Un cliente corporativo grande nos pide la certificación ISO 27001, ¿qué es exactamente y es necesaria?

Ni se os ocurra decirle directamente al cliente 'no tenemos este certificado' y cerrar la puerta. Muchas grandes empresas dan una aprobación temporal cuando dices 'hemos iniciado el proyecto de adaptación a la ISO 27001 y nuestra fecha objetivo de auditoría es en 6 meses' y presentas además tus políticas básicas de seguridad actuales.

En la versión actualizada ISO/IEC 27001:2022, los controles del Anexo A se han simplificado a 93 puntos. Como agencia de software, lo que más os va a afectar es el ciclo de vida de desarrollo de software seguro (SDLC), los logs de acceso al repositorio de código fuente, la anonimización de datos de prueba y la separación entre los entornos de producción y desarrollo.

Nosotros la sacamos el año pasado en Madrid con un equipo de 11 personas. Pagamos 5.000 euros al consultor externo y 3.500 euros a la empresa auditora acreditada para el primer año. Tardó 5 meses en total. Aunque parezca caro, para un contrato de 120.000 euros al año esta inversión se amortiza de sobra.

Si la vais a sacar solo por un cliente, os diría q lo penséis bn. No es un papel q pides una vez y cuelgas en la pared; hay auditoría de seguimiento cada año y hay q pagarla. En una empresa de nueve personas, estar todo el rato registrando cosas y rellenando formularios de riesgo frena mazo el ritmo de los devs.

Al principio, cuando ves esos cientos de páginas de cláusulas de la norma, da bastante respeto. Pero cuando te metes de lleno te das cuenta de q es simplemente poner en procedimientos lo q un equipo de software profesional ya hace de forma informal.

¿A qué datos vais a acceder exactamente en el sistema del cliente? Si solo ejecutáis código en sus servidores y no alojáis datos del cliente en vuestra propia oficina, podéis reducir el alcance (scope) de la auditoría y recortar el proceso y el coste a la mitad.

nos pasó algo parecido con un cliente de telecomunicaciones solucionamos las vulnerabilidades, entregamos un informe de pentest externo y nos dieron 6 meses más luego en fin os dría q no dejéis pasar el acuerdo.

En el mercado español, las grandes empresas y las entidades públicas consideran la norma ISO 27001 como un umbral básico en la seguridad de proveedores. Esta certificación es un paso estratégico que os dará una ventaja competitiva en futuros procesos de venta corporativos.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. bueno si decidimos sin medir siempre acabamos en el mismo punto.

Yo seguiría por ese camino.

Estoy de acuerdo a medias, en parte no. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Ánimo.

Dejo una advertencia. Si el camino de la notificación es largo la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Ánimo.

Lo escribo para que no cometan el mismo error. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Lo dejo como nota, por si sirve.

entrando en detalle: Si el camino de la notificación es largo, la notificación no llega; una notificacción que no llega significa un incidente detectado tarde.

las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde luego la verdad lo dejo como nota por si sirve.

A nosotros también nos pasa. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Aquí hay que hacer una distinción. El error cometido por ISO 27001 que es suele ser reversible, pero caro.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Tema muy oportuno.

Si lo ves como un proceso, el panorama cambia. No confíes en una sola medida; ve capa por capa.

Corrijanme si me equivoco.

Rara vez se encuentra un texto que lo explique tan claro. pues el tiempo que tardas en detectar un problema determina directamente su coste.

Comprobado por experiencia.