Compliance (ISO 27001 · SOC 2)

ISO 27001 y SOC 2 son los dos marcos de seguridad de la información que más piden clientes enterprise, inversionistas y reguladores a empresas SaaS y fintech en México. ISO 27001 es una certificación internacional de sistema de gestión; SOC 2 es una atestación de auditor independiente, más común cuando se vende a clientes en Estados Unidos. Esta guía reúne todo lo que necesitas saber antes de empezar: costos, tiempos, cómo elegir consultor, y qué pasa si no lo tienes.

¿Por qué esto le importa a tu empresa ahora, no "eventualmente"?

Cada vez más licitaciones, cadenas de proveedores, clientes enterprise e inversionistas piden evidencia de un sistema de gestión de seguridad certificado antes de firmar contrato o cerrar una ronda de inversión. Lo que hace 5 años era un diferenciador, hoy es el filtro de entrada mínimo — las certificaciones ISO 27001 activas a nivel global crecieron de 6,000 en 2006 a más de 71,500 en 2022. Si tu empresa vende a otras empresas (B2B), es una cuestión de cuándo te lo van a pedir, no de si te lo van a pedir.

¿Qué es ISO 27001?

ISO/IEC 27001:2022 es el estándar internacional que define los requisitos para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI). Es una certificación — un organismo acreditado audita tu sistema y emite un certificado con validez de 3 años, sujeto a auditorías anuales de vigilancia.

¿Qué es SOC 2 y en qué se diferencia de ISO 27001?

SOC 2 no es una certificación — es una atestación: un auditor independiente emite una opinión profesional sobre si tus controles cumplen los Criterios de Servicios de Confianza (Seguridad, Disponibilidad, Confidencialidad, Integridad de Procesamiento y Privacidad). Es el estándar que casi siempre piden clientes o inversionistas de Estados Unidos, mientras que ISO 27001 tiene reconocimiento más universal a nivel internacional. Muchas empresas SaaS/fintech en etapa de crecimiento terminan necesitando ambos.

¿Cuánto cuesta y cuánto tarda certificarse?

El costo total en México va de $80,000 MXN (diagnóstico inicial) hasta $1,500,000 MXN (proceso completo en organizaciones grandes), con tiempos de 9 a 24 meses según tu punto de partida.

¿Cómo elijo un consultor o firma para acompañarme?

Hay 5 criterios objetivos que debes evaluar antes de contratar — desde la certificación real del consultor hasta si el acompañamiento continúa después de la certificación.

¿Qué pasa si no tengo ISO 27001 o SOC 2 todavía?

El costo más común no es una multa ni una sanción — es el contrato que se pierde en silencio, sin que nadie te explique por qué. Un cliente enterprise o inversionista simplemente no avanza la conversación cuando no puedes mostrar evidencia certificada.

Próximamente en este cluster: "El costo real de no tener ISO 27001: contratos perdidos y cómo cuantificarlos".

¿Ya tengo un SGSI, pero no estoy seguro de qué tan maduro está?

Antes de contratar cualquier implementación, vale la pena que evalúes tu propio nivel de madurez por dominio — desde gobierno y roles de seguridad, hasta gestión de proveedores, DRP/BCP, y postura de seguridad técnica.

¿Cómo empezar sin comprometerte a un proyecto grande desde el día uno?

Un Diagnóstico Combinado de 2-3 semanas te da hallazgos priorizados y cuantificados — de compliance y de costos en la nube — antes de decidir si necesitas una implementación completa.