Auditoría interna ISO/IEC 27001
Una auditoría interna completa de su SGSI frente a ISO/IEC 27001:2022, capítulos 4 a 10 y los controles del Anexo A declarados en su declaración de aplicabilidad.
Aseguramiento y evaluación independientes
Una auditoría solo vale algo si quien la dirige está dispuesta a decirle lo que preferiría no oír. Evaluamos lo que usted ha construido, respaldamos cada conclusión con evidencia y le entregamos un informe con el que puede trabajar.
We get you ready to certify & show where you stand.
ZULTIV runs your internal audit, your readiness assessment and your third-party/supplier/ Independent assessment against the same standards we teach. You finish with the evidence pack, the corrective plan and the confidence to book the certification audit.
Nuestra independencia es lo que da valor a ese juicio. No tenemos un certificado que venderle ni una implementación propia que defender, así que nada se suaviza. Obtiene una lectura honesta de su situación antes de que se la formen un organismo de certificación, un regulador o un cliente.
Scope note: ZULTIV is not an accredited certification body. Your accredited certificate is issued by the registrar you appoint. Our job is to help you enter that audit prepared, with evidence and findings addressed.
Categoría 01
Auditorías internas
Clause 9.2 requires an internal audit programme. While audits may be conducted by internal personnel, maintaining independence and objectivity is essential for an effective assessment.
Auditoría interna ISO 22301
Continuidad de negocio auditada frente a ISO 22301: análisis de impacto en el negocio, objetivos de recuperación, estrategia de continuidad y si los ejercicios prueban realmente algo.
Auditoría interna ISO 9001
Auditoría del sistema de gestión de la calidad frente a ISO 9001: interacción de procesos, pensamiento basado en riesgos y evidencia de mejora en lugar de evidencia de intención.
Categoría 02
Preparación y evaluación
Antes de la auditoría de certificación, de la revisión de seguridad de un cliente o de la pregunta del regulador: averigüe cuál va a ser la respuesta.
Preparación HIPAA
Salvaguardas administrativas, físicas y técnicas contrastadas con las HIPAA Security y Privacy Rules, con un registro de brechas que puede ir cerrando.
Preparación SOC 2
Los Trust Services Criteria recorridos control por control, para que la revisión de su firma de auditoría no sea el momento en que descubre que la evidencia no existe.
Evaluación de riesgo y cumplimiento
Una mirada estructurada a su universo de riesgo y a su entorno de control frente a las obligaciones que de verdad le aplican, incluida la DPDP Act de la India.
Evaluación de terceros y proveedores
Sus proveedores custodian sus datos y su disponibilidad. Los evaluamos como es debido, sobre evidencia, no sobre un cuestionario devuelto que nadie ha leído.
Categoría 03
Atestación de cumplimiento
Cuando un cliente, un inversor o un regulador pide pruebas, una atestación independiente firmada responde a la pregunta en un solo documento.
Una Atestación de cumplimiento (AOC) es una declaración formal, emitida y firmada por ZULTIV, que confirma que hemos evaluado sus controles frente a un marco concreto en una fecha concreta y los hemos encontrado implantados y eficaces.
Es el documento que entrega a un equipo de seguridad de cliente que no acepta un cuestionario de autoevaluación, y el que mantiene un contrato en marcha cuando una auditoría de certificación completa todavía queda a meses vista.
Qué recibe
Una carta de atestación firmada, la declaración de alcance que la sustenta, el resumen de las pruebas de controles que hay detrás y un registro de hallazgos de todo lo que hubo que corregir antes.
Cuánto tarda
Normalmente de tres a seis semanas desde la definición del alcance hasta la firma, según el tamaño del entorno y cuánta evidencia exista ya.
Marcos cubiertos
ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 42001, ISO 22301, ISO 9001, HIPAA, SOC 2 criteria and India's DPDP Act, individually or combined.
Una atestación de cumplimiento es la atestación independiente propia de ZULTIV. Acompaña a un certificado acreditado de sistema de gestión ISO emitido por un organismo de certificación, y no lo sustituye.
Cómo trabajamos
El mismo método, en cada encargo
No hay dos organizaciones iguales, pero la disciplina no cambia. Cada evaluación que realizamos sigue los principios de auditoría de ISO 19011: basada en evidencia, imparcial y comunicada en un lenguaje que puede llevar ante un consejo.
01: Alcance
Acordamos qué entra en el alcance, qué queda deliberadamente fuera y qué aspecto tiene «bien» antes de probar nada.
02: Prueba
Documentos, entrevistas, evidencia de sistemas y muestreo, lo suficiente para sostener una conclusión que resista una impugnación.
03: Informe
Hallazgos que mantienen separados el requisito, la evidencia y la brecha, cada uno clasificado y cada uno trazable.
04: Cierre
Una ruta priorizada de corrección y una revisión de seguimiento cuando pueda demostrar que las brechas están cerradas.
Qué recibe
Entregables, no opiniones
Informe de evaluación
Alcance, método, muestra y cada hallazgo con su rastro de evidencia, redactado para que un tercero pueda seguir su razonamiento sin que usted esté en la sala.
Registro de brechas y riesgos
Cada brecha vinculada al capítulo o criterio que incumple, clasificada y ordenada por el riesgo que realmente asume, no por lo fácil que resulta corregirla.
Hoja de ruta de corrección
Un plan en un orden que tiene sentido, con responsables y esfuerzo realista, más un resumen ejecutivo que su dirección leerá hasta el final.
Preguntas
Antes de contratarnos
No. La certificación la emite un organismo de certificación acreditado, y ZULTIV no lo es. Le preparamos para ese organismo y le auditamos como lo hará él, y, por separado, ejecutamos el programa de auditoría interna que la norma le exige tener.
No dentro del mismo alcance, y se lo decimos por adelantado. Auditar la propia implantación destruye la independencia que hace valiosa la auditoría. Donde hemos asesorado en la implantación, le recomendamos que la auditoría interna la haga otra parte, y viceversa.
Depende por completo del alcance, del número de empleados y de cuántas sedes o sistemas intervienen. Una revisión de preparación acotada puede llevar unos días; una auditoría interna completa de un SGSI multisede lleva más. Definimos el alcance antes de presupuestar, y ese alcance queda por escrito.
Sí, la mayoría de las revisiones documentales y muchas entrevistas funcionan bien en remoto. Los controles físicos, la seguridad de las sedes y todo lo que exige observación se hace mejor in situ, y le diremos qué partes de su alcance entran ahí.
Por completo. Los encargos se ejecutan bajo un acuerdo de confidencialidad firmado, los hallazgos se comparten solo con las personas que usted designe y no usamos nombres de clientes como referencia sin permiso por escrito.
Solicitar una evaluación
Díganos qué hay que evaluar
Describa el alcance con sus propias palabras: un sistema, una norma, el cuestionario de seguridad de un cliente o simplemente un plazo que le han puesto. Le diremos qué haría falta.