ISO 27001: Foundation, Lead Implementer, Lead Auditor, ¿cuál elegir?

La decisión que realmente importa: ¿está construyendo o auditando?

Las tres credenciales de ISO 27001 no son una única escalera que se sube en orden. Foundation es la base compartida, pero por encima de ella el camino se bifurca en dos trabajos distintos. Un trabajo consiste en diseñar y operar un sistema de gestión de seguridad de la información (ISMS) dentro de una organización. El otro consiste en examinar el ISMS de otra persona frente a la norma y formar una opinión independiente. Los títulos lo señalan: Lead Implementer es un constructor, Lead Auditor es un examinador. Elegir el equivocado desperdicia una semana de formación y le da un certificado que no se corresponde con el trabajo que tiene delante.

Hágase una pregunta antes de reservar nada: en los próximos doce meses, ¿será responsable de que un ISMS exista y funcione, o responsable de juzgar si funciona? Si es propietario de la Declaración de Aplicabilidad, del plan de tratamiento del riesgo y de la revisión por la dirección, está construyendo. Si entra, muestrea evidencia y redacta hallazgos, está auditando. El verbo que hace la mayoría de los días es toda la decisión.

En cualquier caso, empieza en el mismo sitio. El curso ISO 27001 Foundation le aporta el vocabulario, la estructura de controles del Anexo A y la lógica del sistema de gestión que ambas vías sénior dan por supuesto que usted ya domina.

Qué evalúa realmente cada examen (más allá del folleto)

Las descripciones de los niveles le indican la duración. No le dicen qué recompensa la evaluación, que es lo que determina cómo debería prepararse.

Foundation

Foundation es un examen de conocimiento. Comprueba que puede leer la norma sin perderse: las cláusulas 4 a 10, el ciclo Plan-Do-Check-Act, la diferencia entre un control y un objetivo de control, y dónde se sitúa el Anexo A respecto a los requisitos principales. No le pide aplicar nada bajo presión. Si sabe explicar por qué la SoA debe justificar tanto las inclusiones como las exclusiones, está listo.

Lead Implementer

Lead Implementer es un examen de competencia construido en torno a escenarios. Se le da una organización ficticia y se le pregunta qué haría: cómo definiría el alcance del ISMS, cómo ejecutaría la evaluación de riesgos, qué entra en el plan de tratamiento del riesgo, cómo gestionaría un control no conforme. Las preguntas premian el criterio, no la memorización. El curso Lead Implementer se estructura en torno al proyecto de implementación completo, de modo que los escenarios del examen se sienten como un trabajo que ya ha hecho.

Lead Auditor

Lead Auditor pone a prueba un músculo distinto: la metodología de auditoría ISO 19011 aplicada a ISO 27001. Los escenarios le sitúan en la sala de auditoría. Decide qué evidencia prueba que una cláusula se cumple, cómo muestrear, cómo formular un hallazgo y cómo calificarlo como no conformidad mayor o menor. La trampa en la que caen los candidatos es auditar como implementarían, diciéndole al auditado cómo arreglar las cosas en lugar de declarar qué es no conforme. El curso Lead Auditor entrena la disciplina de evidencia primero, opinión y no consejo, que tanto el examen como las auditorías reales exigen.

Los tres niveles, uno al lado del otro

Requisitos previos y qué le aporta realmente el siguiente paso

Foundation es el requisito previo para las credenciales sénior, pero léalo con precisión: la mayoría de los esquemas de acreditación exigen conocimiento de nivel Foundation, no necesariamente un certificado Foundation independiente obtenido de antemano. En la práctica, los cursos sénior abren con un repaso comprimido de los fundamentos y luego los dan por supuestos. Si llega sin esa base, pasa el primer día poniéndose al día en lugar de aprender el método, y el trabajo de escenarios del resto de la semana cae sobre terreno poco firme. Cursar Foundation primero no es marcar una casilla burocrática; es lo que permite que el curso de cinco días enseñe con toda su profundidad.

Lo que le aporta el siguiente paso es palanca, no solo una línea en el CV. Foundation le aporta la capacidad de participar en una conversación sobre el ISMS sin perderse. Lead Implementer le aporta la capacidad de ser responsable de que el sistema exista: puede definir su alcance, defender la SoA ante un auditor y operar el ciclo. Lead Auditor le aporta independencia: puede firmar hallazgos en los que un organismo de certificación o un consejo de administración confiarán. Son formas de autoridad genuinamente distintas, razón por la cual hacer ambas en un periodo de doce a dieciocho meses es habitual y útil. Un implementador que también se ha formado como auditor construye un ISMS que sobrevive a la auditoría, porque sabe qué buscará el auditor.

Errores comunes que cuestan una semana

Algunos patrones aparecen repetidamente cuando se elige o se cursan estos cursos. Son evitables.

1. Tratar Lead Auditor como la versión de mayor estatus de Lead Implementer. No está por encima; está al lado. Reservarlo por prestigio cuando su trabajo es construir el ISMS le da una habilidad que rara vez usará.
2. Saltarse la base de Foundation para ahorrar dos días y luego perder más de dos días dentro del curso sénior poniéndose al día en vocabulario mientras todos los demás lo aplican.
3. Implementadores que auditan dando consejos, y auditores que auditan redactando planes de mejora. El auditor declara qué es no conforme y señala la cláusula; la corrección corresponde al auditado. Cruzar esa línea suspende los escenarios del examen y compromete las auditorías reales.
4. Confundir la norma con los controles. El Anexo A es un conjunto de referencia del que se selecciona a través de la SoA. Los requisitos certificables viven en las cláusulas 4 a 10. Los candidatos que memorizan controles pero no saben explicar las cláusulas del sistema de gestión tienen dificultades en ambos exámenes sénior.

La realidad de la sala de auditoría, y por qué moldea ambas vías

Para cualquiera de los dos lados para los que se forme, imagine la auditoría de certificación, porque es donde se encuentran los dos roles. El auditor pide evidencia de que una cláusula se satisface y de que un control seleccionado opera como la SoA afirma. El implementador tiene que producir esa evidencia a demanda: registros de la evaluación de riesgos, las decisiones de tratamiento, las actas de la revisión por la dirección, los resultados de la auditoría interna, las acciones correctivas. Nada impresiona a un auditor; solo la evidencia lo hace. Un control que existe pero no deja registro es, a efectos de auditoría, un control que no existe.

Por eso los profesionales más fuertes comprenden ambas perspectivas incluso cuando solo hacen un trabajo. El implementador diseña el ISMS de modo que hacer el trabajo también cree el rastro. El auditor lee ese rastro sin que le cuenten una historia sobre él. Si está eligiendo su primer curso, elija el rol en el que vivirá y luego planifique el segundo curso para cuando quiera la otra mitad del cuadro. La norma es un único sistema visto desde dos sillas, y la credencial que elija debería corresponderse con la silla en la que se sienta.