Proceso de auditoría de certificación

Proceso de auditoría de certificación

1. 1.1 Ventajas de la certificación

   • De manera general, la implantación de un sistema de gestión de seguridad de la información según alguna de las normas (UNE 71502 o ISO/IEC 27001) da a las organizaciones, independientemente de su tamaño o sector económico en el que realicen su actividad, las siguientes ventajas
     • Conocer y analizar sus riesgos, identificando amenazas, vulnerabilidades e impactos en la actividad empresarial.
     • Prevenir, eliminar o reducir eficazmente el nivel de riesgo mediante la implantación de los controles adecuados, preparándose ante posibles emergencias y garantizando la continuidad del negocio.
     • Asegurar su compromiso con el cumplimiento de la legislación vigente sobre protección de datos de carácter personal, servicios de la sociedad de la información, comercio electrónico, propiedad intelectual y, en general, con aquélla relacionada con la seguridad de la información.
     • Planificar, organizar y estructurar los recursos asignados a seguridad de la información.
     • Definir objetivos y metas que permitan aumentar el grado de confianza en la seguridad.
     • Establecer procesos y actividades de revisión, mejora continua y auditoría de la gestión y tratamiento de la información.
     • Integrar la gestión de la seguridad de la información con el resto de sistemas de gestión implantados en la empresa.
     • Aportar un valor añadido de confianza en la protección de la información, mejorando su imagen de cara a otras empresas y convirtiéndose en un factor de distinción frente a la competencia.

2. 1.2 Proceso de auditoría

   • 1.2.2 Auditoria in-situ
     • La segunda fase de la auditoría se desarrolla en las instalaciones de la organización auditada y en ella el auditor realizará entrevistas para verificar que lo que se indica en la documentación revisada refleja la situación real de la organización.Entre la revisión documental y esta segunda fase deben pasar obligatoriamente entre tres y seis semanas, y el objetivo es: • Confirmar que la organización cumple con sus políticas y procedimientos. • Comprobar que el SGSI desarrollado es conforme con las especificaciones de la norma. • Verificar que el SGSI está logrando los objetivos que la organización se ha marcado.
       • Planificación de la auditoría El proceso de auditoría de los controles puede no ser exhaustivo y, antes de iniciar la auditoría presencial, el equipo auditor podrá realizar una selección de los controles que van a ser auditados.
       • Realización de la auditoría Una vez aprobado por el solicitante el plan de auditoría, se concretarán las fechas exactas para la visita del equipo auditor a las instalaciones del solicitante.
       • Entrevistas En esta segunda fase, el auditor busca evidencias objetivas sobre la implantación y el funcionamiento de los controles que conforman el sistema de gestión de la seguridad de la información.
       • Cierre de la auditoría Al final de la auditoría, el equipo auditor debe mantener una reunión con el solicitante para: • Agradecer su colaboración. • Recordar nuevamente el objetivo y alcance de la auditoría. • Dar un resumen del resultado de la auditoría. • Informar de las recomendaciones que va a dar el equipo de auditoría. • Preguntar si el solicitante tiene alguna cuestión que quiera aclarar. • Recoger la conformidad del solicitante. • Cerrar la auditoría.
         • El auditor detecta grandes no conformidades. En este caso, el auditor rechaza la certificación. Informa de las no conformidades graves que justifica el rechazo. Propone a la empresa auditada que mejore la implantación del SGSI y que pasado un tiempo vuelva a requerir el proceso de auditoría.
         • El auditor detecta no conformidades menores. En este caso, el auditor solicita a la organización auditada que proponga una serie de soluciones para estas no conformidades. Será el auditor quien se encargue de decidir si estas soluciones previstas solucionarían las no conformidades. El auditado tendrá que proponer no sólo la solución, sino también un tiempo en el que se resolverá la no conformidad. En el caso de que el auditor rechace estas soluciones, se le indicará que tendrá que volver a solicitar la auditoría. En el caso de que las soluciones que plantea la organización sean aceptadas, el auditor procederá a requerir el paso nuevamente a la segunda fase de la auditoría.
         • El auditor no detecta no conformidades. En este caso, el auditor propone la concesión de la certificación a la organización.
         • Una vez que se ha obtenido la certificación, se entregará el certificado y se entrará en un ciclo de revisión de la certificación: de forma anual se realizará una auditoría parcial (seleccionando controles concretos). Esta certificación estará vigente durante 3 años.
     • Hay que tener en cuenta que el objetivo del auditor no es encontrar no conformidades (errores) en la organización, sino tratar de determinar si el sistema de gestión de la seguridad de la información cumple con lo establecido en la norma.
   • 1.2.1 Auditoría documental
     • Primera fase en la que se revisa toda la documentación que forma parte del SGSI. Objetivo, verificar que la organización ha implantado los controles en base a los riesgos que ésta posee y que además estos controles están de acuerdo con lo que indica en las normas ISO/IEC 17799:2005 y la ISO/IEC 27001.
       • Mínima documentación a revisar • Política de seguridad de la organización • Alcance de la certificación • Análisis de riesgos de la organización • La selección de controles de acuerdo con la declaración de aplicabilidad • Revisión de la documentación de los controles seleccionados
       • Alcance de la certificación: Este alcance condiciona la certificación y el desarrollo de las auditorías; el auditor únicamente revisará lo referente a este alcance y todo lo que pueda estar fuera de él no será revisado. En el caso de que se realice un cambio en el alcance de la certificación, se tendría que rehacer totalmente la auditoría.
       • Análisis de riesgos de la organización El auditor prestará especial atención al análisis de riesgos. Para empezar tendrá que estar formalmente aceptado por la dirección de la organización y es obligatorio que esté documentada tanto la metodología utilizada, que debe ser coherente con la complejidad de la organización, como los resultados de dicho análisis de riesgos.
       • Alcance limitado Tal y como se ha comentado, es posible que un SGSI no incluya la totalidad de la organización, sino que podría definirse un alcance de un determinado proceso o un área concreta de la organización.
       • El auditor no detecta no conformidades. En estos casos, el auditor propone a la organización que pase a la segunda fase de la auditoría.
   • Durante el proceso de certificación, al auditor tratará de verificar que la organización que posee el sistema de gestión de la seguridad de la información ha implantado el modelo PDCA: Planificar, Hacer, Verificar y Actuar.

Images and files in the map