Qué revisa realmente una auditoría ISO 27001 y cómo llegar preparado

La norma ISO/IEC 27001 establece los requisitos de un sistema de gestión de seguridad de la información: el conjunto de políticas, responsables, procesos y controles con que una organización protege la información que maneja. Muchas entidades públicas y empresas trabajan con ella, y llega un momento en que alguien la revisa: un auditor interno, uno de certificación o una supervisión.

Quien llega con la evidencia ordenada vive esa revisión como una conversación. Quien no, como un examen sorpresa. Estas son las preguntas que el auditor va a hacer, en el orden en que suele hacerlas.

1. ¿Qué cubre el sistema?

El alcance dice qué procesos, sedes e información están dentro del sistema. Un alcance claro y realista es mejor que uno ambicioso que nadie puede sostener, porque el auditor revisará todo lo que esté dentro.

2. ¿Cuáles son sus riesgos y qué decidió hacer con ellos?

El centro de la norma es el análisis de riesgos: qué información es importante, qué podría pasarle y qué tan grave sería. De ahí sale la decisión sobre cada riesgo (reducirlo, aceptarlo, transferirlo o evitarlo) y el documento que explica qué controles aplica la organización y por qué, conocido como Declaración de Aplicabilidad.

3. ¿Puede mostrarlo?

Cada control declarado debe poder demostrarse: un registro de accesos, un acta de revisión, una copia de respaldo probada, una capacitación con su lista de asistentes. La pregunta típica no es si existe una política de contraseñas, sino cómo se aplica y dónde consta.

4. ¿Se revisa a sí mismo?

La norma pide que la organización mida su propio sistema con auditorías internas, revisión por la dirección e indicadores. El auditor valora mucho encontrar hallazgos que la propia organización detectó y corrigió antes de su visita.

5. ¿Qué hizo con lo que salió mal?

Las no conformidades no son un fracaso si tienen análisis de causa, acción correctiva y seguimiento. Lo que sí pesa es encontrar sin atender el mismo problema de la auditoría anterior.

Cómo llegar preparado

• Hacer una auditoría interna completa uno o dos meses antes, a cargo de alguien que no haya diseñado los controles.
• Ordenar la evidencia por control, de modo que cada pedido del auditor se responda en minutos.
• Cerrar, o al menos tener en curso, las acciones correctivas pendientes.
• Preparar a las personas que serán entrevistadas, no para que memoricen respuestas, sino para que sepan explicar lo que hacen.

Hemos acompañado a una entidad del Estado en la auditoría para implementar su sistema y, al año siguiente, en su seguimiento y mejora continua. La diferencia entre un año y otro no estuvo en tener más documentos, sino en que las personas sabían dónde estaba la evidencia y por qué existía cada control.