Por qué el certificado depende de lo que pasa entre auditorías
Un certificado ISO 27001 tiene una validez de tres años. Entre la certificación inicial y la auditoría de recertificación, la entidad de certificación realiza auditorías de seguimiento al menos una vez por año natural, como exige ISO/IEC 17021-1, la norma que regula a las entidades de certificación acreditadas. La primera auditoría de seguimiento se hace dentro de los doce meses siguientes a la decisión de certificación. Las reglas del ciclo se explican en nuestro artículo sobre la fase 1 y la fase 2 de la auditoría.
Este artículo trata la otra mitad de la cuestión: qué tiene que producir la organización entre esas fechas. Una auditoría de seguimiento no mira el proyecto que consiguió el certificado. Mira el periodo transcurrido desde la última visita y comprueba si el sistema de gestión de seguridad de la información, el SGSI, ha seguido funcionando. Las evidencias que revisa son registros que solo existen si el trabajo se hizo en su momento.
Aquí es donde primero se nota la diferencia entre un SGSI y una carpeta de políticas. Las políticas redactadas para la auditoría inicial pueden pasar años sin cambiar. Los registros de un SGSI no, porque llevan fecha y corresponden al periodo que se audita.
Qué tiene que producir el SGSI cada año
ISO 27001:2022 no habla de periodicidad anual en la mayoría de sus actividades. Dice "a intervalos planificados" y deja el intervalo a la organización. En la práctica, la entidad de certificación vuelve cada año y espera encontrar cada una de estas actividades hecha al menos una vez desde la auditoría anterior, con registros que lo demuestren.
Auditoría interna
El apartado 9.2 exige auditorías internas a intervalos planificados, conforme a un programa de auditoría que define la organización. El programa fija la frecuencia, los métodos, las responsabilidades y el alcance de cada auditoría. A lo largo del ciclo de tres años tiene que cubrir todo el SGSI, incluidos los controles del Anexo A declarados aplicables.
El auditor pedirá el programa, los informes de las auditorías ya realizadas y las evidencias del seguimiento de los hallazgos. Los auditores internos deben ser objetivos e imparciales, lo que en una empresa pequeña suele significar alguien ajeno al área auditada o un auditor externo. Un informe de auditoría interna firmado por la misma persona que gestiona los controles auditados es un hallazgo habitual en el seguimiento.
Revisión por la dirección
El apartado 9.3 exige que la alta dirección revise el SGSI a intervalos planificados. El apartado 9.3.2 enumera las entradas que debe considerar: el estado de las acciones de revisiones anteriores, los cambios en las cuestiones externas e internas, los cambios en las necesidades y expectativas de las partes interesadas, la información sobre el desempeño de la seguridad de la información, la retroalimentación de las partes interesadas, los resultados de la apreciación de riesgos y el estado del plan de tratamiento, y las oportunidades de mejora.
El resultado, según el apartado 9.3.3, son decisiones sobre la mejora continua y sobre los cambios necesarios en el SGSI. Lo que revisa el auditor es el registro de esa revisión. Unas actas que enumeran las entradas pero no recogen ninguna decisión dan a entender que la revisión fue un trámite.
Apreciación y tratamiento de riesgos
El apartado 8.2 exige realizar la apreciación de riesgos de seguridad de la información a intervalos planificados y cuando se propongan o se produzcan cambios significativos. El apartado 8.3 exige aplicar el plan de tratamiento de riesgos y conservar sus resultados. Un registro de riesgos con la misma fecha que la certificación inicial indica que la apreciación no se ha repetido.
La prueba práctica es si el registro refleja la empresa tal como es hoy. Los productos nuevos, los proveedores nuevos, las nuevas sedes y las nuevas amenazas deberían aparecer en él. Nuestra guía del análisis de riesgos ISO 27001 explica el método; la auditoría de seguimiento comprueba que se ha vuelto a aplicar.
Objetivos, seguimiento y medición
El apartado 6.2 exige objetivos de seguridad de la información medibles cuando sea posible, con planes para alcanzarlos. El apartado 9.1 exige determinar qué se sigue y se mide, cuándo, y cómo se analizan los resultados. Cada auditoría de seguimiento pregunta cómo acabaron los objetivos fijados el año anterior y qué muestran las mediciones.
Los objetivos que nunca se miden, o las mediciones que nadie analiza, son un punto débil que el auditor detecta enseguida. Los registros necesarios son sencillos: el objetivo, la meta, el resultado y qué se decidió a raíz de él.
No conformidades y acciones correctivas
El apartado 10.2 exige reaccionar ante las no conformidades, evaluar la necesidad de eliminar sus causas, aplicar acciones correctivas y revisar su eficacia. Los hallazgos de la auditoría de certificación anterior, de las auditorías internas y de los incidentes alimentan este proceso.
Lo primero que comprueba una auditoría de seguimiento es el estado de los hallazgos de la última auditoría externa. Las no conformidades menores abiertas, o cerradas sin pruebas de que se trató la causa, son el camino más habitual hacia una no conformidad mayor en la siguiente visita.
Competencia, concienciación y declaración de aplicabilidad
Los apartados 7.2 y 7.3 exigen evidencias de que las personas son competentes para sus funciones de seguridad y conocen la política de seguridad y su papel en el SGSI. Los registros de formación, las listas de incorporación y los resultados de las simulaciones de phishing son las evidencias habituales, y tienen que incluir a quienes se incorporaron durante el año. Nuestro artículo sobre concienciación en seguridad e ISO 27001 explica qué espera el control.
La declaración de aplicabilidad tiene que coincidir con los controles realmente implantados. Cuando se añade, se elimina o se modifica un control, la declaración cambia con él. Un auditor que compara la declaración con lo que observa tratará cualquier discrepancia como un hallazgo.
El ciclo de certificación, año a año
El ciclo de tres años tiene un ritmo. Saber para qué sirve cada año facilita planificar los registros.
Primer año: de la decisión de certificación a la primera auditoría de seguimiento
El primer año tras la certificación es cuando la mayoría de los SGSI pierden impulso. El equipo del proyecto se disuelve, la consultora termina su trabajo y las políticas se quedan como estaban. La primera auditoría de seguimiento, dentro de los doce meses siguientes a la decisión de certificación, está pensada precisamente para detectarlo.
Para esa fecha, la organización necesita una vuelta completa del ciclo de operación: una auditoría interna conforme al programa, una revisión por la dirección con decisiones registradas, un registro de riesgos revisado desde la certificación, las acciones correctivas de los hallazgos de la fase 2 cerradas y mediciones frente a los objetivos fijados al principio.
Segundo año: la segunda auditoría de seguimiento
La segunda auditoría de seguimiento suele revisar procesos y controles distintos de la primera, conforme al programa de auditoría de la entidad de certificación. Las áreas que no se vieron el primer año tienen más probabilidades de examinarse ahora.
Es también el año en que se acumulan los cambios. La empresa suele haber crecido, cambiado de herramientas o incorporado proveedores desde la certificación. La segunda auditoría comprueba que el SGSI ha absorbido esos cambios a través de la apreciación de riesgos y la declaración de aplicabilidad, en lugar de dejarlos fuera del sistema.
Tercer año: preparar la recertificación
La auditoría de recertificación tiene que completarse, y la decisión de certificación tomarse, antes de que caduque el certificado. Las entidades de certificación la planifican con varios meses de antelación, así que el programa de auditoría interna debería terminar de cubrir todo el alcance antes, y la última revisión por la dirección del ciclo debería celebrarse a tiempo para que sus decisiones se vean aplicadas.
Es el momento de leer el historial de tres años como lo hará el auditor: los informes de auditoría interna, las actas de revisión por la dirección, el registro de acciones correctivas y la evolución del registro de riesgos. Huecos que pasaban desapercibidos en un año concreto se hacen visibles cuando se revisa el ciclo completo.
Cambios que hay que comunicar a la entidad de certificación
Las entidades de certificación exigen a sus clientes certificados que les informen sin demora de los cambios que puedan afectar al sistema de gestión o al certificado. Ejemplos habituales son los cambios en la forma jurídica o la propiedad de la empresa, en la dirección clave, en las direcciones y sedes, en el alcance de las actividades certificadas y los cambios importantes en el SGSI y sus procesos. Cada entidad recoge la lista en su contrato de certificación, que es el documento que hay que consultar.
El motivo es práctico. La duración de la auditoría se calcula a partir de factores como el número de personas dentro del alcance y el número de sedes. Una empresa que ha duplicado su plantilla desde la certificación puede necesitar auditorías más largas, y el certificado puede tener que reemitirse con un nuevo alcance o una nueva dirección. Comunicar el cambio antes de la auditoría permite a la entidad planificarlo. Descubrirlo el día de la auditoría puede acabar en un hallazgo o en una visita aplazada.
Los cambios de alcance también funcionan en sentido contrario. Una empresa que quiere ampliar el certificado a un nuevo producto o sede puede pedir que la ampliación se evalúe en una auditoría de seguimiento, siempre que el nuevo alcance lleve funcionando dentro del SGSI el tiempo suficiente para generar evidencias.
Qué añade la recertificación a una auditoría de seguimiento
Una auditoría de seguimiento revisa una parte del SGSI. Una auditoría de recertificación evalúa el cumplimiento continuado de todos los requisitos de ISO 27001 y revisa el desempeño del sistema de gestión durante todo el periodo de certificación, incluidos los informes de las auditorías de seguimiento anteriores. En profundidad se parece más a la fase 2 inicial que a una visita de seguimiento.
El calendario importa aquí más que en ningún otro momento del ciclo. Si las actividades de recertificación no se completan antes de que caduque el certificado, el certificado deja de estar vigente. Según la interpretación de ISO/IEC 17021-1 de la European co-operation for Accreditation, la entidad de certificación puede restablecer el certificado dentro de los seis meses siguientes a su caducidad si se completan las actividades de recertificación pendientes. Pasados esos seis meses, hace falta al menos una auditoría de fase 2, y en la práctica la organización vuelve a certificarse.
Durante ese intervalo, la organización no tiene un certificado válido. Para una empresa que tiene la ISO 27001 porque lo exige el contrato con un cliente, ese hueco puede ser el resultado más caro de todo el ciclo.
Cambiar de entidad de certificación durante el ciclo
Una empresa puede trasladar su certificado a otra entidad de certificación acreditada durante el ciclo. El proceso se rige por el IAF MD 2, el documento obligatorio del International Accreditation Forum sobre transferencias. Solo puede transferirse una certificación acreditada vigente, y no se acepta la transferencia de un certificado que se sabe suspendido.
La entidad que acepta el certificado realiza una revisión previa a la transferencia, que abarca la validez del certificado, los informes de las auditorías recientes y el estado de las no conformidades abiertas. Si la revisión no encuentra problemas, el ciclo de certificación continúa donde estaba. Si encuentra problemas que impiden la transferencia, el cliente se trata como un cliente nuevo y el ciclo empieza de nuevo con una nueva decisión de certificación.
El consejo práctico es transferir entre auditorías, sin no conformidades mayores abiertas y con los informes de las auditorías anteriores disponibles. Una transferencia no es una forma de esquivar hallazgos: los hallazgos viajan con el certificado.
Dónde encaja Qalea
Los registros que revisa una auditoría de seguimiento son los más fáciles de aplazar, porque nadie fuera del equipo de seguridad nota cuándo faltan. La plataforma de Qalea planifica el programa de auditoría interna, la revisión por la dirección y la reevaluación de riesgos, y guarda sus registros vinculados a los apartados que cumplen. La capa de monitorización, con EDR, SIEM y SOC, genera las evidencias operativas de los controles técnicos como parte del trabajo diario, no como una recopilación de última hora antes de que llegue el auditor.
Para una empresa que se certificó porque un cliente lo exigía, eso significa que el trabajo de seguridad sigue en marcha entre auditorías, que es lo que mantiene el certificado válido. La misma disciplina se aplica al ENS, como explicamos en nuestro artículo sobre mantener la certificación ENS entre auditorías. Más sobre la norma en nuestro espacio dedicado a ISO 27001.
