Introducción
Esta página se ha creado para explicar los diferentes tipos de auditorías internas ISO 27001. Para empezar sentaremos las bases explicando brevemente los requisitos de la propia norma ISO 27001, y luego hablaremos de un SGSI, por qué necesita auditoría y sus objetivos. Si está familiarizado con estos títulos, desplácese hasta la segunda mitad, que habla específicamente sobre auditorías internas y metodología.
¿Qué es ISO 27001?
La norma ISO 27001, creada por la Organización Internacional de Normalización (ISO), sirve como marco de referencia para el Sistema de Gestión de la Seguridad de la Información (SGSI) de una organización . La norma se divide en dos secciones sencillas: las cláusulas (requisitos obligatorios) y los controles del anexo A (que se utilizan opcionalmente para mitigar los riesgos de seguridad de la información identificados).
El sistema de gestión de seguridad de la información (SGSI) debe diseñarse, mantenerse y mejorarse continuamente de acuerdo con la norma ISO 27001. Este sistema ayuda a demostrar las mejores prácticas en seguridad de la información, incluyendo aspectos del Reglamento General de Protección de Datos (RGPD) de la UE , al contribuir al establecimiento de sólidos principios de seguridad de datos y los consiguientes procesos, sistemas e infraestructura en todos los ámbitos de su negocio.
¿Qué es un Sistema de Gestión de Seguridad de la Información (SGSI)?
Un Sistema de Gestión de la Seguridad de la Información (SGSI) describe y demuestra el enfoque de su empresa u organización para proteger los datos y mantener la privacidad. Establece las políticas, los procedimientos, los sistemas y otros componentes utilizados para garantizar la seguridad de la información en toda la organización. Un SGSI también considera a las partes interesadas (como los proveedores) , el alcance de su organización (dónde y a qué se aplica el SGSI) y los problemas internos y externos. En cuanto a estos últimos, puede determinar si representan riesgos u oportunidades para su organización, y actuará en consecuencia dentro del marco de su SGSI.
¿Por qué necesitas un SGSI?
Un Sistema de Gestión de la Seguridad de la Información (SGSI) ayuda a identificar y mitigar los riesgos vinculados a su información más valiosa y a los activos asociados . En definitiva, contar con un SGSI eficaz permite a una organización minimizar las interrupciones causadas por las amenazas a la seguridad y posibilita la mejora continua . Además de este valor interno, un SGSI exitoso suele tener un valor comercial tangible.
¿Por qué auditar su SGSI?
Una auditoría de su SGSI permite que un auditor objetivo y competente revise el sistema de gestión. Se evaluarán los elementos del SGSI según los requisitos estándar. Asimismo, se comprenderá mejor el nivel actual de la organización en cuanto al cumplimiento de sus necesidades y objetivos corporativos. También se medirá la eficacia y la practicidad de las políticas y los procedimientos escritos. Por último, una auditoría de su SGSI permite identificar los aspectos positivos para asegurar su correcto mantenimiento y fomentar la mejora continua.
¿Qué es una auditoría interna?
Durante una auditoría interna, el auditor recopila y documenta información en colaboración con la entidad auditada. Una auditoría interna evalúa las prácticas reales (y sus resultados, como los registros) en función de su SGSI, alineado con la norma ISO 27001. Garantiza que se sigan las mejores prácticas y procesos para proteger los datos confidenciales . Un auditor competente debe realizar la auditoría interna desde dentro de la organización o (opcionalmente desde fuera, por ejemplo, un consultor) trabajando en estrecha colaboración con ella.
¿Por qué realizamos auditorías internas?
La cláusula 9.2 de la norma ISO 27001 (y de muchas otras normas ISO modernas) exige que las auditorías internas se realicen a intervalos planificados. Por lo tanto, en primer lugar, debemos realizar auditorías internas periódicas. Cabe mencionar que los demás requisitos de la cláusula 9.2 son bastante sencillos: debemos documentar los resultados de nuestras auditorías y asegurarnos de que el programa de auditorías esté planificado, pero sea dinámico. Este último punto garantiza que se tenga en cuenta este aspecto y se actúe en consecuencia a medida que la organización y el entorno empresarial externo cambian.
Además de los requisitos ISO, se le debe impulsar a realizar una auditoría de varios factores organizacionales centrales:
- Detectar ineficiencias en los procesos.
- Detectar fallas en el cumplimiento de los requisitos de la norma.
- Identificar buenas prácticas que se puedan replicar.
- Para buscar posibles mejoras
- Para detectar el cumplimiento
Tipos de auditorías internas ISO 27001
Mientras se logra y mantiene la certificación ISO 27001, en muchas ocasiones es posible que necesite una auditoría interna. Hay varias formas de ejecutar su estrategia de auditoría interna. Hay momentos dentro de su proceso de certificación en los que una auditoría interna puede aumentar su confianza al someterse a una auditoría externa. Durante el período previo a la certificación por primera vez, existen dos grandes oportunidades para una auditoría interna. Estas pueden denominarse auditoría previa a la etapa 1 (revisión de preparación) y auditoría previa a la etapa 2.
Auditoría previa a la etapa 1
Una auditoría previa a la fase 1 es una auditoría opcional, aunque muy común, para la norma ISO 27001, que se centra en determinar si las políticas y los procedimientos actuales cumplen con los requisitos establecidos en la norma. Esta auditoría, también conocida como revisión de preparación, generalmente se centra únicamente en los componentes documentados (políticas, procedimientos, etc.) del SGSI creado por su organización, verificando si cumplen con la norma. Esta auditoría contribuirá a que su organización esté mejor preparada para una revisión externa de la documentación de la fase 1 por parte de un organismo certificador.
El resultado de una auditoría previa a la etapa 1 sería un documento que incluye una lista de controles y cláusulas, así como la verificación del cumplimiento de la organización con cada área estándar. También incluirá oportunidades de mejora (OIM), destacando las políticas que abordan la cláusula o el anexo que podrían requerir revisión. Finalmente, se pueden enumerar las no conformidades cuando el auditor considera que el SGSI no se ajusta a la norma ISO 27001.
Auditoría previa a la etapa 2
La auditoría previa a la fase 2 suele abarcar un control o cláusula de la norma ISO 27001 de su elección. Esta auditoría comprueba la eficacia de sus procedimientos y políticas de auditoría en la práctica. Se basa en la auditoría previa a la fase 1, asegurando que su organización implementa y practica los procesos definidos. El auditor evalúa e investiga estas áreas para determinar el nivel actual de cumplimiento de la seguridad de la información de su organización . Los hallazgos se registran y almacenan en su SGSI.
Vinculando a la cláusula 10 de ISO 27001, que aborda mejoras y acciones correctivas, después de completar una auditoría interna previa a la etapa 2, una organización documenta sus no conformidades y áreas de mejora dentro de su SGSI. Se fija una fecha de revisión para cada hallazgo una vez que se ha establecido la necesidad de tomar medidas.
Programa de auditoría
La norma ISO 27001 exige un programa de auditoría. Este programa suele definir un plan trienal entre las auditorías externas de recertificación. Un marco de SGSI sólido, como ISMS.online, proporciona un área de proyecto que establece los plazos de auditoría, detalla los aspectos que deben abordarse y otros detalles relevantes de la auditoría planificada.
En estos tres años, es fundamental que todas las áreas estándar se aborden al menos una vez. Los programas de auditoría pueden y deben ser flexibles para adaptarse a las necesidades de su organización y no tienen por qué ajustarse a un modelo preestablecido.
Cada auditoría está planificada y el plan de auditoría generalmente contiene detalles como:
- Cuándo es necesario realizar la auditoría (no perturbar las operaciones comerciales normales)
- ¿Qué áreas de la norma deben cubrirse?
- ¿Quién hará la auditoría?
- El objetivo: ¿por qué se realiza la auditoría? Esto podría ser una auditoría planificada o una nueva auditoría de un área de no conformidad previamente identificada.
- El alcance de la auditoría: ¿qué partes del negocio se pretende cubrir en el tiempo disponible?
Existen métodos de auditoría sutilmente diferentes:
- Las auditorías se pueden realizar cláusula por cláusula y control por control. Un gran ejemplo de dónde sería útil este enfoque es para aplicaciones más generales. controles del anexo A, lo que mitiga un riesgo relacionado con todos. Esto implicaría seleccionar partes del estándar y auditar una parte predefinida o toda su organización. Un ejemplo de esto sería A.11 Seguridad física para cada una de sus oficinas o ubicaciones.
- Otro método de auditoría incluye la realización de auditorías departamentales. Este método buscaría realizar auditorías basadas en estructuras departamentales y áreas de trabajo. Una auditoría departamental puede ser apropiada si los departamentos operan en diferentes regiones. Un ejemplo puede ser una auditoría de su recursos humanos (RRHH) y sus componentes SGSI.
- También se pueden realizar auditorías basadas en productos/servicios. Esto analizaría las tareas y operaciones realizadas para entregar un producto específico. Una manera pragmática de lograrlo es comenzar desde el producto final y retroceder hasta el momento en que se iniciaron las acciones. Básicamente se trata de una auditoría de un proceso.
Auditorías no planificadas/adicionales
En ocasiones, es posible que sienta la necesidad de realizar auditorías fuera de su programa de auditoría inicial dentro de su organización. Esto puede deberse a varios motivos relacionados con la eficacia de su SGSI. Las auditorías planificadas son una forma de demostrar que su organización es proactiva y busca la mejora continua. Sin embargo, puede ser igualmente importante reaccionar ante las circunstancias de su organización; esta es su decisión, ya que no es un requisito de la norma ISO 27001.
Otra razón por la que una organización podría necesitar llevar a cabo una auditoría no planificada sería para responder a un incidente de seguridad o un desastre. Si se produjera una violación de la seguridad a través de un correo electrónico de phishing, una organización podría considerar adecuado auditar el control A.7.2.2 del anexo A, que analiza la concientización y capacitación del personal. Esto sería para garantizar que este tipo de compromiso de seguridad no vuelva a ocurrir.
Un ejemplo de por qué es posible que desee realizar auditorías adicionales se debe a los hallazgos de las auditorías planificadas. Por ejemplo, supongamos que encontrara no conformidades dentro de un área de auditoría determinada, puede ser mejor auditar ese control o cláusula específica a intervalos más regulares hasta que el problema ocurra menos o el riesgo se vuelva más tolerable. Esto dependería de su apetito por el riesgo, el daño potencial y la frecuencia de las no conformidades. También puede ser útil y apropiado realizar una auditoría interna de cualquier acción correctiva para garantizar el éxito.
Resultados de la auditoría
Al realizar una auditoría, es fundamental documentar los hallazgos y garantizar la mejora continua . Los hallazgos positivos también se registran para fomentar ideas y asegurar el mantenimiento de las buenas prácticas. Las no conformidades se registran para garantizar que se tomen medidas correctivas y que los problemas se asignen a un responsable. Una forma común de documentar los resultados de una auditoría es la siguiente:
- Conformidad: se considera que los acuerdos satisfacen adecuadamente los requisitos de las cláusulas o controles aplicables.
- Oportunidades para mejora – Áreas destacadas donde el SGSI potencialmente podría mejorarse, a criterio de la organización. La organización debe considerar cuidadosamente el hallazgo y documentar los cambios en el SGSI según corresponda.
- Disconformidad – Un problema que contraviene un requisito de la norma ISO 27001. Esto requerirá una resolución completa y adecuada con prontitud antes de la próxima auditoría externa.
- Incumplimiento mayor: el incumplimiento del estándar a nivel sistémico probablemente requerirá atención por parte de la alta dirección y la reestructuración de las prácticas de seguridad de la información.
Tenga en cuenta que el enfoque anterior no es un requisito de la norma ISO 27001, por lo que podría utilizar enfoques completamente diferentes si funcionan para su organización.
Cómo ISMS.online ayuda con las auditorías internas
Con ISMS.online, nuestro servicio de software permite que su sistema de gestión de seguridad de la información sea una ubicación accesible todo en uno. Esto incluye un área de programa de auditoría flexible que puede documentar informes de auditoría entre períodos de certificación. En segundo lugar, ISMS.online ayuda a las organizaciones a gestionar los resultados de sus auditorías y abordarlos en consecuencia. Además, dentro de nuestro servicio de software, proporciona un área para cumplir con la cláusula 10 (Mejora) al proporcionar un seguimiento de acciones correctivas y mejoras. Esto permite que su organización sea más proactiva al abordar no conformidades y mejoras. Lo hace viendo su estado, asignando un propietario responsable y fechas de finalización y revisión. Todas estas características permiten que una organización se sienta mejor organizada para una auditoría externa, ya que todas las áreas de trabajo y los informes son fácilmente accesibles para mostrarlos, lo que permite que el proceso se desarrolle sin problemas.
ISMS.online también ofrece servicios de auditoría interna realizados por especialistas en seguridad de la información. Esto garantiza que las organizaciones cuenten con un auditor competente para realizar sus auditorías internas de acuerdo con el anexo A.18.2.1, que menciona que los procesos y procedimientos deben revisarse de forma independiente. Esto permitirá que los resultados de su auditoría sean objetivos, precisos y valiosos para su organización.
Para brindar apoyo adicional, ISMS.online también ofrece un complemento de tutoría virtual , que incluye videos, guías y listas de verificación con información sobre cómo cumplir con la norma ISO 27001. Hay una sección relacionada con el apartado 9.2 (Auditorías Internas) y otras áreas relevantes. Esto orienta a su organización y ayuda a ahorrar tiempo, que puede dedicarse a operaciones más generales. El uso de la tutoría virtual ayudará a su organización a ser más pragmática y a aumentar su confianza en la seguridad de la información.
