Nuestro viaje hacia la certificación ISO 9001 e ISO 27001

Conseguir la certificación ISO 9001 e ISO 27001 ha sido una ambición que hemos mantenido durante mucho tiempo en TMT.

Estas certificaciones no son sólo un escaparate, demuestran que nos tomamos en serio la seguridad y el mantenimiento de todos los datos que procesamos, seguros y protegidos.

Como empresa, dependemos de conjuntos de datos a gran escala, tanto dentro como fuera de nuestra red central, por lo que para nosotros es fundamental mantener los más altos estándares en el tratamiento de nuestros datos y en la seguridad de la información.

También somos una empresa cuya base de clientes espera los más altos niveles de seguridad de datos y calidad de servicio. Sabíamos que ya disponíamos de controles y procesos sólidos y eficaces, pero necesitábamos poder cuestionar esta suposición y demostrar la eficacia de estos controles.

Empezamos nuestro viaje con las certificaciones Cyber Essentials e IASME, pero sabíamos que las certificaciones ISO 9001 e ISO 27001 eran el objetivo.

Las normas ISO fijan el listón de la gestión de la calidad y la seguridad de la información, y queríamos demostrar que podíamos cumplir esas normas tan exigentes. Además, queríamos demostrar a nuestros clientes y socios que nos dedicamos a hacer las cosas bien y a proteger sus datos.

Normas ISO 9001 e ISO 27001

La norma ISO 9001 consiste en disponer de un sólido Sistema de Gestión de la Calidad (SGC). Un sistema de gestión que nos ayude a satisfacer las necesidades de nuestros clientes y a cumplir la normativa y las mejores prácticas, buscando siempre la mejora. La ISO 27001 se centra en los Sistemas de Gestión de la Seguridad de la Información (SGSI), asegurándonos de que mantenemos todos los datos que guardamos o procesamos a salvo de cualquier amenaza.

Pasos iniciales

Nuestra primera acción fue un ejercicio detallado de análisis de deficiencias. Necesitábamos ver cómo nos medíamos con estas normas. Armados con esto, reunimos un equipo de “Sistema de Gestión de la Seguridad de la Información” de toda la empresa -Seguridad, TI, Operaciones, RRHH, Jurídico y nuestro Director de Tecnología- para dirigir el proceso.

Construir nuestros sistemas de gestión

Nos fijamos una serie de objetivos de calidad claros y alcanzables que se ajustaban a nuestros objetivos empresariales. Trazamos un mapa de todos nuestros procesos clave, buscando formas de racionalizar y eliminar cualquier ineficiencia y asegurándonos de que los procesos se unían eficazmente en toda la documentación de los departamentos. Elaboramos políticas, procedimientos e instrucciones de trabajo detallados para garantizar que todo se hiciera de forma coherente y fiable. Nos aseguramos de que nuestras medidas de satisfacción del cliente y de retroalimentación de los clientes fueran eficaces y de que, cuando fuera necesario, se siguieran y aplicaran las lecciones aprendidas.

También analizamos detenidamente todos los riesgos posibles para nuestra información, calculando su probabilidad y gravedad, y aplicando medidas correctoras o paliativas para hacer frente a esos riesgos, como la mejora del control de acceso, la mejora del cifrado de datos, las comprobaciones de integridad de las copias de seguridad y los ejercicios de gestión de incidentes.

A continuación, creamos políticas claras sobre cómo gestionar la seguridad de la información, desde la protección de datos hasta la gestión de incidentes, educando a nuestro personal sobre las mejores prácticas en seguridad de la información, y asegurándonos de que todo el mundo sabía cómo mantener a salvo nuestros datos. Pusimos en marcha ejercicios periódicos para comprobar la eficacia de nuestra formación.

Mejora continua

Con estas políticas, procesos y sistemas ya implantados, teníamos que seguir comprobándolos y mejorándolos. Lo conseguimos mediante auditorías internas periódicas, con el apoyo de nuestro socio del Centro de Operaciones de Seguridad, que a su vez son auditores con certificación ISO; juntos auditamos nuestros sistemas para detectar cualquier problema y encontrar formas de mejorar. En todo momento realizamos revisiones de la gestión para mantener informados a quienes dirigen nuestro negocio, y sus aportaciones nos ayudaron a mantener el rumbo y seguir mejorando. Siempre que encontrábamos problemas, y me complace decir que no encontramos muchos, los solucionábamos rápidamente y nos asegurábamos de que no volvieran a ocurrir.

Auditorías finales de certificación

Después de todo esto, el último obstáculo eran las auditorías de certificación, realizadas por un organismo externo. Habíamos tomado la decisión de incluir todas nuestras actividades en el ámbito de la ISO y, en consecuencia, nuestras auditorías se prolongaron durante varias semanas y con varios auditores. Revisaron minuciosamente nuestros sistemas, cotejándolo todo con las normas ISO. Estamos encantados de haber completado nuestra auditoría final de la Fase 2 con cero incumplimientos. Superar esta auditoría fue un momento enorme e importante para nosotros, la culminación de mucho trabajo y esfuerzo por parte de todo el equipo de TMT. Todo nuestro esfuerzo había merecido la pena.

En conclusión

Obtener las certificaciones ISO 9001 e ISO 27001 es un gran logro para TMT. Demuestra que estamos comprometidos con la prestación de servicios de máxima calidad y con la seguridad de nuestros datos. Creemos firmemente que estas certificaciones ayudarán a generar confianza tanto entre los clientes como entre los socios, al saber que los controles y procesos que tenemos implantados para gestionar sus datos han sido examinados por un equipo de auditores profesionales y considerados buenos y eficaces. La plena adaptación de nuestros procesos a la norma ISO nos ayudará a funcionar con más eficacia, a gestionar mejor los riesgos y a fomentar una cultura de mejora continua de nuestra calidad y seguridad.