Lista de verificación pre-auditoría ISO 27001: 2 semanas antes del Stage 2

El Stage 2 es dentro de dos semanas. Esta lista de 22 puntos repasa todo lo que los auditores suelen pedir — si falta algún punto, corrígelo ahora.

Dos semanas antes del Stage 2. Ya no es momento de construir cosas nuevas — sí de verificar que todo está en orden. Repasa estos 22 puntos.

Documentación

1. Política de seguridad en versión actualizada, propietario asignado y fecha de revisión anual programada.
2. Statement of Applicability al día (todos los controles del Anexo A: implementado / N/A + justificación).
3. Todas las 8-12 políticas en el número de versión correcto, con registro de cambios visible.
4. Fecha de revisión del registro de riesgos dentro del último trimestre.
5. Inventario de activos actualizado (incluido el inventario de SaaS).

Evidencia operativa

6. Última revisión de accesos realizada, con informe en PDF que incluya decisiones y firmas.
7. Inventario de accesos privilegiados actualizado, con última revisión en los últimos 3 meses.
8. Las últimas 2 bajas de empleados completamente documentadas.
9. Proceso de incorporación de al menos 1 nueva contratación reciente completo.
10. Prueba de copia de seguridad realizada, con evidencia de restauración.
11. Registro de incidentes del último trimestre (también debe constar si «no ocurrió nada»).

Gobernanza

12. Última revisión de dirección dentro de los últimos 12 meses, con actas disponibles.
13. Auditoría interna completada, informe disponible y hallazgos cerrados o incluidos en un plan de acción.
14. Registro de formaciones: todos han completado la formación de concienciación en seguridad este año.
15. Documento de roles y responsabilidades (rol de CISO cubierto, aunque sea el propio director).

Técnica

16. MFA aplicado en sistemas críticos (administración de M365, contabilidad, infraestructura cloud).
17. Política de contraseñas aplicada (como mínimo longitud mínima y bloqueo de contraseñas comunes).
18. Parches: actualizaciones de SO/navegador del último trimestre en > 95% de los dispositivos.
19. Antimalware en todos los endpoints.
20. Cifrado de disco activado en todos los portátiles corporativos.

Contratos

21. Acuerdos de encargado de tratamiento con los proveedores principales (véase el registro de tratamiento).
22. Cláusulas de confidencialidad y seguridad en los contratos laborales.

Todo marcado → estás listo para el Stage 2.