ISO 27001: ¿cómo protege la información en los pagos digitales? 

La certificación establece un sistema para identificar riesgos, aplicar controles de seguridad y mejorar continuamente la protección de la información asociada a las operaciones digitales. 

Al realizar una transferencia, recibir un pago o enviar dinero a través de servicios digitales, los usuarios confían parte de su información a las empresas que intervienen en estas operaciones. Por ello, además de la rapidez y disponibilidad del servicio, conocer cómo se gestiona la seguridad de esa información puede ser un criterio relevante al momento de elegir un servicio financiero digital. 

Uno de los principales estándares internacionales en esta materia es la ISO 27001, que establece los requisitos para implementar un Sistema de Gestión de Seguridad de la Información. En términos sencillos, implica que una organización debe identificar los riesgos que podrían afectar la información, establecer controles para gestionarlos y revisar periódicamente su efectividad. 

“La ISO 27001 no significa que un servicio sea imposible de vulnerar. Lo que establece es un sistema estructurado para gestionar los riesgos, aplicar controles y mejorar continuamente la protección de la información”, explica Fernando Gonzales, Oficial de Seguridad de la Información (OSI) de LigoPay. 

¿Qué implica esto para una persona que realiza operaciones de dinero electrónico? El experto explica algunos de sus alcances a partir de situaciones cotidianas: 

• ¿Significa que nadie podrá hackear mis datos o una operación? Ningún estándar puede garantizar que no existan intentos de ataque. La ISO 27001 exige identificar estos riesgos y establecer controles para prevenirlos, detectarlos y responder ante ellos.
• ¿Ayuda a evitar accesos no autorizados a mi información? Sí. El estándar contempla controles sobre los accesos y la protección de la información, incluyendo procedimientos para determinar quién puede acceder a determinados datos y bajo qué condiciones.
• ¿Qué ocurre si se detecta un incidente de seguridad? La organización debe contar con procedimientos para identificar, gestionar y responder ante incidentes que puedan afectar la información o la continuidad de las operaciones.
• ¿La certificación evita el fraude o la suplantación de identidad? No por sí sola. La ISO 27001 establece un marco para gestionar los riesgos relacionados con la información y los accesos, pero la prevención del fraude también depende de los controles específicos implementados por cada servicio y de las buenas prácticas de los usuarios.

Una certificación que exige seguimiento

La ISO 27001 no se limita a una evaluación puntual. Su mantenimiento requiere auditorías y revisiones periódicas para verificar que los controles continúan funcionando y que el sistema se adapta a nuevos riesgos.

Como parte de este proceso, LigoPay superó satisfactoriamente la primera auditoría de seguimiento de su certificación ISO 27001 y obtuvo su revalidación, demostrando que mantiene los controles establecidos y continúa realizando mejoras en sus procesos. “La auditoría nos permitió demostrar que los estándares implementados desde la certificación inicial se mantienen y que hemos realizado ajustes y mejoras en nuestros procesos”, señala Gonzales.

La certificación contempla las operaciones de ciberseguridad vinculadas a transferencias inmediatas, con alcance para sus operaciones hacia mercados de Latinoamérica.

Para quienes utilizan servicios de dinero electrónico, esta certificación representa una referencia sobre cómo la empresa que participa en estas operaciones gestiona la seguridad de la información. No constituye una garantía de que nunca ocurrirá un intento de fraude o ataque, sino que evidencia la existencia de un sistema formal de gestión, controles y procedimientos orientados a prevenir, detectar y responder ante riesgos de seguridad.