¿Cómo elegir un consultor de ISO 27001 en México?

Al elegir un consultor de ISO 27001 en México, evalúa cinco criterios objetivos: la certificación real del consultor (Auditor Líder, no solo "especialista"), si trabajas directo con quien ejecuta o con un equipo junior, si el alcance cubre solo compliance o también áreas relacionadas como costos de nube y retención de clientes, la transparencia de precio antes de firmar, y si el acompañamiento continúa después de la certificación o termina ahí.

¿Qué certificación debe tener realmente un consultor de ISO 27001?

Busca específicamente el título "Auditor Líder" (Lead Auditor) certificado en ISO/IEC 27001:2022 — es distinto a un curso introductorio o una certificación de "especialista". El Auditor Líder está formado específicamente en cómo se ejecuta una auditoría real, no solo en la teoría del estándar. Pregunta directamente: "¿tienes la certificación de Auditor Líder vigente, y en qué año la obtuviste?"

¿Es mejor una consultora grande (con plataforma y equipo) o un consultor independiente?

Depende de tu tamaño y necesidad, pero hay una diferencia real que vale la pena entender. Una plataforma o firma con equipo ofrece más capacidad simultánea, herramientas de automatización de evidencia y servicios adicionales (como SOC de monitoreo o pentesting), pero el trabajo del día a día suele ejecutarlo un consultor junior, no el experto senior con quien hablaste en la venta. Un consultor independiente o boutique te hace trabajar directo con quien tiene la certificación y ejecuta el proyecto, con mayor personalización, pero con menor capacidad de atender varios proyectos grandes en paralelo.

Para startups y empresas en etapa de Diagnóstico o primera implementación, el modelo boutique suele ofrecer mejor relación de atención por peso invertido — para organizaciones grandes con necesidad de monitoreo de seguridad operativa 24/7, una plataforma con más infraestructura puede justificarse.

¿El consultor debe cubrir solo ISO 27001, o también temas relacionados?

Esto depende de qué tan aislado esté tu problema. En la práctica, las empresas que necesitan ISO 27001 casi siempre tienen, al mismo tiempo, dos problemas adicionales que rara vez se atienden juntos: gasto de nube sin control (FinOps) y falta de visibilidad sobre la salud de sus cuentas clave (Customer Success). Un consultor que cubre los tres frentes evita que contrates tres proveedores que no se coordinan entre sí — pero solo tiene sentido si de verdad necesitas los tres; si tu único problema es compliance, un especialista puro también es una opción válida.

¿Cómo debe verse la transparencia de precio antes de contratar?

Un consultor serio debe poder explicarte, antes de cotizar el proyecto completo, un desglose claro: costo de diagnóstico, costo de implementación, y si la auditoría del organismo certificador está incluida o se cotiza aparte (casi siempre es aparte, y es normal). Desconfía de cualquier cotización que no separe estos tres componentes.

¿El acompañamiento debe terminar en la certificación?

No debería. Un SGSI que se certifica y luego se abandona documentalmente falla en la siguiente auditoría de vigilancia (la mayoría de las certificaciones requieren auditorías anuales de seguimiento). Pregunta explícitamente si el consultor ofrece algún esquema de mantenimiento o verificación periódica post-certificación, y a qué costo.

Resumen — checklist de 5 preguntas antes de contratar:

1. ¿Tienes certificación vigente de Auditor Líder ISO 27001:2022?

2. ¿Voy a trabajar directo contigo, o con un equipo junior bajo tu supervisión?

3. ¿Cubres solo compliance, o también costos de nube y salud de cuentas si los necesito?

4. ¿Puedes desglosarme el precio en diagnóstico, implementación, y auditoría externa por separado?

5. ¿Qué pasa después de la certificación — hay algún acompañamiento continuo disponible?