ISO 27001 · Requisito 9.2

Auditoría Interna
ISO 27001

El objetivo de esta auditoría es dar cumplimiento al requisito 9.2 del estándar ISO/IEC 27001:2022 al realizar una revisión del estado de implementación del SGSI mediante una auditoría de primera parte independiente de todas las áreas de la organización.

Fase I, Planificación
Revisión documental y Plan de Auditoría
Fase II, Ejecución
Reuniones, entrevistas y revisión de controles
Fase III, Informe
Hallazgos y oportunidades de mejora
Requisito 9.2

¿Qué es una auditoría interna ISO 27001?

El objetivo de hacer una auditoría interna en el estándar ISO/IEC 27001:2022 es evaluar de manera independiente y sistemática el Sistema de Gestión de Seguridad de la Información (SGSI) de la organización, con el fin de:

  • Verificar el grado de conformidad con los requisitos de la norma ISO/IEC 27001 y con las políticas, procedimientos y controles internos establecidos por la organización.
  • Identificar brechas, no conformidades y oportunidades de mejora en la implementación y operación del SGSI.
  • Evaluar la eficacia de los controles de seguridad, incluyendo los establecidos en el Anexo A de la norma.
  • Proporcionar información objetiva y evidencia documentada para apoyar la toma de decisiones de la alta dirección.
  • Contribuir a la preparación para auditorías de certificación o de seguimiento, asegurando que el SGSI se mantiene adecuado, efectivo y alineado con los riesgos del negocio.

La metodología seguida por Internet Security Auditors tiene como objetivo asegurar una completa y correcta evaluación del Sistema de Gestión de Seguridad de la Información y sus controles de seguridad, la metodología cubre los siguientes aspectos:

Nuestros servicios

Cómo trabajamos

01Planificación, Revisión Documental y Plan de Auditoría
  • Se hará un proceso de conocimiento básico del SGSI con el responsable del mismo
  • Revisión de la documentación que soporta el SGSI
  • Elaboración del Plan de Auditoría
02Ejecución de la Auditoría
En esta fase se ejecutarán las reuniones establecidas en el Plan de Auditoría de la fase anterior, iniciando con la reunión de apertura en la cual se expondrá el objetivo y alcance de la auditoría, se llevará a cabo una revisión de la conformidad de las cláusulas de la norma internacional ISO/IEC 27001:2022 y de los controles de seguridad listados en el anexo de esta misma norma, siempre que apliquen a la Organización según su Declaración de Aplicabilidad (revisada en la fase anterior).

La evaluación consta de procesos de entrevista, observación de procesos, revisión de documentos, observaciones físicas, revisión de sistemas con el objetivo de determinar conformidad con el estándar y de los controles definidos por la organización.
03Informe de Auditoría
Auditoría que presentará los detalles de proceso y resultados obtenidos, especificando el listado de controles evaluados, los hallazgos detallados de la auditoría y las oportunidades de mejora.

La categorización de las no conformidades se establecerá de acuerdo con la metodología y formatos que se definan en el sistema de gestión de seguridad de la información y el manual de auditorías internas al cual Internet Security Auditors se ajusta para demostrar que se usa la documentación oficial del SGSI definida bajo la guía de las buenas prácticas de la industria. Se hará una reunión de cierre donde se presentarán las principales fortalezas y debilidades detectadas en el proceso.
04Entregables
  • Plan de auditoría
  • Resumen Ejecutivo
  • Informe de Auditoría Interna
Servicios Relacionados
Gobierno de la IA Implementación SGIA ISO 42001 Seguridad en Medios de Pago Regulación Europea Estrategia & CISOaaS Continuidad & Resiliencia

Alcance del servicio

Qué engloba este servicio

Conformidad con la norma

Verificar el grado de conformidad con los requisitos de la norma ISO/IEC 27001 y con las políticas, procedimientos y controles internos establecidos por la organización.

Brechas y no conformidades

Identificar brechas, no conformidades y oportunidades de mejora en la implementación y operación del SGSI.

Eficacia de los controles

Evaluar la eficacia de los controles de seguridad, incluyendo los establecidos en el Anexo A de la norma.

Evidencia para la dirección

Proporcionar información objetiva y evidencia documentada para apoyar la toma de decisiones de la alta dirección.

Preparación para certificación

Contribuir a la preparación para auditorías de certificación o de seguimiento, asegurando que el SGSI se mantiene adecuado, efectivo y alineado con los riesgos del negocio.

Entregables

Plan de auditoría, Resumen Ejecutivo e Informe de Auditoría Interna.

Testimonios

Lo que dicen nuestros clientes

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.

Ricardo Andrés Cárdenas Galvis
Of. Seguridad de la Información · Neurona

El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.

CISO
RACC

En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.

Yulian Colmenares
Of. Seguridad de la Información · Outsourcing SAS BIC

Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Andrés Mejía
Head of GRC · Payválida

Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…

Victoria Villarreal Palazón
Vice-Rector & Associate VP CFO · Saint Louis University

Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.

Francisco Tébar Prada
CFO Southern Europe · Fleurop - Interflora España

Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.

Sergio Sainz de la Maza
CISO · Intaremit

En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.

Marcos Montes de Oca
CIO · Grupo Arbulu

Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Miguel Acosta
Global CEO · Beruby

En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.

Nestor Ivan Melo Ballen
Director de Ciberseguridad · Grupo AR

Preguntas frecuentes

Resolvemos tus dudas

¿Qué es la auditoría interna de ISO 27001 y por qué es necesaria?

Es la revisión del estado de implementación del SGSI mediante una auditoría de primera parte independiente de todas las áreas de la organización. Con ella se da cumplimiento al requisito 9.2 del estándar ISO/IEC 27001:2022.

¿Qué objetivos tiene la auditoría interna?

Evaluar de manera independiente y sistemática el SGSI para verificar el grado de conformidad con la norma y con los controles internos, identificar brechas, no conformidades y oportunidades de mejora, evaluar la eficacia de los controles del Anexo A, apoyar la toma de decisiones de la alta dirección y contribuir a la preparación de las auditorías de certificación o de seguimiento.

¿Cómo se desarrolla la auditoría interna?

En tres fases. La Fase I comprende la planificación, la revisión documental y la elaboración del Plan de Auditoría. La Fase II es la ejecución, con reunión de apertura, entrevistas, observación de procesos, revisión de documentos y de sistemas. La Fase III es el informe de auditoría, con una reunión de cierre.

¿Qué entregables recibe la organización?

Se entregan el Plan de Auditoría, el Resumen Ejecutivo y el Informe de Auditoría Interna, que incluye el listado de controles evaluados, los hallazgos detallados y las oportunidades de mejora.

¿Cómo se clasifican las no conformidades detectadas?

La categorización se establece de acuerdo con la metodología y los formatos definidos en el sistema de gestión de seguridad de la información y en el manual de auditorías internas. En la reunión de cierre se presentan las principales fortalezas y debilidades detectadas.

Contacto

¿Necesitas una auditoría interna ISO 27001?

Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.

Oficinas
Barcelona · Madrid · Bogotá
R
Ricardo Andrés Cárdenas
Hace 2 meses

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.

A
Andrés Mejía
Hace 3 meses

Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

V
Victoria Villarreal Palazón
Hace 4 meses

Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.

M
Miguel Acosta
Hace 5 meses

Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

S
Sergio Sainz de la Maza
Hace 6 meses

Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.

Solicitar información

Nos pondremos en contacto contigo lo antes posible.
Presencia Global

Nuestras oficinas

Barcelona

C. Santander, 101. Edificio A-2
E-08030 Barcelona (España)

+34 93 305 13 18
Madrid

C. Arequipa, 1
E-28043 Madrid (España)

+34 91 763 40 47
Bogotá

Transversal 22 # 98-82, Ed. Porta 100 Of. 1003
110221 Bogotá (Colombia)

+57 601 638 68 88
25
años de experiencia en ciberseguridad
Contacta con nosotros