Las evidencias que te va a pedir el auditor en tu primera ISO 27001
En una auditoría de ISO 27001 no basta con que un control exista. Tienes que poder enseñarlo. Esta página lista las evidencias que pide la propia norma, cómo las revisas tú con tu documentación delante y en qué se diferencia la ISO 27001 del ENS.
Qué es una evidencia
Una evidencia es la prueba de que algo se hace, no de que está escrito. Una política firmada es un documento. El registro de que se revisó este año, con fecha y responsable, es una evidencia. El auditor pide las dos cosas, pero decide con la segunda.
La ISO 27001 certifica un sistema de gestión de la seguridad de la información, no que nunca vaya a haber un incidente. Lo que se audita es que existe el sistema, que se sigue y que deja rastro.
Lo que exige la propia norma
ISO/IEC 27001:2022 pide conservar información documentada concreta en sus cláusulas 4 a 10. Es la lista mínima que un auditor va a buscar.
- Alcance del sistema de gestión (cláusula 4.3).
- Política de seguridad de la información (5.2).
- Proceso de evaluación y de tratamiento de riesgos (6.1.2 y 6.1.3) y la Declaración de Aplicabilidad (6.1.3), que dice qué controles del Anexo A aplicas y cuáles no, con su motivo.
- Objetivos de seguridad de la información (6.2).
- Competencia de las personas que afectan a la seguridad: formación, experiencia o cualificación (7.2).
- Resultados de la evaluación y del tratamiento de riesgos (8.2 y 8.3).
- Resultados del seguimiento y la medición (9.1).
- Programa y resultados de la auditoría interna (9.2).
- Resultados de la revisión por la dirección (9.3).
- No conformidades y acciones correctivas (10.2).
La norma no fija plantillas ni cuántos documentos hacen falta. Un mismo documento puede cubrir varias cláusulas, siempre que se pueda encontrar cada cosa.
Lo que piden los controles del Anexo A
El Anexo A de la ISO/IEC 27001:2022 tiene 93 controles. La Declaración de Aplicabilidad decide cuáles te afectan, así que no hace falta una evidencia por cada uno de los 93. Para los que sí aplican, el auditor pide algo que enseñe que el control funciona. Son los más habituales:
- Accesos. La lista de quién accede a qué, con la fecha de la última revisión y quién la hizo.
- Copias de seguridad. No el aviso de que se hacen, sino el registro de una restauración real hecha con una copia.
- Incidentes. El registro de incidentes, aunque sean menores, con qué pasó y cómo se resolvió.
- Formación. Quién la recibió, qué contenido y en qué fecha.
- Continuidad. Un plan de qué se hace si un sistema cae o hay una brecha, y la prueba de que alguien lo ha leído o ensayado.
La revisión que haces tú, con tu documentación delante
Para cada evidencia de la lista, responde cuatro cosas. Si en alguna la respuesta es no, apúntala como suspenso.
- ¿Existe?
- ¿Tiene fecha, de creación y de la última revisión?
- ¿Tiene un responsable con nombre?
- ¿La encuentra otra persona sin tu ayuda, en un sitio compartido?
| Evidencia | Dónde debería estar | Suspenso si |
|---|---|---|
| Política y alcance | Carpeta compartida con control de acceso | Sin fecha de aprobación o sin quien la apruebe |
| Riesgos y Declaración de Aplicabilidad | Un documento vivo, no un anexo antiguo | No se ha tocado desde que se hizo |
| Accesos | Lista exportada del sistema, con fecha | Nadie ha revisado quién tiene qué en el último año |
| Copias de seguridad | Registro de restauración probada | Solo hay registro de que se generan |
| Incidentes | Un registro único | Los incidentes están repartidos por correos y chats |
| Formación | Listado de asistencia y contenido | No se puede decir quién la ha recibido |
| Auditoría interna y revisión de dirección | Acta con fecha y conclusiones | No se ha hecho ninguna o no hay acta |
Cuenta los suspensos. Uno o dos se arreglan en semanas. Con cuatro o más, el siguiente paso no es certificarte. Es ordenar.
Los tres sitios donde se pierden las evidencias
El control existe y nadie puede demostrarlo el día de la auditoría. Pasa casi siempre en tres sitios.
- El correo. Decisiones tomadas por email que nunca se guardaron en un sistema central.
- Las carpetas personales. Un Excel de control que vive solo en el ordenador de una persona.
- La cabeza de alguien. Un proceso que una persona lleva de memoria y que no está el día de la revisión.
ISO 27001 y ENS: comparten lógica, no se sustituyen
El Esquema Nacional de Seguridad lo regula el Real Decreto 311/2022, de 3 de mayo. Se aplica a todo el sector público y también a los sistemas de las entidades privadas que prestan servicios o proveen soluciones a ese sector público por una relación contractual (artículo 2). Trabaja con tres categorías de sistema: básica, media y alta. Los sistemas de categoría media o alta necesitan una auditoría para certificar la conformidad, y los de categoría básica solo una autoevaluación para declararla.
Las dos normas comparten el enfoque de gestionar riesgos y aplicar medidas, pero cada una tiene su propio procedimiento de verificación. Tener una no te da la otra. Si trabajas o quieres trabajar con la administración pública, lo que te exigen es el ENS.
Cómo empezar sin bloquear el resto del negocio
No hace falta implantar los 93 controles del Anexo A el primer mes. Se empieza por la revisión de arriba, se prioriza lo que supone más riesgo y se construye el sistema de evidencias integrado en las herramientas que ya usáis, no como una capa de burocracia aparte.
Fuentes
- ISO/IEC 27001:2022, cláusulas 4 a 10 y Anexo A (93 controles). La norma es de pago, por eso aquí solo se resumen sus requisitos.
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad. BOE del 4 de mayo de 2022 (BOE-A-2022-7191).
Haz la revisión y cuéntanos cuántos suspensos salen
Si quieres que la miremos contigo, con tu documentación delante, te decimos qué falta y en qué orden se arregla.
Poner en orden tu cumplimiento