Guía completa para la auditoría de vigilancia según la norma ISO 27001

Si su organización ha implementado la norma ISO 27001, debe someterse a una auditoría realizada por un auditor acreditado para obtener la certificación. Una auditoría ISO 27001 evalúa el sistema de gestión de seguridad de la información (SGSI) de su organización conforme a un conjunto de estándares definidos. 

Una vez obtenida la certificación, el proceso no termina ahí. Mantenerla implica más trabajo, tanto para usted como para el organismo certificador. Aquí es donde entra en juego la auditoría de seguimiento ISO 27001.  

¿Qué es una auditoría de vigilancia ISO 27001?

Una auditoría de vigilancia ISO 27001 forma parte de un proceso de evaluación continua que garantiza que su organización cumpla con los estándares. El organismo de certificación envía un auditor para determinar si el sistema de gestión sigue funcionando correctamente y cumple con los requisitos clave.

En otras palabras, revisan si su organización opera de la manera que afirma, de acuerdo con las expectativas del marco de cumplimiento. Las auditorías de vigilancia ISO 27001 son exhaustivas, pero es posible que no abarquen todos los aspectos de una empresa. Estas auditorías suelen incluir una revisión de:

• Su dirección
• Rendimiento de los procesos clave 
• Procesos para prevenir incidentes y tomar medidas al respecto.
• Procesos de auditoría interna
• Áreas de incumplimiento
• Cuestiones de grave preocupación
• Documentos y registros
• Implementación de las sugerencias posteriores a la auditoría interna

La auditoría de vigilancia del SGSI le permite demostrar cómo su organización implementa la mejora continua para cumplir con los requisitos. Uno de sus objetivos principales es determinar la eficacia con la que se han abordado las no conformidades detectadas en la auditoría anterior. La auditoría de vigilancia para la norma ISO 27001 también le ayuda a prepararse para la auditoría de recertificación. 

Si las actividades importantes indican incumplimiento, esto implica que sus sistemas y procesos son insuficientes para proteger los datos confidenciales. Incluso las fallas o deficiencias menores en el sistema son motivo de preocupación, ya que podrían ocasionar daños sustanciales. Si se detectan incumplimientos, usted es responsable de corregirlos para garantizar la validez de la certificación. 

Frecuencia de auditorías de vigilancia ISO 27001

Las auditorías de vigilancia ISO 27001 se realizan generalmente de forma anual tras la certificación, normalmente durante el primer y segundo año del ciclo de certificación de tres años, antes de la recertificación. Si bien se realizan una vez al año, en muchos casos pueden llevarse a cabo dos veces, según las necesidades de la empresa. 

Los certificados ISO 27001 suelen tener una validez de tres años, siempre que la organización complete las auditorías de vigilancia requeridas y mantenga su SGSI durante el ciclo de certificación.

Cómo prepararse para la auditoría de seguimiento ISO 27001

En lo que respecta a la preparación para la supervisión según la norma ISO 27001, no existe una lista de verificación estricta. No hay una única forma correcta o incorrecta de abordar la visita de supervisión. Sin embargo, la preparación implica mucho trabajo y depende de los recursos internos. 

A continuación se detallan los 9 pasos para prepararse para la auditoría de vigilancia ISO 27001:

Establecer una agenda

Lo primero es lo primero: debe tener lista la agenda para la visita. Esta debe estar adaptada a las necesidades específicas de su empresa. Por lo general, el organismo de certificación tendrá una copia del último informe.

Realizar auditoría interna

Las auditorías internas le ayudan a comprender si el sistema actual se ajusta al alcance definido. Identifique sus objetivos críticos de negocio y documente los procesos clave. Realice una evaluación de riesgos y aborde los riesgos de alta prioridad. Elabore un informe con los hallazgos y observaciones.

Aquí tienes una lista de verificación de auditoría que te puede ayudar:

Confirma la ubicación

Una vez que lo tengas listo, confirma la ubicación donde se realizará la auditoría. Si bien esta tarea puede no ser urgente en tu lista de verificación, es fundamental determinarla cuando tienes varias ubicaciones. 

Crea un plan diario

Si la vigilancia se va a realizar durante varios días, es recomendable planificar dónde estará el auditor y en qué día. 

Informe a sus empleados

Mantén a tus empleados informados sobre la agenda y las ubicaciones. Informarles ayuda a todos a planificar su horario en función de ello. Por ejemplo, La norma ISO 27001 abarca la gestión de activos. y la seguridad de los recursos humanos. Idealmente, esto concierne a los administradores de seguridad y al departamento de recursos humanos. Si se discute la agenda antes de la visita, estarán mejor preparados para ayudar al auditor.

Si su organización opera completamente en remoto, pida a los jefes de departamento que detallen las prácticas y medidas que han implementado para garantizar el cumplimiento de la normativa.

Actualizar registros

Mantenga actualizados todos los sistemas y registros de gestión antes de la visita para tener toda la información disponible cuando la necesite. Asimismo, verifique si hubo no conformidades con la visita anterior y asegúrese de haber implementado todas las recomendaciones.

Verificar cambios y procesos

Compruebe si se han implementado cambios y si estos afectan al alcance de su auditoría ISO 27001. En esta etapa, debe verificar que las últimas incorporaciones a sus procesos funcionen correctamente y estén incluidas en el alcance. El objetivo principal es demostrar que se cumplen las políticas.

Gracias a la pandemia, muchas auditorías de vigilancia de la norma ISO 27001 se realizan de forma remota. Si este es el caso de su organización, no tiene que preocuparse por los detalles de la inspección presencial. 

Responda adecuadamente

El auditor hará muchísimas preguntas para saber cómo se alinea su infraestructura de seguridad con los objetivos de los controles seleccionados. Prepárese y sea específico: esto ayudará al auditor a comprender mejor y también reducirá el tiempo de la supervisión.

Sigue preparándote

Tras una o más visitas de vigilancia, puede utilizar las conclusiones como lista de verificación para prepararse para la siguiente. (Consulte también: Lista de verificación ISO 27001 )

Conclusión

Las auditorías de vigilancia ISO 27001 no consisten en demostrar que usted estuvo preparado una vez, sino en demostrar que su SGSI se ha mantenido actualizado entre auditorías.

Sprinto ayuda a los equipos a mantener el cumplimiento continuo al alinear los controles, la evidencia y la responsabilidad con el entorno actual durante todo el año. Esta visibilidad constante también facilita las auditorías de vigilancia, ya que los registros están actualizados, las no conformidades son más fáciles de rastrear y la próxima auditoría se percibe como una revisión, no como una carrera contrarreloj.

Contacte hoy mismo con nuestros expertos en cumplimiento normativo para descubrir cómo las capacidades de gestión de auditorías autónomas de Sprinto pueden ayudarle a mantener la evidencia organizada y lista para auditorías a medida que los sistemas cambian.

Preguntas Frecuentes