ISO 27001 y demás normas
Consultoría ISO para PyMEs
Te llevamos de la primera reunión a la auditoría, y seguimos después: ocho fases, entregables concretos y la plataforma Nelmos para mantener vivo el SGSI de cara a cada auditoría de seguimiento y a la recertificación.
ISO
27001
CERTIFICABLE
CIBERSEGURIDAD, EL PASO PREVIO
Antes de certificar hay que estar protegido. Revisamos la seguridad real de tu empresa como paso previo y complementario a la certificación.
Superficie expuesta
Qué de tu empresa es visible desde fuera —dominios, servicios, puertos abiertos— para cerrar lo que no debería estar ahí.
Accesos y contraseñas
Quién puede entrar a qué, con qué permisos y con qué contraseñas. La primera puerta que hay que cerrar bien.
Copias de seguridad y recuperación
Que existan, que se prueben y que sepas cuánto tardarías en recuperarte si algo falla.
Formación básica del equipo
El eslabón más débil suele ser humano: phishing, contraseñas compartidas, archivos sin cifrar. Formación práctica, no una charla de una hora.
Respuesta ante incidentes
Un plan claro de qué hacer, a quién avisar y cómo contener el problema cuando pase algo.
CÓMO ESTÁ ESTRUCTURADA LA NORMA
La ISO 27001 se compone de dos bloques: diez cláusulas y el Anexo A. Saber qué pide cada bloque es el primer paso para implantarla bien.
Las diez cláusulas
Las tres primeras cláusulas presentan la norma: alcance, referencias y términos. No se auditan.
De la cuarta en adelante son los requisitos obligatorios que se auditan. Empiezan por entender el contexto de la organización y siguen con liderazgo, planificación, apoyo, operación, evaluación y mejora.
Pulsa una cláusula para ver qué pide.
El Anexo A
93
controles de referencia que se evalúan uno a uno.
Los controles se agrupan en 4 temas.
Organizativos · 37
Personas · 8
Físicos · 14
Tecnológicos · 34
No todos los controles aplican a todas las organizaciones: cada una decide en su Declaración de Aplicabilidad cuáles aplica y por qué, y qué procedimientos necesita para implantarlos.
Excluir un control exige justificarlo. No puedes dejar fuera uno que tu análisis de riesgos indique que necesitas.
Nosotros te acompañamos en cada paso, de la definición del contexto a la auditoría.
Contacta con un consultorLAS OCHO FASES
Esto es lo que atraviesa una empresa desde la primera reunión hasta tener un SGSI vivo. Cada fase se cierra con un documento sobre la mesa; a partir de la 05 el ciclo se repite cada año.
- 01
Fase 01
Briefing inicial
Evaluamos el estado real de vuestra seguridad: qué formatos, qué pautas y qué modelos hay ya en marcha. De ahí sale el diagnóstico de partida.
Lo que te llevas
Informe de diagnóstico inicial
Análisis de brechas
Alcance preliminar y madurez del proceso
Cobertura actual frente a la norma
ejemplo
Gobierno y políticas
35%
Control de accesos
60%
Continuidad
20%
- 02
Fase 02
Definición de alcance y contexto
Definimos qué procesos entran. El contexto es el punto 4 de la norma, el primer requisito exigible: en vez de abordar la empresa entera de golpe, se va proceso a proceso.
Lo que te llevas
Documento de alcance
Contexto y partes interesadas
Mapa de los procesos evaluados
Qué entra en el sistema de gestión
Dentro del alcance
Sedes
Servicios
Datos
Proveedores
Fuera del alcance
Proyectos I+D
- 03
Fase 03
Gestión del riesgo y Declaración de Aplicabilidad
Se inventarían los activos de información y, sobre ellos, sus amenazas y vulnerabilidades. Con eso se recorre el Anexo A control a control.
Lo que te llevas
Inventario de activos de información
Análisis de riesgos valorado
Declaración de Aplicabilidad (SoA)
Matriz de riesgo
ejemplo
Impacto
Probabilidad
Riesgo tratado
- 04
Fase 04
Documentación e implantación de los controles
Cada control se documenta para poder implantarlo: accesos, incidentes, copias de seguridad. Ninguno existe porque sí: antes se detectó el riesgo que lo justifica.
Lo que te llevas
Políticas del SGSI
Procedimientos y normativas
Evidencias de cada control implantado
Declaración de aplicabilidad
A.5.7 Inteligencia de amenazas
Aplica
A.6.3 Concienciación
Aplica
A.8.16 Monitorización
Aplica
A.7.4 Vigilancia física
No aplica · justificado
- 05
Fase 05
Auditoría interna
La exige la propia norma. Evalúa cómo responde la empresa ante fallos y no conformidades antes de que lo haga un tercero.
Lo que te llevas
Plan de auditoría interna
Informe de auditoría interna
No conformidades y acciones correctivas
Tras la auditoría interna
ejemplo
0%
Conformidad
No conformidades levantadas y cerradas antes del auditor externo.
- 06
Fase 06
Revisión por la dirección
La dirección revisa el sistema y lo firma. Es un visto bueno formal, requisito de la norma.
Lo que te llevas
Acta de revisión por la dirección
Decisiones y recursos aprobados
Acciones de mejora abiertas
Acta de revisión por la dirección
Resultados de la auditoría interna
No conformidades y acciones correctivas
Objetivos y recursos del SGSI
Dirección
APROBADO
Requisito de la norma: la dirección revisa el sistema y deja constancia firmada.
- 07
Fase 07
Auditoría de certificación
La auditoría en sí, con el auditor externo. Os acompañamos en fase 1 y fase 2 hasta cerrar los hallazgos.
Lo que te llevas
Acompañamiento en fase 1 y fase 2
Cierre de hallazgos
Certificado ISO 27001
Auditoría de certificación
ISO 27001
CERTIFICADO
Fase 1 (documental) + fase 2 (in situ) con la entidad certificadora.
- 08
Fase 08
Mantenimiento del SGSI
El certificado no cierra el trabajo: con la plataforma Nelmos y nuestro acompañamiento, el SGSI sigue vivo el día a día —riesgos, incidentes, formación, evidencias— listo para la auditoría de seguimiento cada año y la recertificación a los 3.
Lo que te llevas
Plataforma de gestión continua del SGSI
Registro de riesgos, incidentes y actas de revisión
Evidencias de controles listas para cada auditoría
Plataforma de mantenimiento del SGSI
Registro de riesgos e incidentes
Actas de revisión y formación
Evidencias de controles al día
En marcha, sin parar
Un SGSI vivo, no un PDF que se enseña una vez al año.
↻ Cada año vuelve a la fase 05 (auditoría de seguimiento) · recertificación completa a los 3 años
QUIÉN LO ENTREGA
El equipo que lleva tu proyecto ya ha implantado ISO 27001 en una organización real: sabemos por dónde duele antes de llegar.
Te acompañamos a preparar y superar la certificación. La auditoría de certificación la firma un organismo acreditado e independiente, no Nelmos.
Cubrimos la ISO 27001 y demás normas que te pidan tus clientes o la administración.
Fase 00 · el punto de partida
EMPECEMOS POR EL DIAGNÓSTICO
45 minutos contigo y te decimos, sin compromiso, en qué punto estás y cuánto trabajo real hay hasta el certificado. Después te enviamos un presupuesto cerrado.
45 minutos por videollamada
Foto real de por dónde andáis
Presupuesto a medida tras la llamada
L
M
X
J
V
S
D
Elige primero un día