Software ISMS
para ISO 27001

ISO/IEC 27001 es la norma internacionalmente reconocida para sistemas de gestión de la seguridad de la información (ISMS). Define cómo una organización planifica, implanta, supervisa y mejora sistemáticamente la seguridad de la información — con la evaluación de riesgos como núcleo y los 93 controles del Anexo A como catálogo de medidas; ISO/IEC 27002:2022 ofrece la guía de implementación. La edición vigente es ISO/IEC 27001:2022.

Un software ISMS representa los componentes de un sistema de gestión de la seguridad de la información en un modelo de datos — alcance, activos, requisitos, riesgos, controles y evidencias — y los vincula entre sí. En lugar de mantener a mano la coherencia de hojas de cálculo y documentos, cada objeto se mantiene una sola vez y los informes, como la Declaración de aplicabilidad, se generan a partir de los datos.

Como mínimo: los requisitos de ISO/IEC 27001:2022 y los controles del Anexo A con estado de implementación, una estructura de activos con dependencias, análisis y tratamiento de riesgos con matriz configurable, medidas con responsables y plazos, evidencias en el objeto, la Declaración de aplicabilidad, informes para la revisión por la dirección y la auditoría — e interfaces con los sistemas donde ya residen sus activos y tareas.

Sí. Los requisitos de ISO/IEC 27001:2022 y los 93 controles del Anexo A de la norma están incluidos como catálogo — con la guía de implementación de ISO/IEC 27002:2022 — y se evalúan sobre su árbol de activos. Cuando aparece una nueva versión de la norma, el catálogo se actualiza; las evaluaciones y evidencias existentes migran con él.

Sí. La SoA se elabora sobre la base de los requisitos y los controles: para cada control se documentan aplicabilidad, justificación y estado de implementación, y el informe se genera a partir de ello — en la auditoría inicial y antes de cada auditoría de seguimiento, sin reescribir la declaración.

Las amenazas se identifican por activo — de catálogos estándar o propios — y se evalúan en una matriz de riesgo configurable. Para cada riesgo se fijan la opción de tratamiento y las medidas; el riesgo bruto y el residual pueden seguirse a lo largo del tiempo, y el plan de tratamiento de riesgos se genera como informe.

Sí — como guía, no como norma de certificación: ISO/IEC 27005 describe el proceso de gestión de riesgos de seguridad de la información que exige ISO/IEC 27001. Complaica reproduce ese proceso: los riesgos se identifican, analizan y evalúan por activo, para cada riesgo se fijan la opción de tratamiento, los controles y las medidas, y el riesgo residual queda vinculado al activo, al riesgo y a las evidencias. No existe una certificación según ISO/IEC 27005; los resultados alimentan el plan de tratamiento de riesgos y la SoA para la auditoría ISO 27001.

Sí. Complaica importa y exporta datos desde y hacia Excel, a través de la REST API y desde otras herramientas ISMS; la migración de sus datos es gratuita y la acompañan nuestros especialistas. Así evalúa la herramienta con su propio conjunto de datos en lugar de con datos de demostración.

Sí. TISAX, BSI IT-Grundschutz, NIS2, RGPD, ISO 22301 y otras normas se evalúan sobre el mismo modelo de alcance y utilizan los mismos activos, riesgos, medidas y evidencias. Lo documentado para ISO 27001 cuenta también para las demás normas.

Sí, ambas. La variante SaaS se aloja en Alemania; on-premises opera Complaica en su propia infraestructura. La licencia cuesta lo mismo en ambos casos.

A través de la REST API, sistemas de gestión de activos y CMDB como i-doit, GLPI, FNT Command y otros, así como Jira, SAP y Microsoft Azure. Los datos de la aplicación están disponibles mediante data marts para sistemas externos de análisis e informes, y a través de MCP puede conectarse un asistente de IA.

Las evidencias residen en el objeto que acreditan, y los informes — SoA, plan de tratamiento de riesgos, estado de implementación — se generan a partir del conjunto de datos actual. Los cuadros de mando muestran el estado antes de la auditoría y los auditores externos pueden recibir un acceso específico. Como el mismo conjunto de datos sigue en uso, las auditorías de seguimiento y la recertificación a los tres años se preparan desde la operación diaria. La certificación en sí la realiza un organismo de certificación independiente.

Para cualquier organización que trate información confidencial y quiera demostrarlo ante clientes, socios o autoridades — con independencia del tamaño y el sector. Es especialmente habitual en proveedores de servicios TI y cloud, proveedores de sectores regulados, operadores de infraestructuras críticas y empresas afectadas por NIS2 o TISAX: un ISMS según ISO 27001 cubre también gran parte de esos requisitos.

No está exigida por ley. En la práctica se vuelve obligatoria a través de contratos y licitaciones — muchos clientes exigen el certificado como prueba — e indirectamente por regulaciones como NIS2, KRITIS o DORA, que exigen un ISMS; ISO 27001 es la vía habitual para operar ese ISMS de forma demostrable.

Los costes se componen de tres partes: el esfuerzo de construir y operar el ISMS (tiempo interno, consultoría, software), la auditoría de certificación por un organismo acreditado y las auditorías de seguimiento anuales. Dependen sobre todo del tamaño del alcance, del número de sedes y de la madurez de sus procesos. Complaica reduce la primera parte: el contenido preparado, las evidencias generadas a partir de los datos y la integración de IA ahorran la mayor parte del trabajo de documentación. Le enviamos una lista de precios a petición.

Lo habitual son de tres a doce meses desde el inicio hasta el certificado — según el alcance, la documentación existente y los recursos disponibles. Con contenido preparado y consultoría, las organizaciones pequeñas se sitúan en el extremo inferior. El certificado es válido tres años, con auditorías de seguimiento anuales y recertificación posterior — Complaica mantiene el conjunto de datos actualizado durante todo ese tiempo.