Áreas de control de ISO/IEC 27001
Criterios de auditoría para los aspectos acordados de gestión y control de la seguridad de la información; no constituye una certificación.
Auditorías de TI
Auditorías de seguridad de TI
Una auditoría con un alcance definido compara los controles documentados y operativos con los criterios acordados. Identifica carencias y prioridades de mejora, pero no otorga por sí misma ninguna certificación.
Alcance de la evaluación
Qué se somete a prueba
La cobertura final de las pruebas se acuerda durante la definición del alcance y se limita a los sistemas para los que se haya proporcionado autorización por escrito.
Gobernanza de la seguridad y asignación de responsables de los activos
Gestión de identidades y accesos
Configuración segura y control de cambios
Gestión de vulnerabilidades y parches
Registro de eventos, monitorización, copias de seguridad y recuperación
Procesos de gestión de proveedores, incidentes y continuidad
Flujo de trabajo del encargo
Controlado desde la autorización hasta la prueba de verificación.
01
Alcance y autorización
Defina los objetivos, los sistemas aprobados, las restricciones, las ventanas de pruebas, los contactos y las reglas de actuación.
02
Descubrimiento
Defina la superficie de ataque autorizada, la arquitectura, los roles de usuario, los activos y los criterios de evaluación aplicables.
03
Pruebas controladas
Evalúe el alcance autorizado mediante métodos manuales y técnicos adecuados para el entorno.
04
Validación
Confirme los hallazgos de forma segura, elimine los falsos positivos y determine el impacto real a nivel técnico y empresarial.
05
Elaboración de informes
Reciba hallazgos respaldados por evidencias, calificaciones de riesgo, un resumen ejecutivo y prioridades de subsanación.
06
Revisión de las medidas de subsanación
Revise las medidas correctivas propuestas y aclare las prioridades de implementación con el equipo de evaluación.
07
Repetición de las pruebas
Verifique las correcciones acordadas y registre si cada hallazgo evaluado se ha resuelto, se ha mitigado o sigue pendiente.
Referencias de la evaluación
Normas y directrices del sector
CIS Controls
Medidas de protección priorizadas y revisión de evidencias en los controles técnicos y operativos.
Marco de ciberseguridad del NIST
Contexto de riesgos y capacidades en las funciones de gobernar, identificar, proteger, detectar, responder y recuperar.
CIS Benchmarks
Criterios de configuración para los sistemas seleccionados cuando estén incluidos en el alcance.
Las normas orientan el alcance y la cobertura de las pruebas. Una evaluación no constituye por sí misma una certificación ni garantiza el cumplimiento normativo.
Elaboración de informes
Qué recibe
Declaración del alcance y los criterios de la auditoría
Observaciones respaldadas por evidencias
Registro de deficiencias de control y riesgos
Plan de mejora priorizado
Presentación a la dirección y revisión posterior
Defina un alcance adecuado para las pruebas.
Consulte con DIGITPOL los sistemas, los objetivos, el nivel de acceso y las evidencias necesarias.