Software · ISO 27001
Un software ISO 27001 debe sostener el sistema de gestión de la seguridad de la información: los capítulos 4 a 10, los 93 controles del anexo A, los riesgos, las evidencias y el ciclo anual de auditoría interna y revisión por la dirección. Esta página muestra qué exige la norma, en qué debe fijarse al elegir un software SGSI y cómo lo cubre Sightadel.
Punto de partida
ISO/IEC 27001:2022 exige un sistema de gestión, no un paquete de documentos. Los capítulos 4 a 10 regulan el contexto y el alcance, el liderazgo, la evaluación y el tratamiento de riesgos, los recursos y la competencia, la operación, la evaluación y la mejora. El anexo A contiene 93 controles en cuatro temas: 37 organizativos, 8 relativos a las personas, 14 físicos y 34 tecnológicos. Para cada control, la declaración de aplicabilidad recoge si se aplica, por qué y en qué medida está implantado.
Un software SGSI debe reflejar y mantener unida esta estructura: riesgo, control, medida y evidencia van juntos. El auditor comprueba si el método de riesgos es repetible, si las evidencias están al día y si se han realizado la auditoría interna y la revisión por la dirección. El certificado tiene una validez de tres años, con dos auditorías de seguimiento anuales. Por tanto, el software debe sostener sobre todo el funcionamiento después de la auditoría inicial.
Lo que el software no asume son las decisiones. El alcance, los objetivos de seguridad de la información, la aceptación del riesgo, la selección de controles y los roles los fija la dirección. Un buen software SGSI hace visibles esos puntos y documenta quién decidió qué y cuándo.
Por qué ahora
Clientes o licitaciones exigen el certificado. Necesita alcance, método de riesgos, declaración de aplicabilidad y un programa de auditoría, en este orden.
Después del certificado, el sistema se detuvo. Las evidencias llevan fecha, y en la auditoría de seguimiento se ve lo que no se ha revisado desde hace un año.
La declaración de aplicabilidad, la lista de riesgos y la lista de proveedores están en archivos separados. Los vínculos entre riesgo, control y justificante solo existen en la cabeza del CISO.
ISO 27001 es la norma que más se extiende a otras normativas. Quien gestiona el SGSI en un software utiliza las mismas evidencias para las obligaciones adicionales.
Frameworks relevantes
Resumido con nuestras propias palabras, sin constituir asesoramiento jurídico. Prevalece el texto original en su versión vigente.
Los capítulos 4 a 10 y los 93 controles del anexo A en la versión de 2022. El resultado es un certificado de un organismo acreditado, válido tres años. Hasta estar listo para la auditoría suelen pasar de tres a seis meses.
Ver el framework →Las medidas del § 30 de la ley alemana del BSI (BSIG) coinciden en gran parte con el anexo A. A ello se suman la cadena de notificación, el registro ante la Oficina Federal de Seguridad de la Información (BSI) y la responsabilidad de la dirección según el § 38.
Ver el framework →Las medidas técnicas y organizativas del art. 32 pueden acreditarse con las mismas evidencias que muchos controles del anexo A.
Ver el framework →Para proveedores cloud con clientes del sector público o de sectores regulados. El catálogo de criterios del BSI se basa en ISO 27001; el resultado es un informe de atestación emitido por un auditor independiente (auditor de cuentas).
Ver el framework →Orden recomendado
Delimitar ubicaciones, sistemas y procesos, e identificar las partes interesadas. Las preguntas guía y la plantilla sectorial proponen delimitaciones; usted las confirma o adapta.
Registrar los activos, evaluar los riesgos con un método fijo y definir el tratamiento. Solo entonces pueden decidirse con sentido los controles.
Responder de forma guiada a los 93 controles. De ahí surge la declaración de aplicabilidad con decisión, justificación, estado y responsable por control.
Completar la política, las políticas específicas y los procedimientos, impartir la formación, subir los justificantes con fecha de validez a la biblioteca de evidencias y asignarlos a los controles.
Revisar una vez el sistema completo internamente y someterlo a la evaluación de la dirección. Ambas son obligatorias antes de la auditoría de certificación y se repiten después cada año.
Un auditor independiente y acreditado revisa en la fase 1 la documentación y en la fase 2 la implantación. Trabaja directamente en Sightadel, con su propio rol y sin permiso de eliminación.
Elección
Casi todos los softwares SGSI enumeran los 93 controles. Lo decisivo es lo bien que mantienen la relación entre riesgo, control y evidencia, y cuánto mantenimiento exige el funcionamiento.
La declaración de aplicabilidad debería surgir al trabajar los controles, no mantenerse como una tabla aparte. Compruebe si puede exportarse para el auditor.
Los mismos datos de entrada deben llevar a resultados comparables. Los riesgos deberían estar vinculados con tratamiento, responsable y medidas, no solo evaluados.
Una prueba de restauración de hace 14 meses ya no es un justificante en la auditoría de seguimiento. Fíjese en la fecha de validez y el recordatorio antes del vencimiento.
Son los dos puntos en los que los sistemas muestran debilidades con más frecuencia en la auditoría. El software debería gestionarlos como citas recurrentes con resultado.
El auditor debería poder consultar y comentar por sí mismo requisitos, respuestas, justificantes y el registro de cambios, sin poder eliminar nada. Eso ahorra envíos de archivos y consultas.
Si se añaden NIS2, DORA o el RGPD, las evidencias existentes deberían seguir contando. Pregunte si un justificante puede vincularse con controles de varios frameworks.
Cómo ayuda Sightadel
Los capítulos 4 a 10 y cada uno de los 93 controles como pregunta guiada con opciones de respuesta, explicación y comentario. A partir de ahí se construye la declaración de aplicabilidad, exportable para el auditor.
Más información →Las plantillas sectoriales, basadas en una larga experiencia en consultoría y certificación, aportan borradores de la política y las políticas específicas. La IA hace propuestas a partir de datos que usted ya ha registrado o importado. Usted las acepta, modifica o completa.
Más información →Justificantes con versión, fecha de validez y recordatorio antes del vencimiento. Una evidencia se vincula con todos los controles que acredita, también más allá de ISO 27001.
Más información →Las carencias de la evaluación, los hallazgos de las auditorías internas y las no conformidades de la auditoría de certificación se convierten en medidas con responsable y plazo.
Más información →Proveedores de servicios con criticidad, cuestionarios y evidencias, con recordatorio de la nueva evaluación. Así se cubren los controles de proveedores del anexo A.
Más información →El Security Score evalúa la superficie de ataque visible desde el exterior de sus dominios con una nota de 0 a 100 y enumera problemas concretos. Eso aporta material para la gestión de vulnerabilidades según el anexo A.
Más información →Esfuerzo y duración
Los plazos son valores basados en la experiencia, no un compromiso. Lo que más influye es el tamaño del alcance, el punto de partida y el tiempo de la persona responsable.
Qué licencia contrata · normalmente Professional
Un SGSI con varios implicados de TI, recursos humanos y compras funciona normalmente con ISO 27001 en la edición Professional. Si se añaden NIS2, RGPD o C5, cuestan menos de forma permanente, porque ISO 27001 ya tiene licencia.
Licencia por framework, duración mínima de un año, pago mensual o anual. Todos los precios, descuentos y una calculadora están en la página de precios. Los honorarios de un organismo de certificación o de auditoría se suman por separado.
Preguntas y respuestas
Más respuestas en las preguntas frecuentes o directamente a través de nuestro formulario de contacto.
La norma no prescribe ningún software. Exige un sistema controlado y trazable. Para alcances pequeños es posible con documentos y hojas de cálculo. Un software SGSI compensa en cuanto colaboran varias personas, las evidencias caducan y las auditorías de seguimiento plantean cada año las mismas preguntas.
Excel guarda listas, pero no vínculos. Riesgo, control, medida y evidencia solo quedan relacionados mediante referencias cruzadas, y nadie vigila los plazos. Las tablas existentes pueden importarse en Sightadel y conservan así su contenido.
Sightadel se licencia por framework y edición, anualmente. Los importes actuales figuran en la página de precios. A ello se suman los costes del organismo de certificación y, si lo desea, de un consultor. Puede probarlo gratis 14 días, sin datos de pago.
No. Sightadel le guía por los requisitos. Al consultor lo elige en la red de socios de la aplicación o trae el suyo; trabaja con el rol Consultant en su cuenta. La auditoría de certificación la realiza un organismo independiente y acreditado. Sightadel no certifica y no recibe comisiones.
El alcance, los objetivos de seguridad de la información, la aceptación del riesgo, la decisión sobre los controles y los roles. La norma exige estas decisiones a la dirección. Sightadel señala esos puntos y deja constancia de quién decidió qué y cuándo.
Surge al trabajar los 93 controles: aplicabilidad, justificación, estado y responsable por control. Los contenidos los decide usted. El software los reúne y los exporta para el auditor.
Sí. Puede traer su propio organismo de certificación o elegir uno de la red de socios. El auditor tiene su propio rol: ve los requisitos, las respuestas y los justificantes en su contexto, comenta y, tras su aprobación, crea o edita entradas. Nunca puede eliminar nada.
14 días, acceso completo, sin datos de pago. Todo lo que cree se conserva en el plan de pago.
