Cuánto tiempo exige mantener un SGSI: un presupuesto honesto de horas
Antes de implementar la ISO 27001, los empresarios preguntan por el dinero; después, por el tiempo: «¿Cuántas horas al mes nos va a consumir?» Comparto cifras realistas de la práctica de acompañamiento de empresas de varios tamaños.
Actividades regulares y su presupuesto
- Mensual (4–8 horas): revisión de incidentes y eventos, control de accesos (altas/bajas), pequeñas actualizaciones documentales;
- trimestral (8–16 horas): revisión de riesgos, verificación de proveedores, métricas de seguridad, microformación;
- anual (3–6 días): auditoría interna (checklist), revisión por la dirección, revisión de políticas, preparación y paso de la auditoría de seguimiento.
Total para una empresa de hasta 100 personas
Alrededor de 0,2–0,4 FTE — es decir, 1–2 días a la semana de una persona que combina el rol de gestor del SGSI con otra función (CTO, Head of Ops, líder de DevOps). Un puesto dedicado a tiempo completo suele necesitarse a partir de 150–200 personas o en sectores regulados.
Qué infla el presupuesto de tiempo
- Documentación muerta que hay que «resucitar» antes de cada auditoría (cómo mantener el mínimo);
- procesos manuales donde cabe automatizar: on/offboarding de accesos, recogida de logs, recordatorios de revisiones;
- arreones en lugar de ritmo — preparar la auditoría una semana antes siempre sale más caro.
Cómo reducir el tiempo
Integre las actividades del SGSI en los ritmos existentes (sprints, revisiones trimestrales), automatice la rutina, mantenga los documentos en una wiki viva. Y recuerde: el tiempo de mantenimiento no es un «impuesto al certificado» — es trabajo sobre riesgos reales del negocio, que se paga en incidentes evitados.
Lea también
Autor — Kyrylo Proskurnya, Auditor Jefe ISO y experto internacional en sistemas de gestión. Realizo auditorías de certificación y auditorías internas ISO 27001, ISO 9001, ISO 27701 e ISO 42001 para empresas de España, Europa y EE. UU. Sobre mí · Solicitar una consulta