Tabla de Contenidos
La organización · contexto
Fintech argentina · 80 empleados · operación en 4 países LATAM · core de negocio: procesamiento de pagos B2B con onboarding KYC automatizado y modelo de scoring crediticio propio. Cliente típico: PyMEs y profesionales que reciben pagos digitales.
Cultura organizacional: nativa digital, equipo técnico maduro, dirección con experiencia en sector, sin certificaciones ISO previas pero con cumplimiento de regulación BCRA + UIF activamente gestionado.
El caso se publica con consentimiento del cliente y con datos anonimizados según política de confidencialidad G-CERTI · ISO/IEC 17021-1 cláusula 8.5.
Objetivo · por qué se certificó
Tres drivers concurrentes:
- Cliente B2B grande exigió ISO 27001 en cuestionario de seguridad para firmar contrato de USD 1.2M/año.
- Expansión a Brasil · ANBIMA y Banco Central de Brasil exigen evidencia de gobernanza de seguridad · ISO 27001 fue la herramienta más eficiente.
- Inversores en ronda Serie B pidieron compliance demostrable · ISO 27001 fue parte del paquete de due diligence.
Decidieron contratarnos en febrero 2025. Iniciaron implementación con consultor externo en marzo. Auditoría ejecutada en julio. Certificado emitido en agosto.
Cronograma real · 5 meses
Marzo (mes 1) · Gap Analysis y planificación
- Gap analysis ejecutado por consultor externo (1 semana, 5 días-persona).
- 43 brechas identificadas, clasificadas en 12 alta prioridad / 19 media / 12 baja.
- Plan de implementación aprobado por dirección con responsables y cronograma.
Abril (mes 2) · Documentación core
- Política de seguridad de la información firmada por CEO.
- Análisis de riesgos ejecutado · 67 riesgos identificados · 22 priorizados como críticos.
- Statement of Applicability (SoA) elaborado · 84 controles del Anexo A incluidos · 9 excluidos con justificación.
- Procedimientos críticos (control de acceso, gestión de incidentes, gestión de proveedores) documentados.
Mayo (mes 3) · Implementación operativa
- Capacitación de seguridad de la información a todo el personal (3 sesiones por niveles).
- Inicio de registros operativos según procedimientos nuevos.
- Implementación de DLP (Data Leakage Prevention) y refuerzo de logs SIEM.
- Cláusulas antisoborno y de seguridad agregadas a contratos con proveedores críticos.
Junio (mes 4) · Auditoría interna y revisión
- 2 auditores internos capacitados (curso 24h con G-CERTI Academy).
- Programa anual de auditoría interna ejecutado · 11 NCs detectadas en interna.
- Acciones correctivas con análisis de causa raíz · 9 cerradas en plazo.
- Revisión por la dirección formal · 11 inputs documentados · decisiones registradas.
Julio (mes 5) · Auditoría externa con G-CERTI
- Fase 1 · revisión documental remota · 1 día.
- Fase 2 · auditoría operativa · 3 días (1 remoto + 2 en sitio).
- 6 NCs detectadas (5 menores + 1 mayor).
- Plan de acciones correctivas presentado y aprobado.
Agosto · Cierre y emisión
- Acciones correctivas cerradas y verificadas (35 días).
- Comité de certificación G-CERTI tomó decisión positiva.
- Certificado ISO 27001:2022 emitido.
La auditoría · 6 NCs detectadas
Comparto las 6 NCs (anonimizadas) y mi análisis. Es el contenido que más me piden colegas y consultores · qué encuentra realmente un auditor en una primera auditoría ISO 27001:2022.
NC 1 (Mayor) · A.5.30 ICT readiness for business continuity
Hallazgo: la organización tenía plan de continuidad documentado pero nunca había ejecutado un ejercicio de recuperación TI. El RTO declarado era 4 horas pero al pedir evidencia de prueba reciente, no había ninguna.
Causa raíz: equipo de TI postergaba el ejercicio porque "siempre había prioridades". Falta de calendario formal con responsable asignado.
Acción correctiva eficaz: ejecución de simulacro de recuperación TI durante el período de cierre (45 días), documentación del ejercicio con tiempos reales medidos (RTO real fue 6.5 horas, lo que excedió declarado · se reajustó el RTO formal a 8 horas y se diseñaron mejoras técnicas para volver a 4h en 6 meses), inclusión del simulacro como ítem trimestral en agenda de dirección.
NC 2 (Menor) · A.5.7 Threat intelligence
Hallazgo: control nuevo de ISO 27001:2022. La organización no tenía proceso formal de inteligencia de amenazas. El equipo de seguridad consumía boletines pero sin formato sistemático ni integración al programa de seguridad.
Causa raíz: control nuevo, equipo no había formalizado prácticas que ya existían informalmente.
Acción correctiva: formalización del proceso de threat intelligence con fuentes oficiales (CERT-AR, MITRE ATT&CK, vendor advisories), revisión semanal por equipo de seguridad, integración a evaluación trimestral de riesgos.
NC 3 (Menor) · A.6.3 Information security awareness, education and training
Hallazgo: capacitación general ejecutada pero sin evaluación de eficacia. No había forma de medir si el personal había absorbido los conceptos.
Acción correctiva: implementación de quiz post-capacitación con métrica de aprobación · capacitación específica para roles de mayor exposición (devops, área de datos) · refresco anual planificado.
NC 4 (Menor) · A.8.16 Monitoring activities
Hallazgo: SIEM en producción · logs ingestados · pero sin reglas de detección documentadas y sin umbrales de alerta calibrados con el negocio.
Acción correctiva: documentación formal de 23 reglas de detección con umbrales · matriz de escalación · pruebas periódicas trimestrales.
NC 5 (Menor) · A.5.23 Information security for use of cloud services
Hallazgo: uso de servicios cloud sin política específica documentada para evaluar nuevos proveedores cloud, sin checklist de configuración segura por servicio.
Acción correctiva: política específica de servicios cloud · checklist de hardening por servicio crítico (AWS, GCP) · evaluación trimestral de nuevos servicios.
NC 6 (Menor) · A.8.10 Information deletion
Hallazgo: procedimiento de eliminación de información solo cubría datos en producción · no contemplaba ambientes de desarrollo y staging que tenían datos productivos copiados para testing.
Acción correctiva: extensión del procedimiento a ambientes de desarrollo y staging · masking automático de datos personales en copias de testing · auditoría mensual de cumplimiento.
4 aprendizajes generalizables
- La auditoría interna seria es el predictor más fuerte de éxito en la externa. Esta organización detectó 11 NCs en interna; en externa detectamos 6. Si la interna hubiera sido superficial (cero hallazgos), la externa habría detectado 15-20 NCs · y al menos 3 mayores. La calidad de la auditoría interna determina la calidad de la externa.
- Los controles nuevos de ISO 27001:2022 (Threat intelligence, Cloud security, ICT readiness) son los que más NCs generan en organizaciones que ya tenían cultura de seguridad. Tienen prácticas pero no formalizadas según la nueva norma.
- El control que más se subestima es A.5.30 ICT readiness for business continuity. Tener plan documentado no es lo mismo que probarlo. Esta organización tenía plan, pero el RTO real (6.5h) era 60% peor que el declarado (4h). Sin simulacro nunca lo habrían sabido.
- La integración con el programa existente de cumplimiento regulatorio (BCRA + UIF) facilitó mucho. Compliance maduro pre-ISO 27001 acelera la implementación entre 30-40%. Las organizaciones sin cumplimiento previo necesitan más tiempo.
Datos duros del proyecto
- Plazo total desde decisión a certificado emitido: 6 meses calendario.
- Costo total: USD 14.500 (consultor externo USD 8.000 + auditoría G-CERTI USD 6.500).
- Horas-persona internas dedicadas: 320 horas (CISO 60% tiempo durante 5 meses + equipo técnico 20% tiempo + dirección 6h/mes).
- Beneficio inmediato medible: contrato cliente B2B firmado USD 1.2M/año + acceso a Serie B (USD 8M ronda).
- Payback de la inversión: 12 días desde emisión del certificado (al cerrar el contrato del cliente B2B).
— Fernando Arrieta, Director Técnico G-CERTI · Buenos Aires, mayo 2026.
Compartir este artículo
Auditor líder
Auditor líder en 6 normas ISO. Representante regional de G-CERTI para el mercado hispanohablante y miembro del International Accreditation Center (IAC). Columnista y voz pública en certificación, cumplimiento, IA y calidad.
