Una auditoría interna ISO 27001 que mejora el sistema

Una auditoría interna ofrece a la organización la oportunidad de descubrir en qué difiere su sistema de gestión de la seguridad de la información (SGSI) de sus intenciones. El resultado útil es una evaluación fundamentada y una vía de mejora clara para cada hallazgo relevante, y no simplemente una carpeta de capturas de pantalla preparada para la certificación.

Para un responsable técnico, la pregunta central es si el sistema funciona en los servicios, las personas y los traspasos reales. Una política puede estar aprobada y su implantación fallar. Una auditoría debe poner de manifiesto esa diferencia sin convertir cada imperfección operativa en un hallazgo de cumplimiento sin fundamento.

Establezca qué debe demostrar la auditoría

La cláusula 9.2 de ISO/IEC 27001 exige auditorías internas a intervalos planificados para evaluar la conformidad con los requisitos propios del SGSI de la organización y con la norma, así como si el SGSI se implementa y mantiene de forma eficaz. El programa de auditoría debe tener en cuenta la importancia de los procesos y los resultados de auditorías anteriores, y los auditores deben seleccionarse de modo que se garanticen la objetividad y la imparcialidad.

La auditoría interna puede realizarla personal propio o un especialista externo contratado para ello. No emite ningún certificado: la certificación es una evaluación independiente que lleva a cabo un organismo de certificación independiente. Las auditorías internas siguen formando parte de la operación del SGSI después de la certificación; no son solo una preparación para la evaluación inicial.

ISO 27001 no prescribe una frecuencia anual universal para la auditoría interna. Como recomendación práctica, utilice un calendario documentado que refleje el riesgo, los cambios y los hallazgos anteriores, con una atención más frecuente a los procesos inestables o críticos.

Acuerde criterios, límites y responsabilidades

Una auditoría individual no tiene por qué examinarlo todo a la vez. El programa debe cubrir el SGSI dentro del alcance a lo largo de su ciclo planificado, en lugar de inspeccionar una y otra vez solo los controles conocidos.

Documente estas decisiones antes de solicitar evidencias:

El Anexo A no obliga a implementar todos los controles de forma idéntica. Compruebe si las decisiones de aplicabilidad y las exclusiones están justificadas y, a continuación, pruebe los compromisos que la organización ha asumido realmente.

Elija auditores competentes que comprendan tanto los requisitos del sistema de gestión como los controles examinados. Evite que las personas auditen su propio trabajo. En un equipo de ingeniería pequeño, un auditor externo o un revisor de otra área puede resolver los conflictos, siempre que tenga la competencia suficiente y acceso a las evidencias.

Construya las evidencias en torno a preguntas operativas

Empiece por el alcance, la evaluación de riesgos, el plan de tratamiento, la Declaración de Aplicabilidad, las políticas, los hallazgos anteriores y los registros operativos pertinentes. Estos explican qué debería ocurrir y dónde tendrían más importancia los fallos.

Después, formule preguntas comprobables. Para el acceso privilegiado, pregunte si las aprobaciones preceden al acceso, si las revisiones cubren la población de cuentas pertinente y si los permisos revocados desaparecen realmente. Una política de acceso firmada establece la intención; las exportaciones de cuentas, los registros de aprobación y los registros de bajas establecen la operación.

Elabore un plan de muestreo que incluya los cambios recientes, los servicios críticos, las debilidades anteriores y las excepciones. Registre la población, el método de selección, el periodo y la justificación. Un muestreo práctico no tiene por qué utilizar un único tamaño de muestra fijo, pero debe poder explicarse. Un puñado de capturas de pantalla elegidas por comodidad rara vez representa todo un periodo de operación.

Contraste los registros con entrevistas y observación. Si los responsables describen un traspaso manual, inspeccione traspasos ya completados. Si las evidencias contradicen una entrevista, investigue en lugar de quedarse con la versión más tranquilizadora. Deje constancia de las limitaciones cuando un sistema no pueda aportar evidencias históricas; no deduzca en silencio el funcionamiento pasado a partir de su configuración actual.

Siga un control a través de un ejemplo práctico

Supuestos ilustrativos: una empresa SaaS audita las salidas de empleados durante tres meses. Su procedimiento exige retirar los accesos antes del momento de salida del empleado. Los registros de RR. HH. muestran 12 salidas; el auditor examina a los tres usuarios privilegiados y otras cuatro salidas de distintos equipos.

El auditor compara las marcas de tiempo de salida de RR. HH. con los eventos del proveedor de identidades, el estado de las cuentas de las aplicaciones y los tickets de baja. La cuenta en el proveedor de identidades de un antiguo ingeniero se deshabilitó a tiempo, pero una cuenta de repositorio gestionada por separado siguió activa durante dos días.

Antes de calificar el hallazgo, determine si la cuenta podía autenticarse, qué permisos conservaba y si existía una excepción aprobada. Entreviste a RR. HH. y al responsable de la aplicación para entender el traspaso. Amplíe las pruebas a otras salidas que afecten a aplicaciones gestionadas por separado si la omisión parece sistémica.

Un hallazgo defendible identifica el procedimiento incumplido, la situación observada, los registros que lo respaldan, el alcance afectado y la posible consecuencia. No debe afirmar que se produjo un acceso no autorizado a menos que las evidencias respalden esa conclusión.

Separe los hallazgos de las suposiciones

Una no conformidad requiere evidencias de que no se cumplió un requisito. Una oportunidad de mejora identifica una mejora útil sin demostrar un incumplimiento. Una cuestión no resuelta permanece abierta hasta que haya evidencias suficientes que respalden una conclusión.

Utilice clasificaciones coherentes y priorice los hallazgos según la exposición, la recurrencia y la amplitud. No permita que una etiqueta de gravedad sustituya al razonamiento. Dé a los responsables de proceso la oportunidad de corregir errores de hecho, manteniendo la responsabilidad del auditor sobre la conclusión.

El informe debe indicar el alcance, los criterios, los métodos, las limitaciones, los hallazgos y la evaluación global respaldada por el trabajo realizado.

Haga que la acción correctiva sea algo más que un cierre

Un plan de acción debe identificar un responsable, una fecha límite, la corrección inmediata, la causa raíz y el cambio previsto para evitar que se repita. Eliminar la cuenta del repositorio corrige ese caso concreto. Corregir el inventario incompleto de aplicaciones y el traspaso entre RR. HH. y TI aborda el proceso.

Evite aceptar el «error humano» como causa raíz completa cuando el flujo de trabajo depende de la memoria o carece de responsable. Defina criterios de eficacia antes de cerrar la acción: por ejemplo, las salidas posteriores deben incluir comprobaciones conciliadas con el inventario de aplicaciones pertinente.

Un ticket completado demuestra la ejecución, no necesariamente la eficacia. Tras la implantación, inspeccione otra muestra y conserve el resultado de la verificación. Reabra la acción si se repite el mismo fallo.

Lleve los resultados a la dirección y al trabajo diario

Informe a la dirección correspondiente de las debilidades recurrentes, las acciones vencidas, las necesidades de recursos y las decisiones de riesgo significativas. Los resultados de la auditoría interna son una entrada para la revisión por la dirección según ISO 27001; la revisión es una actividad distinta, con otras entradas obligatorias, y no una mera reunión para aprobar el informe de auditoría.

Secani conecta requisitos, evidencias, responsables, tareas y decisiones de revisión para que la evaluación y el seguimiento permanezcan en contexto. Mantenga los registros de soporte vinculados a los controles pertinentes y preserve la aprobación humana de las conclusiones sobre las evidencias. Utilice nuestra guía de preparación para auditorías para organizar esos registros antes del trabajo de campo.

Un siguiente paso práctico es elegir un proceso crítico, designar a un auditor imparcial y redactar sus criterios y su plan de muestreo. Programe la verificación de eficacia al asignar las acciones correctivas, no cuando todo el mundo las dé por terminadas.