ISO/IEC 27001 — Sistema de gestión de la seguridad de la información
Una auditoría ISO/IEC 27001 casi siempre abre con el mismo documento: la Declaración de Aplicabilidad. A partir de ella el auditor rastrea qué controles del Anexo A se aplican, por qué se excluye alguno y dónde está la evidencia de cada control aplicado; en cuanto la declaración y la práctica divergen, el resto de la auditoría sigue esa diferencia. Nuestra preparación fija el alcance y el inventario de activos, vincula la apreciación y el plan de tratamiento de riesgos con los controles, y produce la Declaración de Aplicabilidad como resultado de esa cadena y no como un formulario que se rellena al final. Los controles que introdujo la revisión de 2022, junto con el aseguramiento de proveedores y servicios en la nube, son donde más escasea la evidencia.
La preparación que lleva en solitario el área de TI se atasca en la auditoría: la autorización de accesos, los contratos con proveedores y la notificación de incidentes no generan evidencia si no se construyen junto a recursos humanos, compras y el área legal.
Obtenga su presupuesto-
Determinación del alcance (ap. 4.3) e inventario de activos (A.5.9)
-
Apreciación de riesgos y plan de tratamiento (ap. 6.1.2, 6.1.3)
-
Declaración de Aplicabilidad (SoA) y justificaciones
-
Implantación de los controles del Anexo A y sus evidencias
-
Relaciones con proveedores y aseguramiento de servicios en la nube
-
Gestión de incidentes de seguridad y continuidad de negocio
Solicite una propuesta para preparar su auditoría
Definimos el alcance, el plan de trabajo y la propuesta según su calendario de auditoría y sus necesidades.