Antivirus y cumplimiento: ISO 27001 y PCI-DSS

Tener un instalador de antivirus no es lo mismo que cumplir. En auditorías de ISO 27001 o PCI-DSS, la conversación pasa rápido de “¿tienen antivirus?” a “muéstrenme cobertura, actualización, alertas y qué hacen cuando hay un incidente”. Esta guía resume, a alto nivel y sin inventar artículos de norma, qué suelen pedir estos marcos sobre malware y cómo preparar evidencias con una herramienta como NESS Endpoint Protection.

Qué exige ISO 27001 sobre malware

ISO/IEC 27001 es un sistema de gestión de seguridad de la información. El detalle operativo vive en los controles del anexo (en la versión actual, la familia de controles tecnológicos incluye protección contra malware). En la práctica, un auditor suele buscar que la organización:

• Defina y aplique controles contra malware en los activos relevantes (puestos de trabajo, servidores, donde aplique).
• Mantenga esos controles operativos: no basta con una política PDF; hace falta despliegue real.
• Actualice motores, firmas o componentes según el riesgo y las buenas prácticas del fabricante.
• Concientice al personal: el control técnico y el humano van juntos.
• Registre y mejore: incidentes, lecciones aprendidas, cambios de configuración.

ISO 27001 no te obliga a una marca concreta de antivirus. Te obliga a un control adecuado, medible y mejorable. Si tu Declaración de Aplicabilidad incluye protección contra malware (como ocurre en la inmensa mayoría de entornos con endpoints), tendrás que demostrar diseño, operación y seguimiento.

Para el contexto local de datos personales (distinto de ISO, pero a menudo auditado en paralelo en Colombia), el checklist de Ley 1581 es otro hilo; aquí nos centramos en malware y evidencia técnica.

Qué exige PCI-DSS

PCI-DSS aplica si almacenas, procesas o transmites datos de tarjetas (o si lo hacen proveedores por ti y el contrato te alcanza). A alto nivel, el estándar exige proteger sistemas contra malware y mantener mecanismos anti-malware activos y actualizados en sistemas afectados habitualmente por malware, con consideraciones especiales donde el anti-malware tradicional no aplica igual (por ejemplo, ciertos mainframes o sistemas inmutables: ahí el enfoque cambia y debe documentarse).

Lo que los QSA suelen querer ver en la práctica:

• Anti-malware desplegado donde corresponde.
• Activo (no desinstalado por el usuario, no en modo perpetuo de “solo alerta” sin justificación).
• Actualizado (firmas/motor/agente según el producto).
• Generación de logs y revisión según la frecuencia que marque tu cumplimiento y el estándar vigente.
• Procesos ante detección: quién responde, en cuánto tiempo, qué se registra.

Como con ISO, no citamos aquí números de requisito inventados ni versiones puntuales del estándar: usa siempre el texto oficial de PCI SSC que aplique a tu evaluación y la guía de tu QSA.

Evidencias para la auditoría

Arma un paquete de evidencias reutilizable (carpeta o wiki interna) con:

1. Inventario de endpoints en alcance (ISO) o en el entorno de datos de tarjeta (PCI).
2. Política de protección contra malware y estándares de configuración.
3. Prueba de despliegue: porcentaje de equipos con agente instalado y activo (capturas o export de consola con fecha).
4. Prueba de actualización: reporte de versiones de firmas/motor/agente; equipos rezagados y plan de corrección.
5. Ejemplos de alerta y respuesta (ticket anonimizado): detección → contención → cierre.
6. Excepciones documentadas: equipos sin agente y por qué (compensatorios).
7. Concientización: registros de charlas o simulaciones de phishing del periodo.
8. Revisión periódica: actas o checklists firmados de que alguien miró los reportes.

Sin consola central, armar esto es un infierno de capturas sueltas. Con varios agentes de varios fabricantes, peor: cinco reportes incompletos. Por eso el modelo de agente único importa también para cumplimiento.

Cómo ayuda NESS

NESS Endpoint Protection, el antivirus colombiano con motor propio, está pensado para empresas que necesitan protección y operación demostrable:

• Un solo agente con cerca de 7 servicios: Endpoint Protection, DLP, Web Filter, controles CIS, Patcher, Core y Updater.
• Menos de 100 MB de RAM, para que el control no termine desactivado por rendimiento.
• Consola central para ver cobertura, estado y actualizaciones.
• NESS Updater para mantener el agente al día.
• Soporte en español y en hora Colombia.

NESS es la segunda empresa colombiana en crear y lanzar un antivirus 100% desarrollado en el país, después de Compucilina, de Solinfo, alrededor de 1990. La licencia empresarial comercializada es NESS Enterprise. Para hogares fuera de alcance PCI/ISO corporativo, existe NESS Home Edition con el mismo motor; el cumplimiento formal de ISO/PCI es terreno de la organización y de NESS Endpoint Protection en el perímetro empresarial.

Controles CIS en el mismo agente ayudan a endurecer configuraciones que los auditores también revisan. Si estás evaluando compra: antivirus empresarial. Si el dolor es fragmentación de agentes: la lógica de consolidación reduce hallazgos de “herramienta instalada pero no operada”. Más sobre el motor en motor antimalware propio y el origen en antivirus colombiano.

Disclaimer útil: NESS no certifica tu ISO ni tu PCI; te da capacidad técnica y visibilidad para que tú evidencies los controles. La certificación la otorgan los organismos y evaluadores correspondientes.

Preguntas frecuentes

¿ISO 27001 obliga a un antivirus concreto?

No. Obliga a controles adecuados contra malware y a demostrarlos. El producto es tu elección; la evidencia es tuya.

¿PCI-DSS exige antivirus en todos los sistemas?

Exige protección contra malware según el alcance y el tipo de sistema, con matices donde el anti-malware clásico no aplica. Confirma siempre con el texto oficial y tu QSA.

¿Basta una captura de pantalla el día de la auditoría?

Suele ser débil. Mejor series de reportes en el tiempo, tickets de respuesta y un inventario coherente.

¿NESS reemplaza al consultor de cumplimiento?

No. Aporta el control técnico y la consola; el sistema de gestión, el alcance y la auditoría los lidera tu organización (con asesores si aplica).

¿Hasta 40% de ahorro en TI tiene que ver con auditoría?

Consolidar agentes y consolas puede reducir costo operativo (hasta 40% en escenarios de solape) y, de paso, simplifica evidencias. El ahorro no sustituye los controles.

Enlaces internos sugeridos

• Antivirus empresarial en Colombia: cómo elegirlo
• Motor antimalware propio: por qué importa
• Antivirus colombiano: NESS, hecho en Bogotá
• Antivirus vs EDR: diferencias y cuál necesitas

Cumplir es demostrar, no solo instalar

Solicita una demo de NESS Endpoint Protection y revisa qué reportes de cobertura y actualización puedes mostrar en tu próxima auditoría.