Una lista de comprobación de auditoría interna ISO 27001 es una herramienta práctica para asegurarse de que marca todas las casillas de la auditoría interna. Le proporcionamos su propia plantilla de lista de comprobación de auditoría interna ISO 27001, así como información muy útil sobre el proceso de auditoría interna ISO 27001
¿Qué es una auditoría interna ISO 27001?
Podría suponerse que una auditoría interna es algo así como un ensayo para la prueba definitiva: la auditoría externa, pero eso no es del todo exacto. En su artículo “Auditorías de certificación ISO 27001 frente a auditorías internas del SGSI: La diferencia es importante”, Pivot Point Security esboza la diferencia de forma sucinta:
“En pocas palabras, la auditoría interna del SGSI consiste en que la dirección valide la eficacia del SGSI, mientras que la auditoría de certificación consiste en que el auditor valide que su SGSI cumple la norma.”
Auditorías de certificación ISO 27001 frente a auditorías internas del SGSI: La diferencia es importante”
Eso lo resume muy bien. Esencialmente, la auditoría interna ISO 27001 es un proceso intensivo que aborda la Cláusula 9.2. de los requisitos de la norma ISO 27001. La cláusula 9.2 requiere que usted lleve a cabo auditorías internas regulares para comprobar que su SGSI y los controles de seguridad de la información del Anexo A están en su lugar y operando como se espera y se requiere.
¿Es obligatoria la auditoría interna para ISO 27001?
Para obtener su certificación ISO 27001, una auditoría interna es, efectivamente, obligatoria. Sin ella, no podrá pasar al siguiente paso de su proceso de certificación y, en última instancia, a su auditoría externa. Tampoco podrá identificar las no conformidades e implementar mejoras.
Y puesto que (en palabras de la propia ISO)“Las normas ISO son acordadas internacionalmente por expertos. Considérelas como una fórmula que describe la mejor forma de hacer algo”, usted también querrá asegurarse de que realiza su certificación de la mejor manera. Eso significa seguir los procesos requeridos, paso a paso (detalladamente). Si lo hace, seguro que será uno de los muchos casos de éxito de la ISO 27001.
Además de llevar a cabo una auditoría interna ISO 27001 porque es obligatorio hacerlo para obtener su certificación, una vez que tenga su certificado ISO 27001, no puede decir adiós al proceso de auditoría interna.
Las auditorías periódicas son necesarias para garantizar que su SGSI sigue cumpliendo los requisitos de la norma ISO 27001
Mantener su SGSI no es la única razón para llevar a cabo auditorías periódicas, sin embargo. Con auditorías regulares puede descubrir no conformidades a tiempo, mantener un sistema de seguridad sólido y garantizar la mejora continua.
¿Se puede suspender una auditoría ISO 27001?
Aunque es posible que obtenga muchas no conformidades o sugerencias de mejora durante su auditoría interna ISO 27001, en realidad no puede suspenderla. Aún así, es vital planificar su auditoría interna. Naturalmente, una plantilla de auditoría interna ISO 27001 le ayudará a asegurarse de que cubre todas las pruebas necesarias.
En nuestro artículo Ejemplos de No Conformidad ISO 27001: Tanto Mayores como Menores, hablamos de las no conformidades que podrían contribuir a que su organización no obtenga la certificación ISO 27001. Por supuesto, antes de llegar al punto de la auditoría externa, primero tiene que marcar la casilla de la auditoría interna. Hay una serie de razones por las que podría no hacerlo bien en su auditoría interna ISO 27001.
Veamos 5 de las principales causas de no conformidad:
1. Falta documentación obligatoria
El gran volumen de documentación requerida para la ISO 27001 es una de las razones por las que las organizaciones rehúyen el proceso. Pero con las actuales herramientas en línea y plataformas automatizadas, el seguimiento y la organización de la documentación se ha vuelto más simple y fácil que nunca.
Con sólo pulsar un botón, ahora puede ver qué pruebas tiene. Tu auditor tendrá acceso a una lista de documentación que querrá que tengas a mano. Aunque no existe unalista oficial de documentos obligatorios, hay ciertos documentos que es probable que su auditor solicite.
;
Estos incluyen:
- Alcance del SGSI
- Política y objetivos de seguridad de la información
- Metodología de evaluación y tratamiento de riesgos
- Estado de aplicabilidad
- Plan de tratamiento de riesgos
- Informe de evaluación de riesgos
- Definición de funciones y responsabilidades en materia de seguridad
- Inventario de activos
- Uso aceptable de los activos
- Política de control de acceso
- Procedimientos operativos para la gestión de TI
- Principios de ingeniería de sistemas de seguridad
- Política de seguridad del proveedor
- Procedimiento de gestión de incidentes
- Procedimientos de continuidad del negocio
- Requisitos legales, reglamentarios y contractuales
- Requisitos legales, reglamentarios y contractuales
2. No seguir los procedimientos
Ahora, no estamos hablando de una lista de procedimientos que alguien más ha proporcionado. Estamos hablando de sus propios procedimientos, políticas y procesos que se definirán en su SGSI.
No sólo tendrá que estar siguiendo todas sus políticas, procedimientos y procesos, sino que su personal también debe haber sido informado de ellos a través de la formación.
Tiene que asegurarse de que sus políticas y procedimientos están documentados y de poder localizar la documentación fácilmente.
3. SGSI que no define suficientemente las cuestiones externas e internas que afectan al propósito de su organización
Las cuestiones internas son cualquier factor que esté bajo el control de su organización e incluyen:
- Estructura organizativa
- Recursos disponibles
- Conductores organizativos
- Operaciones organizativas
Los problemas externos son factores ajenos a su empresa que podrían obstaculizar su éxito. Aunque no puedes controlar los factores externos, puedes adaptarte a ellos. Algunos ejemplos de factores externos son:
- Tendencias del mercado y de los clientes
- Percepciones y valores de las partes interesadas externas
- Leyes y reglamentos aplicables
- Condiciones políticas y económicas
- Tendencias tecnológicas e innovaciones
4. Incapacidad de la alta dirección para demostrar su compromiso con la implantación del SGSI
La alta dirección debe demostrar su liderazgo y compromiso con respecto al SGSI mediante:
- Asegurando que la política de seguridad de la información y los objetivos de seguridad de la información se establecen y son compatibles con la dirección estratégica de la organización
- Asegurar la integración de los requisitos del sistema de gestión de la seguridad de la información en los procesos de la organización
- Asegurarse de que se dispone de los recursos necesarios para el sistema de gestión de la seguridad de la información
- Comunicar la importancia de una gestión eficaz de la seguridad de la información y de ajustarse a los requisitos del sistema de gestión de la seguridad de la información
- Asegurar que el sistema de gestión de la seguridad de la información logra los resultados previstos
- Dirigir y apoyar a las personas para que contribuyan a la eficacia del sistema de gestión de la seguridad de la información
- Promover la mejora continua
5. No asignación de funciones y responsabilidades en materia de seguridad de la información
La seguridad de la información y la gestión del SGSI son diferentes. Todo el mundo es responsable de la seguridad de la información. Es una iniciativa de toda la organización.
Cinco funciones y responsabilidades típicas que podría asignar son:
- Liderazgo en seguridad
- Gestión de riesgos de seguridad
- Auditoría Interna
- Propietarios de Control
- Entrenamiento de todos los empleados
Costes de una auditoría ISO 27001
Según Drata, “El coste de una auditoría interna ISO 27001 para una pequeña o mediana empresa costará entre 5.000 y 15.000 dólares” Es decir, de 4.676,80 euros a 14.030,40 euros.
Por suerte, hay empresas que atienden específicamente a las start-ups: Compleye cobra unos 1.750 euros (unos 2 días de trabajo, incluida la reunión de investigación), por ejemplo.
Preparación de una lista de comprobación de auditoría ISO
Preparar su lista de comprobación es un paso importante para asegurarse de que está preparado para su auditoría. El auditor utiliza la lista de comprobación para evaluar si su SGSI cumple los requisitos de la norma ISO 27001. Para preparar su lista de comprobación:
- Revisar la documentación ISO 27001
- Identificar los procesos y procedimientos clave
- Evalúe si ha documentado su SGSI conforme a la norma
- Evalúe si ha documentado su SGSI conforme a la norma
Una vez identificados los requisitos, puede elaborar una lista de comprobación para guiar el proceso de auditoría. La lista de comprobación debe ser clara y concisa, e incluir preguntas detalladas para ayudar a los auditores a evaluar el cumplimiento de su organización.
Preparando una lista de comprobación de auditorías ISO completa y bien estructurada, demostrará su compromiso con la gestión de la calidad y garantizará un proceso de auditoría sin problemas.
Prepare una lista de comprobación de auditorías ISO completa y bien estructurada
Una lista de comprobación de auditoría interna ISO 27001 de alto nivel & Plantilla de lista de comprobación de auditoría interna ISO 27001
Una lista de comprobación completa (gratuita) puede descargarse aquí, pero para darle una idea de lo que su lista de comprobación debe cubrir, hemos proporcionado una lista de comprobación de auditoría interna ISO 27001 de alto nivel a continuación.
- Responsabilidad de la dirección: Política y objetivos del SGSI, implantación y revisión por la dirección
- Gestión de activos: Identificación y clasificación de activos, proceso de protección de activos
- Seguridad de los recursos humanos: Políticas de seguridad del personal, verificación de antecedentes de los empleados y proceso de despido
- Seguridad física y medioambiental: Controles de acceso físico y protección frente a amenazas medioambientales
- Gestión de comunicaciones y operaciones: Copia de seguridad de datos y recuperación de desastres, software operativo y control de sistemas
- Control de acceso: Controles de acceso de usuarios y gestión de contraseñas, control de acceso a recursos de red
- Adquisición, desarrollo y mantenimiento de sistemas de información: Políticas del ciclo de vida de desarrollo de software, gestión de cambios en los sistemas de información
- Gestión de incidentes de seguridad de la información: Notificación de incidentes, respuesta a incidentes de seguridad
- Gestión de la continuidad del negocio: Planes de recuperación de desastres y continuidad del negocio, pruebas y mantenimiento de planes de continuidad del negocio
- Cumplimiento: Cumplimiento de requisitos legales y reglamentarios, supervisión y aseguramiento continuo del cumplimiento
El futuro de los controles de auditoría interna
La gran noticia es que el futuro de la auditoría interna ISO 27001 es la auditoría en tiempo real donde las comprobaciones de evidencias serán un 80% automatizadas y un 20% manuales.Compleye Online ya ha dado un gran paso hacia la automatización de su certificación de cumplimiento y le invitamos a ver nuestra demo gratuita aquí.
