Revisió del sistema de seguretat de la informació
Auditoria interna ISO 27001
Revisa com funciona el teu SGSI i identifica què cal corregir o millorar abans de l’auditoria externa.
- ISO/IEC 27001:2022
- Evidències i riscos
- Preparació, no certificació
Una revisió del sistema, no només dels documents
L’auditoria interna permet avaluar si el sistema de gestió de la seguretat de la informació s’ajusta als requisits aplicables i si s’implanta i es manté de manera eficaç. Es revisen processos i evidències dins de l’abast acordat: no és un test de penetració ni una garantia tècnica sobre cada actiu.
Pot ser útil abans de la primera auditoria de certificació, en el programa d’auditories d’un SGSI ja implantat o després de canvis significatius en processos, proveïdors o tecnologies. El programa s’ha d’ajustar als riscos, els canvis i els resultats anteriors, no a un calendari universal.
Prenem com a referència ISO/IEC 27001:2022 i la seva esmena Amd 1:2024. La revisió considera els requisits aplicables al sistema i les evidències disponibles, sense substituir l’avaluació d’una entitat certificadora independent.
Àmbit de treball
Què revisem dins del SGSI?
Els criteris i el mostreig s’acorden segons l’abast i el context de l’organització.
Abast i responsabilitats
Revisem el context, les parts interessades, els rols i la coherència entre l’abast declarat i els processos reals.
Riscos i tractament
Contrastem l’anàlisi de riscos, les decisions de tractament i la declaració d’aplicabilitat amb evidències de la seva gestió.
Aplicació dels controls
Revisem una mostra dels controls aplicables i dels registres amb els equips responsables, sense presentar-la com una comprovació exhaustiva de tots els actius.
Seguiment i millora
Analitzem objectius, indicadors, revisió per la direcció, incidències i accions correctives.
Desviacions i mancances
Documentem les troballes respecte als criteris acordats i diferenciem no conformitats i oportunitats de millora.
Decisions i resultats útils
- Visió del punt de partida
- Evidències sobre fortaleses i mancances del sistema dins de l’abast auditat.
- Prioritats de correcció
- Base per decidir responsables, accions i seguiment abans de l’auditoria externa.
- Informe utilitzable
- Un informe amb abast, criteris i troballes; els lliurables concrets s’acorden a la proposta.
Metodologia
Del punt de partida a les accions
Acordem l'abast, les persones implicades i els resultats esperats abans de començar.
- 01
Planificació
Acordem abast, criteris, mostra, calendari i imparcialitat respecte a les activitats auditades.
- 02
Revisió documental
Analitzem la documentació i preparem entrevistes i evidències a contrastar.
- 03
Auditoria del sistema
Entrevistem responsables i revisem registres i aplicació dels processos acordats.
- 04
Informe i conclusions
Expliquem les troballes i les seves evidències perquè l’organització pugui actuar.
- 05
Seguiment de les accions
Si forma part de l’encàrrec, acompanyem la definició i verificació de les correccions.
Preguntes freqüents
Una auditoria interna dona el certificat ISO 27001?
No. CONSULTORS D’EMAS S.L. presta consultoria i auditoria interna. La certificació correspon a una entitat certificadora independent; aquest servei no garanteix el certificat ni l’absència de no conformitats.
Es pot auditar un SGSI que encara no està certificat?
Sí, quan disposa de processos i evidències suficients per revisar-lo. Una diagnosi inicial i una auditoria interna tenen objectius diferents; acordem quin servei s’ajusta al punt de partida.
Cada quant cal auditar el SGSI?
A intervals planificats segons el programa d’auditories, la importància dels processos i els resultats anteriors. No proposem una freqüència idèntica per a totes les organitzacions.
Quina informació cal per preparar la proposta?
L’abast del SGSI, les activitats i ubicacions, l’estat d’implantació i l’objectiu de l’auditoria. Amb aquesta informació podem acordar el treball i els lliurables.
Parlem del teu projecte.
Explica’ns la situació de l’organització i què necessiteu preparar. Proposarem un abast de treball ajustat al vostre context.