Introducción: un castillo, muchos guardias
Recientemente obtuve mi certificación como “Auditor Líder de Sistemas de Gestión de Seguridad de la Información para la Norma ISO/IEC 27001:2022” y lo mejor, pude aplicarlo inmediatamente. Precisamente en esa auditoría, en alguna de las reuniones con todos los involucrados (stakeholders) alcancé a escuchar una voz de fondo que decía “¿Y para qué tantas auditorías?”. Aunque fue sólo un comentario al aire, se me hizo interesante poder responder a esta pregunta.
Imagina que tu Sistema de Gestión de Seguridad de la Información (SGSI) es un castillo digital que protege los tesoros de tu organización – datos de clientes, secretos comerciales, reputación. Ahora imagina a los auditores como diferentes tipos de guardias que patrullan con linternas en momentos distintos: uno revisa las puertas cada semana, otro verifica las murallas una vez al año y un tercero certifica, cada tres años, que todo el conjunto sigue siendo inexpugnable. ¿Exageramos con tantos rondines? En realidad, no si realmente estamos preocupados por nuestra fortaleza digital. De manera similar y siguiendo la idea de esta metáfora, cada auditoría ISO 27001 cumple un propósito particular dentro del ciclo PDCA (Plan-Do-Check-Act) y responde a exigencias formales de las normas ISO 27001, ISO 19011 e ISO/IEC 17021-1. Antes de entrar a un ejemplo entendamos que hay 3 tipos de auditorías.
Auditorías de 1ª, 2ª y 3ª parte
Imagina que en el castillo habrá tres tipos de revisiones diferentes.
- Auditoría de primera parte (interna): Es la revisión realizada por un guardia del propio castillo. Tal vez sea un empleado o un consultor contratado, pero actúa “en nombre de la casa”. En una implementación real, pudiera ser el mismo responsable de SGSI junto con otro colega, que revisa si el procedimiento de copias de seguridad realmente se cumple cada noche.
- Auditoría de segunda parte (externa): En este caso un reino vecino que comercia contigo, envía a su propio guardia a comprobar que el puente levadizo y la ruta de comercio cumplen el contrato que tienen acordado y no pondrán en riesgo su propio reino. Este tipo de “auditorías externas” las hace «una parte interesada, como el cliente»
- Auditoría de tercera parte (certificación): Si nuestro reino pertenece a un imperio, entonces un inspector imperial e independiente a nuestro reino, viene a hacer una revisión para acreditar a todo el reino. En la realidad, existe un organismo que realiza una auditoría de certificación, misma que realiza en dos pasos; si todo está bien, emite el certificado ISO 27001. Luego regresa cada año para hacer una auditoría de vigilancia y al trienio si es que la empresa quiere la recertificación.
Cómo recordarlo en una frase
- 1ª parte: “Yo me reviso”
- 2ª parte: “Mi socio me revisa”
- 3ª parte: “El certificador oficial me revisa”
Vale la pena mencionar que puede haber auditorías especiales por transferencia, ampliación de alcance o incidentes, pero esto se tendría que tratar directamente con el organismo certificador.
¿Cuántas auditoría es mucho?
Bueno, bajo este contexto, imaginemos una empresa que recién inicia su camino hacia una certificación de ISO 27001, este pudiera ser el número total de auditorías a realizar:
- Auditoría interna previa a su auditoría oficial, esto con el fin de identificar y resolver no conformidades antes del proceso de certificación
- Auditoría de Certificación (1ª fase) Para comprobar tu preparación: que el SGSI tiene la documentación exigida y que el alcance, los procesos y los recursos están definidos.
- Auditoría de Certificación (2ª fase) Evaluar la implementación y eficacia del SGSI, comprobar que los controles operan, producen registros y logran los objetivos.
- Auditoría Interna previa a la primera vigilancia, para asegurarte que las cosas se han mantenido como cuando se obtuvo la certificación
- Primera auditoría de vigilancia: son “visitas de seguimiento” que el organismo certificador realiza cada año durante la vigencia del certificado
- Auditoría Interna previa a la segunda vigilancia
- Segunda auditoría de vigilancia
- Auditoría de Recertificación: Es el mecanismo reglamentado que confirma, cada tres años, que tu Sistema de Gestión de Seguridad de la Información sigue vivo, eficaz y alineado con los riesgos y la estrategia del negocio; sin ella, el certificado caduca y la confianza del mercado se desvanece.
Las 5 razones para convencer al CEO
- Mejora continua garantizada: La auditoría interna es el “Check” del PDCA: identifica fisuras antes de que se conviertan en brechas. Además, es un requisito normativo ya que ISO 27001 lo exige en el requisito 9.2
- Confianza sostenida en el mercado: El certificado inicial tranquiliza a los clientes, pero la vigilancia anual demuestra que tu castillo no se volvió museo: los procesos siguen vivos y los hallazgos se corrigen.
- Riesgos dinámicos → controles dinámicos: Nuevas leyes de protección de datos, ciber-amenazas emergentes o un cambio de infraestructura en la nube pueden dejar anticuada tu muralla en meses. Las auditorías periódicas obligan a reajustar defensas.
- Requisitos de acreditación: ISO/IEC 17021-1 y su norma sectorial ISO/IEC 27006 obligan al certificador a realizar al menos dos auditorías de vigilancia y una recertificación por ciclo trianual.
- ROI tangible: Según el Institute of Internal Auditors, detectar un fallo en fase temprana cuesta 5-10 veces menos que después de un incidente. Cada auditoría interna funciona como seguro preventivo.
Conclusión: convierte la linterna del auditor en tu mejor aliada
Un castillo a oscuras invita a los intrusos. Las auditorías ISO 27001 son las linternas que, encendidas en momentos y manos distintas, revelan grietas antes de que el enemigo digital las aproveche. Lejos de ser un estorbo burocrático, cada ronda – interna, de cliente o de certificación – te ofrece:
- Visión temprana de debilidades.
- Pruebas objetivas de cumplimiento ante terceros.
- Impulso continuo para que la seguridad evolucione al ritmo del negocio.
Así que la próxima vez que te pregunten “¿por qué tantas auditorías?”, responde con seguridad: porque prefiero rondines constantes antes que lamentar invasiones costosas.
Si quieres profundizar en cómo diseñar un programa de auditoría interna que aporte valor real (y no solo “pase la lista”) en cuestiones de Seguridad de la Información no dudes en contactarnos. ¡Construyamos juntos castillos digitales más seguros!
#ISO27001 #AuditoríaISO #SGSI #Ciberseguridad #GestiónDeRiesgos
#MejoraContinua #AuditoríaInterna #RecertificaciónISO #ConfianzaDigital
#ISO19011 #AuditoríasDeSeguridad #ComplianceTI
