Una lista de comprobación de auditoría interna ISO 27001 es una herramienta práctica para asegurarse de que marca todas las casillas de la auditoría interna. Le proporcionamos su propia Plantilla de lista de comprobación de auditoría interna ISO 27001así como información muy útil sobre el proceso de auditoría interna de la norma ISO 27001.
¿Qué es una auditoría interna ISO 27001?
Se podría pensar que una auditoría interna es un ensayo para la prueba definitiva, la auditoría externa, pero no es del todo cierto. En su artículo "Auditorías de certificación ISO 27001 frente a auditorías internas del SGSI: La diferencia es importante", Pivot Point Security resume sucintamente la diferencia:
"En pocas palabras, la auditoría interna del SGSI consiste en que la dirección valide la eficacia del SGSI, mientras que la auditoría de certificación consiste en que el auditor valide que su SGSI cumple la norma."
Eso lo resume muy bien. Esencialmente, la auditoría interna ISO 27001 es un proceso intensivo que aborda la Cláusula 9.2. de los requisitos de la norma ISO 27001. La cláusula 9.2 requiere que usted lleve a cabo auditorías internas periódicas para comprobar que su SGSI y los controles de seguridad de la información del Anexo A están en su lugar y funcionando como se espera y se requiere.
¿Es obligatoria la auditoría interna para la norma ISO 27001?
Para obtener su certificación ISO 27001, una auditoría interna es, de hecho, obligatoria. Sin ella, no podrá pasar a la siguiente etapa del proceso de certificación y, en última instancia, a la auditoría externa. Tampoco podrá identificar las no conformidades e implementar mejoras.
Y puesto que (en palabras de la propia ISO) "Las normas ISO son acordadas internacionalmente por expertos. Piense en ellas como una fórmula que describe la mejor manera de hacer algo". también querrá asegurarse de que realiza su certificación de la mejor manera. Eso significa seguir los procesos requeridos, paso a paso (detalladamente). Si lo hace, seguro que será uno de los muchos candidatos a la certificación ISO 27001. historias de éxito.
Además de realizar una auditoría interna ISO 27001 porque es obligatorio hacerlo para obtener la certificación, una vez que tenga el certificado ISO 27001, no puede decir adiós al proceso de auditoría interna. Las auditorías periódicas son necesarias para garantizar que su SGSI sigue cumpliendo los requisitos de la norma ISO 27001.
Sin embargo, el mantenimiento de su SGSI no es la única razón para realizar auditorías periódicas. Las auditorías periódicas permiten detectar a tiempo las no conformidades, mantener un sistema de seguridad sólido y garantizar la mejora continua.
¿Se puede suspender una auditoría ISO 27001?
Aunque es posible que obtenga muchas no conformidades o sugerencias de mejora durante su auditoría interna de la norma ISO 27001, en realidad no puede suspenderla. Aún así, es vital planificar su auditoría interna. Naturalmente, una plantilla de auditoría interna ISO 27001 le ayudará a asegurarse de que cubre todas las pruebas necesarias.
En nuestro artículo Ejemplos de No Conformidad ISO 27001: Mayores y MenoresEn este artículo, hablamos de las no conformidades que podrían contribuir a que su organización no obtenga la certificación ISO 27001. Por supuesto, antes de llegar al punto de la auditoría externa, primero tiene que marcar la casilla de la auditoría interna. Existen varias razones por las que podría no obtener buenos resultados en su auditoría interna de la norma ISO 27001.
Veamos 5 de las principales causas de disconformidad:
1. Falta de documentación obligatoria
El enorme volumen de documentación que requiere la norma ISO 27001 es una de las razones por las que las organizaciones rehúyen el proceso. Pero con las herramientas en línea y las plataformas automatizadas de hoy en día, el seguimiento y la organización de la documentación son más sencillos y fáciles que nunca.
Con sólo pulsar un botón, ahora puede ver de qué pruebas dispone. Su auditor tendrá acceso a una lista de documentación que querrá que tenga a mano. Aunque no existe una lista de documentos obligatoriosSin embargo, hay ciertos documentos que es probable que solicite su auditor.
Entre ellas figuran:
- Alcance del SGSI
- Política y objetivos de seguridad de la información
- Metodología de evaluación y tratamiento de riesgos
- Declaración de aplicabilidad
- Plan de tratamiento de riesgos
- Informe de evaluación de riesgos
- Definición de las funciones y responsabilidades en materia de seguridad
- Inventario de activos
- Uso aceptable de los activos
- Política de control de acceso
- Procedimientos operativos para la gestión informática
- Principios de ingeniería de sistemas seguros
- Política de seguridad de los proveedores
- Procedimiento de gestión de incidentes
- Procedimientos de continuidad de la actividad
- Requisitos legales, reglamentarios y contractuales
2. No seguir los procedimientos
Ahora, no estamos hablando de una lista de procedimientos que alguien más ha proporcionado. Estamos hablando de sus propios procedimientos, políticas y procesos que se definirán en su SGSI.
No sólo tendrá que seguir todas sus políticas, procedimientos y procesos, sino que su personal también debe haber sido informado de ellos mediante formación.
Debe asegurarse de que sus políticas y procedimientos están documentados y de poder localizar fácilmente la documentación.
3. Un SGSI que no define suficientemente las cuestiones externas e internas que afectan al propósito de su organización.
Los asuntos internos son todos los factores que están bajo el control de su organización e incluyen:
- Estructura organizativa
- Recursos disponibles
- Factores organizativos
- Operaciones organizativas
Las cuestiones externas son factores ajenos a su empresa que pueden obstaculizar su éxito. Aunque no puede controlar los factores externos, sí puede adaptarse a ellos. Algunos ejemplos de factores externos son:
- Tendencias del mercado y de los clientes
- Percepciones y valores de las partes interesadas externas
- Legislación aplicable
- Condiciones políticas y económicas
- Tendencias e innovaciones tecnológicas
4. Falta de compromiso de la alta dirección con la implantación del SGSI
La alta dirección debe demostrar su liderazgo y compromiso con respecto al SGSI:
- Garantizar que la política de seguridad de la información y los objetivos de seguridad de la información se establecen y son compatibles con la dirección estratégica de la organización.
- Garantizar la integración de los requisitos del sistema de gestión de la seguridad de la información en los procesos de la organización.
- Garantizar la disponibilidad de los recursos necesarios para el sistema de gestión de la seguridad de la información.
- Comunicar la importancia de una gestión eficaz de la seguridad de la información y de ajustarse a los requisitos del sistema de gestión de la seguridad de la información.
- Garantizar que el sistema de gestión de la seguridad de la información logra los resultados previstos.
- Dirigir y apoyar a las personas para que contribuyan a la eficacia del sistema de gestión de la seguridad de la información
- Promover la mejora continua
5. No asignación de funciones y responsabilidades en materia de seguridad de la información
La seguridad de la información y la gestión del SGSI son diferentes. Todo el mundo es responsable de la seguridad de la información. Es una iniciativa de toda la organización.
Cinco funciones y responsabilidades típicas que puede asignar son:
- Liderazgo en seguridad
- Gestión de riesgos de seguridad
- Auditoría interna
- Control Propietarios
- Formación para todos los empleados
Costes de una auditoría ISO 27001
Según Drata, "El coste de una auditoría interna ISO 27001 para una empresa pequeña o mediana costará de $5.000 a $15.000". Es decir, de 4.676,80 euros a 14.030,40 euros.
Por suerte, hay empresas que se dedican específicamente a las empresas de nueva creación: Por ejemplo, Compleye cobra unos 1.750 euros (unos dos días de trabajo, incluida una reunión de investigación).
Preparar una lista de comprobación de auditoría ISO
Preparar la lista de comprobación es un paso importante para asegurarse de que está preparado para la auditoría. El auditor utilizará la lista de comprobación para evaluar si su SGSI cumple los requisitos de la norma ISO 27001. Para preparar su lista de comprobación:
- Revisar la documentación ISO 27001
- Identificar los procesos y procedimientos clave
- Evalúe si ha documentado su SGSI conforme a la norma.
Una vez identificados los requisitos, puede elaborar una lista de comprobación para guiar el proceso de auditoría. La lista de comprobación debe ser clara y concisa, e incluir preguntas detalladas para ayudar a los auditores a evaluar el cumplimiento de su organización.
Si prepara una lista de comprobación de auditorías ISO completa y bien estructurada, demostrará su compromiso con la gestión de la calidad y garantizará un proceso de auditoría sin problemas.
Lista de comprobación de auditorías internas ISO 27001 de alto nivel y plantilla de lista de comprobación de auditorías internas ISO 27001
Puede descargarse una lista de control completa (gratuita) aquíSin embargo, para que se haga una idea de lo que debe incluir su lista de comprobación, a continuación le ofrecemos una lista de comprobación de auditoría interna ISO 27001 de alto nivel.
- Responsabilidad de la dirección: Política y objetivos del SGSI, aplicación y revisión de la gestión
- Gestión de activos: Identificación y clasificación de activos, proceso de protección de activos
- Seguridad de los recursos humanos: Políticas de seguridad del personal, comprobación de los antecedentes de los empleados y proceso de despido
- Seguridad física y medioambiental: Controles de acceso físico y protección frente a amenazas medioambientales
- Comunicaciones y Gestión de Operaciones: Copia de seguridad de datos y recuperación en caso de catástrofe, software operativo y control de sistemas
- Control de acceso: Control de acceso de usuarios y gestión de contraseñas, control de acceso a recursos de red
- Adquisición, desarrollo y mantenimiento de sistemas de información: Políticas del ciclo de vida del desarrollo de software, gestión de cambios en los sistemas de información
- Gestión de incidentes de seguridad de la información: Informes de incidentes, respuesta a incidentes de seguridad
- Gestión de la Continuidad de Negocio: Planes de recuperación y continuidad de la actividad en caso de catástrofe, pruebas y mantenimiento de los planes de continuidad de la actividad
- Conformidad: Cumplimiento de los requisitos legales y reglamentarios, supervisión y garantía permanentes del cumplimiento.
El futuro de los controles de auditoría interna
La gran noticia es que el futuro de la auditoría interna ISO 27001 es la auditoría en tiempo real, en la que las comprobaciones de pruebas serán 80% automatizadas y 20% manuales. Compleye en línea ya ha dado un gran paso hacia la automatización de su certificación de conformidad y le invitamos a que eche un vistazo a nuestra demostración gratuita aquí.
