Barrapunto

Este comentario es el mas esclarecedor de todo el hilo. Repitamos lo que dice para que quede claro.

"No se evalua la seguridad. Se evalua la **gestion de la seguridad**".

Esa frase, aunque parezca un galimatias chino, es el quid de la cuestion; y la razon por la que las auditoras cobran una "pasta" por "vapor".

Yo no he pasado una ISO 27004, pero si he tenido el "placer" de "disfrutar" de **DOS** ISO 9001 (en dos empresas diferentes), y efectivamente esa iso no evalua "calidad", ni nada que se le parezca, pero al final la empresa que recibe la certificacion, tras desembolsar una pasta y poner "patas arriba" de "papeles" todos sus procesos, esta convencida de que "aqui hay calidad".

Como muy bien dice chatuser en su comentario, con una frase genial para un tagline :-)

"Lo que quiere la consultora es ver los papeles, cobrar y salir corriendo, evaluar la seguridad que evalúe su p*ta madre" :-)