--- title: "ISO 27001:2022 sin miedo: qué implica certificar una organización y cuánto tiempo lleva de verdad" description: Descubre qué implica certificar una organización bajo ISO 27001:2022, su proceso, duración y errores comunes. Asegura tu ciberseguridad de manera efectiva. image: https://blog.seccuracy.com.ar/hubfs/ISO27001-sin-miedo-Seccuracy.jpg --- [Saltar al contenido](https://blog.seccuracy.com.ar/blog/iso-270012022-sin-miedo-que-implica-certificar-una-organizacion-y-cuanto-tiempo-lleva-de-verdad#main-content) ![Seccuracy Argentina](https://blog.seccuracy.com.ar/hs-fs/hubfs/Logo%20blanco%20sf-2.png?width=300&height=52&name=Logo%20blanco%20sf-2.png "Seccuracy Argentina") ![ISO27001](https://blog.seccuracy.com.ar/hs-fs/hubfs/ISO27001-sin-miedo-Seccuracy.jpg?width=1376&height=768&name=ISO27001-sin-miedo-Seccuracy.jpg) sgsi Blog ciberseguridad # ISO 27001:2022 sin miedo: qué implica certificar una organización y cuánto tiempo lleva de verdad ![Esteban Bastanzo](https://blog.seccuracy.com.ar/hs-fs/hubfs/Esteban.png?width=48&height=48&name=Esteban.png) Esteban Bastanzo 23 de octubre de 2026 Cuando una organización empieza a evaluar ISO 27001, la reacción suele ser una mezcla de interés y temor. Interés, porque cada vez más clientes, reguladores, aseguradoras y licitaciones la piden. Temor, porque la imagen que circula es la de un proceso eterno, carísimo y lleno de papeles que nadie lee. Parte de esa imagen es cierta y parte no. Vamos por partes.   ## Primero, qué es y qué no es ISO/IEC 27001 es una norma que define cómo tiene que funcionar un Sistema de Gestión de Seguridad de la Información (SGSI). No es una lista de productos para comprar ni un estándar técnico de configuración. Es un marco para que la organización identifique sus riesgos sobre la información, decida qué hacer con ellos y demuestre que lo sostiene en el tiempo. La versión 2022 ordena sus controles de referencia (el famoso Anexo A) en 93 controles agrupados en cuatro temas: organizacionales, de personas, físicos y tecnológicos.   ## Los mitos que más escuchamos **«Es un proyecto del área de sistemas.»** No. Sistemas tiene un rol clave, pero la norma atraviesa a toda la organización: Recursos Humanos, Compras, Legales, Operaciones y la propia dirección. Cuando queda encerrada en TI, el sistema no se sostiene. **«Hay que implementar los 93 controles.»** Tampoco. Se aplican los controles que responden a los riesgos reales de la organización. Los que no corresponden se excluyen con una justificación, que queda registrada en la Declaración de Aplicabilidad. **«Hay que invertir mucho en tecnología.»** En general, la mayor inversión no es en herramientas sino en ordenar procesos, definir responsables y generar evidencia. Es común descubrir que buena parte de la tecnología necesaria ya está en casa, solo que mal configurada o sin nadie que la mire. **«Es un trámite de papeles.»** Si se encara así, termina siendo eso, y el auditor lo detecta. El papel es la consecuencia de gestionar, no el objetivo.   ## Las fases, una por una **1. Decisión y alcance.** La dirección decide avanzar y se define qué cubre el SGSI: toda la organización, una unidad de negocio, un servicio en particular. Un alcance bien recortado es la decisión que más impacta en plazos y costos. **2. Análisis de brecha.** Se compara cómo está hoy la organización contra lo que pide la norma. De acá sale el mapa de trabajo real. **3. Análisis y tratamiento de riesgos.** Se identifican los activos de información, las amenazas y las vulnerabilidades, se evalúan los riesgos y se decide cómo tratarlos. De este paso sale la Declaración de Aplicabilidad. Es el corazón del sistema. **4. Implementación.** Políticas, procedimientos y controles técnicos. Gestión de accesos, respaldos, gestión de incidentes, proveedores, concientización del personal, entre otros. **5. Operación y evidencia.** El sistema tiene que funcionar un tiempo antes de auditarse. El auditor va a pedir registros: revisiones de accesos, pruebas de respaldo, capacitaciones realizadas, incidentes gestionados. **6. Auditoría interna y revisión por la dirección.** Antes de convocar al organismo certificador, la propia organización se audita y la dirección revisa los resultados. Son requisitos de la norma, no un paso opcional. **7. Auditoría de certificación.** Se hace en dos etapas. En la primera, el organismo revisa la documentación y evalúa si la organización está lista. En la segunda, verifica en la práctica que lo documentado se cumple. **8. Mantenimiento.** El certificado dura tres años, con auditorías de seguimiento anuales. Al tercer año se recertifica.   ## ¿Cuánto tiempo lleva de verdad? Depende de tres factores: el tamaño del alcance, el punto de partida y la disponibilidad interna de los equipos involucrados. Como referencia, para una organización con un alcance acotado y un nivel de madurez intermedio: | **Fase** | **Duración orientativa** | | --- | --- | | Alcance y análisis de brecha | 1 a 2 meses | | Riesgos y Declaración de Aplicabilidad | 1 a 3 meses | | Implementación | 3 a 6 meses | | Operación y generación de evidencia | 2 a 3 meses | | Auditoría interna y revisión por la dirección | 1 mes | | Auditoría de certificación (etapas 1 y 2) | 1 a 2 meses | En total, entre 9 y 18 meses. Organizaciones con varias sedes, mucha dependencia de proveedores o sistemas heredados pueden estar en el extremo superior o superarlo. Cuando alguien promete certificar en tres meses conviene preguntar qué se está salteando. Casi siempre es la fase de operación, y es justamente la que el auditor mira con más atención.   ## Los errores típicos del primer intento **Un alcance demasiado ambicioso.** Querer certificar todo de entrada multiplica el trabajo. Es mejor empezar por el servicio o proceso de mayor valor para el negocio y ampliar después. **Dejarlo solo en manos de TI.** Si no participan las demás áreas, el SGSI no llega a donde la norma exige que llegue. **Comprar plantillas y completarlas.** Las plantillas ayudan, pero un documento que no refleja cómo trabaja la organización se cae en la primera entrevista con el auditor. **Una Declaración de Aplicabilidad sin sustento.** Controles incluidos o excluidos sin que se vea de qué análisis de riesgo salen. Es uno de los hallazgos más frecuentes. **No generar evidencia desde el principio.** Se hacen las cosas bien, pero no queda registro. Para el auditor, lo que no está registrado no ocurrió. **Una dirección ausente.** La norma pide compromiso explícito del liderazgo: objetivos, recursos, revisión. No alcanza con firmar la política. **Pensar que la certificación es el final.** El primer año posterior es el que define si el sistema se sostiene o se transforma en una carpeta que se desempolva antes de cada auditoría de seguimiento.   ## Entonces, ¿vale la pena? Si la organización gestiona datos de clientes, presta servicios a sectores regulados o compite en licitaciones, la respuesta suele ser sí. Pero el valor real no está en el certificado colgado en la pared sino en lo que queda instalado: saber qué información es crítica, quién es responsable de qué y cómo reaccionar cuando algo sale mal. En Seccuracy acompañamos este proceso desde el diagnóstico de madurez hasta la auditoría de certificación, con una idea simple: el sistema tiene que servirle a la organización, no al revés. ## Compartir esta publicación [mailto:https%3A%2F%2Fblog.seccuracy.com.ar%2Fblog%2Fiso-270012022-sin-miedo-que-implica-certificar-una-organizacion-y-cuanto-tiempo-lleva-de-verdad](mailto:https%3A%2F%2Fblog.seccuracy.com.ar%2Fblog%2Fiso-270012022-sin-miedo-que-implica-certificar-una-organizacion-y-cuanto-tiempo-lleva-de-verdad) ## Seguir leyendo ### [![ciberseguridad IA Seccuracy](https://blog.seccuracy.com.ar/hs-fs/hubfs/ciberseguridad%20IA%20Seccuracy.jpg?width=1280&height=720&name=ciberseguridad%20IA%20Seccuracy.jpg) ciberseguridad seguridad de la información IA Mythos: La IA que desafía la ciberseguridad global](https://blog.seccuracy.com.ar/blog/mythos-la-exposicion-sobre-las-vulnerabilidades-en-ciberseguridad) ### [![Caso de éxito La Segunda Seguros](https://blog.seccuracy.com.ar/hs-fs/hubfs/Imported_Blog_Media/09.png?width=4080&height=2296&name=09.png) Smartfense ingeniería social awareness program Caso de éxito programa de concientización en Smartfense](https://blog.seccuracy.com.ar/blog/caso-de-exito-concientizacion-en-ciberseguridad-en-la-segunda-seguros-2) [![Seccuracy. Certeza en seguridad de la información.](https://blog.seccuracy.com.ar/hs-fs/hubfs/Logo%20azul%20sf.png?width=1217&height=210&name=Logo%20azul%20sf.png "Seccuracy. Certeza en seguridad de la información.")](https://blog.seccuracy.com.ar/) --- Privacy Policy · Legal · © 2026. All rights reserved. ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Esteban Bastanzo", "url" : "https://blog.seccuracy.com.ar/author/esteban-bastanzo" }, "dateModified" : "2026-10-23T20:44:32.983Z", "datePublished" : "2026-10-23T20:27:30.000Z", "headline" : "ISO 27001:2022 sin miedo: qué implica certificar una organización y cuánto tiempo lleva de verdad", "image" : [ "https://blog.seccuracy.com.ar/hubfs/ISO27001-sin-miedo-Seccuracy.jpg" ], "mainEntityOfPage" : { "@id" : "https://blog.seccuracy.com.ar/blog/iso-270012022-sin-miedo-que-implica-certificar-una-organizacion-y-cuanto-tiempo-lleva-de-verdad", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.seccuracy.com.ar/hubfs/Logo%20azul%20sf.png" } } } ```