Cómo elegir un consultor ISO 27001 en Chile

Elegir el consultor correcto puede ser la diferencia entre una certificación ISO 27001 exitosa y un proyecto que se extiende indefinidamente con resultados mediocres. En Chile existe un mercado creciente de consultores y firmas especializadas, pero la calidad varía enormemente. Esta guía te ayuda a distinguir a los buenos consultores de los que no lo son.

¿Necesitas realmente un consultor?

Antes de buscar un consultor, evalúa honestamente si lo necesitas. Existen tres escenarios:

Criterios de selección

1. Certificaciones y credenciales

Un consultor serio debe tener al menos una de estas certificaciones:

• ISO 27001 Lead Implementer (PECB, BSI o similar): Certifica que sabe implementar el estándar
• ISO 27001 Lead Auditor: Certifica que puede auditar el SGSI
• CISSP, CISM o CISA: Certificaciones generales de seguridad de alto nivel

Pide copias de las certificaciones y verifica que estén vigentes. Las certificaciones PECB pueden validarse en la página web de PECB.

2. Experiencia en tu sector

La implementación de ISO 27001 varía según el sector. Un consultor con experiencia en empresas de software tiene un perfil diferente al que trabajó principalmente en banca o manufactura. Pide referencias de proyectos similares al tuyo.

3. Referencias verificables

Solicita al menos 2–3 referencias de clientes anteriores que hayan completado la certificación. Contacta directamente a esos clientes para preguntar sobre la experiencia. Un buen consultor no tendrá problema en proporcionarlas.

4. Metodología de trabajo

Pide que te expliquen su metodología. Debe incluir diagnóstico inicial (gap analysis), diseño del SGSI, implementación de controles, preparación para auditoría y soporte post-certificación. Desconfía de consultores que no pueden explicar claramente su proceso.

5. Conocimiento de ISO 27001:2022

La versión vigente es ISO 27001:2022. Muchos consultores formados en la versión 2013 no actualizaron su conocimiento. Pregunta específicamente sobre los cambios de la versión 2022: nueva estructura del Anexo A (93 controles vs. 114), los nuevos controles (A.5.7, A.5.23, A.8.11, A.8.12, entre otros) y los cambios en la SoA.

Señales de alerta: consultores que debes evitar

Preguntas clave para la evaluación

Usa estas preguntas en el proceso de selección:

1. ¿Cuántas implementaciones ISO 27001 ha completado hasta la certificación? (Busca al menos 5–10 proyectos certificados)
2. ¿Qué diferencias encuentra entre ISO 27001:2013 y 2022? (Si no puede responder, no está actualizado)
3. ¿Cómo gestiona los casos en que la evaluación de riesgos no respalda la implementación de todos los controles del Anexo A? (Respuesta correcta: con justificaciones bien documentadas en la SoA)
4. ¿Cuál es el mayor error que cometen las empresas al implementar ISO 27001? (Busca respuestas reflexivas y concretas)
5. ¿Qué pasa si detectamos que la empresa no estará lista para la auditoría en el plazo planificado? (Busca honestidad y flexibilidad)

Estructura de honorarios típica

Consultor vs. plataforma: ¿cuándo conviene cada uno?

Una alternativa al consultor tradicional es usar una plataforma de gestión de SGSI como GRC360 como herramienta principal, con soporte consultivo puntual:

• Plataforma + consultor part-time: Ideal para pymes con algo de madurez en seguridad. La plataforma guía el proceso, el consultor valida y resuelve dudas. Puede ser 40–60% más económico que un consultor full-time.
• Consultor tradicional: Ideal cuando el equipo interno no tiene tiempo ni conocimiento para liderar el proyecto internamente, o cuando el alcance es complejo.

Complementa con las guías sobre costos de certificación, ISO 27001 con recursos limitados y cronograma de implementación.