Según el informe "Cost of a Data Breach 2024" de IBM, el costo promedio global de una brecha de datos llegó a USD 4,88 millones, un máximo histórico (un 10% más que el año anterior). Para Latinoamérica, el mismo informe estima un promedio de USD 2,76 millones por incidente: una cifra menor que la global, pero más que suficiente para liquidar a una PyME que no tiene ese colchón. No conozco un estudio serio que ponga un porcentaje exacto a "cuántas brechas se habrían evitado con una auditoría", así que no voy a inventarlo; lo que sí puedo decir, desde el trabajo que hacemos en Bemorex, es que la mayoría de los problemas que encontramos no son ataques sofisticados, sino errores de configuración y descuidos que una revisión a tiempo habría detectado.
Sin embargo, para muchas PyMEs bolivianas y latinoamericanas, la auditoría de seguridad IT sigue envuelta en un halo de misterio: parece cara, compleja y reservada para grandes corporaciones. Este artículo desmitifica el proceso, explica exactamente qué incluye, cuándo tiene sentido hacerla, qué rangos de costo manejar como referencia y cómo una PyME puede empezar a evaluar su propia seguridad hoy mismo. Lo escribo desde mi doble formación —abogado e ingeniero de sistemas— y desde la experiencia de auditar empresas reales en Bolivia, no copiando un marco genérico de internet.
Qué es y qué cubre una auditoría de seguridad IT
Una auditoría de seguridad IT es una evaluación sistemática y medible de la postura de seguridad de una organización. Es un examen exhaustivo que identifica vulnerabilidades, evalúa riesgos y verifica que las políticas y controles de seguridad están funcionando como deberían. En términos simples: es un diagnóstico médico para la salud digital de tu empresa.
Las 6 áreas que cubre una auditoría completa
Una auditoría de seguridad IT profesional revisa las siguientes áreas, adaptando la profundidad según el tamaño y complejidad de la organización:
Áreas de evaluación en una auditoría de seguridad
- Seguridad de red: configuración de firewalls, segmentación de red, sistemas de detección de intrusiones, protocolos de acceso remoto (VPN), seguridad WiFi, puertos abiertos innecesarios y configuración de DNS. Se escanean las redes internas y externas en busca de puntos de entrada no autorizados.
- Seguridad de aplicaciones: vulnerabilidades en aplicaciones web, APIs, sistemas internos y software de terceros. Incluye revisión de código (si aplica), configuración de servidores web, gestión de sesiones, validación de entradas y protección contra ataques comunes como SQL injection y XSS.
- Seguridad de datos: cómo se almacenan, transmiten y eliminan los datos sensibles. Cifrado en reposo y en tránsito, políticas de retención, clasificación de datos, control de acceso basado en roles y cumplimiento de regulaciones de protección de datos personales.
- Políticas y procedimientos: revisión de la documentación de seguridad existente: políticas de contraseñas, procedimientos de respuesta a incidentes, planes de continuidad del negocio, políticas BYOD, acuerdos de confidencialidad y programas de capacitación.
- Seguridad física: control de acceso a servidores y equipos de red, protección contra desastres naturales, sistemas de vigilancia, gestión de visitantes y destrucción segura de medios de almacenamiento. Para PyMEs con oficinas pequeñas, esto incluye verificar quién tiene llaves y acceso al cuarto de servidores o al router.
- Factor humano: nivel de concientización del personal sobre amenazas de seguridad. Puede incluir pruebas de ingeniería social (intentos controlados de phishing) para medir la vulnerabilidad del equipo ante ataques de manipulación psicológica.
Una auditoría de seguridad no es un examen para reprobar a nadie. Es una radiografía que muestra exactamente dónde están las debilidades para poder corregirlas antes de que un atacante las explote. Es medicina preventiva, no cirugía de emergencia.
Qué NO es una auditoría de seguridad
Es importante aclarar las expectativas. Una auditoría de seguridad no es un servicio de reparación: identifica los problemas pero no los soluciona (aunque muchos proveedores ofrecen servicios de remediación como complemento). Tampoco es una garantía de invulnerabilidad; es una foto del estado de seguridad en un momento específico. Las amenazas evolucionan constantemente, por eso las auditorías deben ser recurrentes.
Lo que de verdad encontramos al auditar empresas bolivianas
Desde Bemorex hemos hecho revisiones de seguridad para PyMEs bolivianas y, sin dar números inventados ni nombres de clientes, sí puedo compartir el patrón que se repite, porque es honesto y puede ahorrarte tiempo. La mayoría de los hallazgos no son "hackers rusos" ni vulnerabilidades de día cero: son cosas mucho más mundanas y, por eso mismo, mucho más fáciles de explotar.
Patrones recurrentes en las PyMEs que revisamos (observación cualitativa)
- Credenciales compartidas: una sola cuenta de "admin" que usa medio equipo, con la misma contraseña desde hace años y sin segundo factor. Cuando alguien renuncia, esa contraseña casi nunca se cambia.
- Sin backups probados: muchas empresas creen tener respaldos, pero nadie ha intentado nunca restaurarlos. El día que hace falta, descubren que el backup estaba incompleto o corrupto.
- Equipos de red con la configuración de fábrica: routers y módems con la contraseña que vino impresa en la etiqueta, paneles de administración accesibles desde fuera y la red de invitados conectada a la misma red de la oficina.
- Datos sensibles en planillas dispersas: información de clientes, planillas de sueldos o datos contables viajando por WhatsApp y correo, sin cifrado ni control de quién tiene una copia. Justamente uno de los motores para construir Zyrax, el ERP que desarrollamos para la Empresa Metalúrgica Vinto, fue dejar de depender de archivos sueltos y centralizar la información en un sistema con control de acceso.
- Software sin actualizar: sistemas operativos y aplicaciones con parches pendientes desde hace meses, muchas veces "porque actualizar da miedo de que algo deje de funcionar".
Nada de esto requiere un atacante genial. Y esa es la buena noticia: si lo más común son errores básicos, también son los más baratos de corregir. Por eso insistimos tanto en empezar por una autoevaluación honesta antes de invertir en una auditoría profesional más profunda.
Tipos de auditoría y cuándo hacer cada una
No todas las auditorías son iguales. Dependiendo de tus objetivos, presupuesto y madurez de seguridad, existen diferentes tipos que se adaptan a diferentes necesidades.
Evaluación de vulnerabilidades (Vulnerability Assessment)
Es el tipo más básico y accesible. Utiliza herramientas automatizadas para escanear redes, servidores y aplicaciones en busca de vulnerabilidades conocidas. Genera un reporte con las debilidades encontradas clasificadas por severidad (crítica, alta, media, baja). Es como una revisión general médica: identifica los problemas más evidentes pero no simula un ataque real.
Es ideal como punto de partida para PyMEs que nunca han evaluado su seguridad. Duración típica: 1-3 días. Se recomienda realizarla al menos cada 6 meses o después de cambios significativos en la infraestructura.
Prueba de penetración (Penetration Testing o Pentest)
Va más allá de la evaluación de vulnerabilidades. Un equipo de hackers éticos intenta activamente explotar las vulnerabilidades encontradas para determinar cuánto daño podría causar un atacante real. Simula un ataque controlado para medir el impacto real de las debilidades. Existen tres modalidades:
Modalidades de pentesting
- Black Box (Caja Negra): los auditores no reciben información previa sobre la infraestructura. Simulan un atacante externo que no conoce nada de la empresa. Es la prueba más realista pero también la más costosa en tiempo.
- White Box (Caja Blanca): los auditores reciben acceso completo a la documentación, código fuente, diagramas de red y credenciales. Permite una evaluación más profunda y eficiente. Ideal para maximizar los hallazgos con presupuesto limitado.
- Gray Box (Caja Gris): un punto intermedio donde los auditores reciben información parcial, como credenciales de un usuario estándar. Simula un atacante que ya tiene un nivel básico de acceso (por ejemplo, un exempleado o un socio).
Se recomienda al menos una prueba de penetración anual para empresas que manejan datos sensibles de clientes, procesan pagos o tienen presencia digital significativa. Duración típica: 1-3 semanas.
Auditoría de cumplimiento (Compliance Audit)
Verifica que la organización cumple con regulaciones específicas y estándares de la industria. Aquí conviene una aclaración honesta: a diferencia de otros países de la región, Bolivia todavía no cuenta con una ley general de protección de datos personales equivalente al RGPD europeo o a la LGPD brasileña; lo más cercano son disposiciones dispersas, como la Ley 164 (Ley General de Telecomunicaciones y TIC), que regula aspectos de las comunicaciones pero no es una norma integral de privacidad. En la práctica, para las PyMEs bolivianas las exigencias de cumplimiento suelen venir más por contrato que por ley: estándares de pago como PCI DSS si se procesan tarjetas, y frameworks internacionales como ISO 27001 o SOC 2 cuando se trabaja con clientes del exterior que los piden como condición.
Es necesaria cuando la regulación lo exige, cuando un cliente corporativo lo requiere como condición contractual, o cuando la empresa busca una certificación formal. Duración típica: 2-6 semanas.
Auditoría de ingeniería social
Se enfoca exclusivamente en el factor humano. Los auditores intentan obtener información sensible o acceso a sistemas mediante técnicas de manipulación: correos de phishing, llamadas telefónicas (vishing), intentos de acceso físico con pretextos, y USB drives abandonados estratégicamente. Es el tipo de auditoría que más sorprende a las empresas por la tasa de éxito de los ataques simulados.
Cuándo hacer cada tipo de auditoría
- Evaluación de vulnerabilidades: cada 6 meses, después de cambios en la infraestructura, tras instalar nuevo software o servicios en la nube.
- Pentesting: anualmente como mínimo, antes de lanzar una nueva aplicación o plataforma web, después de una brecha o incidente de seguridad.
- Auditoría de cumplimiento: cuando la regulación lo exige, antes de firmar contratos con clientes que lo requieren, al buscar una certificación ISO 27001 o similar.
- Auditoría de ingeniería social: como complemento del pentesting anual, después de implementar programas de capacitación (para medir efectividad), cuando hay rotación significativa de personal.
Cuánto cuesta y por qué conviene
El costo de una auditoría de seguridad varía enormemente según el tipo, el alcance, el tamaño de la infraestructura y la experiencia del proveedor. Los rangos que siguen son orientativos, para que llegues a una conversación con un proveedor con una idea de magnitud, no precios cerrados: tienden a ser menores en Latinoamérica que en Estados Unidos o Europa, pero la única cifra real es la de una cotización formal sobre tu caso concreto. En Bolivia, además, el rango baja bastante cuando se trabaja con equipos locales en lugar de consultoras internacionales.
Rangos orientativos de inversión (no son cotizaciones)
- Evaluación de vulnerabilidades (PyME 10-50 empleados): USD 800 a USD 3.000. Incluye escaneo de red interna/externa, aplicaciones web y reporte con clasificación de riesgos. Es la opción más accesible y el mejor punto de partida.
- Pentesting básico (PyME): USD 3.000 a USD 10.000. Cubre la infraestructura principal: red, aplicaciones web y servicios en la nube. Incluye intentos de explotación y reporte detallado con recomendaciones.
- Pentesting completo (empresa mediana): USD 10.000 a USD 30.000. Evaluación exhaustiva que incluye redes internas, aplicaciones móviles, APIs, ingeniería social y revisión de código. Duración de 2-4 semanas.
- Auditoría de cumplimiento ISO 27001: USD 5.000 a USD 20.000 para la auditoría inicial. La certificación completa (incluyendo implementación de controles) puede costar entre USD 15.000 y USD 50.000 para una PyME.
- Auditoría de ingeniería social: USD 2.000 a USD 8.000. Incluye campaña de phishing simulado, intentos de vishing y reporte de resultados con métricas de vulnerabilidad del personal.
Por qué conviene: lo que dicen los datos verificables
Muchas PyMEs ven la auditoría como un gasto, no como una inversión. No voy a darte una "relación de retorno" exacta, porque cualquier número de ese tipo depende de supuestos que nadie puede medir con honestidad. Lo que sí existen son datos serios, de fuentes reconocidas, que ayudan a dimensionar el problema:
Datos de referencia (fuentes citadas)
- Lo que cuesta equivocarse: el costo promedio global de una brecha fue de USD 4,88 millones en 2024 y de USD 2,76 millones en Latinoamérica, según el informe "Cost of a Data Breach 2024" de IBM. Compáralo con el orden de magnitud de una auditoría (miles de dólares, no millones) y la diferencia de escala habla por sí sola.
- Cuánto tarda en notarse una brecha: el mismo informe de IBM calcula que, en promedio, identificar y contener una brecha tomó 258 días en 2024 (194 días para detectarla y 64 para contenerla). Casi nueve meses en los que un atacante puede operar sin que nadie lo note: una auditoría no garantiza evitarlo, pero ayuda a cerrar las puertas más obvias antes de que entren.
- El eslabón más débil es humano: el "2024 Data Breach Investigations Report" de Verizon (DBIR) reporta que el 68% de las brechas involucró un factor humano no malicioso —un error o una persona que cayó en ingeniería social— y que el uso de credenciales robadas sigue siendo uno de los vectores más frecuentes. Coincide con lo que vemos en Bolivia: muchas veces el problema no es la tecnología, son las prácticas.
- Ventaja comercial: cada vez más clientes corporativos preguntan por la postura de seguridad de sus proveedores antes de firmar. No tengo una cifra exacta y verificable para Bolivia, así que no la inventaré; pero por experiencia, llegar a una licitación o a un contrato grande con una auditoría reciente en la mano transmite seriedad y, en la práctica, abre puertas.
Prefiero ser honesto: una auditoría no es una póliza mágica ni un seguro contra todo. Es una manera de pasar de "creo que estamos bien" a "sé exactamente dónde estoy parado". Para una PyME, esa diferencia entre suponer y saber suele valer mucho más que su precio.
El proceso paso a paso
Saber qué esperar del proceso elimina la incertidumbre y permite a la PyME prepararse adecuadamente:
Fases de una auditoría de seguridad típica
- Fase 1 - Alcance y planificación (1-3 días): se define qué sistemas, redes y aplicaciones serán evaluados. Se firman acuerdos de confidencialidad (NDA) y autorización legal para realizar las pruebas. Se establecen horarios para evitar interrupciones al negocio.
- Fase 2 - Recopilación de información (2-5 días): los auditores recopilan datos sobre la infraestructura, tecnologías utilizadas, puntos de acceso y configuraciones. Incluye entrevistas con el personal clave y revisión de documentación existente.
- Fase 3 - Evaluación técnica (3-15 días): escaneo automatizado de vulnerabilidades, pruebas manuales, intentos de explotación (en pentesting) y análisis de configuraciones. Esta es la fase más intensiva del proceso.
- Fase 4 - Análisis y reporte (3-7 días): los auditores analizan los hallazgos, clasifican los riesgos por severidad e impacto, y elaboran un reporte detallado con evidencia técnica y recomendaciones priorizadas de remediación.
- Fase 5 - Presentación y plan de acción (1 día): reunión con la dirección para presentar los hallazgos, responder preguntas y acordar un plan de remediación con plazos y responsables.
Los entregables típicos incluyen un resumen ejecutivo para la dirección (sin jerga técnica), un reporte técnico detallado con evidencias, una clasificación de riesgos por severidad (crítica, alta, media, baja), recomendaciones priorizadas de remediación y, en algunos casos, una sesión de retesting gratuita después de que se aplican las correcciones.
Frameworks y estándares simplificados
Los frameworks de seguridad son marcos de referencia que proporcionan las mejores prácticas, controles y procesos para proteger la información. Aunque fueron diseñados para organizaciones de todos los tamaños, su complejidad puede intimidar a las PyMEs. Aquí los más relevantes, simplificados.
ISO 27001: el estándar internacional
ISO 27001 es el estándar internacional para sistemas de gestión de seguridad de la información (SGSI). Publicado por la Organización Internacional de Normalización, define 93 controles organizados en 4 categorías (organizacionales, de personas, físicos y tecnológicos) en su versión 2022. Una certificación ISO 27001 demuestra a clientes y socios que tu empresa gestiona la seguridad de forma sistemática.
Para una PyME, buscar la certificación completa desde el inicio puede no ser práctico. Sin embargo, adoptar sus principios como guía es extremadamente valioso. Los controles más relevantes para PyMEs incluyen: política de seguridad documentada, gestión de accesos, cifrado, backup, gestión de incidentes y concientización del personal.
NIST Cybersecurity Framework (CSF)
Desarrollado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST), el CSF es un framework flexible y gratuito. En su versión 2.0, publicada en febrero de 2024, organiza la ciberseguridad en seis funciones: a las cinco clásicas —Identificar, Proteger, Detectar, Responder y Recuperar— se sumó Gobernar (Govern), que pone el foco en que la dirección asuma la ciberseguridad como un riesgo de negocio y no solo como un tema técnico. Su enfoque basado en riesgos lo hace particularmente útil para PyMEs porque no prescribe controles específicos, sino que guía a la organización para implementar lo que sea proporcional a sus riesgos y recursos.
Las funciones operativas del NIST CSF aplicadas a PyMEs
- Identificar: inventario de activos (computadoras, servidores, cuentas en la nube, datos sensibles). Si no sabes qué tienes, no puedes protegerlo. Crear una hoja de cálculo con todos los activos de información es un excelente primer paso.
- Proteger: implementar controles para prevenir o limitar el impacto de un incidente. Incluye control de acceso (MFA, mínimo privilegio), cifrado, backups, capacitación del personal y seguridad de la red (firewall, VPN).
- Detectar: mecanismos para identificar que un incidente de seguridad está ocurriendo. Monitoreo de logs, alertas de inicio de sesión inusual, detección de malware y revisión periódica de actividad sospechosa.
- Responder: plan de acción cuando se detecta un incidente. Quién hace qué, cómo se contiene el daño, cómo se comunica internamente y externamente, y cómo se documenta para aprender del incidente.
- Recuperar: cómo se restauran las operaciones normales después de un incidente. Restauración de backups, reconstrucción de sistemas comprometidos, comunicación con clientes afectados y lecciones aprendidas para mejorar la postura de seguridad.
CIS Controls: lo práctico primero
Los CIS Controls (Center for Internet Security) son una lista priorizada de acciones de seguridad que ofrecen la mayor reducción de riesgo con el menor esfuerzo. La versión 8, publicada en 2021, define 18 controles que se desglosan en un conjunto de salvaguardas, organizadas en 3 grupos de implementación (IG1, IG2, IG3) según la madurez de la organización. El IG1 —considerado por el Center for Internet Security como "higiene cibernética esencial"— reúne 56 salvaguardas que toda empresa, sin importar su tamaño, debería implementar como mínimo.
Top 6 CIS Controls para PyMEs (IG1)
- Inventario de activos: mantener un registro actualizado de todos los dispositivos y software autorizados en la red de la empresa.
- Gestión de configuraciones seguras: cambiar todas las configuraciones por defecto (contraseñas de fábrica, puertos estándar, servicios innecesarios activados).
- Gestión de vulnerabilidades: mantener todo el software actualizado y parchear vulnerabilidades conocidas en un plazo máximo de 14 días para las críticas.
- Control de acceso: implementar el principio de mínimo privilegio y usar MFA para todos los accesos administrativos y remotos.
- Protección contra malware: antimalware actualizado en todos los endpoints, con escaneo automatizado y bloqueo de ejecución de software no autorizado.
- Recuperación de datos: backups automáticos con pruebas de restauración periódicas. Regla 3-2-1: 3 copias, en 2 medios diferentes, 1 fuera del sitio.
No necesitas implementar ISO 27001 completo ni memorizar todos los CIS Controls. Empieza por el IG1 de CIS Controls: son 56 salvaguardas concretas, pensadas justamente como el piso mínimo para cualquier organización. Es, en mi experiencia, el mayor retorno de seguridad por cada hora invertida.
Checklist DIY y cómo elegir un auditor
Antes de contratar una auditoría profesional, toda PyME puede y debe realizar una autoevaluación básica. Esta checklist no reemplaza una auditoría formal, pero permite identificar las vulnerabilidades más evidentes y corregirlas antes de invertir en una evaluación profesional.
Checklist de autoevaluación de seguridad para PyMEs
Revisa cada punto y marca los que tu empresa cumple. Cada punto no cumplido es una vulnerabilidad que debes abordar:
Gestión de accesos
- MFA activado: todos los servicios críticos (correo, nube, banca, CRM) tienen autenticación multifactor habilitada para todos los usuarios.
- Contraseñas únicas: el equipo usa un gestor de contraseñas y no reutiliza contraseñas entre servicios.
- Mínimo privilegio: cada empleado tiene acceso solo a los recursos que necesita. Los accesos de exempleados están revocados.
- Revisión trimestral: se revisan los accesos y permisos al menos cada 3 meses.
Protección de dispositivos y red
- Software actualizado: sistemas operativos, navegadores y aplicaciones tienen las últimas actualizaciones de seguridad instaladas.
- Antimalware activo: todos los dispositivos que acceden a datos corporativos tienen protección antimalware actualizada y activa.
- Cifrado de disco: todos los portátiles y dispositivos móviles tienen cifrado de disco completo activado (BitLocker, FileVault).
- WiFi seguro: la red WiFi de la oficina usa WPA2/WPA3, la contraseña del router ha sido cambiada de la de fábrica, y existe una red separada para invitados.
- Firewall activo: el firewall del sistema operativo está habilitado en todos los dispositivos.
Datos y continuidad
- Backup automático: los datos críticos del negocio se respaldan automáticamente al menos una vez al día.
- Prueba de restauración: se ha probado restaurar un backup en los últimos 3 meses para verificar que funciona.
- Backup fuera del sitio: al menos una copia del backup se almacena en una ubicación diferente a la oficina (nube o disco externo en otra ubicación).
- Clasificación de datos: el equipo sabe qué datos son confidenciales y cómo deben manejarse.
Políticas y personas
- Política de seguridad documentada: existe al menos un documento básico con las reglas de seguridad de la empresa.
- Plan de respuesta a incidentes: el equipo sabe qué hacer si detecta un ciberataque o una brecha de datos (aunque sea un procedimiento simple).
- Capacitación reciente: el equipo ha recibido capacitación sobre ciberseguridad en los últimos 12 meses.
- Reporte sin miedo: los empleados saben cómo y dónde reportar actividad sospechosa sin temor a represalias.
Cómo elegir un auditor de seguridad
Cuando llegue el momento de contratar una auditoría profesional, estos criterios te ayudarán a seleccionar al proveedor adecuado:
Criterios para seleccionar un auditor de seguridad
- Certificaciones del equipo: busca profesionales con certificaciones reconocidas como OSCP (Offensive Security Certified Professional), CEH (Certified Ethical Hacker), CISSP (Certified Information Systems Security Professional) o CISA (Certified Information Systems Auditor).
- Experiencia en tu industria: un auditor que conoce los riesgos específicos de tu sector (salud, finanzas, comercio) aportará más valor que uno generalista.
- Metodología documentada: pide que expliquen su metodología antes de contratar. Deben seguir estándares reconocidos como OWASP, PTES o NIST SP 800-115.
- Referencias verificables: solicita al menos 3 referencias de clientes de tamaño similar al tuyo. Contacta a esas referencias directamente.
- Reporte de muestra: pide ver un ejemplo anonymizado de reporte. Debe ser claro, con hallazgos clasificados por severidad y recomendaciones accionables, no un documento genérico.
- Seguro de responsabilidad: el auditor debe tener un seguro de responsabilidad profesional que cubra posibles daños causados durante las pruebas.
- Retesting incluido: los mejores proveedores incluyen una sesión de retesting gratuita (o con descuento) después de que la empresa corrige las vulnerabilidades encontradas.
Una auditoría de seguridad IT no es un lujo reservado para grandes corporaciones; es una necesidad para cualquier empresa que depende de la tecnología para operar, que hoy es prácticamente cualquiera. Para las PyMEs bolivianas y latinoamericanas, el camino más inteligente es empezar con la autoevaluación, corregir las vulnerabilidades evidentes y luego invertir en una evaluación de vulnerabilidades profesional como primer paso. A medida que la empresa crece y sus sistemas se vuelven más complejos, las auditorías pueden evolucionar hacia pentesting completo y, eventualmente, certificaciones formales como ISO 27001. Lo importante es empezar hoy, porque cada día sin una evaluación de seguridad es un día en el que tu empresa está operando a ciegas.
Si quieres seguir bajando esto a tierra, te recomiendo leer también nuestra guía completa de ciberseguridad para PyMEs y, si tu equipo trabaja a distancia, el artículo sobre ciberseguridad para equipos remotos. Y si estás evaluando llevar tu infraestructura a la nube, revisa primero la parte de seguridad de nuestra guía práctica de migración a la nube. En Bemorex hacemos auditorías y revisiones de seguridad para empresas bolivianas; si prefieres que te acompañemos, conversemos sobre tu caso sin compromiso.
