En enero de 2026, la pregunta que nos Hacía un cliente del sector financiero cooperativo no era si el presupuesto de ciberseguridad estaba aprobado, sino si KILLKA-TECH podía demostrar formalmente que su operación estaba certificada. Ese pedido cerró una certificación de tres meses que ya venía Coming. En esta nota explicamos el proceso completo, qué se certificó y por qué importa cuando su empresa trabaja con datos sensibles en Ecuador.
Por qué certificarse en ISO 27001, ISO 9001 e ISO/IEC 42001
Hasta 2026, KILLKA-TECH operaba su Centro de Operaciones de Seguridad, su CSIRT, sus servicios de respuesta a incidentes, pentesting e inteligencia de amenazas, y la implementación de ERP Odoo con un procesoMadurado y auditado internamente, pero sin la certificación externa que lo respaldara ante un tercero. Para clientes del sector financiero, cooperativo o de transporte, y ante procesos de licitación pública tipo SERCOP, esa diferencia es decisiva: un certificado vigente no es un adorno comercial, es un documento habilitante.
Decidimos certificar tres sistemas de gestión de forma simultánea, porque son las tres capas que un cliente regulado audita en la práctica:
- ISO/IEC 27001:2022 — Sistema de Gestión de Seguridad de la Información (ISMS): cómo protegemos, detectamos y respondemos.
- ISO 9001:2015 — Sistema de Gestión de la Calidad (QMS): cómo la entrega tecnológica es consistente y medible.
- ISO/IEC 42001:2023 — Sistema de Gestión de Inteligencia Artificial (AIMS): cómo gobernamos el uso de IA en el SOC.
La certificación no sustituye el trabajo técnico: lo demuestra. Es la diferencia entre decir que tu SOC es serio y que un auditor externo lo confirmó con evidencia documental.
El proceso, fase por fase
1. Definición del alcance
El alcance no se copió de una plantilla: se escribió contra el trabajo real que hacemos. El ISMS cubre el análisis, diseño, desarrollo, pruebas, despliegue, instalación, soporte y gestión de proyectos de plataformas propias de seguridad de la información, la operación de seguridad, la gestión de alertas e incidentes y la consultoría en gobierno, riesgo y cumplimiento, junto con la prestación de servicios gestionados de ciberseguridad, CSIRT, respuesta a incidentes, pentesting, inteligencia de amenazas, protección de marca y las servicios de consultoría, implementación, soporte y desarrollo de ERP Odoo.
El alcance de ISO 9001 (código IAF 33, Tecnología de la información) y el de ISO/IEC 42001 (AIMS sobre nuestro sistema multiagente CiberSAT) se alinearon con el mismo catálogo de servicios. Al estar los tres en el mismo alcance, la auditoría no encuentra contradicciones entre lo que certificados y lo que entregamos.
2. Documentación y aplicación práctica
El trabajo de fondo fue construir y hacer vivir los procedimientos: declaración de aplicabilidad, análisis de riesgos, controles, gestión de incidentes, auditorías internas, revisión por la dirección y mejora continua. Aquí está la diferencia real frente a un certificado “de armario”: el sistema tenía que funcionar antes de que el auditor llegara.
3. Auditoría de certificación
El proceso se completó con la auditoría de certificación y la decisión del organismo certificador. Los tres certificados se emitieron el 16 de octubre de 2026, con fecha de auditoría en sitio el 13 de octubre de 2026 para el certificado de ISO/IEC 42001.
4. Mantenimiento: las auditorías de vigilancia
Un certificado no es estático. El ciclo de tres años incluye dos auditorías de vigilancia, calendarizadas para el 16 de septiembre de 2027 y el 16 de septiembre de 2028, con recertificación al 15 de octubre de 2029. Cada año entre auditorías hay que sostener la evidencia: la bitácora de incidentes, los informes de pentesting, la gestión de accesos y los indicadores del SOC.
Los tres certificados, en detalle
| Norma | Sistema | Certificado | Vigencia |
|---|---|---|---|
| ISO/IEC 27001:2022 | Seguridad de la Información (ISMS) | SCK/05/KTS/26/59/9517 | 16-Oct-2026 → 15-Oct-2029 |
| ISO 9001:2015 | Calidad (QMS), código IAF 33 | SCK/01/KTS/26/59/9516 | 16-Oct-2026 → 15-Oct-2029 |
| ISO/IEC 42001:2023 | Inteligencia Artificial (AIMS) | CB-MS-2233 | 16-Oct-2026 → 15-Oct-2029 |
El certificado de ISO/IEC 42001 recae sobre el sistema multiagente de IA CiberSAT, que opera como motor de detección y respuesta del SOC, y sobre el uso de servicios de IA de terceros en nuestras propias operaciones. Es, en la práctica, el más exigente de los tres en materia de gobierno: define quién puede tomar decisiones autónomas, con qué criterios y bajo qué supervisión.
Qué beneficio real tiene para un cliente en Ecuador
El interés para la empresa que contrata servicios de ciberseguridad en Ecuador no es el papel: es la reducción de riesgo administrativo y contractual. En la práctica se traduce en cuatro cosas concretas.
1. Habilitante en licitaciones y procesos de control
Las certificaciones ISO 9001, ISO 27001 e ISO/IEC 42001 se aceptan como evidencia de cumplimiento en procesos SERCOP y ante organismos como Supercias, SRI, UAFE y SEPS. Para un proveedor que compite en el sector público, esto no es una ventaja comercial: es una condición de entrada.
2. Cumplimiento de la LOPDP con evidencia
El sistema de gestión de la información certificado incluye controles de tratamiento de datos personales alineados con la Ley Orgánica de Protección de Datos Personales. Cuando el cliente es una cooperativa o una entidad financiera con información de socios y créditos, puede mostrar cómo se custodia y se responde, con documentos y no con promesas.
3. Continuidad operativa verificable
La gestión de incidentes y la mejora continua están documentadas y auditadas. Un cliente regulado no solo quiere saber qué hará ante un ransomware: quiere saber si ese proceso existe, quién lo ejecuta y cada cuánto se revisó.
4. Calidad en las implementaciones de ERP Odoo
El alcance de ISO 9001 incluye de forma explícita la consultoría, implementación, soporte y desarrollo a medida de ERP Odoo para organizaciones de transporte, soporte tecnológico, sector financiero y demás reguladas. En una migración de ERP crítica, eso significa controles de calidad aplicados al proyecto, no solo a la ciberseguridad.
Cómo verificar los certificados
Cada certificado incluye un número público que permite verificarlo en línea, sin intermediarios y sin pedirnos nada. Los certificados de ISO/IEC 27001:2022 e ISO 9001:2015 se consultan en IAF CertSearch (International Accreditation Forum) y en el portal del organismo certificador; el de ISO/IEC 42001:2023 se verifica en el portal del certificador y ante el organismo de acreditación. El sitio certificado de KILLKA-TECH es Grecia La Granja, Edif. El Nogal N32-1, Quito (Ec170519).
Si su organización necesita el certificado original firmado, el informe de alcance o una confirmación por escrito para un proceso de licitación, escríbanos a info@killka.ec o al formulario de contacto.
Somos una de las empresas en Ecuador con certificación ISO 27001 y con ISO 9001 e ISO/IEC 42001, con tres años de vigencia y verificación pública. Si su empresa opera con datos sensibles o compite en procesos que exigen certificaciones, conversemos sobre lo que necesita acreditar.
Ver la página completa de certificaciones → · Contactar al equipo →
