El problema
La mayoría de scaleups españolas llegan al momento de certificarse en ISO 27001 con el mismo problema:
- El SGSI, políticas y análisis de riesgos van bien (o hay consultor).
- Los controles técnicos del Anexo A.8 siguen siendo pentest anual + capturas de pantalla + Excel.
- El auditor — cada vez más — pide evidencia continua, no puntual.
Preparar la evidencia técnica para auditoría consume 2–3 semanas de ingeniería que deberían estar en producto. Y cuando llega la re-certificación anual, el proceso se repite.
La solución
Vulnerabbit automatiza la capa técnica del Anexo A.8 con escaneo continuo, informes exportables listos para auditor, y mapping directo a los controles ISO 27001:2022.
Lo que cubrimos en continuo:
- Vulnerabilidades en aplicaciones web y APIs (DAST)
- Configuración segura en AWS, GCP y Azure (CSPM)
- Superficie de ataque externa y cambios en activos (ASM)
- Concienciación del equipo con simulaciones de phishing y píldoras formativas
- Evidencia exportable por control, con fecha y diff histórico
Lo que dejamos en manos humanas:
- Análisis de riesgos, declaración de aplicabilidad (SoA) y políticas del SGSI
- Plan de continuidad de negocio y gestión documental
- Auditoría interna formal previa a la externa
Para esa parte trabajamos con partners de consultoría de confianza — o te acompañamos nosotros si el encaje es bueno.
Mapping a controles del Anexo A
| Control ISO 27001:2022 | Nombre | Qué cubrimos |
|---|---|---|
| A.5.7 | Inteligencia de amenazas | Feeds integrados en ASM, detección de leaks de dominio |
| A.8.8 | Gestión de vulnerabilidades técnicas | DAST continuo + SCA + export por CVE/CVSS |
| A.8.9 | Gestión de la configuración | CSPM contra CIS Benchmarks y NIST 800-53 |
| A.8.15 | Registro de eventos | Integraciones nativas con CloudWatch / Stackdriver / Azure |
| A.8.16 | Monitorización | ASM con detección de cambios y alertas |
| A.8.20–22 | Seguridad de red | Escaneo externo + CSPM de VPCs y security groups |
| A.8.24 | Criptografía | Verificación TLS + KMS inventory |
| A.8.25 / 26 / 29 | Desarrollo seguro | SAST + SCA integrados en CI/CD |
~70 % de A.8 con evidencia automatizable. El resto son decisiones humanas — te ayudamos a ordenarlas, no a reemplazarlas.
Dos formas de trabajar con nosotros
1. Solo la plataforma
Te das de alta, conectas tus clouds y tus dominios, y empiezas a generar evidencia exportable en minutos. Esta es la vía que usan la mayoría de nuestros clientes. Desde 49 €/mes. Ver precios →
Te encaja si ya tienes consultor de certificación, alguien técnico dedicado a llevar el proceso, o has certificado antes y sabes lo que se viene.
2. Plataforma con acompañamiento
Cuando además del SaaS necesitas que alguien empuje la parte técnica de la certificación contigo. Hacemos diagnóstico inicial, despliegue de los controles, mapeo a la norma y te acompañamos en la auditoría. Sólo aceptamos unos pocos engagements de este tipo al año, así que si te interesa lo hablamos en una llamada corta para ver si tiene sentido.
Suele encajar cuando es tu primera certificación, tu equipo técnico no tiene aire para liderar el proceso, o la auditoría está a la vuelta de la esquina.
Empieza hoy
La certificación ISO 27001 no se acelera con más herramientas. Se acelera eliminando el trabajo manual repetitivo que bloquea a tu equipo técnico.
Opción A — Autoservicio: Lanza un escaneo gratuito. Sin registro, sin tarjeta. En minutos ves qué controles técnicos tiene evidencia automatizable en tu stack actual.
Opción B — Acompañamiento puntual: Escríbenos si quieres que trabajemos contigo en la implantación. Si hay encaje, te lo decimos en la primera llamada.