Del hallazgo al plan de acción
Las carencias surgen en muchos sitios: en la evaluación, cuando un control se responde con «ninguno»; en la auditoría interna; en la revisión por la dirección; con un hallazgo en el Security Score o por la solicitud de un cliente. Lo decisivo es que cada una de esas carencias acabe en un único lugar y no se pierda allí.
Un plan de acción no necesita mucho. Son obligatorios un título y una persona responsable. Formule el título de modo que se entienda sin contexto, por ejemplo «Implantar la autenticación multifactor para el acceso remoto» en lugar de «MFA». En la descripción indique qué hay que hacer exactamente y cómo se sabe que está hecho.
Después, vincule el plan a todo lo que le corresponde: el control del framework, el documento afectado, la vulnerabilidad o la solicitud. Los controles se seleccionan directamente en el framework activo. Así, quien abra el control verá que se está trabajando en la carencia.
Fije un plazo aunque sea opcional. La experiencia muestra que un plan sin fecha se queda parado. Elija el plazo de forma realista y según el riesgo: una vulnerabilidad crítica tiene prioridad sobre una formulación en una política.
Buenas prácticas sobre responsables y plazos
Cada plan tiene exactamente una persona responsable. Es intencionado. Con varios responsables nadie se siente encargado. La persona responsable no tiene que ejecutar la medida sola, pero se asegura de que se ejecute e informa del estado.
Divida los proyectos grandes en varios planes. «Implantar un SGSI» no es un plan de acción, sino un proyecto. «Revisar los derechos de acceso al sistema de contabilidad» sí lo es. Los planes pequeños y bien delimitados se pueden seguir y cerrar. Eso muestra avances y mantiene implicados a los participantes.
Repase con regularidad los planes abiertos, por ejemplo en una reunión mensual con los responsables. No pregunte solo por el estado, sino también por los obstáculos. Si un plazo se retrasa, ajústelo y deje constancia del motivo en la descripción. Una fecha aplazada de forma justificada no es un problema en la auditoría; una superada en silencio, sí.
Cierre un plan solo cuando la medida sea eficaz, y vincule la prueba como evidencia.
Qué revisan los auditores en las acciones correctivas
Las normas de sistemas de gestión como ISO 27001 e ISO 9001 exigen que usted reaccione ante las desviaciones, determine la causa, adopte medidas y evalúe su eficacia. El auditor comprueba este ciclo con ejemplos.
Elige un hallazgo de la última auditoría externa o interna y pregunta qué ha sido de él. Las buenas respuestas muestran un plan con persona responsable, plazo, historial y una prueba de la implantación. Las respuestas débiles se reducen a decir que se habló del tema.
Los auditores prestan especial atención al análisis de causas. ¿Solo se corrigió el síntoma o se evitó que el problema se repita? Indique brevemente en la descripción del plan cuál era la causa y por qué la medida actúa sobre ella.
El registro de actividad también resulta revelador para el auditor. Muestra cuándo y quién creó, modificó y cerró un plan. Con el rol «Auditor externo» lo ve por sí mismo, sin poder eliminar nada. En el registro consta además que el acceso procede de una persona externa.
Errores habituales
El error más frecuente es el plan eternamente abierto. Se creó hace meses, nadie se siente responsable y el plazo venció hace tiempo. Estos planes hacen más daño que bien, porque demuestran que las carencias se conocen pero no se trabajan. Haga limpieza con regularidad: ejecutar, replanificar o cerrar con justificación.
Un segundo error es cerrar sin prueba. El estado «completado» por sí solo no convence a ningún auditor. Vincule la evidencia de que la medida está implantada, por ejemplo una política modificada, una captura de pantalla de la nueva configuración o el acta de una formación.
En tercer lugar, a menudo falta el vínculo con el control. Un plan que solo figura en una lista no explica qué requisito cumple. Con el vínculo al control, la relación sigue clara meses después.
En cuarto lugar, los hallazgos técnicos y las carencias organizativas se gestionan por separado. En Sightadel, ambos confluyen en los mismos planes de acción. Así, la dirección ve en un solo lugar qué está pendiente.
