SEGURIDAD

Dominios, Objetivos y Controles de la Norma ISO/IEC 27002:2013

Dominios Objetivos Controles
5. Políticas de seguridad 5.1 Directrices de la Dirección en seguridad de la información 5.1.1 Conjunto de políticas para la seguridad de la información
5.1.2 Revisión de las políticas para la seguridad de la información
6. Aspectos Organizativos SI 6.1 Organización interna 6.1.1 Asignación de responsabilidades para la SI
6.1.2 Segregación de tareas
6.1.3 Contacto con las autoridades
6.1.4 Contacto con grupos de interés especial
6.1.5 Seguridad de la información en la gestión de proyectos
6.2 Dispositivos para movilidad y teletrabajo 6.2.1 Política de uso de dispositivos para movilidad
6.2.2 Teletrabajo
7. Seguridad Ligada a los recursos humanos 7.1 Antes de la contratación 7.1.1 Investigación de antecedentes
7.1.2 Términos y condiciones de contratación
7.2 Durante la contratación 7.2.1 Responsabilidades de gestión
7.2.2 Concienciación, educación y capacitación en SI
7.2.3 Proceso disciplinario
7.3 Cese o cambio de puesto de trabajo 7.3.1 Cese o cambio de puesto de trabajo
8. Gestión Activos 8.1 Responsabilidad sobre los activos 8.1.1 Inventario de activos
8.1.2 Propiedad de los activos
8.1.3 Uso aceptable de los activos
8.1.4 Devolución de activos
8.2 Clasificación de la información 8.2.1 Directrices de clasificación
8.2.2 Etiquetado y manipulado de la información
8.2.3 Manipulación de activos
8.3 Manejo de los soportes de almacenamiento 8.3.1 Gestión de soportes extraíbles
8.3.2 Eliminación de soportes
8.3.3 Soportes físicos en tránsito
9. Control de Accesos 9.1 Requisitos de negocio para el control de accesos 9.1.1 Política de control de accesos
9.1.2 Control de acceso a las redes y servicios asociados
9.2 Gestión de acceso de usuario 9.2.1 Gestión de altas/bajas en el registro de usuarios
9.2.2 Gestión de los derechos de acceso asignados a usuarios
9.2.3 Gestión de los derechos de acceso con privilegios especiales
9.2.4 Gestión de información confidencial de autenticación de usuarios
9.2.5 Revisión de los derechos de acceso de los usuarios
9.2.6 Retirada o adaptación de los derechos de acceso
9.3 Responsabilidades del usuario 9.3.1 Uso de información confidencial para la autenticación
9.4 Control de acceso a sistemas y aplicaciones 9.4.1 Restricción del acceso a la información
9.4.2 Procedimientos seguros de inicio de sesión
9.4.3 Gestión de contraseñas de usuario
9.4.4 Uso de herramientas de administración de sistemas
9.4.5 Control de acceso al código fuente de los programas
10. Cifrado 10.1 Controles criptográficos 10.1.1 Política de uso de los controles criptográficos
10.1.2 Gestión de claves:
11. Seguridad física y Ambiental 11.1 Áreas seguras 11.1.1 Perímetro de seguridad física
11.1.2 Controles físicos de entrada
11.1.3 Seguridad de oficinas, despachos y recursos
11.1.4 Protección contra las amenazas externas y ambientales
11.1.5 El trabajo en áreas seguras
11.1.6 Áreas de acceso público, carga y descarga
11.2 Seguridad de los equipos 11.2.1 Emplazamiento y protección de equipos
11.2.2 Instalaciones de suministro
11.2.3 Seguridad del cableado
11.2.4 Mantenimiento de los equipos
11.2.5 Salida de activos fuera de las dependencias de la empresa
11.2.6 Seguridad de los equipos y activos fuera de las instalaciones
11.2.7 Reutilización o retirada segura de dispositivos de almacenamiento
11.2.8 Equipo informático de usuario desatendido
11.2.9 Política de puesto de trabajo despejado y bloqueo de pantalla
12. Seguridad en la Operativa 12.1 Responsabilidades y procedimientos de operación 12.1.1 Documentación de procedimientos de operación
12.1.2 Gestión de cambios
12.1.3 Gestión de capacidades
12.1.4 Separación de entornos de desarrollo, prueba y producción
12.2 Protección contra código malicioso 12.2.1 Controles contra el código malicioso
12.3 Copias de seguridad 12.3.1 Copias de seguridad de la información
12.4 Registro de actividad y supervisión 12.4.1 Registro y gestión de eventos de actividad
12.4.2 Protección de los registros de información
12.4.3 Registros de actividad del administrador y operador del sistema
12.4.4 Sincronización de relojes
12.5 Control del software en explotación 12.5.1 Instalación del software en sistemas en producción
12.6 Gestión de la vulnerabilidad técnica 12.6.1 Gestión de las vulnerabilidades técnicas
12.6.2 Restricciones en la instalación de software
12.7 Consideraciones de las auditorías de los sistemas de información 12.7.1 Controles de auditoría de los sistemas de información
13. Seguridad en las Telecomunicaciones 13.1 Gestión de la seguridad en las redes 13.1.1 Controles de red
13.1.2 Mecanismos de seguridad asociados a servicios en red
13.1.3 Segregación de redes
13.2 Intercambio de información con partes externas 13.2.1 Políticas y procedimientos de intercambio de información
13.2.2 Acuerdos de intercambio
13.2.3 Mensajería electrónica
13.2.4 Acuerdos de confidencialidad y secreto
14. Adquisición, desarrollo y Mantenimiento de los sistemas de información 14.1 Requisitos de seguridad de los sistemas de información 14.1.1 Análisis y especificación de los requisitos de seguridad
14.1.2 Seguridad de las comunicaciones en servicios accesibles por redes públicas
14.1.3 Protección de las transacciones por redes telemáticas
14.2 Seguridad en los procesos de desarrollo y soporte 14.2.1 Política de desarrollo seguro de software
14.2.2 Procedimientos de control de cambios en los sistemas
14.2.3 Revisión técnica de las aplicaciones tras efectuar cambios en el sistema operativo
14.2.4 Restricciones a los cambios en los paquetes de software
14.2.5 Uso de principios de ingeniería en protección de sistemas
14.2.6 Seguridad en entornos de desarrollo
14.2.7 Externalización del desarrollo de software
14.2.8 Pruebas de funcionalidad durante el desarrollo de los sistemas
14.2.9 Pruebas de aceptación
14.3 Datos de prueba 14.3.1 Protección de los datos utilizados en prueba
15. Relaciones con Suministradores 15.1 Seguridad de la información en las relaciones con suministradores 15.1.1 Política de seguridad de la información para suministradores
15.1.2 Tratamiento del riesgo dentro de acuerdos de suministradores
15.1.3 Cadena de suministro en tecnologías de la información y comunicaciones
15.2 Gestión de la prestación del servicio por suministradores 15.2.1 Supervisión y revisión de los servicios prestados por terceros
15.2.2 Gestión de cambios en los servicios prestados por terceros
16. Gestión de Incidentes 16.1 Gestión de incidentes de seguridad de la información y mejoras 16.1.1 Responsabilidades y procedimientos
16.1.2 Notificación de los eventos de seguridad de la información
16.1.3 Notificación de puntos débiles de la seguridad
16.1.4 Valoración de eventos de seguridad de la información y toma de decisiones
16.1.5 Respuesta a los incidentes de seguridad
16.1.6 Aprendizaje de los incidentes de seguridad de la información
16.1.7 Recopilación de evidencias
17. Aspectos de la SI en la Gestión de la Continuidad de Negocio 17.1 Continuidad de la seguridad de la información 17.1.1 Planificación de la continuidad de la seguridad de la información
17.1.2 Implantación de la continuidad de la seguridad de la información
17.1.3 Verificación, revisión y evaluación de la continuidad de la seguridad de la información
17.2 Redundancias 17.2.1 Disponibilidad de instalaciones para el procesamiento de la información
18. Cumplimiento 18.1 Cumplimiento de los requisitos legales y contractuales 18.1.1 Identificación de la legislación aplicable
18.1.2 Derechos de propiedad intelectual (DPI)
18.1.3 Protección de los registros de la organización
18.1.4 Protección de datos y privacidad de la información personal
18.1.5 Regulación de los controles criptográficos
18.2 Revisiones de la seguridad de la información 18.2.1 Revisión independiente de la seguridad de la información
18.2.2 Cumplimiento de las políticas y normas de seguridad
18.2.3 Comprobación del cumplimiento
SEGURIDAD

Requisitos de la Norma ISO/IEC 27001:2013

La Norma ISO/IEC 27001:2013 identifica los siguientes requisitos (ISO/IEC 27001, 2013) que deben cumplirse para establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar un SGSI documentado dentro del contexto de los riesgos globales del negocio de la organización. Todos ellos son genéricos y están previstos para ser aplicados en cualquier tipo de organización, indiferente a su tamaño o actividad.

  1. REQUISITO GENERAL:
    1. La organización debe establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar un SGSI documentado, en el contexto de las actividades globales del negocio de la organización y de los riesgos que enfrenta. Para los propósitos de esta norma, el proceso usado se basa en el modelo PHVA.
  2. ESTABLECIMIENTO Y GESTIÓN DEL SGSI:
    1. Definir el alcance y límites del SGSI.
    2. Definir una política de SGSI
    3. Definir el enfoque organizacional para la valoración del riesgo, con la metodología de valoración del riesgo más adecuada al SGSI y los criterios para la aceptación de riesgos
    4. Identificar los activos, las amenazas, las vulnerabilidades, y los impactos que la pérdida de confidencialidad, integridad y disponibilidad puede tener sobre estos activos
    5. Analizar y evaluar los riesgos
    6. Identificar y evaluar las opciones para el tratamiento de los riesgos
    7. Seleccionar los objetivos de control y los controles para el tratamiento de los riesgos
    8. Obtener la aprobación de la dirección sobre los riesgos residuales propuestos
    9. Obtener autorización de la dirección para implementar y operar el SGSI.
    10. Elaborar una declaración de aplicabilidad
  3. IMPLEMENTACIÓN Y OPERACIÓN DEL SGSI:
    1. Formular e implementar un plan para el tratamiento de riesgos
    2. Implementar los controles para el tratamiento de los riesgos
    3. Definir cómo medir la eficacia de los controles
    4. Implementar programas de formación y de toma de conciencia
    5. Gestionar la operación del SGSI
    6. Gestionar los recursos del SGSI
  4. SEGUIMIENTO Y REVISIÓN DEL SGSI:
    1. Ejecutar procedimientos de seguimiento y revisión y otros controles, que permitan detectar errores en los resultados del procesamiento, identificar los incidentes e intentos de violación a la seguridad y determinar si las acciones tomadas para solucionar un problema de violación a la seguridad fueron eficaces
    2. Emprender revisiones regulares de la eficacia del SGSI
    3. Medir la eficacia de los controles para verificar que se han cumplido los requisitos de seguridad.
    4. Revisar las valoraciones de los riesgos, y revisar el nivel de riesgo residual y riesgo aceptable identificado.
    5. Realizar auditorías internas del SGSI
    6. Emprender una revisión del SGSI
    7. Actualizar los planes de seguridad
    8. Registrar acciones y eventos que podrían tener impacto en la eficacia o el desempeño del SGSI
  5. MANTENIMIENTO Y MEJORA DEL SGSI:
    1. Implementar las mejoras identificadas en el SGSI
    2. Emprender las acciones correctivas y preventivas y aplicar lecciones aprendidas
    3. Comunicar las acciones y mejoras a todas las partes interesadas
    4. Asegurar que las mejoras logran los objetivos previstos
  6. REQUISITOS DE DOCUMENTACIÓN:
    1. La documentación del SGSI debe incluir:
      1. Declaraciones documentadas de la política y objetivos del SGSI
      2. El alcance del SGSI
  • Los procedimientos y controles que apoyan el SGSI
  1. Descripción de la metodología de valoración de riesgos
  2. Informe de valoración de riesgos
  3. Plan de tratamiento de riesgos
  • Los procedimientos documentados de sus procesos de seguridad de la información,
  • La declaración de aplicabilidad.
SEGURIDAD

SERIE ISO/IEC 27000

IDENTIFICADOR DENTRO DE LA SERIE ISO/IEC 27000 NOMBRE DE LA NORMA DESCRIPCIÓN ÚLTIMA VERSIÓN / REVISIÓN
ISO/IEC 27000  Sistema de Gestión de la Seguridad de la Información – Generalidades y vocabulario Es el vocabulario e información base para la implementación del SGSI. Quinta versión: febrero 2018 ISO/IEC 27000:2018
ISO/IEC 27001  Sistema de Gestión de la Seguridad de la Información – Requisitos Es Certificable para las empresas. Especifica requisitos para implementar el SGSI. Revisada en septiembre de 2013
ISO/IEC 27002  Buenas prácticas para controles de la seguridad de la información Es el código de buenas prácticas para la gestión de la seguridad en la información. Última versión: 27002:2013, de setiembre de 2013
ISO/IEC 27003  Guía de implementación del sistema de gestión de la seguridad de la información Da directrices para implementar el SGSI Publicada el 1 de febrero de 2010
ISO/IEC 27004  Gestión de la seguridad de la información – Medición Proporciona recomendaciones para implementar métricas para la gestión de la seguridad en la información Publicada el 7 de diciembre de 2009
ISO/IEC 27005  Gestión de riesgos de seguridad de la información Proporciona recomendaciones y lineamientos de métodos y técnicas de evaluación de riesgos de Seguridad en la Información Publicada en junio de 2008 Revisada en junio de 2011
ISO/IEC 27006  Requisitos para empresas de auditoría y certificación de Sistemas de Gestión de la Seguridad de la Información Describe los requisitos de deben cumplir las empresas que ofrecen certificación del SGSI Publicada en 2007 y revisada en diciembre de 2011 y septiembre de 2015
ISO/IEC 27007  Directrices para auditoría en Sistemas de Gestión de la Seguridad de la Información Recomendaciones para auditar un SGSI Publicada en noviembre de 2011
ISO/IEC 27008  Directrices para auditores sobre control de la seguridad de la información Es una guía para auditar los controles de seguridad implementados Publicada en octubre de 2011
ISO/IEC 27009 Aplicación específica de la norma ISO/IEC 27001 para cada sector – Requisitos Otorga una orientación sobre la inclusión de requisitos específicos para cada sector o actividad, además de los establecidos por el SGSI Publicada en junio de 2016
ISO/IEC 27010  Gestión de la seguridad de la información para la comunicación intersectorial e interorganizacional Da indicaciones para gestionar la seguridad de la información cuando se comparte entre distintas organizaciones. Publicada en octubre de 2012 y revisada en noviembre de 2015
ISO/IEC 27011  Directrices para gestión de la seguridad de la información en organizaciones de telecomunicaciones basadas en la ISO/IEC 27002 Especifica directrices para la gestión de la seguridad en la información en empresas de telecomunicaciones Publicada en diciembre de 2008 y fue revisada en diciembre de 2016
ISO/IEC 27013  Directrices para implementación integrada de la ISO/IEC 27001 e la ISO/IEC 20000-1 Describe como implementar de forma integral de un SGSI según ISO 27001, y un Sistema de Gestión de Servicios (SGS), según ISO 20000. Publicada en 2016
ISO/IEC 27014  Gobernanza de la seguridad de la información Guía de gobierno corporativo de la seguridad de la información. Publicada en abril de 2013
ISO/IEC 27015  Directrices para gestión de la seguridad de la información en servicios financieros Especifica directrices para la gestión de la seguridad en la información en el sector financiero Publicada en noviembre de 2012
ISO/IEC 27016 Directrices para gestión de la seguridad de la información – Empresas de economía Especifica directrices para la gestión de la seguridad en la información en empresas de economía Publicada en febrero de 2014
ISO/IEC 27017 Código de práctica para los controles de seguridad de la información basados ​​en ISO / IEC 27002 para servicios en la nube Especifica directrices para la gestión de la seguridad en la información en computación en la nube alineada con ISO/IEC 27002 Publicada en diciembre de 2015
ISO/IEC 27018 Código de práctica para la protección de información de identificación personal (PII) en nubes públicas que actúan como procesadores de PII Es la guía para controlar la protección de datos para servicios de computación en cloud computing Publicado en julio de 2014
ISO/IEC 27019 Pautas de gestión de seguridad de la información basadas en ISO / IEC 27002 para sistemas de control de procesos específicos de la industria de servicios públicos de energía Especifica directrices para la gestión de la seguridad en la información en empresas del sector energético Publicada el 17 de Julio de 2013
ISO/IEC 27021 Requisitos de competencia para profesionales de sistemas de gestión de seguridad de la información. Especifica los requisitos para los profesionales dedicados al SGSI En desarrollo
ISO/IEC 27031 Pautas para la preparación de la tecnología de la información y la comunicación para la continuidad del negocio Es una guia de adecuación de la tecnologia TIC para la continuidad del negocio Publicada el 01 de Marzo de 2011
ISO/IEC 27032 Pautas para la ciberseguridad Especifica directrices para la gestión de la seguridad en la información en la cibernética Publicada el 16 de Julio de 2012
ISO/IEC 27033 Seguridad de la red Especifica directrices para la gestión de la seguridad en la información en Redes En desarrollo
ISO/IEC 27034
Seguridad de las aplicaciones
Especifica directrices para la gestión de la seguridad en la información en las aplicaciones informáticas En desarrollo
ISO/IEC 27035
Gestión de incidentes de seguridad de la información
Proporciona una guía sobre la gestión de incidentes de seguridad en la información Publicada el 17 de Agosto de 2011
ISO/IEC 27036 Seguridad en las relaciones con proveedores 27036-1, visión general y conceptos; 27036-2, requisitos comunes; 27036-3, seguridad en la cadena de suministro TIC; 27036-4, guía de seguridad para entornos de servicios Cloud Publicada en 2014
ISO/IEC 27037
Pautas para la identificación, recolección, adquisición y preservación de evidencia digital
Es una guía que propociona directrices para las actividades relacionadas con la identificación, recopilación, consolidación y preservación de evidencias digitales potenciales Publicada el 15 de Octubre de 2012
ISO/IEC 27039 Selección, despliegue y operaciones de sistemas de detección y prevención de intrusos (IDPS) Orienta la implementación segura de istemas de detección y prevención de intrusión (IDS/IPS) Publicada el 11 de Febrero de 2015
ISO/IEC 27799
Gestión de la seguridad de la información en salud utilizando ISO / IEC 27002
Proporciona directrices para apoyar la interpretación y aplicación de ISO/IEC 27002, en cuanto a la seguridad de la información sobre los datos de salud de los pacientes Publicada el 12 de Junio de 2008, revisión en Julio 2016
VARIOS

GENERALIDADES PROGRAMA DE AUDITORÍA ISO 19011 DE 2012

La norma ISO 19011 de 2012 establece en su capítulo 5, numeral 5.1: “Una organización que necesita llevar a cabo auditorías debería establecer un programa de auditoría que contribuya a la determinación de la eficacia del sistema de gestión auditado. El programa de auditoría puede incluir auditorías que tengan en consideración una o más normas de sistemas de gestión, llevadas a cabo de manera individual o combinada.
La alta dirección debería asegurarse de que los objetivos del programa de auditoría se han establecido y que se asigna una o más personas competentes para establecer el programa de auditoría. El alcance de un programa de auditoría debería basarse en el tamaño y la naturaleza de la organización que se audita, así como en la naturaleza, funcionalidad, complejidad y nivel de madurez del sistema de gestión que se va a auditar. Debería darse prioridad a asignar los recursos del programa de auditoría para auditar los asuntos de importancia dentro del sistema de gestión. Estos pueden incluir las características clave de la calidad de un producto o los peligros relativos a la salud y la seguridad, o los aspectos ambientales significativos y su control.
El programa de auditoría debería incluir la información y los recursos necesarios para organizar y llevar a cabo sus auditorías de forma eficaz y eficiente dentro de los periodos de tiempo especificados y también puede incluir lo siguiente:
  • Objetivos para el programa de auditoría y para las auditorías individuales
  • Alcance/número/tipos/duración/ubicaciones/calendario de las auditorías
  • Procedimientos del programa de auditoría
  • Criterios de auditoría
  • Métodos de auditoría
  • Selección de equipos auditores
  • Recursos necesarios, incluyendo viajes y alojamiento
  • Procesos para tratar la confidencialidad, la seguridad de la información, la salud y la seguridad y otros asuntos similares.
La implementación del programa de auditoría debería seguirse y medirse para asegurarse de que se han alcanzado sus objetivos. El programa de auditoría debería revisarse para identificar posibles mejoras”.
VARIOS

PRINCIPIOS DE AUDITORÍA ISO 19011 DE 2012

La auditoría se caracteriza por depender de varios principios. Estos principios deberían ayudar a hacer de la auditoría una herramienta eficaz y fiable en apoyo de las políticas y controles de gestión, proporcionando información sobre la cual una organización puede actuar para mejorar su desempeño. La adhesión a esos principios es un requisito previo para proporcionar conclusiones de la auditoría que sean pertinentes y suficientes y para permitir a los auditores, trabajando independientemente entre sí, alcanzar conclusiones similares en circunstancias similares.
La orientación proporcionada en los capítulos 5 a 7 de la norma internacional ISO 19011 de 2012 se basa en los seis principios señalados a continuación:
Integridad: El fundamento de la profesionalidad
Los auditores y las personas que gestionan un programa de auditoría deberían:
  • Desempeñar su trabajo con honestidad, diligencia y responsabilidad
  • Observar y cumplir todos los requisitos legales aplicables
  • Demostrar su competencia al desempeñar su trabajo
  • Desempeñar su trabajo de manera imparcial, es decir, permanecer ecuánime y sin sesgo en todas sus acciones
  • Ser sensible a cualquier influencia que se pueda ejercer sobre su juicio mientras lleva a cabo una auditoría.
Presentación imparcial: La obligación de informar con veracidad y exactitud.
  • Los hallazgos, conclusiones e informes de la auditoría deberían reflejar con veracidad y exactitud las actividades de auditoría. Se debería informar de los obstáculos significativos encontrados durante la auditoría y de las opiniones divergentes sin resolver entre el equipo auditor y el auditado. La comunicación debería ser veraz, exacta, objetiva, oportuna, clara y completa.
Debido cuidado profesional: La aplicación de diligencia y juicio al auditar.
  • Los auditores deberían proceder con el debido cuidado, de acuerdo con la importancia de la tarea que desempeñan y la confianza depositada en ellos por el cliente de la auditoría y por otras partes interesadas. Un factor importante al realizar su trabajo con el debido cuidado profesional es tener la capacidad de hacer juicios razonados en todas las situaciones de la auditoría.
Confidencialidad: Seguridad de la información.
  • Los auditores deberían proceder con discreción en el uso y la protección de la información adquirida en el curso de sus tareas. La información de la auditoría no debería usarse inapropiadamente para beneficio personal del auditor o del cliente de la auditoría, de modo que perjudique el interés legítimo del auditado. Este concepto incluye el tratamiento apropiado de la información sensible o confidencial.
Independencia: La base para la imparcialidad de la auditoría y la objetividad de las conclusiones de la auditoría.
  • Los auditores deberían ser independientes de la actividad que se audita siempre que sea posible, y en todos los casos deberían actuar de una manera libre de sesgo y conflicto de intereses. Para las auditorías internas, los auditores deberían ser independientes de los responsables operativos de la función que se audita. Los auditores deberían mantener la objetividad a lo largo del proceso de auditoría para asegurarse de que los hallazgos y conclusiones de la auditoría estarán basados sólo en la evidencia de la auditoría.
  • Para las organizaciones pequeñas puede que no sea posible que los auditores internos sean completamente independientes de la actividad que se audita, pero deberían hacerse todos los esfuerzos para eliminar el sesgo y fomentar la objetividad.
Enfoque basado en la evidencia: El método racional para alcanzar conclusiones de la auditoría fiables y reproducibles en un proceso de auditoría sistemático.
  • La evidencia de la auditoría debería ser verificable. En general se basará en muestras de la información disponible, ya que una auditoría se lleva a cabo durante un periodo de tiempo delimitado y con recursos finitos. Debería aplicarse un uso apropiado del muestreo, ya que está estrechamente relacionado con la confianza que puede depositarse en las conclusiones de la auditoría.
VARIOS

DEFINICIONES DE ISO 19011 DE 2012

AUDITORÍA: Proceso sistemático, independiente y documentado para obtener evidencias de la auditoría y evaluarlas de manera objetiva con el fin de determinar el grado en que se cumplen los criterios de auditoría.

NOTA 1: Las auditorías internas, denominadas en algunos casos auditorías de primera parte, se realizan por la propia organización, o en su nombre, para la revisión por la dirección y para otros propósitos internos (por ejemplo, para confirmar la eficacia del sistema de gestión o para obtener información para la mejora del sistema de gestión). Las auditorías internas pueden formar la base para una autodeclaración de conformidad de una organización. En muchos casos, particularmente en organizaciones pequeñas, la independencia puede demostrarse al estar libre el auditor de responsabilidades en la actividad que se audita o al estar libre de sesgo y conflicto de intereses.

NOTA 2: Las auditorías externas incluyen auditorías de segunda y tercera parte. Las auditorías de segunda parte se llevan a cabo por partes que tienen un interés en la organización, tal como los clientes, o por otras personas u organizaciones en su nombre.Las auditorías de tercera parte se llevan a cabo por organizaciones auditoras independientes, tales como las autoridades reglamentarias o aquellas que proporcionan la certificación.

NOTA 3: Cuando dos o más sistemas de gestión de disciplinas diferentes (por ejemplo, de la calidad, ambiental, seguridad y salud en el trabajo) se auditan juntos, se denomina auditoría combinada.

NOTA 4: Cuando dos o más organizaciones auditoras cooperan para auditar a un único auditado, se denomina auditoría conjunta.

CRITERIOS DE AUDITORIA: Grupo de políticas, procedimientos o requisitos usados como referencia frente a la cual se compara la evidencia de la auditoría. Ejemplo: La norma ISO 9001 de 2015 se considera criterio de auditoría para un sistema de gestión de la calidad, de igual forma, los requisitos de la norma ISO 14001 son criterios de auditoría para un sistema de gestión ambiental.Los criterios de auditoria en muchos casos se consideran como los referentes de variadas normas ISO (certificables y no certificables), también algunas normatividades legales que establecen los gobiernos de diferentes países, como también aplican como criterios de auditoría los mismos requisitos que las organizaciones definen.

EVIDENCIA DE LA AUDITORÍA: Registros, declaraciones de hechos o cualquier otra información que es pertinente para los criterios de auditoría y que es verificable. El auditor siempre debe evidenciar los hallazgos de la auditoría.

HALLAZGOS DE LA AUDITORÍA: Resultados de la evaluación de la evidencia de la auditoría recopilada frente a los criterios de auditoría.

CONCLUSIONES DE LA AUDITORÍA: Resultado de una auditoría, tras considerar los objetivos de la auditoría y todos los hallazgos de la auditoría. Normalmente las conclusiones de una auditoría se registran en informes de auditoría.

CLIENTE DE LA AUDITORÍA: Organización o persona que solicita una auditoría.

AUDITADO: Organización o persona que es auditada.

AUDITOR: Persona u organización que lleva a cabo una auditoría.

EQUIPO AUDITOR: Uno o más auditores que llevan a cabo una auditoría, con el apoyo, si es necesario, de expertos técnicos.

NOTA 1: A un auditor del equipo se le designa como líder del mismo.

NOTA 2: El equipo auditor puede incluir auditores en formación.

EXPERTO TÉCNICO: Persona que aporta conocimientos o experiencia específicos al equipo auditor.

OBSERVADOR: Persona que acompaña al equipo auditor pero que no audita. Un observador no es parte del equipo auditor y no influye ni interfiere en la realización de la auditoría. Un observador puede designarse por el auditado, una autoridad reglamentaria u otra parte interesada que testifica la auditoría.

GUÍA: Persona designada por el auditado para asistir al equipo auditor.

PROGRAMA DE AUDITORÍA: Detalles acordados para un conjunto de una o más auditorías planificadas para un periodo de tiempo determinado y dirigidas hacia un propósito específico.

ALCANCE DE LA AUDITORÍA: Extensión y límites de una auditoría.

PLAN DE AUDITORÍA: Descripción de las actividades y de los detalles acordados de una auditoría.

COMPETENCIA: Capacidad para aplicar conocimientos y habilidades para alcanzar los resultados pretendidos.

CONFORMIDAD: Cumplimiento de un requisito.

NO CONFORMIDAD: Incumplimiento de un requisito.Es importante tener en cuenta que la mentalidad del auditor no puede orientarse hacia la identificación de no conformidades, por el contrario, debe conservar una actitud de verificación de la conformidad del sistema que audita.

VARIOS

NORMA ISO/IEC 19011 – DIRECTRICES PARA LA AUDITORÍA DE LOS SISTEMAS DE GESTIÓN

La Norma ISO 19011:2018 – Guidelines for auditing management systems, o Directrices Para la Auditoría de los Sistemas de Gestión, establece las directrices para la auditoría de los sistemas de gestión de la calidad. La última revisión de la norma fue en julio de 2018 (ISO 19011:2018).
Esta norma internacional proporciona orientación sobre la auditoría de los sistemas de gestión, incluyendo los principios de la auditoría, la gestión de un programa de auditoría y la realización de auditorías de sistemas de gestión, así como orientación sobre la evaluación de la competencia de los individuos que participan en el proceso de auditoría.
ORGANIZACIÓN
La norma está compuesta de siete capítulos:
• Objeto
• Referencias normativas
• Términos y definiciones
• Principios de auditoría
• Gestión de un programa de auditoría
• Realización de una auditoría
• Competencia y evaluación de los auditores

La ISO 19011está enfocada en la gestión de auditoría que se debe llevar a cabo en el sistema de gestión de riesgos, aunque no es una norma certificable brinda una serie de recomendaciones que contribuyen a que las empresas cuenten con una gestión adecuada y establezcan el plan de auditoría para cumplir con los requisitos legales que son exigidos por los entes de control.
Normalmente las organizaciones que implementan la gestión de riesgos deben realizar auditorías periódicas para verificar si el plan de acción implementado está siendo eficaz y brindando los resultados esperados.
Sin embargo, los auditores juegan un papel muy importante dentro de la gestión de riesgos, ya que son ellos quienes identifican si la gestión se está llevando a cabo correctamente, si los controles son efectivos y si está cumpliendo con la norma exigida.