Seguridad

Certificación ISO 27001 de un proveedor: qué comprobar antes de confiarle sus datos

Por Codevista InnovationsPublicado el 12 de octubre de 20269 min de lectura

Un certificado ISO/IEC 27001 demuestra que un proveedor ha implantado un sistema de gestión de seguridad de la información (SGSI), auditado por un organismo de certificación independiente, sobre un alcance concreto. No demuestra que todas sus actividades estén cubiertas, ni que sus datos se vayan a tratar conforme a la ley marroquí 09-08. Antes de firmar, compruebe el alcance, la vigencia, el organismo emisor y la declaración de aplicabilidad, y después pregúntele cómo tratará sus datos.

¿Qué es la norma ISO/IEC 27001:2022?

ISO/IEC 27001 es la norma internacional que define los requisitos de un sistema de gestión de seguridad de la información (SGSI). No impone herramientas, sino un método. La organización evalúa los riesgos que amenazan la confidencialidad, la integridad y la disponibilidad de su información, elige controles para tratarlos y, después, audita y mejora el sistema de forma continuada.

La versión vigente es la de 2022. Sus capítulos 4 a 10 fijan los requisitos del sistema (contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora) y su anexo A recoge 93 controles de seguridad, agrupados en cuatro temas:

• controles organizativos: políticas, control de acceso, relación con los proveedores, gestión de incidentes, continuidad;
• controles relativos a las personas: selección, concienciación, compromisos de confidencialidad, teletrabajo;
• controles físicos: acceso a las instalaciones, protección de los equipos;
• controles tecnológicos: autenticación, restricción de accesos, cifrado, registro de eventos, copias de seguridad, desarrollo seguro.

El periodo de transición desde la versión de 2013 ha terminado: un certificado acreditado que siga vigente corresponde a la versión de 2022. Si le presentan un certificado «ISO 27001:2013», pregunte en qué punto está su transición. El resumen oficial de la norma está disponible en el sitio web de la ISO.

¿Qué demuestra un certificado ISO 27001 y qué no?

El certificado acredita que un auditor independiente constató, en una fecha determinada, que el SGSI cumple los requisitos de la norma. Su valor depende de cuatro elementos.

El alcance lo es todo

Cada certificado indica un alcance (scope): las actividades, las sedes y, a veces, los sistemas cubiertos. Una empresa puede estar certificada para su servicio de alojamiento pero no para su desarrollo de software. Si la actividad que usted contrata no aparece en el alcance, el certificado no le ofrece ninguna garantía sobre ella.

El organismo de certificación

El certificado lo emite un organismo de certificación que, a su vez, debería estar acreditado para ISO/IEC 27001 por una entidad de acreditación adherida a los acuerdos de reconocimiento del IAF (International Accreditation Forum). En Marruecos, como en cualquier otro país, lo que cuenta es esa acreditación, no la nacionalidad del organismo. Un documento emitido por una entidad no acreditada vale mucho menos, aunque tenga la misma apariencia.

Vigencia y auditorías de seguimiento

Un certificado tiene una fecha de emisión y una fecha de caducidad. Entre ambas, el organismo realiza auditorías de seguimiento, al menos una vez al año, y una auditoría de renovación antes del vencimiento. El certificado puede suspenderse o retirarse si no se corrigen las desviaciones: un logotipo en una web no dice nada de su estado actual.

La declaración de aplicabilidad

La declaración de aplicabilidad (Statement of Applicability, SoA) repasa los 93 controles del anexo A, indica cuáles se han seleccionado e implantado y justifica cada exclusión. Es el documento que muestra lo que el proveedor hace realmente; suele ser confidencial, pero puede facilitarse bajo un acuerdo de confidencialidad.

Por último, ISO 27001 no certifica un producto, ni un software entregado, ni la ausencia de vulnerabilidades, ni el cumplimiento de una ley. La norma obliga al proveedor a identificar sus obligaciones legales y contractuales; no acredita que las cumpla, y mucho menos que usted cumpla las suyas.

¿Cómo verificar el certificado ISO 27001 de un proveedor?

Cinco comprobaciones que no exigen conocimientos técnicos:

1. Pida una copia del certificado y anote su número, la versión de la norma (2022) y las fechas de emisión y caducidad.
2. Lea el alcance palabra por palabra y compárelo con el servicio que contrata: desarrollo, alojamiento, soporte, formación.
3. Identifique el organismo de certificación, compruebe su acreditación y confirme con él la vigencia del certificado, a través de su registro en línea o por escrito.
4. Pregunte la fecha de la última auditoría de seguimiento y si hay no conformidades mayores pendientes de resolver.
5. Solicite consultar la declaración de aplicabilidad, al menos en los controles que afectan a sus datos: control de acceso, cifrado, proveedores, desarrollo seguro.

Estos puntos completan los criterios de nuestro artículo sobre cómo elegir una agencia de desarrollo de software en Casablanca.

¿Qué preguntas hacer a un proveedor de software o de IA?

El certificado abre la conversación, no la cierra.

En un proyecto de desarrollo de software

• ¿Quién tendrá acceso a sus datos de producción, también en los subcontratistas, y cómo se retiran esos accesos?
• ¿Los entornos de desarrollo y de pruebas utilizan datos reales, anonimizados o ficticios?
• ¿Dónde se alojan el código y los datos, y en qué países?
• ¿Cómo y en qué plazo se le informará de un incidente de seguridad?
• ¿Qué ocurre con sus datos y sus accesos al terminar el contrato?

En un proyecto de inteligencia artificial

• ¿Qué proveedores de modelos o de API se utilizan y se les transmiten sus datos?
• ¿Se usan sus datos para entrenar o mejorar un modelo, del proveedor o de un tercero?
• ¿Se registran las consultas y las respuestas, y durante cuánto tiempo se conservan?
• ¿Salen de Marruecos los datos o las consultas? Una transferencia al extranjero está sujeta a las condiciones de la ley 09-08, bajo el control de la CNDP.

Consulte también los puntos de atención de nuestro artículo sobre la IA generativa en la empresa en Marruecos. Si se trata de un SaaS, añada el aislamiento de los datos entre clientes (véase nuestra guía de desarrollo de SaaS a medida).

ISO 27001, ley 09-08 y CNDP: ¿cómo encajan?

En Marruecos, el tratamiento de datos de carácter personal está regulado por la ley 09-08, la ley marroquí de protección de las personas físicas respecto al tratamiento de sus datos personales, bajo el control de la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel, la autoridad marroquí de protección de datos). La ley impone, entre otras cosas, trámites previos ante la CNDP, medidas de seguridad adecuadas y un marco para las transferencias de datos al extranjero.

ISO 27001 y la ley 09-08 son complementarias, no intercambiables:

• la ley establece lo que usted debe cumplir como responsable del tratamiento y lo que su encargado del tratamiento debe garantizar;
• ISO 27001 aporta un método para gestionar las medidas de seguridad que permiten cumplir esos compromisos;
• un certificado no sustituye los trámites ante la CNDP ni el contrato de encargo del tratamiento.

Un proveedor certificado le facilita demostrar el cumplimiento, pero la responsabilidad del tratamiento sigue siendo suya. Trámites y textos actualizados: sitio web de la CNDP.

ISO 9001 o ISO 27001: ¿qué diferencia hay para un cliente?

ISO 9001 certifica un sistema de gestión de la calidad: procesos controlados, orientados al cliente y a la mejora continua. ISO 27001 certifica un sistema de gestión de seguridad de la información: una gestión estructurada de los riesgos que afectan a la información. En un proyecto de software o de IA que maneja sus datos, ISO 9001 le informa sobre cómo se lleva a cabo el trabajo, e ISO 27001 sobre cómo se protege su información. Por tanto, un certificado ISO 9001 por sí solo no dice nada de la confidencialidad de sus datos; juntos cubren la forma de entregar y la forma de proteger.

¿Cómo incluir la seguridad de los datos en su pliego de condiciones?

El momento adecuado para plantear estos requisitos es antes de la licitación, no al firmar. Incluya en su pliego de condiciones las expectativas de seguridad: certificación exigida y su alcance, ubicación del alojamiento, gestión de accesos, notificación de incidentes, reversibilidad. Pida después respuestas punto por punto, con documentación de respaldo, en lugar de una simple casilla «certificado ISO 27001» marcada.

Codevista Innovations cuenta con la certificación ISO 27001:2022 (certificado CTX-2026-540336, válido hasta el 31 de diciembre de 2029) y DIN EN ISO 9001:2015 (certificado CTX-2026-488547, válido hasta el 19 de junio de 2028). Para revisar estos certificados y su alcance antes de un proyecto de software o de IA, contacte con nuestro equipo en Casablanca.

Preguntas frecuentes

¿Un proveedor con certificación ISO 27001 cumple automáticamente la ley 09-08?

No. ISO 27001 obliga a identificar las obligaciones legales aplicables y a gestionar los riesgos de seguridad, pero no realiza por usted los trámites ante la CNDP ni sustituye un contrato de encargo del tratamiento. El cumplimiento de la ley 09-08 se verifica por separado, bajo la responsabilidad del responsable del tratamiento.

¿Cuántos controles de seguridad contiene el anexo A de ISO 27001:2022?

El anexo A de la versión de 2022 contiene 93 controles, repartidos en cuatro temas: organizativos, relativos a las personas, físicos y tecnológicos. Una empresa certificada no está obligada a aplicarlos todos: selecciona los que tratan sus riesgos y justifica cada exclusión en su declaración de aplicabilidad, que examina el auditor.

¿Cómo saber si el certificado ISO 27001 de un proveedor sigue vigente?

Anote el número del certificado, sus fechas de emisión y caducidad y el nombre del organismo de certificación, y verifíquelo directamente con ese organismo. Pregunte también la fecha de la última auditoría de seguimiento: un certificado puede suspenderse o retirarse antes de su vencimiento si no se corrigen las desviaciones detectadas.

¿Conviene exigir ISO 27001 en un proyecto de inteligencia artificial?

Es un criterio pertinente en cuanto el proyecto maneja datos sensibles o personales, porque demuestra que el proveedor gestiona sus riesgos de seguridad de forma estructurada. Pregunte también qué proveedores de modelos se utilizan, si sus datos se usan para entrenamiento, dónde se alojan y durante cuánto tiempo se conservan los intercambios.