GRCreal // expediente: academia curso: ISO 27001 Lead Auditor
CLAUSULAS 4-10 · SGSI · AUDITORÍA
Módulo 10

Auditoría del SGSI

No basta con auditar controles.
Hay que auditar cómo se gestiona la seguridad.

MÓDULO 10 / 10ISO 27001 · Lead Auditor
FOCOAuditoría del SGSI

Conecta este módulo con el anterior y busca qué evidencia cambiaría tu conclusión.

Cláusula 4
Auditoría del Contexto de la Organización
El auditor debe verificar que la organización ha determinado las cuestiones externas e internas pertinentes y las necesidades de las partes interesadas.
“Si el contexto está mal definido, todo lo demás se construye sobre una base incorrecta.”
📋Qué verificar: Análisis DAFO o similar, identificación de stakeholders, requisitos aplicables (legales, contractuales).
📄Evidencias: Documento de análisis de contexto, matriz de partes interesadas, alcance del SGSI documentado.
Cláusula 5
Auditoría del Liderazgo
El auditor debe verificar que la alta dirección demuestra liderazgo y compromiso con el SGSI.
📜Qué verificar: Existencia de política de seguridad aprobada por dirección, asignación de recursos, comunicación de la importancia de la seguridad.
📄Evidencias: Política firmada, actas de revisión por la dirección, presupuesto asignado, comunicación de la política a empleados.
Cláusula 6
Auditoría de la Planificación
El auditor debe verificar el proceso de gestión de riesgos, la declaración de aplicabilidad y los objetivos de seguridad.
⚠️Qué verificar: Metodología de análisis de riesgos, identificación y tratamiento de riesgos, existencia de SoA, objetivos de seguridad medibles.
📄Evidencias: Informe de riesgos, SoA, plan de tratamiento de riesgos, objetivos documentados con indicadores.
Cláusula 7
Auditoría del Soporte
El auditor debe verificar los recursos, competencias, concienciación, comunicación y documentación.
🎓Qué verificar: Competencia del personal, registros de formación, plan de concienciación, procesos de comunicación, control de documentos.
📄Evidencias: Registros de formación, plan de comunicaciones, matriz de documentos controlados, evidencias de concienciación.
Cláusula 8
Auditoría de la Operación
El auditor debe verificar que los controles se implementan y operan según lo planificado.
🔧Qué verificar: Implementación de controles del Anexo A aplicables, gestión de cambios, procesos con proveedores externos.
📄Evidencias: Configuraciones de seguridad, registros de cambios, acuerdos con proveedores, evidencias de operación de controles.
Cláusula 9
Auditoría de la Evaluación del Desempeño
El auditor debe verificar el seguimiento, medición, auditoría interna y revisión por la dirección.
📊Qué verificar: Métricas definidas, resultados de mediciones, programa de auditoría interna, informes de revisión por dirección.
📄Evidencias: Indicadores, informes de auditoría interna, actas de revisión por dirección, acciones derivadas.
Cláusula 10
Auditoría de la Mejora
El auditor debe verificar la gestión de no conformidades y acciones correctivas.
🔁Qué verificar: Proceso de tratamiento de no conformidades, análisis de causa raíz, eficacia de acciones correctivas.
📄Evidencias: Registro de no conformidades, informes de acciones correctivas, verificación de eficacia.
Anexo A
Auditoría de los controles (Anexo A)
El auditor no solo evalúa las cláusulas 4-10, sino también los controles del Anexo A. Son 93 controles agrupados en 4 categorías:
🏛️Organizacionales · 37 controles. Políticas, roles, gestión de activos, acceso, proveedores, incidentes, continuidad, cumplimiento.
👥Personas · 8 controles. Selección, términos de empleo, concienciación, teletrabajo, reporte de incidentes.
🏢Físicos · 14 controles. Perímetros, acceso físico, equipos, almacenamiento, reutilización/disposición.
💻Tecnológicos · 34 controles. Autenticación, protección contra malware, gestión de vulnerabilidades, copias de seguridad, cifrado, logging, redes.
Resumen del módulo
Lo que debes llevarte de aquí
1El auditor debe auditar tanto las cláusulas 4-10 como los controles del Anexo A.
2Cada cláusula tiene requisitos específicos que deben verificarse con evidencias.
3La SoA es el documento que relaciona riesgos con controles aplicables.
4No basta con que los controles existan. Deben funcionar y ser eficaces.
APLICACIÓN PRÁCTICA

Cómo llevar el contenido del módulo a una organización real

Este módulo debe utilizarse dentro de planificación, ejecución y comunicación de auditorías de sistemas de gestión de seguridad. Su valor no está en repetir definiciones, sino en decidir qué debe ocurrir, quién participa y cómo se demuestra.

Para trabajar «Auditoría del SGSI», comienza delimitando criterio, evidencia, muestreo, independencia y comunicación de conclusiones. Después conecta el requisito o principio con los procesos, sistemas, terceros y decisiones que realmente existen en la organización.

Los actores habituales serán Equipo auditor, auditado, Dirección, Seguridad, Riesgos, Operaciones y propietarios de controles. No todos ejecutan el control, pero cada uno puede aportar una parte del contexto, la evidencia o la decisión.

  1. Define el objeto y el alcance antes de discutir controles.
  2. Identifica propietario, ejecutor, revisor y autoridad de excepción.
  3. Distingue diseño, implantación, operación y eficacia.
  4. Comprueba cambios, incidencias y excepciones, no solo el estado ideal.
  5. Cierra con una decisión y una acción verificable.
EXPEDIENTE DEL MÓDULO

Documentación y evidencia que debería existir

La documentación no debería ser una colección de archivos aislados. Debe permitir seguir una relación lógica entre criterio, decisión, actividad y resultado.

Cada evidencia necesita contexto: sistema o proceso al que pertenece, periodo cubierto, fuente, responsable y estado. Sin esos datos, una captura o un documento pueden ser auténticos pero insuficientes.

  • criterios, alcance y plan de auditoría
  • población, periodo y muestra seleccionada
  • entrevistas, observaciones y documentos corroborados
  • hallazgos vinculados a requisitos
  • conclusiones, informe y seguimiento
CASO DE REVISIÓN

Aplicación de «Auditoría del SGSI»

Escenario: un SGSI declara un control implantado, pero la evidencia disponible cubre solo una parte de la población y del periodo auditado. El objetivo no es memorizar una respuesta, sino reconstruir qué debería verificarse y con qué evidencia.

1 · Delimitar

Define el alcance y concreta criterio, evidencia, muestreo, independencia y comunicación de conclusiones.

2 · Corroborar

Contrasta entrevistas con documentos, registros y observación de la operación.

3 · Concluir

Separa hechos, criterio aplicable, impacto y acción necesaria.

ERRORES FRECUENTES

Dónde suele fallar la aplicación

  • convertir opiniones en hallazgos
  • confundir una observación con una no conformidad
  • aceptar capturas sin validar población y periodo
  • tratar una excepción permanente como si fuera temporal
  • cerrar acciones por actividad realizada, sin validar su eficacia
COMPROBACIÓN

Preguntas que deberías poder responder

  • ¿Qué decisión concreta cambia después de comprender «Auditoría del SGSI»?
  • ¿Qué evidencia pedirías primero y qué necesitarías corroborar?
  • ¿Qué parte depende del diseño y cuál de la operación diaria?
  • ¿Qué excepción sería aceptable y quién tendría autoridad para aprobarla?
  • ¿Cómo comprobarías dentro de tres meses que sigue funcionando?
EJEMPLO GUIADO

Caso práctico: Auditoría del SGSI

El SGSI tiene políticas, riesgos y controles, pero la revisión por la dirección no analiza objetivos incumplidos ni decisiones sobre recursos.

CONTEXTO TÉCNICO

Sistema completo con métricas, auditorías, incidentes, riesgos y revisión.

DECISIÓN

  • Auditar la interacción del sistema: planificación, operación, evaluación y mejora.
  • Asignar un responsable y una fecha de revisión.
  • Definir cómo se comprobará la eficacia.

EVIDENCIA

  • Objetivos, riesgos, métricas, actas, decisiones, acciones y seguimiento.
  • Corroborar con una fuente independiente.
  • Conservar población, periodo y responsable.

ERROR A EVITAR

  • Auditar cláusulas como compartimentos independientes.
  • Aceptar afirmaciones sin prueba suficiente.
  • Cerrar acciones sin verificación posterior.
MINI EJERCICIO RESUELTO

¿Qué demuestra que el SGSI funciona como sistema?

Respuesta orientativa: La conexión trazable entre riesgos, controles, resultados, decisiones y mejora.

¿QUÉ CAMBIARÍA SI…?

los controles técnicos funcionan pero los objetivos del SGSI no se revisan?

Revisa cómo cambian alcance, riesgo, responsabilidad, evidencia y decisión.

PÁRATE AQUÍNo sigas por inercia

Tienes una política aprobada y tres entrevistas coherentes. ¿Tienes evidencia suficiente para concluir que el control opera?

Distingue diseño, implantación y operación. Una explicación consistente orienta la muestra, pero no siempre cierra la conclusión.

No hay botón ni respuesta oculta. Explica tu criterio antes de continuar.
ANTES DE SEGUIR

Deberías poder explicar estas tres ideas sin volver arriba

Esto no desbloquea el módulo siguiente ni modifica tu progreso. Es una autocomprobación antes de pulsar Continuar.

  1. 01

    Auditoría del Contexto de la Organización

  2. 02

    Auditoría del Liderazgo

  3. 03

    Auditoría de la Planificación

Has completado los 10 módulos.
Ahora, el resumen final.
Siguiente: Resumen del Curso
← Anterior Continuar →