Las empresas SaaS chocan temprano con los cuestionarios de seguridad de sus clientes enterprise. ISO/IEC 27001 ordena la respuesta a esa exigencia y, de paso, mejora la gestión interna de la seguridad.
Los primeros pasos
Definir el alcance (qué servicios y datos cubre el sistema), hacer un análisis de riesgos honesto y seleccionar los controles del Anexo A que correspondan. La clave es no certificar una foto: el sistema tiene que operar y dejar evidencia en el tiempo.
Para SaaS que tocan datos personales, 27001 suele complementarse con la extensión de privacidad 27701. Conviene empezar por el SGSI y sumar privacidad cuando la base esté sólida.
Para llevarse
- 27001 ordena la respuesta a los cuestionarios de seguridad enterprise.
- Primeros pasos: alcance, análisis de riesgos y controles del Anexo A.
- La privacidad (27701) se suma sobre un SGSI ya sólido.