Fase 1 y fase 2 de la auditoría ISO 27001

De dónde salen las dos fases

La ISO 27001 define qué debe contener un sistema de gestión de seguridad de la información (SGSI). No define cómo se hace la auditoría de certificación. Eso lo fijan las normas con las que se acredita a las entidades de certificación: la ISO 17021-1, común a la certificación de cualquier sistema de gestión, y la ISO 27006-1:2024, que añade requisitos propios del SGSI y sustituyó a la ISO 27006:2015. En España, la acreditación de estas entidades la concede ENAC.

El apartado 9.3.1 de la ISO 17021-1 divide la auditoría inicial en dos fases, que la versión UNE de la norma llama etapas. La división tiene un sentido práctico: la fase 1 permite a la entidad de certificación conocer la organización lo bastante como para planificar la fase 2, y da a la organización la oportunidad de corregir debilidades antes de que se conviertan en hallazgos formales.

Las dos fases son las mismas para cualquier tamaño de empresa. Lo que cambia con el tamaño y la complejidad es la duración de la auditoría, que la ISO 27006-1 calcula a partir de factores como el número de personas dentro del alcance, el número de centros y la complejidad del entorno tecnológico. Una empresa de 40 personas con una oficina y una plataforma en la nube tendrá una auditoría mucho más corta que un grupo con varias sedes e infraestructura propia, pero pasará exactamente por los mismos pasos.

Certificados acreditados y no acreditados

No todas las entidades que emiten certificados ISO 27001 están acreditadas. Estar acreditada significa que un organismo nacional de acreditación, ENAC en España, ha evaluado a la entidad de certificación conforme a la ISO 17021-1 y la ISO 27006-1 y la sigue supervisando. Un certificado emitido por una entidad acreditada lleva la marca de acreditación y se puede comprobar en los registros del organismo de acreditación y en la base de datos IAF CertSearch.

Clientes y compradores públicos piden cada vez más un certificado acreditado, porque uno sin acreditación no garantiza que se haya seguido el proceso en dos fases. Antes de contratar a una entidad de certificación conviene confirmar que su acreditación cubre la ISO 27001 y el sector correspondiente.

Quién participa

La entidad de certificación designa un equipo auditor dirigido por un auditor jefe, responsable del plan, de la realización de la auditoría y del informe. Antes de cada fase, la organización recibe un plan de auditoría con las fechas, las áreas o procesos que se van a revisar, las personas con las que el auditor quiere hablar y el idioma de la auditoría.

Por parte de la organización, el auditor espera reunirse con el responsable del SGSI, con la alta dirección (al menos en parte de la fase 2) y con los responsables de los procesos y controles que se muestrean: sistemas, recursos humanos, operaciones, compras, desarrollo. Una auditoría en la que una sola persona responde a todas las preguntas ya le dice algo al auditor sobre cómo se gestiona el SGSI.

Qué revisa la fase 1

La fase 1 es una revisión de preparación. Según el apartado 9.3.1.2 de la ISO 17021-1, el auditor debe, entre otras cosas:

• Revisar la información documentada del SGSI.
• Evaluar las condiciones de las instalaciones y hablar con el personal para valorar la preparación de cara a la fase 2.
• Comprobar el grado de comprensión de los requisitos de la norma.
• Confirmar el alcance, los procesos, las ubicaciones y los requisitos legales y reglamentarios aplicables.
• Acordar los detalles y los recursos de la fase 2.
• Evaluar si la auditoría interna y la revisión por la dirección están planificadas y realizadas, y si el nivel de implantación demuestra que la organización está lista para la fase 2.

Este último punto es donde se atascan muchas empresas que se certifican por primera vez. La ISO 27001 exige auditoría interna (apartado 9.2) y revisión por la dirección (apartado 9.3). Si no se han hecho, el auditor no puede concluir que el sistema esté listo, por completa que parezca la documentación.

Los documentos que pedirá el auditor

La ISO 27001 establece la información documentada que debe tener el SGSI. En la fase 1, el auditor suele revisar:

• El alcance del SGSI, con sus límites y sus interfaces con actividades que quedan fuera (apartado 4.3).
• La política de seguridad de la información (apartado 5.2).
• El proceso de evaluación de riesgos y sus resultados (apartados 6.1.2 y 8.2).
• El proceso de tratamiento de riesgos, el plan de tratamiento y sus resultados (apartados 6.1.3 y 8.3).
• La declaración de aplicabilidad, con la justificación de incluir o excluir cada control del anexo A (apartado 6.1.3).
• Los objetivos de seguridad de la información y cómo se miden (apartados 6.2 y 9.1).
• La evidencia de competencia de las personas que trabajan en el SGSI (apartado 7.2).
• El programa y los resultados de la auditoría interna (apartado 9.2) y los resultados de la revisión por la dirección (apartado 9.3).
• Los registros de no conformidades y acciones correctivas, si se han detectado internamente (apartado 10.2).

La declaración de aplicabilidad recibe una atención especial porque es el vínculo entre el análisis de riesgos y los controles. El auditor comprobará que cada control excluido tiene un motivo relacionado con los riesgos y el alcance, y que cada control incluido responde a un riesgo o a un requisito.

Hallazgos habituales en la fase 1

Las carencias que aparecen en la fase 1 siguen patrones conocidos:

• Un alcance que deja fuera algo de lo que el negocio claramente depende, como la plataforma de producción o un equipo de desarrollo, sin explicar la interfaz.
• Un análisis de riesgos que no se puede repetir porque el método para valorar probabilidad e impacto no está escrito. La ISO 27001 exige que el proceso produzca resultados coherentes, válidos y comparables. La mecánica se explica en la guía sobre el análisis de riesgos ISO 27001.
• Una declaración de aplicabilidad en la que las exclusiones solo dicen «no aplica».
• Objetivos sin indicador, como «mejorar la concienciación en seguridad».
• Una auditoría interna que solo cubrió parte del alcance o parte de los apartados.
• Una revisión por la dirección celebrada antes de terminar la auditoría interna, que por tanto no pudo analizar sus resultados.

La fase 1 no es un análisis de brechas. Las reglas de imparcialidad de la ISO 17021-1 impiden a la entidad de certificación asesorar sobre cómo diseñar o corregir el SGSI. El auditor deja constancia de lo que falta; decidir cómo resolverlo le corresponde a la organización.

El resultado es un informe con los hallazgos, incluidas las áreas de preocupación que podrían clasificarse como no conformidades en la fase 2. Según la entidad y el alcance, la fase 1 puede hacerse en las instalaciones, en remoto o combinando ambas.

Entre la fase 1 y la fase 2

La norma no fija el plazo entre las dos fases. La ISO 17021-1 pide a la entidad de certificación que lo establezca teniendo en cuenta el tiempo que necesita la organización para resolver lo detectado en la fase 1. Si la fase 1 revela cambios importantes, la entidad puede tener que replantear su plan para la fase 2.

Cómo aprovechar el intervalo

En este intervalo se construye la evidencia que falta. Lo habitual es:

• Completar un ciclo de auditoría interna sobre todo el alcance, si la fase 1 lo encontró incompleto.
• Celebrar una revisión por la dirección que analice los resultados de la auditoría interna y los hallazgos de la fase 1.
• Cerrar los huecos documentales que señaló la fase 1 y dejar constancia de por qué se hizo cada cambio.
• Comprobar que cada control marcado como aplicable en la declaración de aplicabilidad tiene registros que demuestren que funciona.
• Preparar a los responsables de los controles con los que probablemente hablará el auditor, para que expliquen su propio proceso con sus propias palabras.

Quien trata ese intervalo como tiempo de espera suele llegar a la fase 2 con las mismas carencias, ahora calificadas como no conformidades.

Cuánto historial hace falta

La ISO 27001 no fija un periodo mínimo durante el cual los controles deban haber funcionado antes de la certificación. Lo que necesita el auditor son registros suficientes para ver que un control se repite tal como está descrito. Una revisión trimestral de accesos necesita al menos un ciclo completo, y mejor más. Un escaneo mensual de vulnerabilidades con un único informe archivado es un dato aislado, no un proceso.

Por eso el intervalo suele planificarse hacia atrás desde los controles con ciclos más largos. Si un control es trimestral, hay que dejar tiempo para que se ejecute, genere un registro y se actúe sobre él.

Qué comprueba la fase 2

Según el apartado 9.3.1.3 de la ISO 17021-1, la fase 2 tiene como objetivo evaluar la implantación del SGSI, incluida su eficacia. La fase 1 pregunta si el sistema está diseñado y preparado. La fase 2 pregunta si funciona.

El auditor reúne evidencias sobre el cumplimiento de todos los requisitos de la ISO 27001, el seguimiento del desempeño frente a los objetivos de seguridad, el control operacional, la auditoría interna, la revisión por la dirección y la responsabilidad de la dirección sobre las políticas.

Cómo muestrea el auditor

El auditor no puede revisar todos los registros, así que la fase 2 se basa en el muestreo. La declaración de aplicabilidad sirve de mapa. Para una muestra de los controles aplicables, el auditor pide registros que demuestren que operan a lo largo del tiempo, por ejemplo:

• Revisiones de accesos realizadas y los cambios que se derivaron de ellas.
• Pruebas de restauración de copias de seguridad, no solo los registros de las copias.
• Tickets de cambio aprobados antes del despliegue.
• Registros de formación y concienciación completadas.
• Evaluaciones de seguridad de los proveedores incluidos en el alcance.
• Vulnerabilidades detectadas con su fecha de corrección.
• Registros de incidentes, incluidos los eventos que se analizaron y se cerraron como no incidentes.

Muchas veces es el auditor quien elige la muestra a partir de un listado que facilita la organización. Si pide las bajas de los últimos seis meses y comprueba si se eliminaron a tiempo las cuentas de cada persona, la muestra enseña si el proceso de salida funciona en la práctica y no solo sobre el papel.

Entrevistas y observación

Las entrevistas comprueban si las personas saben qué espera de ellas el SGSI. El auditor puede preguntar a un desarrollador cómo llega un cambio a producción, a una responsable de recursos humanos qué pasa el último día de un empleado o a un mando cómo comunicaría un posible incidente. Las respuestas se comparan con los procedimientos, y las diferencias entre lo escrito y lo que la gente describe son una fuente habitual de hallazgos.

La observación cubre lo que se puede ver: el bloqueo de pantalla, el registro de visitas en recepción, la configuración de una regla del cortafuegos o de un almacenamiento en la nube.

Evidencia técnica en entornos cloud

En empresas que trabajan sobre plataformas en la nube, gran parte de la evidencia es técnica: configuración del proveedor de identidad, registros, cifrado en reposo, reglas de red, políticas de copia. El auditor puede pedir capturas o exportaciones, o pedir a alguien que comparta pantalla y enseñe la configuración en directo. Una exportación sacada de la herramienta ese mismo día pesa más que una captura sin fecha, y la evidencia que muestra un ajuste a lo largo del tiempo, como un registro de quién lo cambió y cuándo, pesa todavía más.

Una política que dice que los accesos se revisan cada trimestre, con una sola revisión archivada, le indica al auditor que el control no funciona como está descrito. Cómo razona el auditor en estos casos se explica en qué evalúa realmente una auditoría de certificación.

Cómo se clasifican y se cierran las no conformidades

La ISO 17021-1 distingue dos grados. Una no conformidad mayor afecta a la capacidad del sistema de gestión para lograr los resultados previstos. Una no conformidad menor, no. El auditor puede registrar además oportunidades de mejora, que no son no conformidades y no impiden la certificación.

Algunos ejemplos ayudan, aunque el grado siempre depende de la evidencia. No haber hecho auditoría interna sobre el alcance, o no haber realizado el análisis de riesgos, sería normalmente mayor. También lo sería un conjunto de fallos relacionados que, juntos, muestran que un área de controles no funciona. Una revisión de accesos que se saltó en un proceso que por lo demás funciona sería normalmente menor.

Para cada no conformidad, la organización debe analizar la causa y describir la corrección y la acción correctiva en el plazo que fije la entidad de certificación. En las menores, la entidad revisa el plan. En las mayores, debe verificar que la corrección y la acción correctiva han sido eficaces antes de poder conceder la certificación, lo que puede implicar una visita de seguimiento.

Un plan de acciones correctivas que se sostenga

El análisis de causa es lo que marca la diferencia. La corrección arregla el caso concreto; la acción correctiva elimina el motivo por el que ocurrió. Anotar «revisión de accesos realizada» frente a una revisión olvidada no resuelve nada si la revisión sigue sin responsable.

Un plan que la entidad de certificación pueda aceptar suele recoger, para cada hallazgo:

• El hallazgo tal como lo redactó el auditor.
• La causa raíz, dicha con claridad: sin responsable, sin recordatorio, una herramienta mal configurada, un procedimiento que nadie conocía.
• La corrección, con su fecha.
• La acción correctiva que ataca la causa, con responsable y fecha.
• Cómo comprobará la organización que la acción correctiva ha funcionado, por ejemplo revisando los dos ciclos siguientes del control.

Es la misma estructura que exige el apartado 10.2 de la ISO 27001 para las no conformidades que detecta la propia organización, así que el hábito sirve mucho más allá de la auditoría de certificación.

Quién decide la certificación

El equipo auditor no concede el certificado. El informe de la fase 2 incluye una recomendación y, según el apartado 9.5 de la ISO 17021-1, la decisión la toma una persona o un grupo de la entidad de certificación que no haya participado en la auditoría. Revisan el informe, las no conformidades y la evidencia de que se han tratado.

El certificado indica el alcance del SGSI certificado. La ISO 27006-1 exige además que los documentos de certificación hagan referencia a la versión de la declaración de aplicabilidad, y por eso un cliente que revisa el certificado de un proveedor suele pedir la declaración de alcance y, a veces, la propia declaración de aplicabilidad.

Cuando la decisión es no certificar

Si las no conformidades mayores no se cierran en el plazo que concede la entidad de certificación, o la evidencia de corrección no convence, la entidad puede decidir no conceder la certificación. En la práctica, lo normal es que exija repetir la fase 2, o parte de ella, una vez resueltos los problemas. El coste es sobre todo de tiempo: el plazo comercial que hacía urgente el certificado no se mueve.

El ciclo de tres años

La certificación abre un ciclo de tres años. La ISO 17021-1 exige auditorías de seguimiento al menos una vez por año natural, la primera antes de que pasen 12 meses desde la decisión de certificación, y una auditoría de renovación antes de que caduque el certificado.

Las auditorías de seguimiento son más cortas que la fase 2 y no cubren todos los requisitos cada vez, pero siempre revisan la auditoría interna, la revisión por la dirección, el tratamiento de las no conformidades, los cambios en el SGSI y una muestra de controles. Muestrean el mismo tipo de evidencias que la fase 2, así que los controles que pasaron el primer año tienen que seguir generando registros el segundo y el tercero. Los cambios importantes de alcance, como un nuevo centro o un nuevo producto, deben comunicarse a la entidad de certificación, porque pueden requerir más tiempo de auditoría.

Esa es la diferencia práctica entre preparar la fase 2 y mantener un SGSI. Qalea combina una plataforma de cumplimiento con el acompañamiento de un equipo de seguridad: la plataforma identifica la evidencia que necesita cada control aplicable y la sigue de forma continua, y nuestro equipo trabaja con el vuestro en la auditoría interna, la revisión por la dirección y las dos fases. Como Qalea también opera EDR, SIEM y un SOC 24/7, los registros de monitorización e incidentes que muestrea el auditor salen de controles que están funcionando, no de una carpeta preparada la semana anterior.