Gobierno de seguridad · Ciberseguridad

Auditoría interna ISO/IEC 27001:2022

Auditamos tu Sistema de Gestión de Seguridad de la Información con el mismo rigor con que lo hará el organismo certificador, para que no aparezcan sorpresas el día de la auditoría real.

Norma: ISO/IEC 27001:2022 · cláusula 9.2
Duración: 3 a 6 semanas
Modalidad: Auditoría interna o de proveedores
Salida: Informe con no conformidades y plan

El problema

La norma exige auditorías internas a intervalos planificados, y no es un trámite: es el mecanismo que detecta las desviaciones antes de que lo haga un tercero. También sirve como ensayo general si aún no te certificas, y como control sobre proveedores críticos que declaran cumplir y nadie ha verificado.

Qué incluye

Programa de auditoría

Planificación del ciclo anual: qué procesos se auditan, cuándo, con qué criterios y con qué independencia respecto de quien los opera.

Revisión documental

Contraste del cuerpo documental —política, procedimientos, Declaración de Aplicabilidad y registros— contra lo que la norma exige en cada cláusula.

Auditoría de campo

Entrevistas, observación y muestreo de evidencia real: no basta con que el procedimiento exista, hay que comprobar que se ejecuta como está escrito.

Verificación de controles del Anexo A

Revisión técnica de los controles declarados aplicables, incluidos accesos, criptografía, respaldos, registro, desarrollo seguro y gestión de proveedores.

Hallazgos clasificados

No conformidades mayores, menores y observaciones, cada una con la cláusula incumplida, la evidencia que la respalda y su impacto.

Plan de acciones correctivas

Análisis de causa raíz y acciones con responsable y plazo, redactadas para cerrar el hallazgo y no solo para responderlo.

Seguimiento del cierre

Verificación posterior de que las acciones se implementaron y fueron eficaces, con acta de cierre por hallazgo.

Auditoría a proveedores

La misma metodología aplicada a terceros críticos que tratan tu información y declaran cumplir la norma.

Cómo trabajamos

01
Planificación
Alcance, criterios, equipo auditor y calendario acordados con la dirección.
02
Revisión documental
Análisis previo del SGSI y preparación de la lista de verificación.
03
Ejecución
Entrevistas, muestreo de evidencia y reunión de cierre con los hallazgos preliminares.
04
Informe
Hallazgos clasificados, evidencia y plan de acciones correctivas.
05
Seguimiento
Verificación del cierre efectivo de cada no conformidad.

Entregables

Documento	Extensión
Programa de auditoría Ciclo anual documentado.	incluido
Lista de verificación Cláusula por cláusula y control por control.	incluido
Informe de auditoría Hallazgos con evidencia y clasificación.	20-45 págs
Plan de acciones correctivas Con causa raíz, responsable y plazo.	incluido
Acta de cierre Verificación de eficacia por hallazgo.	incluido

Nota

Auditamos, no certificamos. La certificación la emite un organismo independiente acreditado, y esa independencia es justamente lo que le da valor. Nuestro rol es interno: encontrar lo que falla mientras todavía se puede corregir sin que quede en un informe oficial.

Otros servicios de esta área

Evaluación de la situación actual de ciberseguridadAnálisis detallado del estado real de tu seguridad: vulnerabilidades, amenazas y nivel de cumplimiento, con una visión clara de los riesgos y cómo mitigarlos.Ethical HackingAnálisis de seguridad ofensiva sobre el objetivo que definas, ejecutado según la OWASP Testing Guide y clasificado con OWASP Top 10, CWE y CVSS 3.1.Pentesting de aplicaciones web y APIsAtacamos tu aplicación como lo haría un adversario real, con autorización y alcance por escrito, y te entregamos cada hallazgo con su prueba de concepto reproducible.Auditoría de aplicaciones móviles (APK)Descompilamos, instrumentamos y atacamos tu aplicación Android para encontrar lo que un análisis de tienda jamás vería.Red Team y Purple TeamEvaluación adversarial completa y trabajo colaborativo con tu equipo defensivo, mapeado a MITRE ATT&CK, para fortalecer las defensas donde de verdad ceden.Ejercicios tipo APTSimulación de amenazas avanzadas y persistentes para medir cómo resiste tu organización frente a los escenarios más sofisticados, en caja blanca o caja negra.Phishing simulado y concientizaciónMedimos cómo responde tu gente, no tu software: campañas controladas de ingeniería social que terminan en capacitación con los casos reales del ejercicio.Análisis forense digitalRespuestas rápidas y precisas cuando ya ocurrió algo: qué entró, por dónde, cuándo y qué se llevó, con evidencia válida para un proceso legal.Respuesta a incidentes y análisis forenseCuando algo ya pasó, contenemos, investigamos qué ocurrió y te dejamos con lo necesario para que no vuelva a pasar.Creación de tu CSIRTDiseñamos, implementamos y entrenamos el equipo de respuesta ante incidentes de seguridad informática de tu organización, para que la capacidad quede dentro de casa.Security Operation CenterCreación e implementación de una unidad centralizada que monitorea, detecta, responde y mitiga amenazas en tiempo real, en tus dependencias y con tu personal capacitado.Monitoreo de seguridad digitalSupervisión constante de todos tus activos digitales, con defensa proactiva contra las amenazas del entorno y reportes que se entienden.Hardening de servidoresEndurecimiento integral de tus servidores: configuración optimizada, gestión de actualizaciones y auditorías periódicas para cerrar la puerta antes de que alguien la pruebe.Hardening de nube: GCP, AWS y AzureRevisamos tu cuenta completa contra el benchmark CIS, corregimos lo que autorices y te mostramos el antes y el después con un puntaje de postura.Servicios cloud: migración y arquitecturaMigración, diseño de arquitectura, implementación, optimización de recursos y gestión de cuentas en AWS, Google Cloud y Azure, con la seguridad puesta desde el primer día.Conectividad y redesInterconectamos tu organización con el mundo de forma segura: cableado estructurado, seguridad de red y estaciones de trabajo ordenadas.Plan de seguridad de la informaciónUn plan propio, alineado con tus objetivos de negocio: riesgos evaluados, políticas escritas a medida y una cultura de seguridad que llega a todos los colaboradores.Roadmap de ciberseguridadUn plan estratégico a corto, mediano y largo plazo que establece prioridades, define acciones concretas y asigna recursos, alineado con los objetivos del negocio.vCISO: tu jefe de seguridad, sin contratarloUn oficial de seguridad de la información con horas comprometidas al mes, que responde por el gobierno, el riesgo y el cumplimiento de tu empresa ante el directorio y ante tus clientes.Implementación de ISO/IEC 27001:2022Llevamos a tu organización desde el estado actual hasta un Sistema de Gestión de Seguridad de la Información listo para auditarse y certificarse.Cumplimiento Ley 21.719 y Ley 21.595Preparamos a tu empresa para la ley chilena de datos personales antes de que la fiscalización llegue, con documentación contrastada contra el texto oficial.Herramientas de seguridadLicenciamiento y puesta en marcha de las herramientas ofensivas y defensivas más usadas del mercado, con el apoyo técnico para que rindan de verdad.Equipamiento tecnológicoEquipos computacionales, servidores y herramientas especializadas para hacking físico, con asesoría de arquitectura incluida.

Todas las áreas

Inteligencia Artificial Desarrollos a medida Consultoría