Revisión del sistema de seguridad de la información
Auditoría interna ISO 27001
Revisa cómo funciona tu SGSI e identifica qué corregir o mejorar antes de la auditoría externa.
- ISO/IEC 27001:2022
- Evidencias y riesgos
- Preparación, no certificación
Una revisión del sistema, no solo de los documentos
La auditoría interna permite evaluar si el sistema de gestión de la seguridad de la información se ajusta a los requisitos aplicables y si se implanta y mantiene de forma eficaz. Se revisan procesos y evidencias dentro del alcance acordado: no es un test de penetración ni una garantía técnica sobre cada activo.
Puede ser útil antes de la primera auditoría de certificación, dentro del programa de auditorías de un SGSI implantado o tras cambios significativos en procesos, proveedores o tecnologías. El programa se adapta a los riesgos, los cambios y los resultados anteriores, no a un calendario universal.
Tomamos como referencia ISO/IEC 27001:2022 y su enmienda Amd 1:2024. La revisión considera los requisitos aplicables y las evidencias disponibles, sin sustituir la evaluación de una entidad certificadora independiente.
Ámbito de trabajo
¿Qué revisamos dentro del SGSI?
Acordamos los criterios y el muestreo según el alcance y el contexto de la organización.
Alcance y responsabilidades
Revisamos el contexto, las partes interesadas, los roles y la coherencia entre el alcance declarado y los procesos reales.
Riesgos y tratamiento
Contrastamos el análisis de riesgos, las decisiones de tratamiento y la declaración de aplicabilidad con evidencias de su gestión.
Aplicación de controles
Revisamos una muestra de controles aplicables y registros con los equipos responsables; no es una comprobación exhaustiva de todos los activos.
Seguimiento y mejora
Analizamos objetivos, indicadores, revisión por la dirección, incidencias y acciones correctivas.
Desviaciones y carencias
Documentamos los hallazgos respecto a los criterios acordados y distinguimos no conformidades y oportunidades de mejora.
Decisiones y resultados útiles
- Visión del punto de partida
- Evidencias sobre fortalezas y carencias del sistema dentro del alcance auditado.
- Prioridades de corrección
- Una base para decidir responsables, acciones y seguimiento antes de la auditoría externa.
- Informe útil
- Un informe con alcance, criterios y hallazgos; los entregables concretos se acuerdan en la propuesta.
Metodología
Del punto de partida a las acciones
Acordamos el alcance, las personas implicadas y los resultados esperados antes de empezar.
- 01
Planificación
Acordamos alcance, criterios, muestra, calendario e imparcialidad respecto a las actividades auditadas.
- 02
Revisión documental
Analizamos la documentación y preparamos entrevistas y evidencias que contrastar.
- 03
Auditoría del sistema
Entrevistamos a responsables y revisamos registros y aplicación de los procesos acordados.
- 04
Informe y conclusiones
Explicamos los hallazgos y sus evidencias para que la organización pueda actuar.
- 05
Seguimiento de acciones
Si forma parte del encargo, acompañamos la definición y verificación de las correcciones.
Preguntas frecuentes
¿Una auditoría interna da el certificado ISO 27001?
No. CONSULTORS D’EMAS S.L. presta consultoría y auditoría interna. La certificación corresponde a una entidad certificadora independiente; este servicio no garantiza el certificado ni la ausencia de no conformidades.
¿Se puede auditar un SGSI que aún no está certificado?
Sí, cuando dispone de procesos y evidencias suficientes para revisarlo. Un diagnóstico inicial y una auditoría interna tienen objetivos distintos; acordamos qué servicio se ajusta al punto de partida.
¿Cada cuánto hay que auditar el SGSI?
A intervalos planificados según el programa de auditorías, la importancia de los procesos y los resultados anteriores. No proponemos la misma frecuencia para todas las organizaciones.
¿Qué información se necesita para preparar la propuesta?
El alcance del SGSI, las actividades y ubicaciones, el estado de implantación y el objetivo de la auditoría. Con esa información podemos acordar el trabajo y los entregables.
Hablemos de tu proyecto.
Cuéntanos la situación de la organización y qué necesitáis preparar. Propondremos un alcance de trabajo ajustado a vuestro contexto.