CUMPLIR · ISO/IEC 27001

Prepárate para ISO/IEC 27001 con evidencia, no con papeles

Te acompañamos a construir un sistema de gestión de seguridad de la información que tu equipo pueda sostener. Nosotros preparamos; certifica un organismo independiente.

Conversemos sobre ISO 27001 Ver todos los servicios

Qué es

Un sistema para gestionar el riesgo, no una carpeta de políticas

ISO/IEC 27001 es la norma internacional que define cómo gestionar la seguridad de la información con un sistema: un alcance, riesgos evaluados, controles elegidos según esos riesgos, responsables y evidencia de que todo funciona. A ese sistema se le llama SGSI (sistema de gestión de seguridad de la información).

La versión vigente es la ISO/IEC 27001:2022. Su Anexo A tiene 93 controles en cuatro temas: organizacionales, de personas, físicos y tecnológicos. No se implementan todos por obligación: se eligen según tus riesgos y cada decisión queda justificada.

Aexis: Diagnóstico, diseño e implementación del sistema junto a tu equipo, y preparación para la auditoría de certificación.
Organismo certificador: Independiente y acreditado: audita tu sistema y decide si emite el certificado.
Tu empresa: Opera el sistema, aprueba su alcance y elige con qué organismo certificar.

Es para ti si…

Cuando alguien te pide ISO 27001, o quieres ordenarte con ella

«Un cliente o una licitación nos pide ISO 27001.»
Vemos qué te piden exactamente: a veces es el certificado, a veces basta demostrar controles. Te decimos cuál es tu caso antes de proponerte un proyecto.
«Tenemos políticas, pero no sabemos si resistirían una auditoría.»
Partimos por un diagnóstico frente a la norma, que deja por escrito lo que tu equipo ya resolvió y lo que falta.
«Somos operador de importancia vital.»
La Ley N° 21.663 te exige implementar un sistema de gestión de seguridad de la información continuo (art. 8, letra a). La ley no nombra la ISO/IEC 27001, pero es la norma internacional de referencia para construir ese sistema y demostrarlo. Las certificaciones que esa ley exige las emiten entidades del registro de la ANCI (art. 28): lo vemos en Ley 21.663.
«El directorio quiere un estándar que se pueda mostrar.»
Un SGSI deja decisiones, responsables y evidencia que el directorio puede revisar, con o sin certificado.

Qué recibes

Cada etapa deja algo que se puede revisar

Los entregables se ajustan al alcance y a tu punto de partida. Podemos partir por el diagnóstico y avanzar por etapas.

Diagnóstico: Brechas frente a ISO/IEC 27001:2022 y una propuesta de alcance: procesos, sedes, sistemas y proveedores que entran.
Riesgos: Metodología, evaluación de riesgos y plan de tratamiento, con responsables.
Aplicabilidad: Declaración de aplicabilidad: qué controles del Anexo A aplican, en qué estado están y por qué se incluyen o se excluyen.
Documentos: Políticas y procedimientos escritos para cumplirse, no para archivarse.
Evidencia: Registros que muestran que los controles operan: accesos, respaldos, incidentes, proveedores y capacitación.
Revisión: Auditoría interna con objetividad, revisión por la dirección y acciones correctivas con responsable y fecha.
Certificación: Antecedentes ordenados para el organismo certificador y acompañamiento durante su auditoría.

Ejemplo ilustrativo · del riesgo a la evidencia

Riesgo: Una persona cambia de cargo o deja la empresa y conserva accesos que ya no necesita.
Control: A.5.18 · derechos de acceso: quién autoriza, quién otorga y cómo se revisa o se retira un acceso.
Evidencia: Solicitudes aprobadas, registro de altas y bajas y la última revisión de permisos.
Revisión: Cada período se cruzan los permisos con los cargos; las diferencias se corrigen con responsable y fecha.

Ejemplo ilustrativo, no corresponde a un cliente real.

Cómo empieza

Del diagnóstico a la auditoría

ConversarUna conversación sin costo con la dirección de Aexis: qué te piden, para cuándo y qué tienes hoy.
AcordarTe proponemos alcance, etapas y valor antes de contratar. Puedes partir sólo por el diagnóstico.
ImplementarDiagnóstico, riesgos y el sistema funcionando con tu equipo, por hitos y con verificación.
PrepararAuditoría interna, revisión por la dirección y antecedentes para el organismo certificador.

El plazo depende del alcance y de tu punto de partida. Lo conoces por escrito en la propuesta, con sus hitos.

Con tu equipo

La carga documental la llevamos nosotros. Tu equipo sigue a cargo

Trabajamos con tu equipo de TI, no sobre él. Lo que llega al directorio lo conoce antes.

La auditoría interna revisa el sistema, no a las personas: los hallazgos se escriben como decisiones y recursos pendientes, con su causa y su evidencia, buscando causas y no culpables. La única excepción es la de cualquier asesor: si un hallazgo pudiera involucrar una falta grave, un delito o un deber legal de reporte, lo informamos directamente a quien nos contrató.

Lo que sigues haciendo tú

Operar tus sistemas y tomar las decisiones técnicas.
Aprobar el alcance, la política y el tratamiento de los riesgos.
Generar la evidencia del día a día, con registros simples.
Elegir el organismo certificador.

Lo que hacemos nosotros

Diagnóstico, metodología de riesgos y declaración de aplicabilidad.
Políticas, procedimientos y registros, escritos con tu equipo.
Coordinar la auditoría interna y las acciones correctivas.
Preparar los antecedentes y acompañarte en la auditoría de certificación.

Qué no incluye

Preparamos. No certificamos

No emitimos el certificado ni hacemos la auditoría de certificación: eso lo hace un organismo certificador independiente y acreditado.
No garantizamos la decisión del organismo certificador: te dejamos preparado y con la evidencia en orden.
Nadie audita su propio trabajo: la auditoría interna se hace con objetividad e imparcialidad, como pide la norma (cláusula 9.2).
No vendemos herramientas ni licencias: recomendamos sin comisión de fabricante.
No operamos tu infraestructura ni monitoreo 24/7.
No somos una entidad certificadora del registro de la ANCI (art. 28 de la Ley N° 21.663).

¿Necesitas certificar?

No siempre. Si tu cliente pide «evidencia de seguridad», a veces basta un plan proporcional con controles que puedas demostrar. Si es tu caso, te lo decimos y partimos por ahí: respuesta a la exigencia de tu cliente o el Diagnóstico inicial.

Para tu equipo técnico

La norma, con sus números

ISO/IEC 27001:2022 en detalle

Norma vigente · ISO/IEC 27001:2022, 3.ª edición (octubre de 2022), con su enmienda ISO/IEC 27001:2022/Amd 1:2024 (cambios por acción climática)
Cláusulas 4 a 10, obligatorias · contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora
Anexo A · 93 controles en 4 temas: organizacionales 37 (A.5.1–A.5.37) · personas 8 (A.6.1–A.6.8) · físicos 14 (A.7.1–A.7.14) · tecnológicos 34 (A.8.1–A.8.34)
Guía para implementar los controles · ISO/IEC 27002:2022
6.1.2 y 6.1.3 · evaluación y tratamiento de riesgos; la declaración de aplicabilidad está en 6.1.3 d)
9.2 · auditoría interna · 9.3 · revisión por la dirección · 10.2 · no conformidades y acción correctiva
Transición · los organismos certificadores debían terminar de pasar a sus clientes de la versión 2013 a la 2022 a más tardar el 31.10.2025 (IAF MD 26:2023)
Certificación acreditada · la hace un organismo que cumple ISO/IEC 17021-1:2015 e ISO/IEC 27006-1:2024 y está acreditado para certificar ISO/IEC 27001; te ayudamos a verificar su acreditación
Controles que suelen cruzarse con la ley · A.5.34 (privacidad y datos personales) con la Ley N° 21.719 · A.5.24 a A.5.28 (incidentes) con el reporte al CSIRT Nacional de la Ley N° 21.663 · A.5.19 a A.5.23 (proveedores y servicios en la nube)
NIST CSF 2.0 (febrero de 2024) · si ya lo usas, conectamos tu perfil con el SGSI para no duplicar trabajo
Ley N° 21.663 · art. 8, letra a: los operadores de importancia vital deben implementar un SGSI continuo · art. 8, letras c y f, y art. 28: las certificaciones que esa ley exige sólo las emiten entidades del registro de la ANCI, y la Agencia podrá homologar certificaciones técnicas internacionales o extranjeras

Preguntas frecuentes

Lo que nos preguntan antes de empezar

¿Cuánto cuesta?

Depende del alcance (cuántos procesos, sedes y sistemas entran) y de tu punto de partida. La primera conversación no tiene costo, y el alcance, las etapas y el valor los conoces por escrito antes de contratar. El organismo certificador cobra su auditoría por separado.

¿Cuánto demora?

Depende del alcance y de lo que tu empresa ya tiene. El plazo va en la propuesta, con hitos. Nadie puede prometerte la fecha del certificado: esa decisión es del organismo certificador.

¿Tenemos que implementar los 93 controles?

No por obligación. Los controles se eligen según tus riesgos y tu alcance, y la declaración de aplicabilidad registra cuáles aplican, cuáles no y por qué. El Anexo A sirve para comprobar que no se haya omitido ninguno necesario.

¿Aexis nos certifica?

No. Aexis te prepara; certifica un organismo independiente y acreditado, que tú eliges. Te ayudamos a comparar propuestas y a verificar su acreditación.

¿ISO 27001 nos hace cumplir la Ley 21.719 o la Ley 21.663?

Ayuda, pero no reemplaza el análisis legal. Ninguna de las dos leyes nombra la ISO/IEC 27001, aunque un SGSI bien llevado te da orden y evidencia para responder a ambas. Lo que te exige cada una lo vemos en Ley 21.719 y en Ley 21.663.

¿Una pyme puede certificarse?

Sí. La norma sirve para organizaciones de cualquier tipo y tamaño, y el alcance puede ser acotado. Antes te diremos si de verdad lo necesitas o si te basta un plan más simple.

Sigue por aquí

Lo que suele venir después

Conversemos

Cuéntanos qué te pidieron. Te decimos si necesitas certificar

La primera conversación no tiene costo. Respondemos en 2 días hábiles.

Conversemos sobre ISO 27001

Fuentes

Actualizado al 19.10.2026 · Información general; no reemplaza asesoría legal.