Auditoría de Seguridad de la Información (ENS / ISO 27001)

¿Para quién es?

• Empresas que trabajan con Administraciones Públicas (ENS básico/medio/alto).
• Organizaciones que implantan o mantienen un SGSI certificado ISO 27001.
• Startups y pymes que necesitan una foto real de riesgos y un plan accionable.

¿Qué auditamos?

• Gobierno y SGSI: políticas, liderazgo, roles, evaluación de riesgos, SoA, auditoría interna, revisión por la dirección.
• Controles ISO (Anexo A): organización, control de accesos, criptografía, continuidad, proveedor/es, desarrollo seguro, registros y monitorización.
• Medidas ENS: organizativas, operacionales y de protección (adecuadas al nivel básico/medio/alto) con trazabilidad de evidencias.
• Técnica: hardening, inventario y clasificación, copias, parches, logging, gestión de vulnerabilidades, respuesta a incidentes.

Metodología en 5 pasos

1. Alcance y contexto: procesos, activos, dependencia de terceros.
2. Gap-analysis: comparación frente a ENS/ISO con puntuación por control/medida.
3. Trabajo de campo: entrevistas, revisión documental y pruebas técnicas.
4. Informe y plan: priorización por impacto/esfuerzo, responsables y plazos.
5. Sesión de cierre: presentación ejecutiva + aclaraciones técnicas.

Entregables

• Informe ejecutivo para dirección (semáforos y riesgos clave).
• Matriz de riesgos y plan de tratamiento.
• Declaración de Aplicabilidad (SoA) y mapa ENS↔ISO.
• Lista de evidencias y no conformidades con recomendaciones.
• Programa de formación continua para empleados (concienciación y procedimientos claves ENS/ISO).