Auditores ISO 27001 y consultores de implantación SGSI

Digiventi proporciona consultores de implantación de SGSI que establecen un sistema de gestión de seguridad de la información alineado con ISO/IEC 27001:2022. Evalúan las prácticas existentes frente a las cláusulas 4–10 y definen una lista priorizada de tareas de implantación.

El trabajo abarca el contexto de la organización y los límites del alcance, junto con las políticas de seguridad y las responsabilidades asignadas. Los consultores establecen el control documental y los requisitos de evidencia con los responsables de cada proceso. En un SGSI existente, identifican requisitos pendientes antes de una auditoría.

Los consultores de SGSI vinculan los riesgos documentados con decisiones de control que los responsables de negocio pueden aprobar y los ingenieros pueden implementar.

• Evaluación y tratamiento de riesgos: Definen criterios de evaluación, analizan riesgos de seguridad de la información, asignan responsables y registran decisiones de tratamiento con criterios de aceptación.
• Declaración de Aplicabilidad: Documentan los controles necesarios y justifican las inclusiones o exclusiones del anexo A. Acuerdan evidencias de implantación con los responsables, como revisiones de acceso y comprobaciones de seguridad de proveedores.

Los registros relacionan cada riesgo con los responsables de sus controles y las evidencias de implantación.

Los auditores líderes ISO 27001 planifican y realizan auditorías internas siguiendo las directrices de ISO 19011. Revisan muestras de evidencias y entrevistan a responsables de procesos para evaluar la conformidad del SGSI, documentando las no conformidades frente a criterios específicos.

Las revisiones de preparación contrastan los procesos documentados con la práctica antes de las auditorías de certificación de fase 1 o fase 2. Las auditorías deben preservar la objetividad y la imparcialidad, incluida la independencia respecto de las actividades revisadas. La decisión de certificación corresponde al organismo certificador.

Los consultores de SGSI asumen tareas de mantenimiento tras la implantación, como reevaluar riesgos y actualizar el sistema cuando cambian los proveedores o los sistemas. Apoyan a los responsables de procesos en el mantenimiento de evidencias y preparan información sobre el desempeño de los controles para la revisión por la dirección.

Ante hallazgos de auditoría, investigan las causas raíz y definen acciones correctivas con responsables asignados. Comprueban su eficacia antes del cierre. El apoyo también puede cubrir la preparación de auditorías de seguimiento y la resolución de hallazgos vencidos.