Cómo se desarrolla una evaluación en la práctica
Una evaluación empieza con la activación de un framework. Sightadel crea entonces todos los controles como preguntas, organizadas según los temas de la norma. Antes de responder la primera pregunta conviene planificar brevemente: ¿quién es responsable de la evaluación, cuándo debe estar terminada y quién aporta respuestas a qué capítulos? La persona responsable y la fecha de vencimiento se indican directamente en la evaluación, de modo que sean visibles para todos los participantes.
Ha demostrado su eficacia avanzar capítulo a capítulo en lugar de saltar por toda la norma. Empiece por los temas que forman la base, como políticas, roles y responsabilidades. Muchos controles posteriores se apoyan en ellos. Los capítulos técnicos, como control de acceso, operaciones o proveedores, los trabajan las personas que conocen esos ámbitos. Gracias a los roles, compañeros y consultores colaboran en la misma evaluación.
No tiene que terminarlo todo de una vez. El avance se guarda y un botón le lleva en todo momento al primer control sin responder. Para un framework amplio como ISO 27001, cuente más bien con semanas que con días, porque muchas preguntas requieren una decisión o una conversación interna. Solo cuando todas las preguntas de control están respondidas se puede enviar la evaluación.
Buenas respuestas: concretas, documentadas y honestas
Una respuesta en la evaluación es una afirmación sobre su organización que alguien comprobará más adelante. Por eso debe describir lo que realmente se practica, no lo que está previsto o se desea. Elija las opciones de respuesta que correspondan y use el campo de comentarios para el contexto: a qué proceso se refiere, quién es responsable de él y desde cuándo se aplica.
Cada respuesta va acompañada de una evidencia. Puede ser una política, un acta, una captura de pantalla de una configuración o un extracto de un sistema de tickets. Vincule la evidencia directamente al control desde la biblioteca de evidencias. Si ya existe para otro framework, vincúlela de nuevo en lugar de subir una copia.
«Ninguno» es una respuesta válida. Muestra una carencia, y de una carencia surge un plan de acción con responsable y plazo. En la auditoría, eso es mucho mejor que una respuesta maquillada sin pruebas. Para «n. a.» se aplica lo siguiente: úsela solo si el control realmente no le afecta y justifíquela siempre en el comentario. Una empresa sin desarrollo de software propio puede, por ejemplo, excluir los controles de desarrollo seguro, pero debe explicar cómo gestiona el software que adquiere.
En qué se fijan los auditores
Una auditoría de certificación se desarrolla en dos fases. En la primera, el auditor revisa la documentación: ¿está descrito el sistema de gestión, existen el alcance, los roles y la declaración de aplicabilidad? En la segunda comprueba si lo descrito se lleva a la práctica. Habla con el personal, examina registros y toma muestras.
Para la evaluación, esto significa que el auditor no lee sus respuestas como una autodeclaración, sino como punto de partida para sus preguntas. Elige un control y quiere ver la prueba; después, un segundo. Cuanto mejor encajen respuesta, comentario y evidencia, más breves serán esas conversaciones.
Preste especial atención a tres aspectos. Primero, la actualidad: una evidencia de hace tres años no demuestra la situación actual. Segundo, las justificaciones de las exclusiones. Tercero, las contradicciones, por ejemplo cuando una respuesta describe un proceso mensual pero la evidencia muestra una única fecha. En Sightadel, el auditor tiene su propio rol: ve respuestas y evidencias en su contexto, comenta y, tras su aprobación, crea o edita entradas. Nunca puede eliminar nada.
Errores habituales
El error más frecuente es tratar la evaluación como un formulario que hay que rellenar lo antes posible. Quien elige siempre la mejor opción obtiene al final un buen resultado en pantalla y un problema en la auditoría. El valor de la evaluación está en detectar pronto las carencias, mientras todavía hay tiempo para actuar.
Un segundo error es la falta de un responsable. Una evaluación que es de todos no la trabaja nadie. Designe a una persona responsable, fije una fecha de vencimiento realista y reparta los capítulos técnicos entre quienes conocen la materia.
En tercer lugar, el alcance suele aclararse demasiado tarde. Que una sede, una filial o un servicio concreto forme parte de él cambia las respuestas a muchos controles. Aclárelo antes de empezar y, en caso de duda, con asesoramiento.
Por último, una evaluación enviada es una instantánea. Las medidas cambian, las evidencias caducan y las personas rotan. Por eso, planifique la evaluación como una tarea recurrente, por ejemplo anual antes de la auditoría interna, y mantenga las evidencias al día mediante sus fechas de validez.
