La certificación ISO 27001 es la forma más clara de verificar que una plataforma de interpretación remota protege realmente las conversaciones confidenciales, en lugar de simplemente afirmarlo. Para cualquier organización que contrate servicios de interpretación para contenido confidencial o regulado, esta certificación debería ser una prioridad en la evaluación de proveedores, no un aspecto secundario.
Esta publicación explica qué abarca la certificación, por qué es más importante para la interpretación que para la mayoría de las categorías de software, qué Interprefy para obtenerla y qué se debe verificar antes de aceptar sin más la afirmación de cumplimiento de cualquier proveedor.
La norma ISO 27001, formalmente ISO/IEC 27001, es el estándar internacional para la gestión de la seguridad de la información. Establece los requisitos para un Sistema de Gestión de la Seguridad de la Información (SGSI): un conjunto estructurado y revisado continuamente de políticas, procedimientos y controles que protegen la confidencialidad, la integridad y la disponibilidad de la información.
La versión actual de la norma ISO/IEC 27001:2022 organiza sus requisitos en 93 controles distribuidos en cuatro áreas temáticas: organizativa, personal, física y tecnológica. Esta amplitud es importante porque la certificación no se otorga únicamente por contar con un buen sistema de cifrado. Una organización debe demostrar que el control de acceso, la capacitación del personal, la gestión de proveedores, la respuesta a incidentes y la seguridad física se rigen con el mismo rigor, y debe probarlo ante un organismo de certificación independiente y acreditado, en lugar de simplemente afirmarlo.
¿Por qué es importante la norma ISO 27001?
La verificación por terceros es lo que distingue una postura de seguridad genuina de una simple afirmación de marketing, y esta distinción tiene mayor peso en la interpretación que en la mayoría de las categorías de software. La mayoría de los debates sobre seguridad se centran en los datos almacenados: archivos, registros y bases de datos. Las plataformas de interpretación manejan algo más difícil de controlar: el habla humana en directo y sin censura, que a menudo contiene el contenido más sensible de la conversación, ya que los intérpretes suelen ser la única tercera parte presente en conversaciones que, de otro modo, se limitarían a dos personas en la misma sala. Para un análisis más detallado de cómo se aplican estos riesgos específicamente a la interpretación basada en IA, consulte nuestra guía sobre los estándares de seguridad que debe cumplir la traducción automática de voz.
Una plataforma de interpretación remota debe garantizar la seguridad de la transmisión de audio y video en directo, gestionar el acceso de los intérpretes externos a la organización cliente y asegurar que las grabaciones se almacenen y eliminen de acuerdo con la política establecida. La certificación exige que esto se integre en un proceso de gestión de riesgos revisado continuamente, en lugar de una configuración puntual.
El hecho de ser evaluada según 93 controles que abarcan medidas de seguridad organizativas, de personal, físicas y tecnológicas sitúa a la plataforma en el mismo plano de referencia utilizado en los sectores financiero, sanitario y de tecnología gubernamental, en lugar de en una política de seguridad personalizada o autodefinida.
La certificación se otorga únicamente cuando un auditor acreditado confirma que el sistema de gestión cumple con los requisitos de la norma mediante evidencia directa, no a través de un cuestionario de autoevaluación. Los procedimientos legales, las negociaciones de fusiones, las sesiones gubernamentales y las consultas clínicas dependen de que esta cadena de custodia se mantenga en cada etapa, no solo en la base de datos.
Para una organización que contrata servicios de interpretación, la certificación se traduce en tres beneficios prácticos: una mejor protección de la información personal, una mayor salvaguarda de la propiedad intelectual y la garantía de que las medidas de seguridad de una plataforma se mantienen actualizadas en lugar de quedar estáticas después de su lanzamiento.
Los datos de los participantes e intérpretes, incluido el contenido de las conversaciones en directo, están protegidos mediante cifrado en tránsito y en reposo, control de acceso basado en roles y medidas de autenticación como el inicio de sesión único, SAML 2.0 y la autenticación de dos factores, que limitan quién puede acceder a los datos del evento.
Las conversaciones confidenciales, desde negociaciones de fusión hasta detalles de productos no publicados, requieren que todos los que tengan acceso a la transmisión estén sujetos a obligaciones claras. Esto significa que los intérpretes y el personal de apoyo trabajan bajo acuerdos de confidencialidad antes de poder acceder a cualquier transmisión de eventos, no como una cortesía informal, sino como un control documentado.
El sistema de gestión se mantiene mediante un monitoreo continuo, no una revisión anual. Las organizaciones certificadas se someten a auditorías de vigilancia anuales y a una auditoría de recertificación completa aproximadamente cada tres años, respaldadas por pruebas de penetración independientes periódicas y la supervisión de un Oficial de Seguridad de la Información especializado.
Obtener la certificación ISO 27001 no es un logro que se pueda obtener sin esfuerzo. Requiere una auditoría externa en dos etapas: una revisión inicial de las políticas documentadas y las evaluaciones de riesgos, seguida de una evaluación exhaustiva para determinar si dichas políticas se aplican en la práctica. La certificación se otorga solo cuando un auditor acreditado confirma que el SGSI cumple con los requisitos de la norma, y el proceso no termina ahí. Las organizaciones certificadas se someten a auditorías de vigilancia anuales y a una auditoría de recertificación completa aproximadamente cada tres años, por lo que el certificado refleja un estado continuo, no un logro puntual.
Interprefy ha superado este proceso en varias ocasiones y cuenta con la certificación ISO 27001 desde noviembre de 2021.Los auditores no detectaron ninguna no conformidad durante la evaluación, lo que la sitúa entre las primeras empresas del sector de la tecnología de interpretación en obtener dicha certificación. Este historial de auditorías, más que el certificado en sí, es el indicador más útil: demuestra que el sistema de gestión ha sido evaluado por un organismo externo y que cumple con los estándares requeridos.
Puede consultar el certificado ISO 27001 vigente de Interprefy, incluyendo su alcance y el organismo certificador.
En la práctica, lacertificación establece el marco; los detalles operativos se traducen en el día a día. Interprefy protege los datos en tránsito con cifrado TLS 1.2 y AES-256-GCM, utiliza control de acceso basado en roles para limitar quién puede acceder a los datos de eventos y ofrece inicio de sesión único, SAML 2.0 y autenticación de dos factores para clientes empresariales. Los intérpretes y el personal de soporte trabajan bajo acuerdos de confidencialidad antes de poder acceder a cualquier flujo de eventos, y la plataforma se somete a pruebas de penetración independientes periódicas. Un responsable de seguridad de la información dedicado supervisa el monitoreo continuo del SGSI, lo que mantiene la certificación actualizada.
Nada de esto elimina el riesgo por completo. Lo que sí ofrece a las organizaciones que evalúan a los proveedores de interpretación es algo más concreto que una promesa: un sistema auditado externamente, revisado anualmente y diseñado específicamente para proteger la comunicación sensible y en directo que la interpretación se encarga de transmitir.
Además de la seguridad de la información, Interprefy también colabora con el comité técnico de la ISO sobre plataformas de interpretación (ISO/TC 37/SC 5), que desarrolló la norma ISO 24019, el estándar internacional para plataformas de interpretación simultánea.
No todas las afirmaciones de conformidad con la norma ISO 27001 tienen el mismo peso, y conviene revisar los detalles en lugar de fijarse solo en el distintivo del pie de página de un sitio web. Hay tres aspectos que conviene confirmar directamente con cualquier proveedor: el alcance exacto del certificado, ya que algunas organizaciones certifican una parte específica del negocio en lugar de la plataforma que se adquiere; la identidad y la acreditación del organismo certificador, puesto que la certificación solo tiene validez cuando proviene de un auditor independiente y reconocido; y la fecha de la auditoría de seguimiento más reciente, dado que un certificado de hace varios años sin evidencia de revisiones periódicas no es del todo fiable. Nuestra lista de verificación, lista para su inclusión en el contrato, abarca un conjunto más amplio de señales de confianza que conviene exigir a cualquier proveedor de interpretación o traducción, más allá de la mera certificación.