Cómo verificar la coherencia de la documentación del SGSI y la preparación para auditorías utilizando ISMS Copilot

Esta guía ayuda a los implementadores de ISO 27001 a realizar verificaciones exhaustivas de coherencia en la documentación del SGSI, desafiar su trabajo de preparación y verificar la preparación para auditorías antes de la certificación inicial o las auditorías de vigilancia.

A quién va dirigido

Implementadores de ISO 27001, responsables de seguridad de la información y oficiales de cumplimiento encargados de construir y mantener un SGSI y prepararse para las auditorías de certificación.

Qué lograrás

Subirás tu documentación completa del SGSI a ISMS Copilot, identificarás inconsistencias entre políticas y procedimientos, verificarás la alineación con los requisitos de ISO 27001 y recibirás una evaluación realista de la preparación para la certificación con áreas específicas de mejora.

El desafío de la coherencia

La documentación del SGSI se crea a lo largo de meses por diferentes personas que hacen referencia a requisitos en evolución. El resultado: las políticas contradicen los procedimientos, la Declaración de Aplicabilidad no coincide con los controles implementados, los tratamientos de riesgos hacen referencia a procedimientos inexistentes y nadie se da cuenta hasta que el auditor lo señala.

Requisitos previos

• Documentación del SGSI completada, incluyendo políticas, procedimientos, Declaración de Aplicabilidad, evaluación de riesgos y plan de tratamiento de riesgos
• Cuenta de ISMS Copilot con un plan de pago (recomendado para límites más altos de carga de archivos — de 50 a 500 por mes según el plan)
• Todos los documentos en formato PDF o DOC

Paso 1: Crear un espacio de trabajo dedicado para la preparación de auditorías

Configura un espacio de trabajo específicamente para la revisión exhaustiva del SGSI y la preparación para auditorías.

1. Crea un nuevo espacio de trabajo llamado "Preparación para Auditoría [Fecha]" o "Preparación para Certificación [Año]"
2. Selecciona la persona Implementer para un análisis enfocado en la implementación
3. Mantén este espacio de trabajo separado del trabajo operativo diario del SGSI

Paso 2: Subir toda la documentación del SGSI

Sube todos los documentos del SGSI para habilitar un análisis cruzado exhaustivo.

Documentos críticos para subir:

• Documentos obligatorios: Política de Seguridad de la Información, Declaración de Aplicabilidad, Evaluación de Riesgos, Plan de Tratamiento de Riesgos
• Procedimientos principales: Control de acceso, gestión de cambios, respuesta a incidentes, continuidad del negocio, copia de seguridad y recuperación
• Documentos de apoyo: Inventario de activos, contratos con cláusulas de seguridad, registros de formación, registros de auditoría
• Informes de auditorías anteriores: Si están disponibles, para hacer seguimiento de las acciones correctivas

Paso 3: Verificar la alineación de la Declaración de Aplicabilidad

Comprueba que tu Declaración de Aplicabilidad (SoA) refleje con precisión lo que realmente está implementado en tu SGSI.

Indicaciones para la verificación de la SoA:

• "Compara mi Declaración de Aplicabilidad con mis procedimientos subidos. ¿Qué controles están marcados como 'aplicables' pero no tienen un procedimiento correspondiente?"
• "¿Hay algún control marcado como 'no aplicable' en mi SoA pero referenciado en mi plan de tratamiento de riesgos?"
• "Revisa mis justificaciones de exclusión en la SoA. ¿Son adecuadas según la ISO 27001:2022?"
• "¿Qué controles del Anexo A se mencionan en los procedimientos pero faltan en mi SoA?"

Paso 4: Identificar inconsistencias entre documentos

Encuentra contradicciones, brechas y desalineaciones en tu documentación del SGSI.

Indicaciones para la verificación de coherencia:

• "Mi política de control de acceso dice revisiones trimestrales, pero mi procedimiento dice anuales. ¿Qué documentos se contradicen sobre la frecuencia de revisión?"
• "¿Mi plan de tratamiento de riesgos hace referencia a algún procedimiento que no exista en los documentos subidos?"
• "Compara los niveles de clasificación de datos entre mi política y el procedimiento de copias de seguridad. ¿Son consistentes?"
• "Mi procedimiento de respuesta a incidentes menciona un 'Equipo de Respuesta a Incidentes'. ¿Está este equipo definido en algún lugar de mi documentación?"
• "Verifica si todos los roles y responsabilidades mencionados en los documentos están definidos en mis documentos organizacionales."

Paso 5: Verificar la cobertura de los requisitos de ISO 27001

Asegúrate de que tu documentación aborde todas las cláusulas obligatorias de la ISO 27001:2022 y los controles aplicables del Anexo A.

Indicaciones para la verificación de cobertura:

• "Revisa mis documentos subidos frente a la Cláusula 6 (Planificación) de la ISO 27001:2022. ¿Qué falta?"
• "¿Mis documentos demuestran cómo determinamos y abordamos los riesgos y oportunidades según la Cláusula 6.1?"
• "Verifica la cobertura de los requisitos de auditoría interna de la Cláusula 9.2 en mis procedimientos"
• "Para cada control marcado como 'aplicable' en mi SoA, ¿hay evidencia documentada de implementación?"
• "¿Qué requisitos de la Cláusula 7 (Soporte) no están adecuadamente documentados?"

Paso 6: Desafiar tu evaluación y tratamiento de riesgos

Valida que tu enfoque de gestión de riesgos cumpla con los requisitos de la ISO 27001 y tenga sentido práctico.

Indicaciones para desafiar la evaluación de riesgos:

• "Revisa mi evaluación de riesgos. ¿Están claramente definidos y aplicados de manera consistente los criterios para la aceptación de riesgos?"
• "¿Mis riesgos identificados están alineados con el alcance del SGSI y el inventario de activos?"
• "¿Están debidamente justificadas las opciones de tratamiento de riesgos (evitar, transferir, aceptar, reducir)?"
• "Verifica si mi plan de tratamiento de riesgos incluye responsables, plazos y estado para cada riesgo. ¿Qué falta?"
• "¿Hay algún riesgo residual que no haya sido formalmente aceptado por la dirección?"

Paso 7: Evaluar la evidencia de operación

Determina si tienes suficiente evidencia de que tu SGSI está realmente en funcionamiento, no solo documentado.

Indicaciones para la evaluación de evidencia:

• "¿Qué evidencia operativa esperaría un auditor para mi procedimiento de control de acceso? ¿La tengo?"
• "Basándome en mi procedimiento de respuesta a incidentes, ¿qué registros debería tener? ¿Están mencionados en mis documentos?"
• "Revisa mi plan de continuidad del negocio. ¿Qué evidencia de pruebas esperarán los auditores?"
• "¿Mis procedimientos especifican períodos y formatos de retención de registros? ¿Es esto consistente?"

Paso 8: Obtener una evaluación de preparación

Solicita una evaluación general de la preparación para la certificación con prioridades específicas de mejora.

Indicaciones para la evaluación de preparación:

• "Basándote en todos los documentos subidos, evalúa mi preparación para la certificación inicial de ISO 27001:2022. ¿Cuáles son los 5 principales riesgos para la certificación?"
• "¿Qué probablemente resultaría en no conformidades mayores si fuera a una auditoría hoy?"
• "¿Qué áreas de mi SGSI son más débiles según la documentación?"
• "Crea una lista de verificación pre-auditoría priorizada por nivel de riesgo"
• "Si fueras un auditor revisando estos documentos, ¿qué cuestionarías o desafiarías?"

Paso 9: Prepararse para auditorías de vigilancia

Para las auditorías de vigilancia, verifica que los cambios desde la certificación no hayan introducido inconsistencias.

Indicaciones específicas para auditorías de vigilancia:

• "Compara mis procedimientos actuales con el informe de auditoría anterior. ¿Se han abordado todas las no conformidades?"
• "¿Qué cambios se han realizado en mi documentación del SGSI desde la última auditoría? ¿Están reflejados de manera consistente?"
• "Revisa las actas de las reuniones de revisión por la dirección. ¿Demuestran mejora continua?"
• "¿Hay algún nuevo riesgo o control que debería estar en mi SoA pero no lo está?"

Inconsistencias comunes que identifica ISMS Copilot

• Desajustes de terminología: Uso intercambiable de "Sensible" y "Confidencial" sin definición
• Conflictos en la frecuencia de revisión: La política dice trimestral, el procedimiento dice anual
• Referencias huérfanas: Los documentos citan procedimientos, equipos o sistemas que no existen
• Desbordamiento del alcance: Los procedimientos hacen referencia a ubicaciones o sistemas fuera del alcance definido del SGSI
• Problemas de control de versiones: Los documentos hacen referencia a versiones desactualizadas de otros documentos
• Brechas de responsabilidad: Los procedimientos asignan tareas a roles indefinidos o puestos vacantes
• Desalineación de la SoA: Controles marcados como "no aplicables" pero claramente necesarios según la evaluación de riesgos

Mejores prácticas para la verificación de coherencia

• Sube todo a la vez: ISMS Copilot analiza las relaciones entre todos los documentos simultáneamente
• Corrige de manera sistemática: Aborda los problemas fundamentales (terminología, roles, alcance) antes que las inconsistencias de detalle
• Verifica las correcciones: Después de solucionar los problemas, vuelve a subir los documentos actualizados y verifica nuevamente
• Documenta la revisión: Guarda el historial de chat como evidencia de la debida diligencia para los auditores
• Involucra a los responsables de los documentos: Comparte los hallazgos de ISMS Copilot con las personas responsables de cada documento
• No dependas demasiado de la IA: La revisión manual por parte de personas competentes sigue siendo esencial; ISMS Copilot asiste pero no reemplaza la experiencia

Preparación para las preguntas del auditor

Utiliza ISMS Copilot para anticipar las preguntas del auditor y preparar la evidencia:

• "¿Qué preguntas haría un auditor sobre mi procedimiento de gestión de cambios?"
• "Si un auditor muestrea mis revisiones de acceso, ¿qué evidencia debería tener preparada?"
• "¿Qué documentos solicitará el auditor durante la revisión de documentación de la Etapa 1?"
• "Genera una lista de posibles preguntas de entrevista para nuestro gerente de TI basadas en nuestros controles documentados"

Lo que ISMS Copilot no puede verificar

Limitaciones importantes que debes entender:

• Implementación real: ISMS Copilot revisa documentos, no tus sistemas, procesos o registros reales
• Efectividad: La IA no puede determinar si tus controles funcionan realmente en la práctica
• Factores culturales: Los auditores evalúan la cultura de seguridad, el compromiso de la dirección y la conciencia de los empleados, no solo los documentos
• Configuraciones técnicas: ISMS Copilot no audita reglas de firewall, configuraciones de servidores o seguridad de aplicaciones

Recursos relacionados

• ISMS Copilot para CISOs de Startups e Implementadores de Seguridad - Flujos de trabajo de implementación y análisis de brechas
• Cómo realizar un análisis de brechas de ISO 27001 utilizando ISMS Copilot - Técnicas iniciales de identificación de brechas
• Cómo prepararse para auditorías internas de ISO 27001 utilizando IA - Preparación para auditorías internas para el cumplimiento continuo

Próximos pasos

Después de abordar los problemas de coherencia y verificar la preparación para la auditoría, realiza una auditoría interna formal utilizando tu documentación corregida para validar que tu SGSI opera según lo documentado antes de programar la auditoría de certificación.