Recurso gratuito · ISO/IEC 27001:2022
Checklist de auditoría interna ISO 27001
La cláusula 9.2 exige una auditoría interna antes de certificarse. Recorra las preguntas cláusula por cláusula, anote las evidencias revisadas y cierre las no conformidades antes de la auditoría de etapa 1. Descargue el CSV para registrar los hallazgos.
Cláusula 4 — Contexto de la organización
- Las cuestiones internas y externas relevantes para el SGSI están identificadas y revisadas
- Las partes interesadas y sus requisitos de seguridad (clientes, reguladores, personal) están listados
- El alcance del SGSI está documentado, con límites, interfaces y exclusiones justificadas
Cláusula 5 — Liderazgo
- La dirección ha aprobado la política de seguridad de la información y se comunica
- Los roles, responsabilidades y autoridades del SGSI están asignados y documentados
- La dirección demuestra compromiso: recursos, objetivos y asistencia a la revisión por la dirección
Cláusula 6 — Planificación
- Un método de evaluación de riesgos repetible define los criterios de aceptación
- El registro de riesgos está actualizado, con propietarios, probabilidad e impacto
- El plan de tratamiento de riesgos asocia cada riesgo a un tratamiento y a controles del Anexo A
- La Declaración de aplicabilidad cubre los 93 controles con justificación y estado
- Los propietarios de los riesgos aprobaron el plan y aceptaron el riesgo residual
- Los objetivos de seguridad son medibles, tienen responsable y se siguen
Cláusula 7 — Apoyo
- Los recursos y el presupuesto del SGSI son adecuados
- Existen registros de competencia de quienes tienen responsabilidades de seguridad
- La formación de concienciación está completa y se guardan las aceptaciones de políticas
- La comunicación interna y externa sobre seguridad está definida
- La información documentada tiene control de versiones, aprobación y acceso controlado
Cláusula 8 — Operación
- Las evaluaciones de riesgos se repiten a intervalos planificados y tras cambios significativos
- Las acciones de tratamiento de riesgos se implementan, con evidencia fechada
- Los procesos externalizados y los proveedores están identificados y controlados
- Los cambios del SGSI se controlan y revisan
Cláusula 9 — Evaluación del desempeño
- Las métricas de desempeño del SGSI están definidas, medidas y reportadas
- Existe un programa de auditoría interna con criterios, alcance y auditores independientes
- Los hallazgos de auditorías anteriores se siguen hasta su cierre
- El acta de revisión por la dirección cubre las entradas requeridas y registra decisiones y acciones
Cláusula 10 — Mejora
- Las no conformidades se registran con causa raíz y acción correctiva
- Se verifica la eficacia de las acciones correctivas
- Hay evidencia de mejora continua: lecciones aprendidas de incidentes y auditorías
Anexo A — muestra de los cuatro temas
- Organizativos: políticas, control de acceso, seguridad de proveedores, gestión de incidentes, continuidad de las TIC
- Personas: selección, formación, proceso disciplinario, teletrabajo
- Físicos: áreas seguras, equipos y eliminación de soportes
- Tecnológicos: MFA, protección de endpoints, registro y monitorización, gestión de vulnerabilidades, copias de seguridad, desarrollo seguro, criptografía
Basado en las cláusulas 4–10 y el Anexo A de ISO/IEC 27001:2022. Es una ayuda de trabajo y no sustituye a la norma (véase iso.org). Los auditores internos deben ser independientes del área auditada.
Preguntas frecuentes sobre la auditoría interna ISO 27001
- ¿Es obligatoria la auditoría interna en ISO 27001?
- Sí. La cláusula 9.2 exige auditorías internas a intervalos planificados y conservar el programa y los resultados como información documentada. Los organismos de certificación esperan ver al menos una auditoría interna completada antes de la etapa 2.
- ¿Quién puede realizar la auditoría interna?
- Cualquier persona competente e independiente del proceso auditado: un empleado formado de otro equipo, un consultor o un vCISO. No se puede auditar el propio trabajo.
- ¿Con qué frecuencia deben hacerse?
- A intervalos planificados, normalmente una vez al año para todo el SGSI, con las áreas de mayor riesgo auditadas más a menudo. Muchos equipos reparten el programa por trimestres para mantener las evidencias al día.
- ¿Qué pasa con los hallazgos?
- Cada no conformidad necesita causa raíz, una acción correctiva con responsable y fecha, y la verificación de que funcionó. Los resultados alimentan la revisión por la dirección (cláusula 9.3).
Tenga las evidencias listas todo el año
CATAAM recoge evidencias del Anexo A desde AWS, GitHub, Okta y más de forma programada: el día de la auditoría es un informe, no una carrera.