Certificaciones

Certificados.
Y puestos en práctica.

Nuestro sistema de gestión de la seguridad de la información y la calidad está certificado por TÜV SÜD según ISO/IEC 27001:2022 y DIN EN ISO 9001:2015. Aquí puedes leer qué se audita exactamente, cómo trabajamos con él y qué te aporta.

Hablemos de tu proyecto Ver nuestro trabajo

Qué está certificado

Está certificado nuestro sistema de gestión para el ámbito de consultoría, desarrollo y comercialización de soluciones de gestión de contenidos, apps y aplicaciones web. Esta precisión es deliberada: un certificado acredita que trabajamos conforme a reglas definidas y que las sometemos periódicamente a una evaluación externa. No es un sello de calidad de un proyecto concreto.

Ambos certificados proceden de TÜV SÜD Management Service GmbH. ISO/IEC 27001:2022 para el sistema de gestión de la seguridad de la información, número de registro 12 310 67230 TMS, válido del 29 de febrero de 2024 al 27 de febrero de 2027. DIN EN ISO 9001:2015 para el sistema de gestión de la calidad, número de registro 12 100 51760 TMS, válido del 6 de abril de 2025 al 5 de abril de 2028. Ambos se pueden verificar mediante la comprobación de certificados de TÜV SÜD.

Cómo aplicamos el sistema de gestión

Un SGSI no consiste en una carpeta que se abre una vez al año para la auditoría. En nuestro caso, funciona como un proceso de trabajo: los riesgos figuran en un registro con identificadores fijos, las medidas son tickets en Azure DevOps con responsables y evidencias, y las políticas tienen un historial de versiones y una única fuente válida. La dirección evalúa el sistema anualmente en la revisión por la dirección, con indicadores, medidas pendientes y nuevos riesgos. Las auditorías internas y las auditorías anuales de seguimiento de TÜV SÜD comprueban si los objetivos se corresponden con la práctica diaria.

Cada año, todas las personas del equipo reciben formación obligatoria sobre seguridad de la información, roles y permisos, y gestión de incidentes, complementada con actividades de concienciación, por ejemplo sobre phishing. Los nuevos temas se incorporan al registro en cuanto resultan relevantes: en 2026 son los requisitos normativos en la cadena de suministro, la gobernanza de datos y las obligaciones de notificación.

Qué hemos aprendido

Cuatro reglas que han demostrado su utilidad a lo largo de varios ciclos de auditoría y que también recomendamos a nuestros clientes.

Una única fuente de verdadCada documento controlado se encuentra en un único lugar con historial de versiones. Las copias en buzones, carpetas locales o directorios de trabajo de agentes de IA no son evidencias.

Evidencias en lugar de afirmacionesUna medida está completada cuando se enlaza el documento que la demuestra. Un comentario que diga que algo está hecho no nos basta ni a nosotros ni a quien realiza la auditoría.

Los riesgos conservan su númeroLos identificadores del registro de riesgos nunca se reasignan. De lo contrario, la revisión por la dirección, el plan de medidas y los tickets se referirían a cosas distintas.

La formación es una rutina, no un eventoFormación obligatoria anual con justificante de asistencia, además de sesiones breves sobre patrones de ataque actuales. Así, la seguridad sigue formando parte del trabajo diario.

La excelencia nace en el pipeline, no en la auditoría

Un certificado indica que tenemos reglas. Si las aplicamos se ve en lo que entregamos cada día. Este sitio web es nuestro propio banco de pruebas: cada versión pasa por un control de calidad en el pipeline CI/CD antes de publicarse. La API de PageSpeed Insights mide una muestra de todos los tipos de página en staging; la mediana debe alcanzar al menos 95 en rendimiento en escritorio y 90 en móvil; accesibilidad, buenas prácticas y SEO deben alcanzar 100. Si un valor no alcanza el umbral, no hay aprobación sin una decisión documentada.

También somos honestos sobre lo que significa esa puntuación: Lighthouse es una medición de laboratorio, no una prueba de la experiencia de visitantes reales. Puedes leer cómo abordamos la visibilidad en búsquedas y respuestas de IA, los tiempos de carga reales y la medición sin banner de cookies en Visibilidad en búsquedas y respuestas de IA, Rendimiento web y Tracking del lado del servidor.

Qué incluye cada versión

Las reglas que este sitio web y nuestros proyectos de clientes cumplen en el día a día.

Visibles para personas y máquinasDatos estructurados según schema.org, landmarks bien definidos, un llms.txt curado y cada página también en Markdown, para que los buscadores y los asistentes de IA puedan citar lo que realmente decimos.

Entrega en el edgeEste sitio web funciona como una aplicación Next.js en Cloudflare Workers, cerca de quienes lo visitan en todo el mundo, con optimización de imágenes y protección contra bots en el mismo edge. Sin un servidor propio que se caiga de noche.

Medir sin banner de cookiesMedimos el alcance y las campañas del lado del servidor: tracking con contenedores de servidor de Google o Matomo, servido a través de Azure Front Door o Cloudflare Workers, con Consent Mode en lugar de scripts que se ejecutan antes del consentimiento. Este sitio web prescinde por completo del diálogo de cookies.

Sistemas de terceros con presupuestoCada script externo cuesta tiempo de carga y confianza. Integramos sistemas de terceros de forma asíncrona, con caché y alternativa en caso de fallo, y les asignamos un presupuesto de rendimiento que se comprueba en el control de calidad.

Genedar: nuestro propio producto bajo las mismas reglas

Con Genedar desarrollamos y operamos nuestra propia plataforma para clientes, proyectos, propuestas y conocimiento. Se crea bajo el mismo SGSI que nuestros proyectos de clientes, y eso se refleja en el producto: acceso por roles y áreas de negocio, registro de cada cambio, plazos de conservación definidos, archivo de correos y documentos con garantías de integridad y trazabilidad, y copias de seguridad con restauración comprobada. Para nosotros, los requisitos de seguridad forman parte de los requisitos iniciales, no de un añadido posterior. Esto convierte a Genedar en nuestra mejor prueba de que un SGSI mejora los productos en lugar de frenarlos.

Medir la madurez en lugar de estimarla

Para evaluar la situación utilizamos nuestro propio agente de madurez: una encuesta asistida por IA según la metodología MITO que clasifica por niveles la madurez de los procesos, la seguridad de la información y la gestión del conocimiento, y deriva de ella los siguientes pasos concretos. Lo utilizamos internamente para comparar nuestro SGSI a lo largo de los años, y con clientes al inicio de una implantación o de una iniciativa de IA.

Acompañar la implantación, desarrollar entornos regulados

Asesoramos a empresas en la implantación de un SGSI según ISO/IEC 27001: alcance, análisis de riesgos, declaración de aplicabilidad, políticas, formación y preparación para la auditoría de certificación. No desde la teoría, sino con las plantillas, los procesos y los errores por los que hemos pasado.

A partir de esa misma experiencia desarrollamos software para entornos regulados, como aplicaciones con datos de salud sensibles para clientes del sector farmacéutico y de tecnología médica: control de acceso según BSI IT-Grundschutz, interfaces según ISO/IEC 27001 y el artículo 203 del Código Penal alemán (StGB), y pruebas de penetración antes de la puesta en producción. Un ejemplo es la app LISA para Linde.