ISO 27001 ¿Cómo mejorar la auditoría interna?
ISO 27001
La norma ISO 27001 establece que el objetivo de la auditoría interna es que se verifique el cumplimiento tanto, de los requisitos de la empresa, como de los requisitos de la norma ISO 27001.
Además de ser una necesidad del estándar ISO 27001, las auditorías internas son importantes por diferentes razones:
- Las auditorías internas identifican y rectifican cualquier problema antes de que se realice una auditoría de certificación externa.
- Identifican oportunidades de mejora.
- La realización de auditorías internas periódicas proporciona seguridad a la empresa y al organismo de certificación.
- Se utilizan como un recordatorio para el personal que cumple con los requisitos, siendo una prioridad comercial.
Consejos para hacer que sus auditorías internas sean más efectivas
Según nuestra experiencia, aquí tiene siete consejos que puede implantar para auditar de forma eficaz su Sistema de Gestión de Seguridad de la Información:
Es un maratón, no un sprint. Existen 114 controles en el Anexo A, por lo que no espere una auditoría rápida si quiere hacerlo de forma correcta. Es necesario utilizar el tiempo necesario para auditar de forma completa el área. No existe una regla para el tiempo que asigna, y depende de diferentes factores, se incluye la madurez de su Sistema de Gestión de Seguridad de la Información, el tamaño de su empresa y la cantidad de hallazgos identificados en la auditoría anterior.
Compartir responsabilidades de auditoría entre los auditores. Puede ser efectivo dividir los controles entre los auditores con distintas habilidades y puntos fuertes.
Como todas las auditorías, la preparación es clave. Antes de la auditoría, deberá:
- Asegurarse de tener acceso a la información necesaria, como hallazgos, procedimientos y políticas previas de auditoría.
- Preparar un listado de verificación de auditoría.
- Preparar un plan de auditoría.
- Programar tiempo con los auditados, tiempo para compilar su informe y una reunión de seguimiento con los representantes de departamento.
- Lo más importante es tener una comprensión profunda de lo que se necesita del Anexo A y de la empresa.
Es necesario que comunique el plan de auditoría y los objetivos de la sesión por adelantado. A nadie le gusta una sorpresa, y no es una buena forma de comenzar una auditoría.
Involucrar a todos los departamentos. Todos los miembros de la empresa son responsables de mantener la seguridad de la información, por lo que, se deben cubrir tantos departamentos como sea posible en su alcance. Todo el personal tiene que cumplir con algunos requisitos de seguridad, mientas que otros departamentos tienen funciones específicas dentro del Sistema de Gestión de Seguridad y Salud en el Trabajo.
- Recursos humanos: se ha definido la responsabilidad de garantizar que se mantenga la confidencialidad de los trabajadores. Esto se aplica al proceso disciplinario. El equipo de seguridad de la información puede ser responsable a la hora de definir todas las directrices, pero es responsabilidad de los recursos humanos.
- Equipos técnicos: los equipos de TI tienen la mayor contribución en el sistema de seguridad de la información. Se asegura de que están llevando a cabo las actividades como puede ser realizar y probar copias de seguridad de datos, implementando medidas de seguridad de la red y llevar a cabo el parcheo del sistema.
- Equipo orientado al cliente: el personal orientado al cliente debe mantener la confidencialidad del cliente en todo momento.
Auditar el entendimiento de los auditados sobre el propósito del Sistema de Gestión de Seguridad de la Información, así como el cumplimiento. Verificar que los auditados comprenden la importancia de la seguridad de la información debe ser una parte clave de su auditoría. Las auditorías a menudo presentan oportunidades de capacitación y concienciación.
Proporcione retroalimentación constructiva. Es importante que todos los hallazgos sean constructivos para mejorar el Sistema de Gestión de la Seguridad de la Información. Se pueden proporcionar comentarios en diferentes puntos sobre la auditoría, como puede ser el auditado. Una manera crucial de proporcionar retroalimentación después de completar su auditoría realizando la preparación del informe. Cuando se haya preparado su informe, es necesario que se compartan los hallazgos con los representantes del departamento y responda a las consultas que pueden tener.
Utilice los hallazgos. Finalmente, una auditoría no sería efectiva sin utilizar los hallazgos. Es necesario que se asegure de que cuando se utilicen los hallazgos por parte de los representantes del departamento, se registre para tomar medidas correctivas y se programe el seguimiento de la efectividad de la acción que se debe realizar.
Software ISO 27001
El Software ISOTools Excellence para ISO 27001 para la Seguridad de la Información se encuentra compuesta por diferentes aplicaciones que, al unirlas, trabajan para que la información que manejan las organizaciones no pierda ninguna de sus propiedades más importantes. Facilita el cumplimiento de los requisitos legales que les repercuten.
