ISO 27001 y SGSI

Consigue la certificación y mantén el sistema en marcha

evoila te ayuda a crear un SGSI conforme a la norma ISO 27001 que se adapte a tu día a día, o se encarga de gestionarlo por ti como un servicio, para que la certificación siga siendo efectiva y no se quede en un cajón.

Empieza tu proceso para conseguir la certificación ISO 27001

El certificado es solo el principio

La norma ISO 27001 es el referente internacional en materia de seguridad de la información y, cada vez más, un requisito contractual. Muchas organizaciones consiguen la certificación, pero luego ven cómo el SGSI se va deteriorando porque nadie tiene la capacidad de mantenerlo en funcionamiento.

evoila aborda ambos aspectos del reto. Creamos un SGSI certificable que se adapta a tu forma real de trabajar, y además podemos gestionarlo por ti como servicio gestionado. El resultado es una seguridad preparada para las auditorías que se mantiene activa en las operaciones diarias y que, además, cumple con los requisitos de NIS2 y DORA.

Ventajas para la empresa:

  • Un SGSI certificado diseñado para funcionar, no solo para pasar la auditoría
  • ISMS como servicio, para que tu equipo no tenga que asumir toda la carga de trabajo
  • Una fundación que también apoya los requisitos de pruebas de NIS2 y DORA

Un certificado sin un SGSI operativo que lo respalde es un riesgo a la espera de una auditoría

La mayoría de las empresas no pierden su certificación ISO 27001 en momentos de crisis, sino más bien durante los meses tranquilos entre una auditoría y otra.

El reto

El certificado se pierde fácilmente

Los clientes y las autoridades reguladoras esperan cada vez más que se cumpla la norma ISO 27001, pero crear un SGSI que funcione es complicado y mantenerlo en marcha es aún más difícil.

Las evaluaciones de riesgos, las revisiones de los controles, las auditorías internas y las revisiones de la dirección son obligaciones continuas. Muchas organizaciones invierten mucho en la certificación, pero luego les cuesta mantener el sistema en marcha, hasta que la siguiente auditoría de seguimiento pone de manifiesto las deficiencias.

La brecha en la auditoría de vigilancia

Las empresas consiguen la certificación y luego se relajan. Sin un modelo operativo claro, se descuidan las obligaciones recurrentes y la siguiente auditoría lo pone de manifiesto

Un SGSI que solo existe sobre el papel

Hay políticas, pero en realidad nadie las aplica. Las brechas de seguridad van en aumento, mientras que los documentos siguen sin tocarse en una carpeta compartida.

Las tareas administrativas están quitando tiempo al trabajo principal

Las personas que se encargan de gestionar el SGSI suelen ser las mismas que se ocupan de la infraestructura, los proyectos y las incidencias. El mantenimiento del SGSI acaba quedando en un segundo plano.

Operaciones bloqueadas por un certificado caducado

Los clientes empresariales y los sectores regulados necesitan un certificado ISO 27001 válido. Un certificado caducado o suspendido frena los contratos antes incluso de que empiece la negociación.

La buena noticia: la certificación y el funcionamiento continuo no tienen por qué ser dos problemas distintos

evoila puede ofrecerte ambas opciones: como socio de desarrollo, como colaborador en auditorías o como servicio totalmente gestionado.

Nuestra solución

Hazlo bien y luego manténlo en marcha


evoila te acompaña durante todo el ciclo de vida del SGSI y te deja decidir qué parte quieres delegar. Podemos encargarnos de todo el proceso del SGSI hasta la certificación, ayudarte durante la auditoría y, después, o bien capacitar a tu equipo para que se encargue de gestionarlo, o bien asumir nosotros la gestión continua como servicio gestionado.

Implantación y certificación del SGSI

Definición del alcance, evaluación de riesgos, declaración de aplicabilidad, políticas y controles alineados con la norma ISO/IEC 27001.

Asistencia en auditorías

Auditoría interna, revisión por parte de la dirección y asesoramiento a través de auditorías de certificación y de seguimiento.

SIGS como servicio

evoila gestiona tu SGSI como un servicio gestionado de forma continua, que incluye revisiones de riesgos, supervisión de controles y preparación de auditorías.

Evaluación de las carencias y el grado de preparación

Una revisión de la situación actual según la norma ISO 27001, con un plan prioritario para conseguir la certificación.

Integración

Utilizar el SGSI como base para cumplir con las obligaciones de NIS2 y DORA.

Análisis técnico en profundidad

Un sistema de gestión en constante evolución, no un conjunto de documentos

Un verdadero SGSI es un ciclo de gestión continuo, no una carpeta. evoila lo aplica como un modelo operativo de seguridad.

Estructura

Desarrollamos el SGSI basándonos en los requisitos de la norma ISO/IEC 27001, incluyendo el contexto, el liderazgo, la planificación, la evaluación y el tratamiento de riesgos, los controles del Anexo A a través de la Declaración de aplicabilidad y el ciclo de mejora Planificar-Hacer-Verificar-Actuar. Cuando es relevante para el sector público alemán o en contextos KRITIS, también nos ajustamos al IT-Grundschutz del BSI.

Funcionamiento

El SGSI solo funciona a través de actividades periódicas, como revisiones de riesgos, comprobaciones de la eficacia de los controles, auditorías internas, medidas correctivas y revisiones de la dirección. Con el SGSI como servicio, evoila se encarga de llevarlas a cabo con una periodicidad definida y te proporciona pruebas listas para la auditoría, lo cual resulta especialmente útil si no tienes un equipo dedicado a tiempo completo al SGSI.

Integración con las operaciones de seguridad

Como evoila también ofrece servicios como la detección y la gestión de vulnerabilidades, los controles técnicos —como la supervisión, la aplicación de parches y la gestión de accesos— aportan pruebas reales para el SGSI, en lugar de basarse en una autodeclaración.

Reutilización con fines normativos

El mismo SGSI puede cumplir con los requisitos de gestión de riesgos de la NIS2 y servir de base para un marco de riesgos de TIC de la DORA. Lo creas una vez y lo usas para cumplir con varias obligaciones.
Solución NIS2 | Solución DORA

Ventajas técnicas

Seis razones por las que el SGSI realmente funciona

1. Certificable y operativo

Diseñado para superar las auditorías y para el funcionamiento diario. Ambos objetivos se tienen en cuenta desde el principio, no se añaden después.

2. Quita eso de encima a tu equipo

ISMS as a Service se encarga de toda la carga de trabajo recurrente —revisiones de riesgos, comprobaciones de controles, preparación de auditorías— para que tu equipo pueda centrarse en su trabajo principal.

3. Pruebas, no declaraciones

Los controles técnicos aportan datos reales de supervisión al SGSI. Los auditores ven lo que realmente está pasando, no lo que se ha declarado.

4. Crea una vez, reutiliza

Un único SGSI sirve de base para la norma ISO 27001, la NIS2 y la DORA. El trabajo de cumplimiento que se hace para cumplir una de estas obligaciones beneficia directamente a las demás.

5. Independiente de herramientas

Trabajamos con tus herramientas de GRC actuales o te las proporcionamos si no tienes ninguna. Lo importante es tener un sistema de gestión que funcione, no un producto concreto.

6. Dirigido por profesionales

evoila cuenta con la certificación ISO 27001. Los controles que hemos implantado son los que aplicamos en la práctica, no solo los que hemos leído en los libros.

Tu socio ideal

Aplicamos el SGSI. Para nosotros y para los demás

evoila cuenta con la certificación ISO 27001, así que aplicamos el mismo sistema de gestión que diseñamos para nuestros clientes. Esto no es solo teoría, es algo que ponemos en práctica cada día.

Lo que nos diferencia es el «SIGS como servicio». Mientras que muchas consultoras te ayudan a conseguir la certificación y luego se retiran, evoila puede seguir gestionando el SIGS por ti como un servicio gestionado continuo. Esto ya está en marcha con clientes actuales.
Como la ingeniería de seguridad, los servicios gestionados y la consultoría de GRC van de la mano, los controles de tu SGSI son técnicamente reales y se comprueban de forma continua.

Nos hemos certificado según la norma ISO 27001

Superamos las mismas auditorías para las que te preparamos.

El SGSI como servicio ya está en funcionamiento con clientes

No es una oferta nueva, sino un servicio ya consolidado.

Ingeniería de seguridad y GRC en un mismo equipo

Los controles de tu SGSI son reales desde el punto de vista técnico, no solo están documentados.


Entrega independiente de la herramienta

Trabajamos con tus herramientas de GRC actuales o te las proporcionamos si aún no dispones de ninguna.


Servicios y ofertas de bienvenida

Elige por dónde quieres empezar

1 | Evaluación de preparación para la norma ISO 27001

Una evaluación de las deficiencias respecto a la norma, con una hoja de ruta priorizada y un calendario para la certificación.

2 | SGSI como servicio

evoila gestiona tu SGSI con una tarifa mensual fija que incluye revisiones de riesgos, seguimiento de controles y preparación de auditorías.

No te conformes con sacarte el título. Manténlo al día.

Deja que evoila te ayude a crear tu SGSI o se encargue de gestionarlo por ti.

Empieza tu proceso para conseguir la certificación ISO 27001

Habla con alguien que se encargue de un SGSI

Tanto si empiezas desde cero como si intentas mantener vigente un certificado que ya tienes, nuestro equipo tiene experiencia en ambos casos. Nada de discursos de venta, solo una charla directa sobre cuál es tu situación.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

Preguntas frecuentes

Preguntas frecuentes sobre la norma ISO 27001 y el SGSI

Normalmente varios meses, a menudo entre seis y doce, dependiendo de tu tamaño y tu nivel de madurez actual. Solemos empezar con una evaluación de tu preparación para establecer un plazo realista y, a continuación, desarrollamos el SGSI en fases estructuradas para que el progreso sea constante y el sistema esté listo para la auditoría.

«ISMS as a Service» significa que evoila no solo te ayuda a crear el sistema de gestión, sino que también se encarga de gestionarlo de forma continua. Esto incluye tareas recurrentes como revisiones de riesgos, comprobaciones de controles, preparación de auditorías y recopilación de pruebas, para que tu equipo no tenga que asumir toda la carga operativa.

No. evoila funciona con tus herramientas de GRC actuales si cumplen los requisitos, o te proporciona las herramientas necesarias si aún no dispones de ninguna. El objetivo no es imponer un producto concreto, sino asegurarnos de que el SGSI funcione de forma fiable en la práctica.

Sí. Un SGSI bien diseñado puede servir de base importante tanto para la NIS2 como para la DORA. Permite una gestión estructurada de los riesgos, una gobernanza adecuada y controles trazables, lo que facilita cumplir con los requisitos normativos que se solapan sin tener que desarrollar todo por separado.

Las políticas por sí solas no bastan para que un SGSI funcione. La certificación requiere un sistema operativo que las respalde, que incluya la gestión de riesgos, la supervisión de los controles, las auditorías internas, la revisión por parte de la dirección y la mejora continua. La diferencia está entre un conjunto de documentos y un sistema de gestión que realmente se esté aplicando.