El ciclo de certificación
El ciclo formal de certificación se extiende a lo largo de tres años y comprende auditorías internas, fases externas de certificación y vigilancias anuales.
La auditoría, paso a paso
La auditoría de conformidad se desarrolla bajo las directrices regladas de la norma ISO 19011:2018 mediante un proceso sistemático y trazable.
Qué se revisa
El auditor examina la adecuación de los documentos de gobierno, la implantación técnica de los controles y los registros probatorios de su funcionamiento.
- Cuerpo del sistema y liderazgo
Compromiso de la dirección, alcance, política de seguridad aprobada, asignación de recursos y revisión periódica.
- Gestión de riesgos y Declaración de Aplicabilidad
Evaluación y tratamiento de riesgos, cálculo del riesgo residual y justificación formal en la Declaración de Aplicabilidad.
- Controles organizativos y de personas
Términos de contratación, acuerdos de confidencialidad, procedimientos de autorización y planes de concienciación.
- Controles técnicos y físicos
Seguridad en redes, segmentación, control de accesos, cifrado de datos, autenticación reforzada y gestión de vulnerabilidades.
- Hechos probados y evidencias de trazabilidad
Actas de comités firmadas, tiques de autorización con firma temporal y registros inmutables de incidentes.
Los hallazgos
Los hallazgos de auditoría se clasifican por su gravedad frente a la norma, condicionando el tipo de subsanación y la emisión del certificado.
- Nivel 1: Observaciones y oportunidades de mejora
Puntos conformes con la norma donde el auditor constata posibilidad de optimización técnica sin incumplir requisitos.
- Nivel 2: No conformidades menores
Desviaciones puntuales en la aplicación de un control que no anulan la eficacia global del sistema y admiten planes de acción.
- Nivel 3: No conformidades mayores o críticas
Fallo sistémico o ausencia de un control preceptivo que impide otorgar la certificación hasta acreditar su cierre eficaz.