Resultados de un vistazo
- Certificación ISO 27001 en menos de dos meses desde el inicio del proyecto.
- De 15 a 20 horas en total del equipo de Centinel en todo el proceso.
- Preparación para el RGPD completada junto con la certificación, para las conversaciones con clientes y departamentos de compras.
- Certificado emitido por un organismo de certificación acreditado por UKAS; Kantis se encargó de la preparación, la auditoría interna, las evidencias y la coordinación.
- Los ingenieros siguieron centrados en el producto: nada de un proyecto de cumplimiento de seis meses.
El cliente
Centinel Analytica es una startup alemana que ayuda a las organizaciones a distinguir a los usuarios reales de los bots, los agentes de IA, los rastreadores encubiertos y otro tráfico automatizado.
Eso sitúa a Centinel en una categoría muy sensible a la confianza. Los clientes no solo compran software: confían en Centinel para respaldar decisiones sobre usuarios reales, tráfico sospechoso y señales relevantes para la seguridad. Para una empresa cuyo producto es la confianza, su propia postura de seguridad es un requisito comercial, no un extra.
El detonante: los clientes empezaron a pedir ISO 27001 y SOC 2
El detonante fue la presión directa de los clientes. Los clientes corporativos de Centinel empezaron a pedir ISO 27001 y SOC 2, lo que significaba que demostrar la seguridad empezaba a formar parte de las conversaciones de ventas y compras: el mismo momento de "demuéstrame que eres seguro antes de comprar" que frena ventas en tantas startups B2B y de IA.
Para Centinel, ISO 27001 no era cuestión de un distintivo. Se trataba de demostrar que su sistema de gestión de la seguridad de la información, su trabajo sobre riesgos, sus políticas, sus evidencias y sus controles operativos podían resistir una revisión independiente, rápido y sin descarrilar la hoja de ruta.
El reto: demostrar confianza sin un proyecto de seis meses
Centinel ya partía de una base técnicamente madura. El equipo tenía buenas prácticas de ingeniería y el instinto adecuado en seguridad, pero esas prácticas todavía tenían que traducirse en evidencias preparadas para la auditoría.
El riesgo era el tiempo. Un equipo técnico reducido no puede permitirse un proyecto de cumplimiento de seis meses que aparte a los ingenieros del trabajo de producto. El objetivo era que el proceso fuera creíble, pero que el equipo solo tuviera que ocuparse de las pocas aportaciones que nadie más podía hacer.
El enfoque de Kantis: ISO 27001 para un equipo técnico reducido
Kantis acompañó a Centinel en el camino hacia ISO 27001:
- Realizando el trabajo de auditoría interna.
- Trasladando las prácticas de seguridad e ingeniería existentes a evidencias de auditoría.
- Preparando políticas, material de riesgos y registros operativos en torno a cómo trabajaba realmente Centinel.
- Coordinándose con el organismo de certificación acreditado por UKAS.
- Manteniendo acotadas las preguntas abiertas para que los ingenieros no tuvieran que gestionar ellos mismos el proceso de cumplimiento.
- Completando el trabajo de preparación y revisión del RGPD para las conversaciones con clientes y departamentos de compras.
- Ayudando a presentar el resultado en el Trust Portal de Centinel, de cara a sus clientes.
Kantis no auditó, no certificó ni emitió el certificado ISO 27001. El certificado lo emitió un organismo de certificación acreditado por UKAS. Kantis apoyó la preparación, el trabajo de auditoría interna, la elaboración de evidencias, la coordinación, las revisiones de preparación para el RGPD y las pruebas de cumplimiento para clientes.
El resultado: ISO 27001 en menos de dos meses y de 15 a 20 horas del equipo
Centinel Analytica obtuvo la certificación ISO 27001 en menos de dos meses.
Lo importante fue el resultado práctico: los ingenieros de Centinel dedicaron aproximadamente entre 15 y 20 horas en total a todo el proceso. Kantis asumió la auditoría interna, el mapeo de evidencias y la coordinación con el auditor, mientras el equipo de Centinel seguía centrado en el producto.
Kantis también completó el trabajo de preparación y revisión del RGPD, lo que dio a Centinel un paquete más claro para las conversaciones con clientes y departamentos de compras, junto con el certificado ISO 27001 y el Trust Portal.
"El detonante fue simple: nuestros clientes empezaron a pedirnos ISO 27001 y SOC 2. Ayudamos a las empresas a distinguir a los usuarios reales de los bots y los agentes de IA, así que demostrar nuestra propia postura de seguridad no es opcional: forma parte de la promesa del producto. Lo que no queríamos era un proyecto de seis meses que apartara al equipo de construir. Trabajando con Kantis, no lo vivimos así. Misha hizo nuestra auditoría interna, se encargó de la coordinación con el auditor y nos ayudó a convertir lo que ya teníamos en evidencias como es debido. Nuestros ingenieros dedicaron unas 15 horas en total y obtuvimos la certificación ISO 27001 en unos dos meses. Para un equipo que está empezando, así es exactamente como debería ser."
Simeon Räthel, cofundador y CEO, Centinel Analytica
Traducido del inglés.
Lo que esto demuestra
Centinel muestra el tipo de camino hacia ISO 27001 que funciona para un equipo pequeño y técnico:
- empezar por un requisito real de un cliente
- mapear las prácticas de seguridad existentes antes de inventar procesos nuevos
- convertir la realidad de ingeniería en evidencias que el auditor pueda revisar
- proteger el tiempo de los fundadores y de ingeniería
- presentar el resultado como pruebas que los clientes puedan usar de verdad
También muestra por qué ISO 27001 y la preparación para el RGPD suelen ir juntas en las startups europeas. La primera aporta una certificación independiente del sistema de gestión de la seguridad de la información. La segunda ayuda a responder las preguntas sobre privacidad y tratamiento de datos que aparecen en las mismas conversaciones con clientes y departamentos de compras. Nuestra guía del RGPD para startups explica qué implica la parte de privacidad.
Lo que deberían llevarse los fundadores
Si tus clientes empiezan a pedirte ISO 27001 o SOC 2, el mejor momento para empezar es antes de que el departamento de compras bloquee una venta. Puede que ya tengas muchos de los controles adecuados; lo que suele faltar son evidencias, estructura y una vía de auditoría creíble.
Para los equipos que están empezando, el objetivo no es montar un departamento de cumplimiento. Es demostrar confianza de una forma que permita al equipo seguir desarrollando el producto, como hizo Centinel en menos de dos meses y con entre 15 y 20 horas de su propio tiempo.
Sigue el mismo camino con tu startup
Centinel empezó con un análisis de brechas ISO 27001 gratuito: una llamada breve y sin compromiso que muestra dónde estás hoy, qué bloquearía de verdad la certificación y lo rápido que podrías llegar de forma realista.
Si tus clientes corporativos empiezan a pedirte ISO 27001, SOC 2 o una página de confianza, esa llamada es la forma más barata de averiguar si estás a semanas o a meses.
- Reserva un análisis de brechas ISO 27001 gratuito, sin compromiso.
- Compara los costes de ISO 27001 para startups antes de hacer tu presupuesto.
- Mira cómo Qorelo obtuvo la ISO 27001 en seis semanas y después añadió SOC 2 Type I y la preparación para el RGPD.