Preparación para ISO 27001 y consultoría de SGSI
Un certificado ISO/IEC 27001 solo lo emite un organismo de certificación acreditado tras una auditoría formal. Ninguna consultora puede concederlo. Te ayudamos a construir un Sistema de Gestión de Seguridad de la Información preparado para esa auditoría: alcance y tratamiento de riesgos, los controles del Anexo A, auditoría interna y revisión por la dirección, además de las pruebas de penetración que evidencian tus controles técnicos. La auditoría de certificación la realiza un organismo acreditado.
Construir el SGSI
ISO/IEC 27001:2022 certifica un sistema de gestión, no un producto concreto. Las cláusulas 4 a 10 de la norma definen el SGSI, y el Anexo A enumera 93 controles en cuatro temas: Organizational, People, Physical y Technological. Te ayudamos a poner en marcha el sistema y a seleccionar, implantar y evidenciar los controles que apliquen.
- Alcance del SGSI, contexto, liderazgo y los requisitos del sistema de gestión de las cláusulas 4 a 10
- Evaluación de riesgos y plan de tratamiento de riesgos, con el Statement of Applicability
- Selección e implementación de los controles del Anexo A 2022 (93 controles en los cuatro temas)
- Políticas, procedimientos y registros que el auditor muestreará
- Pruebas de penetración como evidencia para los controles tecnológicos
- Auditoría interna y revisión por la dirección antes de la auditoría de certificación
Nosotros lo construimos; un organismo acreditado lo certifica
Somos tu socio de implementación y preparación. La certificación es una auditoría de Etapa 1 (documentación) y luego Etapa 2 (implementación) que realiza un organismo de certificación acreditado, que debe ser independiente de quienes construyeron el SGSI. Te preparamos y podemos realizar tu auditoría interna, pero no somos un organismo de certificación y nunca emitimos el certificado.
- 1
Alcance y análisis de brechas
Definimos el alcance del SGSI, realizamos un análisis de brechas frente a ISO/IEC 27001:2022 y el Anexo A, y firmamos un NDA.
- 2
Tratamiento de riesgos
Construimos la evaluación de riesgos, el plan de tratamiento de riesgos y el Statement of Applicability que guían la selección de controles.
- 3
Controles y documentación
Implementamos las cláusulas del sistema de gestión y los controles del Anexo A, y realizamos el pentest que los evidencia.
- 4
Auditoría interna y revisión
Realizamos la auditoría interna y la revisión por la dirección para que las no conformidades se corrijan antes de la auditoría externa.
- 5
Acompañamiento en la certificación
Te acompañamos durante las auditorías de Etapa 1 y Etapa 2 del organismo acreditado y en cualquier acción correctiva.
Qué recibes
Un SGSI completo y listo para auditoría, y la evidencia técnica que lo respalda. El certificado lo emite el organismo de certificación acreditado tras superar la auditoría de Etapa 2, no nosotros.
- Análisis de brechas frente a ISO/IEC 27001:2022 y los controles del Anexo A 2022
- Evaluación de riesgos, plan de tratamiento de riesgos y Statement of Applicability
- Conjunto de políticas y procedimientos del SGSI, más los registros que muestrea el auditor
- Informe de pruebas de penetración (CVSS 3.1, prueba de concepto, reproducción) que evidencia los controles tecnológicos
- Informe de auditoría interna y dosier de revisión por la dirección
- Visto bueno de preparación y acompañamiento durante la auditoría de certificación
Fundamentado en ISO/IEC 27001:2022
La preparación sigue ISO/IEC 27001:2022 (cláusulas 4 a 10 del sistema de gestión) con controles seleccionados del Anexo A 2022 (93 controles en los temas Organizational, People, Physical y Technological), con ISO/IEC 27002:2022 como guía. El certificado solo lo concede un organismo de certificación acreditado tras las auditorías de Etapa 1 y Etapa 2. Nosotros ofrecemos la implantación del SGSI, la auditoría interna y las pruebas de penetración de soporte, pero no somos un organismo de certificación y no emitimos certificados ISO 27001.