en este campo y dirijo proyectos alineados con los principios de los sistemas de gestión ISO.

A quién va dirigido

Está dirigido a organizaciones que deben implantar un sistema de gestión como ISO 27001 o ISO 42001 por un requisito de un cliente o de un regulador, pero no saben cómo planificar el alcance y el esfuerzo. Empezamos trazando un alcance realista y luego dividimos el trabajo en pasos pequeños.

Qué hago

• Pruebas de penetración y evaluación de seguridad
• Aplicación de principios de desarrollo seguro de software
• Perspectiva de asesoría en seguridad de la información (ISO/IEC 27001:2022) y en sistemas de gestión de IA (ISO/IEC 42001:2023)
• Informática forense: revisión posterior a incidentes y perspectiva de integridad de las pruebas

Formación completada: cursos de auditor líder en ISO/IEC 27001:2022 y 42001:2023, Especialización en ciberseguridad, Especialización en hacking ético (White-Hat), Especialización en cibercriminalidad y Especialización en informática forense. Los detalles están en la página Certificados. Esta página no significa que se haya emitido una certificación organizacional; describe mi formación personal y mi experiencia práctica.

Cómo gestiono el trabajo en esta área

Suele suponerse que los proyectos de cumplimiento son papeleo; la dificultad real está en trazar bien el alcance, asumir los riesgos y reunir evidencias a partir del trabajo cotidiano.

Pasos

1. Alcance y contexto: se deja por escrito qué unidad, proceso y activos abarca el sistema de gestión.
2. Evaluación de riesgos: los activos, las amenazas y los riesgos se registran junto con sus responsables.
3. Plan de controles y documentación: qué control se aplica y cómo, y qué registros se conservan.
4. Implementación y recopilación de registros: los controles se integran en el trabajo diario para que las evidencias se generen como subproducto.
5. Revisión interna y preparación para la auditoría: las brechas se detectan y se cierran antes de la auditoría.

Entregables

• Declaración de alcance
• Registro de riesgos y plan de tratamiento
• Borradores de políticas y procedimientos
• Resumen de la revisión interna y lista de preparación para la auditoría

Métodos y herramientas

El plan del proyecto vincula la cadena alcance–riesgo–documentación–revisión a un calendario regular. No es una promesa de certificación; es un servicio para llevar el trabajo de cumplimiento de forma ordenada.

Riesgos habituales y cómo los gestiono

• Alcance demasiado amplio o demasiado estrecho: El alcance se revisa junto con los objetivos de negocio y el inventario de activos.
• Existen documentos, pero no la práctica: Los controles se integran en el trabajo diario; las evidencias provienen del proceso.
• Riesgos sin responsable: Cada riesgo recibe un responsable y una fecha de mitigación.

Criterios de aceptación

• La declaración de alcance ha sido aprobada por la dirección.
• El registro de riesgos está actualizado; cada riesgo tiene un responsable y una decisión de tratamiento.
• Las políticas y los procedimientos reflejan el trabajo realmente ejecutado.
• Los hallazgos de la revisión interna están cerrados o programados.

Qué le preguntaré antes de empezar

• ¿Qué norma o requisito de cliente motiva este trabajo?
• ¿Qué unidades, procesos y sistemas estarán dentro del alcance?
• ¿Existen políticas y registros previos?
• ¿Hay una fecha objetivo de auditoría y un organismo de certificación?

Ritmo de comunicación

Un resumen mensual para la dirección, reuniones de trabajo quincenales y una lista con responsables para los puntos abiertos.

Por qué importa para liderar equipos de IA

Mi formación como auditor líder de ISO/IEC 42001 me ayuda a reducir la gobernanza de la IA a preguntas concretas: ¿para qué sirve este sistema, quién responde por él, qué datos utiliza, cómo se supervisa? En un puesto C-level de IA esas preguntas se convierten en el lenguaje común entre el equipo técnico y el consejo.

Preguntas frecuentes

¿Emite usted certificaciones?

No. La certificación corresponde a organismos acreditados; yo ayudo a planificar y ejecutar el trabajo de cumplimiento.

¿Tiene sentido ISO 27001 para un equipo pequeño?

Sí, cuando el alcance se traza pequeño y realista; lo evaluamos en la conversación sobre necesidades.

Para empezar: describa su objetivo en dos o tres frases a través de Contacto o por WhatsApp (+90 531 679 10 14). Para conocer mi método general, consulte Gestión de proyectos; para mi ritmo de trabajo, Cómo trabajo; y para otras áreas, Servicios. Trabajo a distancia, también en distintas zonas horarias; vea las Preguntas frecuentes.