ISO 27001 y el SGSI

ISO/IEC 27001 pide que la organización gestione su seguridad como un sistema: define un alcance, evalúa riesgos, elige controles, mide, audita y corrige. Los controles del anexo A son la lista de la que se elige, y entre ellos hay uno dedicado a las vulnerabilidades técnicas. La norma no regala una cifra: no fija un plazo de parcheo ni nombra un escáner. Esa decisión la toma la organización y debe poder justificarla.

Por eso, ante un auditor, una buena hoja de cálculo de hallazgos no basta. Hace falta ver que hay un proceso, que alguien lo revisa y que lo medido llega a quien decide. La tabla clausulas resume, con palabras propias, qué se espera ver en las cláusulas de gestión que más tocan al analista.

La declaración de aplicabilidad (SoA) lista los controles del anexo A y dice, de cada uno, si aplica, por qué y en qué estado está. Un control puede excluirse, pero la exclusión se justifica: «no aplica» sin motivo es una promesa que el auditor va a cruzar con la práctica.

Consulta declaracion_de_aplicabilidad y mira la columna justificacion de los controles que no aplican.

La columna estado distingue lo que opera de lo que solo está decidido. Un control aplicable con estado parcial o planificado no es un incumplimiento por sí mismo, pero sí es un compromiso abierto: aparece en el informe de la dirección con su fecha y su responsable.

Cuenta, en la misma tabla, los controles que sí aplican y todavía no están implantados del todo.

La auditoría interna examina evidencia, no declaraciones. Lee auditoria_interna: cada fila cruza un control con lo que el auditor interno revisó y el resultado. Una no conformidad aparece cuando lo que se dice y lo que se hace no encajan.

Busca la fila que revisó informes y registros de un control que la declaración marcaba como no aplicable.

Una no conformidad abre una acción correctiva. Mira acciones_correctivas: la causa raíz del hallazgo anterior no es que falten escaneos (hay nueve informes), sino que una exclusión antigua nunca se revisó. La acción incluye corregir la declaración y medir después si el procedimiento se aplica.