El SGSI completo, listo para el auditor
El módulo GRC cubre ISO/IEC 27001:2022 de principio a fin: contexto y alcance, riesgos, Declaración de Aplicabilidad, políticas y procedimientos, evidencias, auditoría interna, revisión por la dirección y acciones correctivas. Nosotros lo usamos para nuestra propia certificación.
- Norma
- ISO/IEC 27001:2022, Anexo A con 93 controles
- Salida
- SoA, matriz de riesgos, expediente de evidencias, informes de auditoría interna y revisión por la dirección
- Para el auditor
- Portal de sólo lectura con documentos aprobados
| Control | Aplica | Evidencia | Estado |
|---|---|---|---|
| A.5.7 Inteligencia de amenazas | Sí | Boletines TIBS Q3 · Procedimiento CTI-02 | Implementado |
| A.8.8 Gestión de vulnerabilidades técnicas | Sí | Ciclos de escaneo · Plan de remediación | Implementado |
| A.5.23 Seguridad en servicios en la nube | Sí | Pendiente: contrato con proveedor | Acción correctiva abierta |
| A.7.4 Monitoreo de seguridad física | No | Justificación: operación 100 % remota | Excluido |
Del contexto a la certificación, en un solo lugar
Las hojas de cálculo funcionan hasta la segunda auditoría. Después, nadie sabe qué versión es la buena.
Contexto, partes interesadas y alcance
Cláusulas 4 a 6 documentadas con control de versiones y aprobación. El alcance define qué activos, procesos y sedes entran, y los demás módulos lo respetan.
Riesgos y Declaración de Aplicabilidad
Metodología de riesgo configurable, tratamiento por control y SoA generada desde las decisiones, con justificación de cada exclusión. Los controles técnicos pueden vincularse a evidencia que producen TIBS y superficie de ataque.
Evidencias con ciclo de vida
Cada evidencia tiene dueño, control asociado, fecha de vigencia y estado (borrador, en revisión, aprobada, vencida). Las vencidas se avisan antes de que el auditor las encuentre.
Auditoría interna, revisión por la dirección y CAPA
Programa de auditoría, hallazgos con severidad, acciones correctivas con responsable y fecha, y actas de revisión por la dirección con las entradas que exige la cláusula 9.3.
Portal para el auditor
El auditor externo entra con su propio acceso y ve sólo documentos aprobados y evidencias compartidas. Puede descargarlas, solicitar evidencia adicional y dejar observaciones clasificadas para corrección inmediata, a mediano o a largo plazo. Usted deja de enviar carpetas por correo.
- Sólo versiones finales y aprobadas; nunca borradores
- Solicitudes de evidencia con fecha límite y responsable
- Observaciones del auditor convertidas en acciones correctivas con un clic
- Registro de qué consultó el auditor y cuándo
Lo usamos para certificarnos
El SGSI de KCN1 está certificado bajo ISO/IEC 27001:2022 por TCCM (certificado TCCM/SGSI/000658) y se gestiona desde Kentro One. Las funciones del módulo salieron de lo que nos pidió nuestro propio auditor.
| Normas relacionadas | ISO/IEC 27002:2022 (guía de controles), ISO 31000 (riesgo). Mapeos a PCI DSS 4.0 y SOC 2 disponibles para clientes con varios marcos. |
|---|---|
| Acompañamiento | Implementación, auditoría interna y preparación de certificación por consultores de KCN1 con certificación Lead Auditor y Lead Implementer. |
| Migración | Importación de SoA y matrices de riesgo existentes desde hoja de cálculo. |
Vea la plataforma con su propio inventario
En una sesión de 45 minutos cargamos una muestra de sus activos y le mostramos qué boletines, hallazgos y evidencias produce Kentro One para su organización.