Coladera de datos: más de la mitad de firmas en Perú no demuestra proteger la información de sus clientes a la primera auditoría

Más del 50% de empresas en Perú no logra mantener la certificación internacional ISO 27001 después de la primera auditoría de seguimiento, de acuerdo con un análisis realizado por LigoPay.

La compañía señala que este resultado está relacionado con la dificultad para demostrar que los controles y procesos de seguridad siguen funcionando, que la organización se adapta a nuevos riesgos y que el sistema de gestión de la información no se ha quedado estático desde la obtención del certificado.

¿Qué es la ISO 27001?

ISO 27001 es una norma internacional que define cómo una empresa debe organizarse para proteger la información. No es un antivirus ni un software, sino un conjunto de reglas y buenas prácticas que ayudan a identificar riesgos, aplicar controles, capacitar al personal y mejorar de forma continua.

Una empresa certificada en ISO 27001 demuestra que tiene un sistema de gestión que protege datos de clientes, empleados y operaciones frente a amenazas como hackers, errores humanos o desastres, y que este sistema ha sido auditado por un organismo independiente. La certificación dura tres años e implica revisiones y auditorías periódicas.

El reto de mantener la certificación en Perú

El Oficial de Seguridad de la Información (OSI) de LigoPay, Fernando Gonzales, advierte que el verdadero desafío para las organizaciones no está en obtener el certificado, sino en sostenerlo año tras año. Explica que muchas firmas tropiezan a la hora de demostrar que sus procesos y controles de seguridad no se han quedado estáticos.

Según el análisis de LigoPay, las principales causas que llevan a las empresas a perder la certificación tras la primera auditoría de seguimiento son las siguientes:

• Documentación desactualizada: Muchas empresas no mantienen al día los documentos que describen sus controles y procedimientos, lo que dificulta demostrar su aplicación real.
• Incumplimiento de procesos definidos: Los procedimientos establecidos durante la certificación inicial a menudo dejan de cumplirse en la práctica cotidiana.
• Falta de auditorías internas periódicas: La ausencia de revisiones internas impide detectar a tiempo desviaciones o debilidades en el sistema de gestión de seguridad.
• Acciones correctivas insuficientes o no implementadas: Cuando se identifican no conformidades, algunas organizaciones no corrigen el problema de fondo ni aplican mejoras concretas.
• Dificultad para demostrar evidencia: No basta con tener políticas y manuales; es imprescindible mostrar pruebas de que los controles funcionan, como registros, reportes o resultados de monitoreo.

Estas debilidades suelen quedar en evidencia durante las auditorías anuales de seguimiento, que son obligatorias para mantener vigente el estándar internacional.

Consejos para sostener la certificación

Para evitar la suspensión o pérdida del estándar, los especialistas recomiendan revisar y actualizar periódicamente los riesgos y controles, así como capacitar de forma constante a los equipos involucrados.

Pero también se sugiere realizar auditorías internas antes de la auditoría oficial, documentar todas las acciones implementadas y sus resultados, e investigar en profundidad las no conformidades para corregirlas con medidas específicas y responsables definidos.

Este enfoque permite a las organizaciones anticipar posibles observaciones y fortalecer su sistema de gestión antes de ser evaluadas por el organismo certificador.

Un respaldo clave en mercados digitales

En un entorno donde la confianza y la seguridad digital son factores clave para los negocios, mantener la certificación ISO 27001 no solo representa una garantía de gestión eficiente de la seguridad de la información, sino que también refuerza la imagen y la credibilidad de la empresa ante clientes y aliados.

“Permiten que clientes y aliados tengan un punto de referencia objetivo al evaluar a un proveedor. Ese respaldo cobra mayor importancia cuando una empresa busca operar en distintos mercados”, concluye Fernando Gonzales, Oficial de Seguridad de la Información de LigoPay.