Seguimiento y auditar con ISO 27001 como referencia

El seguimiento de una auditoría comprueba dos cosas distintas: que la acción acordada se ejecutó (hay evidencia de que ocurrió) y que fue eficaz (el problema dejó de ocurrir). Un ticket de cambio prueba lo primero, no lo segundo. Quien audita el seguimiento debe poder ver las dos; si falta una, la no conformidad no se da por cerrada.

En un SGSI, la cláusula 9.2 de ISO/IEC 27001:2022 exige además un programa de auditorías internas con sus criterios, alcance, frecuencia y métodos, que los resultados lleguen a la dirección responsable y que se conserve la información documentada como prueba.

La tabla nc_previas registra, para cada no conformidad de la auditoría anterior, su estado, si se ejecutó la acción, con qué evidencia y si se revisó que funciona. Hay una cerrada con evidencia de ejecución pero sin revisión de eficacia.

La declaración de aplicabilidad (SoA) de un SGSI es lo que la empresa dice de sus controles del Anexo A de ISO/IEC 27001:2022: cuáles aplican, en qué estado están y por qué excluye los demás. En auditoría es un criterio, no una verdad: se contrasta con lo comprobado en campo. Compara las tablas soa_extracto y lo_visto_en_campo.

Excluir un control exige una justificación válida: el control no es necesario porque el riesgo no existe. Una exclusión basada en un supuesto falso es un hallazgo en sí misma. Revisa los controles que la SoA marca como no aplicables y compara su justificación con el alcance del SGSI y con lo observado.

El equipo tiene tres problemas: una no conformidad cerrada que no resolvió el problema, un control declarado como implementado que no funciona y una exclusión que no se sostiene. La salida correcta es reabrir y declarar, no suavizar: el seguimiento existe para decir lo que el papel no dice.