Acaba de completar su auditoría ISO 27001, ¿y ahora qué?

Después de completar una auditoría ISO 27001, puede haber algunas respuestas críticas que deba realizar en función de la recomendación de su informe de auditoría. Esta guía paso a paso le asegurará que no se pierda ninguna de las tareas de seguimiento pendientes que deben abordarse una vez finalizado el proceso de auditoría.

Descubra cómo UpGuard simplifica la gestión de riesgos de los proveedores >

Paso 1: Revisa el estado de tu recomendación

Su auditor de certificación resumirá el resultado de sus hallazgos a través de uno de estos tres estados:

• Recomendado: no se descubrieron no conformidades en la auditoría, por lo que se recomienda una certificación ISO 27001.
• Recomendado para el desarrollo del plan de acción: se identificaron algunas no conformidades menores, pero las brechas de cumplimiento se pueden superar.
• No se recomienda: los no confomativos son demasiado importantes para superarlos fuera de una revisión completa del control de seguridad y las prácticas de seguridad.

Si tienes la suerte de recibir ese codiciado estado de "recomendado", salta al paso seis de esta lista. Las respuestas sugeridas para el otro estado' se describen en los pasos siguientes.

Paso 2 - Revise sus no conformidades

Lo primero que tendrás que hacer es determinar la gravedad de tus no conformidades. Hay tres categorías principales de gravedad:

• Inconformidad mayor: este es el cubo en el que no quieres caer. Recibirá una inconformidad grave si su auditor no puede identificar los procedimientos de mitigación de riesgos que se asignan a las normas ISO 27001. En otras palabras, su auditor concluye que no ha cumplido con los objetivos de seguridad y los requisitos de mitigación de riesgos de la norma ISO 27001.

Una no conformidad importante no tiene por qué ser el final de su proceso de certificación ISO. Hay acciones que puede tomar para cambiar este resultado

• No conformidad menor: esto significa que su auditor ha confirmado que existe un procedimiento de mitigación de riesgos específico de ISO 27001, pero no es efectivo o se ejecuta incorrectamente. Sin embargo, esta discrepancia no afecta a su potencial general de certificación ISO 27001.

Múltiples no conformidades menores podrían conducir a una no conformidad mayor

• Oportunidad de mejora (OFI): es cuando el audio identifica los procesos que, una vez mejorados, aumentarán la eficiencia de los controles de riesgo de la norma ISO 27001. Las OFI son acciones de mejora recomendadas y no son obligatorias.

Aunque las OFI no son obligatorias, su implementación oportuna aumentará sus posibilidades de aprobar su próxima auditoría de renovación de certificación ISO27001 en tres años.

Su auditor también debe proporcionarle un informe de no conformidad que detalle los hallazgos clave de cada no conformidad descubierta y las acciones correctivas sugeridas. Algunos auditores discutirán gustosamente su informe final en una reunión de cierre. Esta es una gran oportunidad para que haga preguntas sobre los hallazgos específicos de la auditoría, los requisitos de la norma ISO 27001 y su proceso de certificación.

Cuando una no conformidad tiene el potencial de ser rectificada, su auditor establecerá su estado en Abierto. Un estado abierto indica que aún no se han revisado los pasos tomados para abordar la no conformidad.

Se asigna un estado Cerrado cuando el evaluador acepta las acciones de respuesta, la acción tomada para enmendar cada no conformidad, como se describe en el Plan de Acción Correctiva y el informe de Evidencia de Corrección presentados (consulte los detalles a continuación).

Paso 3 - Proporcionar un plan de acción correctiva

No obtener la certificación ISO 27001 no significa que deba rediseñar sus planes de auditoría y su sistema de gestión de seguridad de la información (SGSI). Como se mencionó anteriormente, su auditor externo proporcionará orientación de acreditación para su auditoría de recertificación. Un plan de tratamiento de riesgos de alto nivel se describirá en una sección del informe de auditoría titulada "Términos y condiciones para la certificación" o algo por el estilo.

Para cada no conformidad, debe proporcionar a su evaluador un plan de acción que detalle cómo se abordará. Este Plan de Acción Correctiva debe presentarse dentro de los 14 días posteriores a la recepción de su informe de no conformidad. Se debe proporcionar prueba de que su Plan de Acción Correctiva se ha implementado a través de un informe de Evidencia de Corrección dentro de los 30 días.

En resumen, hay dos pasos críticos que debe seguir al responder a las no conformidades de la norma ISO 27001:

1. Proporcionar un Plan de Acción Correctiva a su organismo de certificación en un plazo de 14 días. Este plan debe describir el enfoque de su organización para corregir cada no conformidad identificada, quién es responsable de cada acción y cómo se implementará cada acción.
2. Proporcione evidencia de corrección a su organismo de certificación dentro de los 30 días: prueba de que se han implementado las acciones descritas en su plan de acción correctiva.
3. Proporcionar evidencia de corrección para todas las no conformidades: en el caso de las no conformidades menores, esto se debe pagar en una revisión posterior. En el caso de las no conformidades importantes, se debe presentar en un plazo de 60 días a partir del cierre de la revisión.

¿Cuál es la diferencia entre la evidencia de corrección y la evidencia de corrección?

La evidencia de corrección es la prueba de una solución inmediata a una no conformidad identificada para garantizar el cumplimiento inmediato de la norma ISO 27001. Por ejemplo, si falta un documento requerido, la EdC implicaría la creación y la implementación de este documento. La evidencia de remediación va más allá de las acciones correctivas inmediatas y se centra en la causa raíz de la no conformidad para garantizar que no vuelva a ocurrir. Se realiza un análisis de causa raíz para identificar este problema subyacente.

Estos son algunos ejemplos de iniciativas de remediación que abordan las causas fundamentales:

• Cambios en las políticas de seguridad de la información.
• Revisiones por parte de la dirección (según la cláusula 9.3).
• Abordar las vulnerabilidades internas y de terceros proveedores.
• Revisar la alineación con los estándares regulatorios, como el GDPR y otras regulaciones de seguridad de datos.

Estos documentos deben proporcionarse a su organismo de certificación antes de que puedan emitir una certificación ISO 27001 y un informe relacionado.

Su plan de acción correctiva (o procedimiento de acción correctiva) debe basarse en lacláusula 10.1 de I SO 27001, que es un marco útil para que las organizaciones lo sigan al responder a las no conformidades.

A continuación, se muestra un ejemplo de un flujo de proceso de acción correctiva:

1. Identifique la no conformidad.
2. Se agregaron elementos de acción al registro de acciones correctivas.
3. Tome medidas correctivas.
4. Realizar un análisis de causa raíz para detectar la causa raíz de la no conformidad y su vínculo con otras secciones del SGSI.
5. Evaluar el impacto potencial de las acciones correctivas (a través de evaluaciones de riesgos, revisiones internas, etc.).
6. Realizar modificaciones en el SGSI de la organización si es necesario.

Paso 4 - Proporcionar evidencia de corrección

Los detalles de la corrección de cada no conformidad deben describirse en "Declaraciones de no conformidades", desglosando sus esfuerzos en tres secciones principales.

• Una descripción general de los requisitos específicos de la norma ISO 27001 que se ven afectados.
• Evidencia de corrección (EoC) que demuestre que los equipos de gestión de riesgos han tomado medidas inmediatas para rectificar todas las políticas de seguridad de la información y los riesgos de seguridad de la información que causan no conformidades.
• Una breve declaración de no conformidad vinculó el requisito de la norma ISO 27001 a su documento de evidencia.

Antes de comprometerse con cualquier acción correctiva individual, es útil proyectar primero su impacto potencial en su postura de seguridad y su grado de alineación con la norma ISO 27001. Esto identificará qué acciones de respuesta priorizar para lograr la alineación más rápida con las normas ISO 27001.

Con una herramienta de gestión de riesgos como UpGuard, esto es muy fácil.

UpGuard le permite determinar el impacto potencial de cualquier acción de corrección en su calificación de seguridad (una cuantificación objetiva e imparcial de su posición de seguridad). Con esta capacidad, puede maximizar sus posibilidades de presentar su plan de acción correctiva dentro del estrecho plazo de 14 días.

Solicite una prueba gratuita de UpGuard >

La capacidad de predecir qué acciones de corrección tendrán el mayor grado de impacto positivo le ayudará a desarrollar el plan de acción de corrección más conciso y eficiente.

Paso 5 - Proporcionar evidencia de remediación

En función de los resultados del análisis raíz, proporcione pruebas de las acciones de corrección adoptadas para abordar cada causa raíz identificada. Este informe no solo demostrará a los auditores que usted es capaz de cumplir continuamente con los requisitos de las normas ISO 27001, sino que también agilizará el procedimiento de auditoría en su próximo período de auditoría.

Es probable que las tareas de corrección sean asignaciones complejas con varias dependencias. Navegar a través de estas complejidades dentro del estrecho plazo de 60 días requiere un proceso de gestión de remediación eficaz capaz de adaptarse a este complejo entorno de gestión de riesgos. Un proceso de remediación ideal debe realizar un seguimiento del ciclo de vida completo de cada tarea de respuesta y agilizar las conversaciones entre las partes involucradas para priorizar la visibilidad de las partes interesadas y la eficiencia operativa.

Las características UpGuard Remediation Planner y In-Line Questionnaire Correspondance son ejemplos de soluciones que cumplen con estos requisitos para crear un proceso de corrección eficiente.

Mire este video para obtener más información sobre UpGuard Remediation Planner:

Vea este video para aprender cómo UpGuard mejora las relaciones con los proveedores a través de una mejor colaboración.

La eficacia de todos sus esfuerzos de remediación (y esfuerzos de acción correctiva) debe ser confirmada por los auditores internos antes de presentarlos a su organismo de auditoría.

Un programa de auditoría interna confirmará si se han corregido todas las no conformidades y sus causas subyacentes. Cualquier problema encontrado en el informe de auditoría interna debe considerarse como una oportunidad para aumentar sus posibilidades de aprobar una auditoría de certificación y no como razones para desalentar su objetivo de certificación ISO 27001.

Paso 6 - Comparte tu certificación ISO 27001

Ya sea que haya aprobado instantáneamente una certificación ISO 27001 o haya luchado para cerrar las no conformidades a través de revisiones rigurosas de la documentación, su arduo trabajo finalmente ha dado sus frutos. ¡Por fin tienes tu certificación ISO 27001!

¿Y ahora qué?

No es el momento de hacer un buen uso de su certificación. Obtener la certificación ISO 27001 demuestra sus estándares de ciberseguridad ejemplares a posibles socios y clientes existentes. Por lo tanto, la evidencia de su certificado debe ser fácilmente accesible para estas partes.

Uno de los métodos más eficientes para hacer esto es alojar todos los documentos de respaldo de la certificación ISO 27001 en un perfil compartible. Un ejemplo de esta capacidad es la función de perfil compartido de UpGuard.

El perfil compartido de UpGuard le permite cargar en un perfil público cualquier documento y certificación de ciberseguridad que puedan solicitar los socios comerciales potenciales o existentes. Los perfiles compartidos se pueden compartir cómodamente con cualquier parte relevante, ya sea a través de una invitación por correo electrónico o un enlace directo.

Debido a que una certificación ISO 27001 proporciona una ventaja de marketing frente a sus competidores, el intercambio de certificaciones debe incorporarse a su ciclo de ventas, durante la fase de nutrición, donde se eliminan las dudas y reservas de los prospectos.

Una función de perfil compartido simplifica este proceso, y con la funcionalidad añadida de compartir enlaces directos, esta función apoya la prospección de clientes potenciales en LinkedIn, que suele ser la base principal de los ciclos de vida de las ventas actuales.

Obtén información sobre qué hacer después de recibir tu informe SOC 2 >

Paso 7 - Comience a prepararse para su recertificación

Su recertificación no vence hasta dentro de tres años, pero debe comenzar a preparar las bases para un proceso simplificado ahora.

Siga estas prácticas recomendadas para mejorar sus posibilidades de recertificación exitosas:

• Desarrolle una cultura de mejora continua: utilice una solución de supervisión de la superficie de ataque para realizar un seguimiento continuo de los riesgos emergentes.
• Implementar auditorías internas periódicas de ISO 27001 - Complete regularmente los cuestionarios de ISO 27001 y resuelva las discrepancias de alineación basadas en un análisis de brechas. Para que los procesos de auditoría interna sean eficientes, lo mejor es utilizar una solución de cuestionario de seguridad que automatice el descubrimiento de brechas de alineación, como la herramienta de cuestionario de seguridad de UpGuard.
• Cree una lista de verificación de auditoría - Una lista de verificación de auditoría le evita pasar por alto cualquier aspecto de su SGSI que se evaluará en una auditoría externa. Para obtener más orientación sobre la preparación de la recertificación, consulte esta lista de verificación de implementación de ISO 27001 para obtener ideas.

UpGuard ofrece una gama de funciones para optimizar la alineación de proveedores internos y de terceros con las normas ISO 27001, que incluyen:

• Proyección de calificación de seguridad: evalúe el impacto de las acciones correctivas en las posturas de seguridad internas y del proveedor para desarrollar el plan de acción correctiva más eficiente.

• Cuestionario de seguridad ISO 27001 - Simplifique las autoauditorías con un cuestionario específico de ISO 27001 que automatiza el descubrimiento de brechas de alineación en función de las respuestas al cuestionario.
• Gestión de evaluación de riesgos: con una biblioteca de plantillas de cuestionarios que se asignan a los estándares de ciberseguridad populares, incluida la ISO 27001, UpGuard puede ayudarlo a consultar las posibles causas raíz de las no conformidades derivadas de otras deficiencias de control de seguridad.
• Planificador de corrección: administre fácilmente el ciclo de vida completo de los esfuerzos de corrección para garantizar que cada vulnerabilidad se aborde de la manera más rápida y eficiente posible.

¡Y mucho más!