Declaración de Aplicabilidad desalineada
Controles marcados como implementados que no tienen registro, o exclusiones sin justificación frente a la evaluación de riesgos.
Pre-auditoría · ISO/IEC 27001:2022
Pre-auditoría ISO/IEC 27001: comprobá que tus controles se demuestran.
Reviso si tu Declaración de Aplicabilidad, tus controles y tus registros sostienen lo que declara el sistema de gestión de seguridad de la información. Recibís por escrito qué se sostiene, qué es débil y qué conviene corregir primero.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
- Primera reunión para definir alcance
- Sin enviar documentos al inicio
- Conclusiones por escrito
Lo que está en juego
Dónde suele quedar expuesto un SGSI.
Riesgos sin tratamiento demostrable
Un plan de tratamiento que no muestra responsable, decisión ni seguimiento de los riesgos aceptados.
Evidencia operativa ausente
Accesos, copias de seguridad, proveedores o incidentes gestionados sin registros que permitan comprobarlo.
02 / La decisión
¿Tu Declaración de Aplicabilidad resiste la mirada de un auditor?
En un SGSI la política suele estar escrita. Lo que se examina es si cada control declarado como aplicable funciona y deja evidencia, y si cada exclusión está justificada.
Certificación inicial
Organizaciones que llegan a su primera auditoría y necesitan saber si el SGSI está listo para mostrarse.
Seguimiento o recertificación
Sistemas certificados que quieren revisar su evidencia antes de la próxima visita.
Requisitos de un cliente
Equipos que responden cuestionarios de seguridad y deben comprobar que pueden demostrar cada respuesta.
Qué reviso
Lo declarado, frente a lo demostrable.
Alcance y contexto del SGSI
Qué información, procesos y ubicaciones abarca el sistema y cómo se justifican sus límites.
Riesgos y Declaración de Aplicabilidad
Coherencia entre evaluación de riesgos, tratamiento y controles declarados como aplicables o excluidos.
Evidencia de los controles
Si los registros demuestran que los controles seleccionados funcionan en la operación.
ISO/IEC 27001:2022 y, cuando corresponda, la guía de controles ISO/IEC 27002:2022, según el alcance que acordemos.
Datos de la norma
Lo que conviene saber de la edición vigente.
Edición vigente
ISO/IEC 27001:2022 es la edición vigente del requisito para sistemas de gestión de seguridad de la información.
Anexo A reorganizado
El Anexo A de la edición 2022 agrupa 93 controles en cuatro temas: organizacionales, de personas, físicos y tecnológicos.
Fin de la transición
Según el documento obligatorio IAF MD 26, los certificados emitidos con la edición 2013 debían migrar a la 2022 antes del 31 de octubre de 2025.
Qué recibís
Conclusiones que podés examinar. Por escrito.
Qué se sostiene, qué es débil y qué corregir primero. Los límites y la evidencia disponible quedan explícitos.
- 01 / Caso
Exponés la decisión
Revisamos si el encargo corresponde. Acordamos alcance y confidencialidad antes de recibir documentos.
- 02 / Evidencia
Leo lo que respalda el caso
Contrasto registros y afirmaciones con los criterios acordados. Lo que no se puede comprobar se declara.
- 03 / Dictamen
Recibís una lectura firmada
Una conclusión técnica con hallazgos, fundamentos y límites para decidir prioridades dentro del alcance acordado.
Trabajo en auditoría de sistemas de gestión, seguridad de la información, inteligencia artificial y calidad. Podés conocer mi trayectoria profesional, mis ámbitos de trabajo y los análisis que publico antes de consultar un encargo.
Ver trayectoria →Antes de escribir
¿Tiene sentido un dictamen ahora?
Respondé cuatro preguntas y recibí una orientación preliminar: qué miraría primero un tercero y cuál sería un primer paso. Es automática, tarda unos segundos y no se guarda.
Independencia y límites
El alcance no se presume.
La pre-auditoría es una evaluación técnica previa. No reemplaza la auditoría del organismo de certificación, no garantiza su resultado ni emite certificados.
La aceptación de cada encargo queda sujeta a revisar relaciones institucionales, participación previa, sistema y alcance. En la primera conversación se debe declarar cualquier auditoría, consultoría, implementación o formación previa relevante. Un conflicto incompatible con el alcance impide aceptar el encargo en esos términos; la lectura de evidencia no se presenta como certificación ni como implementación del sistema.
El dictamen aporta una evaluación técnica. Cuando el requisito exige una certificación, su emisión corresponde al organismo certificador dentro del proceso aplicable.
Antes de avanzar
Preguntas de alcance.
¿Qué revisa una pre-auditoría ISO 27001?
El alcance del SGSI, la evaluación y el tratamiento de riesgos, la Declaración de Aplicabilidad y la evidencia de los controles seleccionados, según el alcance acordado.
¿Me asegura aprobar la auditoría?
No. Te da una lectura técnica de tu evidencia antes de la visita. El resultado depende del organismo de certificación y de tu sistema.
¿Tengo que enviar documentación sensible?
No al inicio. Primero conversamos el alcance; qué documentación se revisa y cómo se resguarda se acuerda después.
¿Qué envío en la primera consulta?
Solo una descripción general de la decisión, el plazo y cómo contactarte. No envíes credenciales, datos sensibles ni documentación interna. Si corresponde, acordamos confidencialidad antes de compartir evidencia.
Criterio y fuentes
Leé el fundamento.
Otras decisiones de alta exigencia
Otros escenarios del Dictamen técnico.
Próximo paso
Revisemos tu SGSI antes de la visita.
Escribí por WhatsApp cuándo es tu auditoría ISO/IEC 27001 y qué alcance tiene. El equipo de G-CERTI recibe el pedido para coordinar una reunión con Fernando Arrieta.
Este WhatsApp lo recibe el equipo de G-CERTI. Pedí coordinar una reunión con Fernando Arrieta; enviar el mensaje no confirma una cita ni solicita certificación.
Pedí tu reunión de alcance
Describí la situación, la decisión que tienen que tomar y para cuándo. Primero reviso si el encargo corresponde; después acordamos alcance y confidencialidad antes de recibir documentación.
- 1Leo tu mensaje personalmente.
- 2Te digo con franqueza si un dictamen corresponde o si conviene otra vía.
- 3Si corresponde, acordamos alcance y confidencialidad antes de recibir documentos.
Reserva profesional y acuerdo de confidencialidad
Toda consulta se trata bajo secreto profesional. Si tu organización requiere un acuerdo de confidencialidad, indicalo en el mensaje: se firma antes de compartir cualquier documentación interna.
¿Preferís no usar el formulario? Escribí directo a contact@fernandoarrieta.org.