Cuando una empresa confía sus expedientes laborales a una plataforma digital, no solo entrega documentos administrativos. Entrega CURP, RFC, NSS, datos bancarios, información médica de incapacidades, historiales de desempeño y datos biométricos de cientos o miles de personas. La pregunta que toda empresa debería hacerle a su proveedor de RH antes de firmar no es "¿tienen app móvil?" — es "¿cómo protegen estos datos?"
La certificación ISO/IEC 27001:2022 es la respuesta más rigurosa y verificable a esa pregunta. Este artículo explica qué es, qué alcance tiene en Rokisoft y qué garantías concretas ofrece a las empresas que operan con la plataforma.
¿Qué es la ISO/IEC 27001?
La ISO/IEC 27001 es el estándar internacional para Sistemas de Gestión de Seguridad de la Información (SGSI), publicado por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). La versión 2022 — la más reciente — actualiza los controles para incluir amenazas modernas como el ransomware, la computación en la nube y la ingeniería social.
Una certificación ISO 27001 no es una declaración de intenciones ni un cuestionario autocompletado. Es el resultado de:
- Implementar un SGSI completo con políticas, procedimientos y controles técnicos documentados.
- Superar una auditoría externa realizada por un organismo de certificación acreditado.
- Someterse a auditorías de seguimiento anuales y recertificación cada tres años.
El organismo de certificación de Rokisoft es LSQA Management, con reconocimiento internacional de IQNET, lo que significa que las certificaciones son reconocidas en más de 40 países.
Las tres certificaciones de Rokisoft
Un aspecto crítico — y diferencial — de la certificación de Rokisoft es que no aplica solo a una entidad corporativa central: las tres entidades legales operativas de la empresa están certificadas de forma independiente.
| Entidad Legal | País | Certificado |
|---|---|---|
| Rocket HR S.A. | Argentina | SGSI 99/01 |
| Apolo HR S.A. de C.V. | México | SGSI 99/02 |
| Rokisoft Perú SAC | Perú | SGSI 99/03 |
Esto significa que un cliente mexicano cuyos datos son procesados por Apolo HR S.A. de C.V. tiene la garantía de que esa entidad específica cumple la norma. No es una certificación paraguas que solo cubre la casa matriz.
Qué controla realmente la ISO 27001:2022
La norma exige la implementación de 93 controles organizados en cuatro dominios. Para el contexto de una plataforma de RH con datos laborales sensibles, los más relevantes son:
Seguridad en el ciclo de vida del software
Todos los cambios al software deben pasar por un proceso de revisión de seguridad antes de desplegarse en producción. Los módulos de firma electrónica, gestión documental y portal del colaborador son auditados para garantizar que no introducen vulnerabilidades.
Control de acceso y privilegios
El acceso a los datos de cada cliente está compartimentado. El personal de Rokisoft solo accede a los datos de un cliente cuando hay un ticket de soporte activo y autorizado. No existe acceso genérico a las bases de datos de producción.
Gestión de incidentes de seguridad
Existe un proceso documentado para detectar, contener y notificar brechas de seguridad. Los tiempos de notificación cumplen con los requerimientos de las leyes de protección de datos de cada país (Ley Federal de Protección de Datos en México, Ley 25.326 en Argentina, Ley 29733 en Perú).
Continuidad del negocio
Los sistemas tienen replicación geográfica y planes de recuperación ante desastres (DRP) probados periódicamente. Los RTO y RPO están definidos y auditados.
Gestión de proveedores
Los terceros que procesan datos de clientes (proveedores de infraestructura, comunicaciones, PSC para NOM-151) también son evaluados bajo los criterios de seguridad de la norma.
Para los equipos de Seguridad de la Información: Rokisoft puede proporcionar evidencia de las certificaciones vigentes, el resumen del alcance del SGSI y la política de seguridad de la información como parte del proceso de due diligence de proveedores. Contactar a través del portal de clientes o escribir a security@rokisoft.com.
Por qué importa especialmente para datos de RH
Los datos laborales son datos personales sensibles en todas las jurisdicciones donde opera Rokisoft. Un expediente digital contiene información que, si se expone, puede derivar en:
- Robo de identidad: CURP, RFC, NSS, datos bancarios.
- Discriminación laboral: información de incapacidades, enfermedades, sindicatos.
- Responsabilidad legal para el empleador: filtración de datos de empleados puede generar reclamaciones colectivas y sanciones del regulador.
- Extorsión corporativa: historial de desempeño, compensaciones, notas disciplinarias.
La ISO 27001 no garantiza que nunca ocurra un incidente — ninguna certificación puede garantizarlo. Lo que garantiza es que la organización tiene los controles para minimizar la probabilidad, detectar rápidamente cualquier incidente y responder de manera organizada.
La certificación como requisito en licitaciones enterprise
Para clientes como Oracle, PwC, Barrick o Ford — organizaciones con políticas globales de seguridad de la información — la certificación ISO 27001 no es un diferencial: es un requisito mínimo para incorporar a un proveedor de software que procese datos personales de empleados.
Que las tres entidades operativas de Rokisoft cuenten con esta certificación elimina un obstáculo frecuente en procesos de onboarding de proveedores y simplifica las auditorías anuales de seguridad que realizan los clientes enterprise.
Conclusión
La seguridad de los datos laborales no debería ser un acto de fe en las buenas intenciones del proveedor. La ISO/IEC 27001:2022, auditada independientemente por LSQA con reconocimiento IQNET, es la manera más objetiva de verificar que los controles existen y funcionan.
Que Rokisoft haya obtenido esta certificación para sus tres entidades legales en Argentina, México y Perú es el resultado de años de inversión en seguridad de la información — y la garantía de que esa inversión se mantiene y se audita anualmente.