Antes de contratar una auditoría de ciberseguridad conviene aclarar un malentendido frecuente en el mercado peruano. Muchas empresas buscan “certificarse en ISO 27032”, y esa certificación no existe. La ISO 27032 es una guía, no una norma certificable. Entender esa diferencia evita pagar por un sello que ningún organismo puede emitir.
Qué es una auditoría de ciberseguridad
Una auditoría de ciberseguridad revisa el estado real de los controles que protegen la información de tu organización y los compara contra un marco de referencia. El resultado es un diagnóstico con brechas concretas, no una opinión general sobre si estás “seguro”.
Una auditoría útil responde preguntas verificables. Quién puede acceder a los datos sensibles y con qué autorización. Qué pasa cuando un empleado deja la empresa. Cómo se detecta un acceso indebido. Cuánto tarda la organización en enterarse de una brecha. Qué evidencia queda de todo lo anterior.
ISO 27032 e ISO 27001: para qué sirve cada una
Las dos normas se nombran juntas y cumplen funciones distintas.
ISO 27001 es la norma certificable
La ISO 27001 define los requisitos para establecer un Sistema de Gestión de Seguridad de la Información. Es certificable: un organismo acreditado audita tu sistema y emite un certificado con validez internacional. Cuando una empresa dice “estamos certificados en seguridad de la información”, se refiere a esta norma.
ISO 27032 es una guía complementaria
La ISO/IEC 27032, en su versión vigente de 2023, se titula “Ciberseguridad, directrices para la seguridad en Internet”. Reemplazó a la versión de 2012 y cambió su enfoque hacia la seguridad de los servicios conectados a Internet. Entrega orientación para enfrentar amenazas comunes como ingeniería social, ataques de día cero, ataques a la privacidad, hacking y proliferación de software malicioso.
La diferencia que importa: la ISO 27032 no es certificable. Es un conjunto de directrices que se aplican, no un estándar contra el cual un organismo emita un sello. Su Anexo A mapea sus controles de seguridad en Internet contra los controles de la ISO 27002, que son los mismos que sustentan un sistema ISO 27001.
| ISO 27001 | ISO 27032:2023 | |
|---|---|---|
| Qué es | Requisitos de un SGSI | Directrices de seguridad en Internet |
| ¿Se certifica? | Sí, por organismo acreditado | No, es guía de aplicación |
| Alcance | La organización y su sistema | Amenazas de ciberseguridad en Internet |
| Uso típico | Acreditar seguridad ante terceros | Reforzar controles técnicos |
La recomendación práctica es implementar primero un sistema bajo ISO 27001 y luego reforzar con los controles de ciberseguridad que sugiere la ISO 27032. Una organización con ISO 27001 aplica los controles técnicos de la 27032 con menos esfuerzo, porque ya tiene la base de gestión montada.
Qué revisa una auditoría bien hecha
Una auditoría de ciberseguridad seria cubre al menos cinco dominios.
- Identidad y accesos. Quién tiene acceso a qué, con qué privilegios, y si esos privilegios corresponden al rol actual de cada persona.
- Protección de datos. Dónde viven los datos sensibles, si están clasificados y si tienen cifrado y control de fuga.
- Estado de los endpoints, políticas de cumplimiento y capacidad de respuesta cuando un equipo se compromete.
- Detección y respuesta. Cómo se detecta un incidente, cuánto se tarda en contenerlo y qué proceso se sigue.
- Evidencia y trazabilidad. Qué registros quedan de la actividad y si permiten reconstruir lo que pasó.
El quinto dominio es el que más empresas descuidan y el que más pesa cuando hay que demostrar cumplimiento ante la ANPD o ante un cliente que audita a sus proveedores.
Cómo audita XMS
Nuestro punto de entrada es un assessment de seguridad que mapea tu postura actual contra los controles de estos marcos y contra el modelo Zero Trust de Microsoft. Entregamos las brechas ordenadas por riesgo y una hoja de ruta priorizada, con el esfuerzo estimado de cada iniciativa.
XMS está certificada en ISO 27001 e ISO 9001. No ofrecemos una “certificación ISO 27032”, porque no existe. Lo que hacemos es alinear tu operación con las directrices de esa norma y con los controles de la ISO 27002, usando las herramientas de Microsoft Security que en muchos casos ya están en tu licenciamiento.
El primer paso
Antes de contratar una auditoría, define qué vas a hacer con el resultado. Si el objetivo es acreditar seguridad ante un cliente o un regulador, la ruta pasa por ISO 27001. Si el objetivo es cerrar brechas técnicas concretas, un assessment mapeado contra ISO 27032 y Zero Trust entrega la hoja de ruta más accionable.
Nota de Daniela Lalanne (Directora de Marketing XMS)
Da el siguiente paso con XMS
¿Sabes si tus controles de seguridad están realmente activos o solo documentados?
En XMS hacemos una evaluación inicial sin costo: mapeamos tu postura actual contra ISO 27001, ISO 27032 y el modelo Zero Trust de Microsoft, y te entregamos las brechas ordenadas por riesgo con una hoja de ruta priorizada.
Preguntas frecuentes
No. La ISO 27032 es un conjunto de directrices, no una norma certificable. No existe un organismo que emita un certificado ISO 27032 a una organización. Si buscas una certificación en seguridad de la información, la norma certificable es la ISO 27001. Las personas sí pueden obtener certificaciones profesionales relacionadas con la 27032, pero eso es distinto a certificar a la empresa.
La ISO 27001 define los requisitos de un sistema de gestión de seguridad de la información y es certificable. La ISO 27032 entrega directrices para enfrentar amenazas de ciberseguridad en Internet y sirve de complemento. Una se acredita ante terceros, la otra se aplica para reforzar controles técnicos.
Al menos una vez al año, y siempre después de un cambio relevante: una fusión, la adopción de una nueva plataforma, un incidente o la activación de asistentes de IA sobre datos de la empresa. La postura de seguridad cambia con cada uno de esos eventos.
