ISO/IEC 27001 para seguridad, clientes corporativos y riesgo digital.

En Argentina, ISO/IEC 27001 dejó de ser una inquietud de las áreas de sistemas para convertirse en una condición de venta. Cuando una empresa argentina de software, una fintech o un BPO quiere cerrar con un cliente corporativo —local o del exterior— rara vez alcanza con demostrar que el producto funciona: hay que demostrar que la información que ese cliente confía está gestionada con un método verificable. Ese método tiene nombre de norma.

La certificación 27001 recae sobre el sistema de gestión de una organización, no sobre un producto ni sobre una persona. No certifica que una app sea segura: certifica que la empresa gestiona la seguridad de su información de forma sistemática. Un cuestionario de seguridad de un cliente no pregunta si sos bueno. Pregunta si podés probarlo.

ISO/IEC 27001 es la norma internacional para sistemas de gestión de seguridad de la información (SGSI). Su edición vigente es ISO/IEC 27001:2022, publicada en octubre de 2022, con una enmienda Amd 1:2024 que incorporó la consideración del cambio climático en las cláusulas 4.1 y 4.2 (contexto de la organización). La transición desde la edición anterior, 27001:2013, cerró el 31 de octubre de 2025: desde esa fecha, un certificado emitido contra la edición 2013 ya no está vigente.

Lo que la norma pide se organiza en dos capas. La primera es el cuerpo de la norma (cláusulas 4 a 10), que comparte la estructura de alto nivel de todas las normas ISO de sistemas de gestión y permite integrarla con 9001, 14001 o 45001 si la empresa ya tiene otros sistemas.

• Cláusula 4 — Contexto de la organización. Determinar el alcance del SGSI, las partes interesadas y sus requisitos, incluidas —desde Amd 1:2024— las cuestiones climáticas cuando sean pertinentes.
• Cláusula 5 — Liderazgo. Compromiso de la dirección, política de seguridad de la información, roles y responsabilidades.
• Cláusula 6 — Planificación. El corazón del SGSI: la apreciación y el tratamiento de riesgos de seguridad de la información, y la Declaración de Aplicabilidad (SoA) que justifica qué controles se aplican y cuáles no.
• Cláusula 7 — Apoyo. Recursos, competencia, concientización, comunicación e información documentada.
• Cláusula 8 — Operación. Ejecución de los planes de tratamiento de riesgos.
• Cláusula 9 — Evaluación del desempeño. Seguimiento, medición, auditoría interna y revisión por la dirección.
• Cláusula 10 — Mejora. En 27001:2022, 10.1 es mejora continua y 10.2 es no conformidad y acción correctiva. El orden estaba invertido en la edición 2013; conviene no arrastrarlo.

27001 no la piden todos los sectores por igual. En el mercado argentino, la demanda se concentra donde la información ajena es el activo que se gestiona.

• Software, SaaS y tecnología. Es el caso más nítido. Una empresa que vende software como servicio custodia datos de sus clientes; el cliente, antes de firmar, manda un cuestionario de seguridad —a veces de decenas de páginas— o exige la evidencia de un tercero. Un certificado 27001 vigente responde de una sola vez lo que de otro modo son semanas de idas y vueltas.
• Fintech y medios de pago. El sector maneja datos financieros y opera bajo la mirada de bancos, procesadores y —según el rubro— del Banco Central. 27001 ordena la base de gestión de la seguridad sobre la que conviven, sin equipararse a ellos, marcos específicos del ecosistema de pagos como PCI DSS o normativa del BCRA: son exigencias distintas, con alcance y objeto distintos, y una no sustituye a la otra.
• BPO, contact centers y servicios exportables. Argentina exporta servicios basados en conocimiento, y del otro lado de esa exportación suele haber un cliente que compra bajo estándares internacionales. Para un proveedor argentino de un cliente en Estados Unidos o Europa, 27001 es el idioma común que evita traducir la seguridad país por país.
• Salud, seguros y empresas con datos sensibles. Donde hay historia clínica, datos biométricos o información patrimonial, la gestión certificada de seguridad deja de ser opcional a los ojos de clientes y reguladores.
• Proveedores de grandes cuentas y del Estado. En licitaciones y pliegos —públicos y privados— es cada vez más frecuente encontrar la seguridad de la información como requisito o como criterio de puntuación. El detalle varía pliego por pliego; para un proveedor que factura en pesos y compite por contratos de este tipo, el certificado suele ser un diferencial de calificación.

El patrón, en todos los casos, es el mismo: 27001 aparece cuando la relación comercial exige confianza sobre datos, y esa confianza necesita prueba verificable en lugar de declaración propia.