Cuándo deberías empezar a preocuparte por conseguir la certificación ISO 27001
Conforme los negocios migran al espacio digital notarás que hay mucho ruido alrededor de la seguridad de la información y ciberseguridad.
Quizás escuchas por los pasillos que el estándar ISO 27001 es lo más recomendable para estar protegido de los riesgos. Sin embargo, al no estar familiarizado con el tema te resulta difícil comprender si es momento de invertir en ello o si es recomendable para tu tipo de negocio.
No estás solo. Muchas startups no tienen idea y esto es porque su prioridad, hasta el momento, ha sido llevar el producto al mercado, generar ingresos rápidamente y mantener el flujo de caja.
Hoy es el día de resolver ese gran interrogante y reconocer esos indicadores o señales que proyectan la escalabilidad de tu negocio.
Señales de que deberías cumplir con ISO 27001
Lo ideal siempre es comenzar lo antes posible, pero si no tienes los recursos para hacerlo, el momento adecuado es cuando un tercero lo requiera como condición para seguir trabajando contigo.
Por ejemplo, es muy común que quienes te lo pidan sean:
- Corporativos y grandes empresas que antes o en medio del cierre de un contrato, te envían un cuestionario de ciberseguridad para verificar que tengas políticas o controles implementados. Habitualmente estos cuestionarios están basados en la ISO 27001 o marcos de cumplimiento internacionales.
- Reguladores que antes de permitirte operar en su país te exigen el cumplimiento de sus leyes o normas específicas (que también, en su mayoría, suelen estar basadas en ISO 27001).
- Inversores que quieren asegurarse de que no perderán dinero en un negocio expuesto a amenazas.
También, puedes plantearte esta pregunta: ¿Tengo proyectado venderle a corporativos, aterrizar en un nuevo mercado o buscar inversión en los próximos meses?
Si la respuesta es sí, adivina quién ya se está atrasando en materia de ciberseguridad.
Hackmetrix Insight: No siempre es obligatorio llegar a la certificación. También puedes trabajar con corporativos y empresas alineándote a un marco de cumplimiento.
Señales de que todavía no debes cumplir con ISO 27001
Como mencionamos, al lanzar el primer MVP la atención se centra en testear el producto, mantener el flujo de caja o en incrementar la cartera de clientes.
Este foco es natural y, al mismo tiempo, es el motivo por el que conviene esperar, ya que uno de los requisitos de la normativa es realizar periódicamente pruebas de intrusión en aplicaciones y sistemas de la empresa. En este caso, hacer pruebas sobre un producto o servicio que aún no es definitivo o está siendo validado en el mercado podría significar una pérdida para tu negocio.
Por otro lado, si no tienes requerimientos de algún cliente o regulador y tu prioridad es seguir creciendo y vender más, será aconsejable invertir el dinero en desarrollo, ventas o marketing.
Hackmetrix Insight: Esto no significa que debas dejar de lado la seguridad, sino que puedes comenzar a implementar algunas políticas y documentos básicos de manera informal.
Conclusión
Vale la pena poner en marcha el cumplimiento de ISO 27001 si en los próximos meses tienes proyectado:
- Expandir el negocio a un mercado regulado.
- Venderle a corporativos o grandes empresas.
- Conseguir mayor financiación de inversores.
Ya que es muy probable que en los tres escenarios te pregunten por tus esfuerzos en ciberseguridad. Si detectas estos indicadores a tiempo evitarás ralentizar las ventas, reducir el tiempo go-to-market o, en el peor de los casos, perder la venta.
Por otro lado, si recién estás lanzando tu MVP te recomendamos esperar a tener un producto definitivo sobre el cual puedas realizar pruebas de seguridad como ethical hacking (requisito crucial que pide ISO 27001). En este caso, puedes adelantarte y comenzar a crear, aunque sea de manera informal, algunas políticas básicas de seguridad. De esta forma, el proceso formal de cumplimiento y de auditoría será mucho más ágil y rápido de superar.
Para estas alturas ya podrías sentarte a evaluar si tu startup debería cumplir o no con ISO 27001, o también puedes agendarnos una llamada y en 20 minutos te damos la respuesta que buscas.
