Auditoría Interna ISO 27001 – Sistema de Gestión de la Seguridad de la Información

HD Quality hace auditorías internas ISO 27001 que cumplen el requisito, preparan a tu equipo para la auditoría de certificación y te muestran tu brecha frente a la Ley 21.719, la Ley de Protección de Datos Personales.

La auditoría interna del sistema de gestión de la seguridad de la información es el requisito que normalmente queda para el final, por falta de tiempo del equipo o por falta de competencias.

En muchos casos, externalizarla es una decisión estratégica: permite ver los riesgos que el día a día no deja ver, y prepara al equipo para las auditorías de certificación y para las de sus clientes, que cada vez preguntan más antes de firmar.

Hay que hacerla a intervalos planificados, el certificador la pide apenas entra, y la norma exige que los auditores aseguren la objetividad y la imparcialidad del proceso. En Chile es común que el SGSI lo haya montado una sola persona, con otras funciones encima: quien redactó la política de control de accesos es la misma que tendría que revisar si de verdad se aplica. Y cuando llega el auditor externo, los hallazgos que podrían haberse cerrado tranquilos tres meses antes aparecen en un informe que sí tiene consecuencias.

HD Quality apoya a las empresas que

Necesitan poder demostrar su seguridad, y que además baje el riesgo real

Hasta hace poco la seguridad de la información era, sobre todo, un compromiso con tus clientes. Hoy tiene peso jurídico propio y fiscalizador con nombre. La Ley 21.719 crea la Agencia de Protección de Datos Personales, con facultades para fiscalizar y sancionar, y entra en vigencia el 1 de diciembre de 2026. La Ley 21.663 marco de ciberseguridad hace lo mismo a través de la Agencia Nacional de Ciberseguridad, para las empresas que alcanza.

La consecuencia práctica es una sola, y cambia la forma de trabajar: ya no basta con hacer las cosas bien, hay que poder demostrarlo. Ante un fiscalizador, lo que no dejó registro no ocurrió. La revisión de accesos que se hizo conversando, la capacitación que se dio en una reunión, el incidente que se resolvió por teléfono: todo eso pasó de verdad, y nada de eso sirve como prueba. Por eso una auditoría interna que exige evidencia trazable de cada control no es burocracia: es exactamente el expediente que vas a necesitar el día que te lo pidan.

El incumplimiento tiene precio, y es alto. Las dos leyes usan la misma escala base: hasta 5.000 UTM las infracciones leves, hasta 10.000 las graves y hasta 20.000 las gravísimas. En la Ley 21.719, la reincidencia de una empresa que no sea de menor tamaño puede llegar al 4% de los ingresos anuales por ventas y servicios.

Y hay un cruce que casi nadie tiene en el radar. Los delitos informáticos de la Ley 21.459 se incorporaron al catálogo de la Ley 20.393, la de responsabilidad penal de las personas jurídicas, que después fue reformada por la Ley 21.595 de delitos económicos con más exigencia sobre los modelos de prevención y sanciones más duras. En simple: un ciberdelito cometido desde o a través de tu empresa puede hacer responsable penalmente a la empresa, no solo a la persona que lo hizo, y la defensa es haber tenido un modelo de prevención que estuviera operando. Si tu empresa ya tiene uno, tu sistema de seguridad de la información y ese modelo tienen que poder mostrarse juntos; esa parte la recoge el modelo de prevención de delitos.

Ahora bien, nada de esto es un tema de papeles. ISO 27001 no es una norma de documentos: es una norma sobre riesgos que ocurren. Que se filtre tu base de datos de clientes, que un archivo con información confidencial salga a quien no debía, que el proveedor con acceso a tus sistemas sea la puerta de entrada, que la cuenta de alguien que ya no trabaja contigo siga activa meses después. Y hoy, además, que un correo escrito por una inteligencia artificial, con el nombre de tu gerente y el contexto de tu empresa, convenza a alguien de tu equipo de pagar una factura falsa.

Una auditoría interna hecha para cumplir el requisito revisa que los documentos existan, deja constancia y cierra. Una auditoría real entra a ver si el control opera, y cada vez que encuentra que no, baja un riesgo concreto. Esa es la diferencia entre gastar la auditoría y aprovecharla.

Y lo que queda cuando la auditoría es real no es solo un informe: es tener los dos frentes legales cubiertos con evidencia, el riesgo más abajo de como estaba, y la confianza de tus clientes, que cada vez más auditan a sus proveedores antes de firmar.

No tienen a quién encargarle la auditoría interna de su SGSI

Una auditoría interna de un SGSI bien hecha no es revisar que las políticas existan. Es planificar el alcance, recorrer la Declaración de Aplicabilidad control por control, entrevistar a quienes operan esos controles, pedir la evidencia real —el registro de la última revisión de accesos, el acta del último incidente, el acuerdo firmado con el proveedor que entra a tus sistemas—, contrastar lo declarado con lo que pasa, redactar hallazgos trazables y seguirlos hasta el cierre.

Ese trabajo cae casi siempre sobre el encargado de seguridad de la información, que además lleva la Declaración de Aplicabilidad, la matriz de riesgos, los proveedores, la relación con el certificador y el trabajo propio de su cargo, que es por lo que lo contrataron. El resultado habitual no es una mala auditoría: es una auditoría que se hace apurada la semana antes, que confirma lo que ya se sabía y que no encuentra nada incómodo.

Hay además algo que no se resuelve con tiempo, y es la independencia respecto de lo auditado. En un SGSI se nota más que en cualquier otro sistema, porque casi todo se declara: un control puede estar descrito, aprobado y marcado como implementado, y no operar. Quien lo escribió lo lee como lo pensó, no como lo ejecuta la persona que tiene que dar de baja un usuario el día que alguien se va.

La norma lo pide en su punto 9.2.2: los auditores se seleccionan y las auditorías se conducen de forma que aseguren la objetividad y la imparcialidad del proceso. En una empresa grande eso se resuelve cruzando áreas; cuando el encargado de seguridad de la información es una sola persona, no hay a quién cruzar, y la auditoría o se trae de fuera o queda con una duda encima que el certificador detecta de inmediato.

La solución de HD Quality: lo que contratas no es la auditoría, son las horas de criterio y experiencia real

Levantar hallazgos es la parte fácil. Cualquiera con la norma al lado puede escribir que falta la evidencia de la revisión de accesos. Lo difícil, y lo que de verdad te sirve, es entender qué significa ese hallazgo, cuál es la causa real, qué acción corresponde y qué evidencia hay que generar para demostrar que se corrigió. Y también entender la lógica del certificador: sus límites, su alcance real y la estrategia para conducirlo durante su auditoría.

Por eso nuestra auditoría interna no termina con la entrega del informe. El objetivo es doble: que llegues a la auditoría externa sin sorpresas, con lo que encuentre el organismo certificador ya sabido y ya cerrado, y que de paso sepas exactamente en qué estado estás frente a la Ley 21.719, que entra en vigencia el 1 de diciembre de 2026.

Esto es lo que recibes con nuestra auditoría

• Un plan de auditoría acordado contigo antes de empezar, con el alcance, los controles y las personas que hay que entrevistar.
• La auditoría en terreno, con entrevistas a quienes operan los controles y verificación de la evidencia real.
• Un informe con cada hallazgo trazado a su requisito de la norma o a su control del Anexo A, su evidencia y su clasificación.
• El criterio técnico para cerrar esos hallazgos, incluido después del informe.
• Tu diagnóstico de brecha frente a la Ley 21.719, de la misma visita.

Además aprenderás cómo opera un auditor ISO 27001: cuáles son sus límites y su alcance real, y qué estrategias sirven para abordarlo según la realidad de tu empresa y de tu actividad.

Metodología

Las horas que comprometemos son horas de auditoría: entrevistas con quienes operan los controles, revisión de evidencia real y verificación de registros en el momento. No pedimos que nos envíes la documentación antes para revisarla por nuestra cuenta. Es exactamente lo que hará el auditor externo, y es donde aparecen los hallazgos que vale la pena conocer antes.

La actividad se puede realizar de manera presencial, remota o mixta. En un SGSI esa decisión no es solo logística: los controles organizacionales y tecnológicos se auditan bien de forma remota, porque la evidencia es documental o está en pantalla, pero los controles físicos —acceso a las instalaciones, áreas seguras, equipos desatendidos, escritorio despejado— se auditan mirando. Lo definimos contigo para que ninguno quede sin cubrir.

Planificación acordada antes contigo

Alcance, controles que entran, personas a entrevistar y calendario se definen con antelación. La empresa sabe quién tiene que estar disponible y cuándo, que es lo que más retrasa una auditoría cuando no se planifica.

Informe entendible y explicado a ti y a tu equipo

Cada hallazgo del informe llega con tres cosas: el requisito de la norma o el control del Anexo A que lo origina, la evidencia concreta que lo sustenta —el documento, el registro o la respuesta de la entrevista— y su clasificación. Con esas tres cosas, la persona que tiene que responderlo sabe exactamente qué corregir y qué mostrar. Un hallazgo escrito en general, del tipo «falta mejorar el control de accesos», no se puede cerrar porque nadie sabe cuándo quedó cerrado.

Los hallazgos se clasifican en cuatro niveles, y conviene saber qué significa cada uno antes de recibir el informe:

• No conformidad mayor. El requisito no se cumple, el incumplimiento es sistemático o pone en riesgo la capacidad del sistema. En la auditoría de certificación, una mayor abierta impide que se emita el certificado hasta corregirla y verificarla.
• No conformidad menor. Un incumplimiento puntual y aislado. Se cierra con plan de acción y evidencia.
• Observación. Todavía cumple, pero va camino a ser una no conformidad si no se atiende.
• Oportunidad de mejora. El sistema cumple y aun así hay una forma mejor de hacerlo.

Lo que viene después de la auditoría interna: nuestra asesoría que da valor

Una empresa sin especialista interno no necesita solo saber qué está mal: necesita entender qué significa cada hallazgo y cómo se cierra. Cuál es la causa real, qué acción corresponde, qué evidencia hay que generar para demostrar que se corrigió.

Ese acompañamiento se entrega después de emitido el informe, nunca durante la auditoría. Un auditor que va resolviendo mientras audita deja de ser objetivo, y el informe pierde el valor que lo hace defendible frente al certificador.

Y va incluido como valor agregado del servicio, no como una asesoría aparte que se cobra al final.

Lo que te garantizamos

• La imparcialidad del auditor y su confidencialidad. Audita alguien que no participó en tu sistema ni depende de quien lo opera. Es el requisito de la norma y es lo primero que mira el certificador. Y todo lo que vemos queda bajo acuerdo de confidencialidad, que en una auditoría de seguridad de la información no es un formalismo.
• Un informe claro, que además se explica en detalle. A ti y a tu equipo, hallazgo por hallazgo, hasta que quede claro qué hay que corregir y qué hay que mostrar.
• Asesoría técnica para cerrar los hallazgos. Para explicarte cada uno y proponerte una estrategia con la que conducir con éxito la auditoría de certificación.
• Y el valor agregado que solo encuentras acá: sabrás exactamente qué brecha te falta frente a la Ley 21.719. HD Quality te acompaña en lo que tienes que cumplir hoy y en lo que viene.

¿Necesitas una auditoría interna ISO 27001 y saber dónde estás frente a la Ley 21.719?

Cotiza con nosotros

Qué revisa el auditor, control por control

El alcance se acuerda contigo. La auditoría cubre los requisitos del sistema —contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora— y además el Anexo A, que es lo que distingue a esta norma de las demás.

Las tres dimensiones que se auditan: confidencialidad, integridad y disponibilidad

Antes de entrar a los controles conviene saber contra qué se miden, porque esto es lo que le da sentido a todo lo demás. Los 93 controles del Anexo A no son una lista de tareas administrativas: existen para sostener tres dimensiones de la información, y son las tres que el auditor va a verificar.

• Confidencialidad. Que la información esté solo donde debe estar y accesible solo para quien corresponde.
• Integridad. Que la información sea exacta y completa, y que nadie la pueda alterar sin que quede registro de quién lo hizo.
• Disponibilidad. Que esté disponible cuando el negocio la necesita, incluso cuando algo falla.

Cada control se audita con la misma pregunta: qué dimensión sostiene, y si efectivamente la sostiene. Un respaldo que nunca se probó no sostiene la disponibilidad, aunque exista. Un registro de accesos que nadie revisa no sostiene la confidencialidad, aunque esté configurado. Una base de datos a la que cuatro personas le pueden cambiar un dato sin dejar rastro no sostiene la integridad, aunque esté respaldada.

Las tres dimensiones hoy están bajo una amenaza nueva: la inteligencia artificial

Esto cambió rápido, y conviene decirlo sin dramatismo pero sin negarlo. Existen modelos de inteligencia artificial creados sin ningún filtro ético, hechos con el fin de atacar, y cada vez más fáciles de conseguir por cualquier persona mal intencionada, incluso por organizaciones criminales.

Lo que antes exigía un atacante con oficio y tiempo hoy se automatiza y sale barato: correos de phishing redactados en español impecable, con el nombre de tu jefatura y el contexto de tu empresa sacado de internet; suplantación de voz en una llamada telefónica para autorizar un pago; código malicioso generado y adaptado en minutos; búsqueda automática de contraseñas reutilizadas. Las tres dimensiones quedan expuestas al mismo tiempo: la confidencialidad por el engaño, la integridad por la suplantación, la disponibilidad por el secuestro de los datos.

ISO 27001 no tiene un control que diga «inteligencia artificial», y no lo necesita. Los controles que te protegen son los que ya están: toma de conciencia del personal, gestión de accesos, autenticación, respaldo, gestión de incidentes y control de proveedores. Lo que cambió no son los controles: es la exigencia con que hay que auditarlos.

Y acá está la diferencia entre una auditoría real y una de trámite. Un auditor externo que ve muchas empresas trae a la mesa las amenazas que están ocurriendo ahora. El equipo que opera tus controles todos los días no las está mirando, y no es negligencia: es que está haciendo su trabajo. La auditoría interna es el momento del año en que alguien se detiene a preguntar si los controles que armaste hace dos años siguen sirviendo contra lo que hay hoy.

De ahí salen los dos resultados que más se agradecen después: controles reforzados donde hacía falta, y un plan de continuidad del negocio revisado contra escenarios que cuando se escribió no existían.

La Declaración de Aplicabilidad, el primer documento que se abre

Es el documento central de ISO 27001 y el primero que mira cualquier auditor: qué controles del Anexo A aplican, cuáles se excluyeron y con qué justificación. Una exclusión mal fundada es una no conformidad casi segura, y una exclusión que estaba bien fundada y dejó de ser cierta —porque la empresa cambió— lo es igual.

La versión 2022 tiene 93 controles agrupados en cuatro temas, y la reorganización respecto de la edición 2013 fue completa. Todavía hay sistemas documentados con la estructura antigua.

• Organizacionales, 37 controles. Políticas, roles y responsabilidades, clasificación de la información, proveedores, gestión de incidentes, continuidad y cumplimiento legal.
• De personas, 8 controles. Selección, condiciones de empleo, toma de conciencia, proceso disciplinario, término del vínculo y trabajo remoto.
• Físicos, 14 controles. Perímetros, áreas seguras, equipos, soportes de almacenamiento, escritorio despejado y servicios de apoyo.
• Tecnológicos, 34 controles. Accesos, cifrado, respaldos, registro y monitoreo, vulnerabilidades técnicas, desarrollo seguro y seguridad de las redes.

Un dato que conviene tener claro porque genera dudas: la versión vigente es ISO/IEC 27001:2022 y no existe una edición 2026. Los certificados en la edición 2013 dejaron de tener validez el 31 de octubre de 2025, de manera que un sistema certificado hoy ya está en la versión 2022.

Los puntos donde aparecen los hallazgos

Hay un núcleo que se revisa siempre, porque es donde aparecen. Va con el hallazgo típico de cada uno, que es lo que más sirve para prepararse.

• Contexto, partes interesadas y requisitos legales. Que el análisis esté vivo y que incluya las obligaciones legales y contractuales de seguridad que apliquen. El hallazgo típico: el listado de requisitos legales no incorporó la Ley 21.719 ni la Ley 21.663, aunque las dos están vigentes.
• La Declaración de Aplicabilidad contra la realidad. Que lo declarado como implementado efectivamente opere. El hallazgo típico: un control marcado como implementado cuya única evidencia es la política que lo describe, no un registro de que se ejecuta.
• Evaluación y tratamiento de riesgos. No basta la matriz: hay que demostrar que el tratamiento se decidió, se aplicó y se revisó, y que el riesgo residual lo aceptó quien corresponde. El hallazgo típico: la matriz no se ha tocado desde la certificación, y en el período entraron un proveedor en la nube y un sistema nuevo.
• Inventario de activos y propietarios. El hallazgo típico: el inventario existe, pero no tiene propietario asignado, o nombra equipos que se dieron de baja sin registro de borrado seguro.
• Control de accesos y su revisión periódica. El hallazgo típico, y uno de los más repetidos: la política declara una revisión semestral de accesos y no hay evidencia de la última; o siguen activas cuentas de personas que ya no están en la empresa.
• Gestión de incidentes. El hallazgo típico: si en el período no hubo ningún incidente registrado, eso también es un hallazgo. Significa que el canal no se está usando, no que no haya pasado nada.
• Proveedores y terceros. Es donde más hallazgos aparecen. Quién accede a tus sistemas, con qué acuerdo firmado, y cómo verificas que cumple. El hallazgo típico: el proveedor crítico de TI no tiene cláusulas de seguridad en su contrato, o nunca se lo volvió a evaluar después de contratarlo.
• Las personas, no solo la tecnología. Incorporación y salida, devolución de activos y toma de conciencia. El hallazgo típico: la capacitación en seguridad de la información se hizo el año de la certificación y no se repitió, o el personal que entró después nunca la recibió.
• Seguridad física. El hallazgo típico: la sala de servidores tiene control de acceso declarado y la puerta queda abierta, o no hay registro de quién entró.
• Continuidad del negocio y respaldos. Que el plan exista, que diga quién declara la contingencia y en cuánto tiempo hay que volver a operar, y que se haya ejercitado. El hallazgo típico es doble: hay respaldos y no hay evidencia de que alguna vez se haya probado una restauración; y el plan de continuidad se escribió para la certificación y nunca se ejercitó, así que nadie sabe si funciona ni quién hace qué el día que haga falta.
• Registro, monitoreo y vulnerabilidades técnicas. El hallazgo típico: los registros se generan y nadie los revisa; o hay un escaneo de vulnerabilidades sin ningún registro de qué se hizo con los hallazgos críticos.
• Gestión del cambio. El hallazgo típico: se cambió un sistema, se habilitó teletrabajo o se contrató un servicio nuevo, y el SGSI se enteró después.
• Revisión por la dirección. Todas las entradas que exige el punto 9.3 y, sobre todo, decisiones registradas. El hallazgo típico: el acta registra asistencia y presentación de datos, sin ninguna decisión ni asignación de recursos.

La auditoría se conduce siguiendo las directrices de ISO 19011, la norma que define cómo se audita un sistema de gestión: competencia del auditor, muestreo, evidencia objetiva y conducta durante la entrevista.

Y hay algo más que revisa el auditor: tu auditoría interna también se audita

La mayoría de las empresas trata la auditoría interna como un asunto puertas adentro. Se hace, se archiva el informe y se da por cumplido el capítulo 9. No es así. Cuando llega el organismo certificador, tu auditoría interna es de lo primero que revisa, y la revisa a ella, no solo a tus controles.

Por eso una auditoría interna hecha solo para cumplir no sale gratis. No solo deja los riesgos de fondo sin detectar: se convierte ella misma en la no conformidad. Es el peor de los resultados, porque te costó tiempo y además queda escrito en el informe del certificador.

Cuando el auditor externo llega, pide siete cosas, y en este orden:

• El programa de auditorías. Qué se audita, cuándo, con qué frecuencia y con qué criterio se definió esa frecuencia. En un SGSI, además, cómo quedan cubiertos a lo largo del ciclo los controles que tu Declaración de Aplicabilidad declara aplicables.
• Los criterios y el alcance de cada auditoría. Contra qué requisitos se auditó, y qué procesos, sistemas y sedes entraron.
• La competencia del auditor. Formación, experiencia y cómo se evaluó, con el respaldo que lo demuestre. En seguridad de la información se mira con más detalle, porque no basta saber auditar: hay que entender lo que se está auditando.
• La evidencia de objetividad e imparcialidad. Que quien auditó sea independiente de lo auditado. Es donde se cae la auditoría hecha por el propio encargado de seguridad de la información.
• El informe con los hallazgos trazables. Cada uno con su requisito o su control, y con su evidencia.
• El seguimiento y el cierre. Qué acción se tomó, quién la tomó, cuándo, y con qué evidencia se verificó que funcionó. Un hallazgo que sigue abierto del año pasado es, por sí solo, un hallazgo nuevo.
• La entrada a la revisión por la dirección. Los resultados de la auditoría interna son una entrada obligatoria del punto 9.3, y tiene que verse que la dirección decidió algo con ellos.

Con esas siete cosas ordenadas, el capítulo de auditoría interna lo pasas sin discusión.

¿Prefieres llegar a tu auditoría externa sin sorpresas?

Cotiza con nosotros

Cada cuánto hay que auditar: a intervalos planificados que le den valor a tu SGSI

Acá hay una creencia muy instalada que conviene aclarar, porque cuesta dinero y hallazgos: ISO 27001 no exige una auditoría anual. En ninguna parte. Lo que la norma pide, en su punto 9.2.1, son auditorías a intervalos planificados.

El programa de auditorías es el documento donde eso se decide, y la norma pide que al establecerlo se consideren dos cosas: la importancia de los procesos involucrados y los resultados de las auditorías anteriores. La frecuencia la define la empresa, pero tiene que poder explicar con qué criterio la definió.

En un SGSI ese criterio se apoya en algo que ya tienes hecho: la evaluación de riesgos. Estos son los factores que en la práctica suben la frecuencia o la profundidad:

• El activo o el proceso es crítico para la operación.
• Trata datos personales, con lo que entra la Ley 21.719.
• Está expuesto a internet.
• Hay terceros con acceso: proveedores, soporte remoto, servicios en la nube.
• Tiene historial: ya dejó hallazgos en auditorías anteriores, o hubo un incidente en el período.
• Cambió algo: un sistema nuevo, un proveedor nuevo, una sede nueva, el paso a teletrabajo.
• Se ejecuta en varias ubicaciones.

La consecuencia práctica es que no todos los controles se auditan igual ni con la misma frecuencia, y que el programa que audita los 93 controles todos los años, con la misma lista de verificación y los mismos dos días, no resiste la pregunta de con qué criterio se definió. Un programa bien armado reparte la cobertura a lo largo del ciclo de certificación y audita más seguido lo que más riesgo tiene.

Cuándo hacerla para que te sirva, y no solo para cumplir

Definida la frecuencia, queda elegir la fecha, y no da lo mismo cuál.

La regla práctica es dejar tiempo suficiente antes de la auditoría externa para corregir lo que salga. Si tu auditoría de seguimiento es en marzo y haces la interna en febrero, lo que encuentres no alcanza a cerrarse y llega abierto al certificador: el peor de los dos mundos, porque pagaste la auditoría interna y además te llevas el hallazgo.

En nuestra experiencia, entre dos y tres meses antes de la auditoría externa es la ventana que funciona. Alcanza para levantar la acción correctiva, implementarla y generar evidencia de que operó.

Hay tres momentos más en que conviene auditar aunque no toque por programa: cuando cambió algo grande —un sistema nuevo, un proveedor con acceso a tus datos, una sede, el paso a teletrabajo—, cuando hubo un incidente de seguridad, porque la interna es la que confirma que el control que falló quedó corregido, y cuando vienes de una auditoría externa con hallazgos.

Qué mira tu diagnóstico de brecha frente a la Ley 21.719

Te decíamos arriba que en la misma visita te entregamos tu diagnóstico de brecha. Esto es lo que vamos a estar revisando, y es lo que la Agencia de Protección de Datos Personales te puede pedir desde el 1 de diciembre de 2026.

• El registro de actividades de tratamiento. Qué datos personales trata tu empresa, para qué, de dónde salen y a quién se entregan. Es el documento base y es lo primero que se pide.
• La base de licitud de cada tratamiento. Cada operación necesita una, y tiene que estar documentada. Si es consentimiento, debe ser libre, informado, específico y previo, y el titular tiene que poder revocarlo.
• El deber de información al titular. Qué se le dice a la persona cuando se le piden sus datos: finalidades, base de licitud, plazos de conservación, destinatarios y cómo ejercer sus derechos.
• El procedimiento de derechos de los titulares. Acceso, rectificación, supresión, portabilidad, oposición y bloqueo. No basta con declararlos: hay que tener el canal, el procedimiento y los plazos de respuesta.
• Las medidas de seguridad, proporcionales al riesgo. Acá es donde tu SGSI ya juega a favor: control de accesos por rol, cifrado y registro de accesos son exactamente lo que la ley espera ver.
• El protocolo de gestión de brechas. Cómo se detecta, se registra y se notifica una brecha de seguridad a la Agencia, y a los titulares cuando el riesgo para ellos sea significativo.
• Los contratos con los encargados de tratamiento. Un contrato de servicio general no alcanza. Hay que tener uno de tratamiento de datos, con objeto, duración, categorías de datos, finalidades autorizadas, medidas de seguridad y qué pasa con los datos al terminar.
• Las transferencias internacionales. Si tus datos salen del país, hacia dónde van y con qué garantías. Es de las obligaciones que más se pasan por alto, y está entre las más graves.

Buena parte de esto ya existe si tienes un SGSI montado: tu inventario de activos se parece mucho al registro de actividades de tratamiento, tus controles de acceso y de cifrado son las medidas de seguridad, y tu procedimiento de incidentes es la base del de notificación de brechas. Por eso el diagnóstico sale tan a cuenta cuando se hace en la misma visita: no partimos de cero, partimos de lo que ya tienes.

Si tu caso no es exactamente este

¿Tu sistema todavía no está desarrollado o no está operando? Te recomendamos ver nuestro servicio de consultoría ISO 27001. Si necesitas quien lleve la seguridad de la información de forma permanente sin contratar un cargo completo, está el encargado de seguridad de la información externo.

Cuando el sistema incluye más de una norma, podemos auditar el Sistema de Gestión Integrado completo en una sola actividad: es la auditoría interna de sistemas ISO. Y existe también la auditoría interna ISO 9001 por separado. Si prefieres formar a alguien del equipo para que haga las auditorías internas en adelante, está el curso de auditor interno multinorma.

Si no tienes claro cuál te corresponde, cuéntanos tu caso y te proponemos el alcance.

Conversemos

Cuéntanos tu caso y te proponemos el alcance.

Cotiza con nosotros