Auditoría de seguridad informática e implementación de ISO 27001
Revisamos tu seguridad con ISO 27001 como referencia, te mostramos las brechas y te acompañamos a construir un sistema de gestión que funcione en el día a día y que esté listo para una auditoría externa.
La seguridad depende de buenas intenciones, no de un sistema
01
Controles que existen solo en la cabeza de alguien
Hay prácticas razonables, pero no están escritas, nadie verifica que se cumplan y cambian según quién esté a cargo esa semana.
02
Cuestionarios de clientes imposibles de responder
Un cliente corporativo te envía un cuestionario de seguridad de proveedores con decenas de preguntas y no tienes evidencia para respaldar las respuestas.
03
La norma parece un mundo aparte
Escuchaste que ISO 27001 ordena todo, pero no sabes por dónde empezar, cuánto esfuerzo implica ni qué parte es documentación y qué parte es técnica.
La solución
De la foto actual a un sistema de gestión vivo
Comenzamos con una auditoría de seguridad informática que contrasta tu situación real con los requisitos de ISO/IEC 27001:2022 y los controles de su Anexo A, revisando políticas, gestión de accesos, proveedores, respaldos, registros, configuración de servidores y nube. Entregamos un análisis de brechas que distingue lo que ya cumples, lo que cumples a medias y lo que falta. Luego te acompañamos a implementar el sistema de gestión de seguridad de la información (SGSI): alcance, evaluación de riesgos, declaración de aplicabilidad, políticas, controles técnicos y una auditoría interna previa. Es importante decirlo con claridad: Vitis Origins no certifica. La certificación la otorga un organismo certificador independiente; nuestro trabajo es dejarte preparado para esa auditoría.
Entrevistas, revisión de documentos y verificación en los sistemas: cuentas privilegiadas, parches, cifrado, registros, respaldos, red y servicios en la nube.
Análisis de brechas ISO 27001
Matriz de cumplimiento cláusula por cláusula y control por control, con un plan de trabajo priorizado para cerrar cada brecha.
Evaluación y tratamiento de riesgos
Metodología de riesgos adaptada al tamaño de tu empresa, inventario de activos de información y decisiones de tratamiento documentadas.
Documentación del SGSI
Alcance, política de seguridad, declaración de aplicabilidad y procedimientos redactados para tu operación, no plantillas genéricas.
Controles técnicos
Implementamos los controles que requieren manos técnicas: gestión de identidades, registros centralizados, endurecimiento de servidores, respaldos y monitoreo.
Auditoría interna previa
Simulamos la auditoría de certificación para detectar no conformidades a tiempo y corregirlas antes de la visita del organismo certificador.
Cómo trabajamos
De la primera conversación al resultado
01
Alcance
Definimos qué procesos, sedes y sistemas entran en la revisión y, si apuntas a ISO 27001, en el futuro SGSI.
02
Auditoría y brechas
Recopilamos evidencia, contrastamos con la norma y entregamos el informe de brechas con prioridades.
03
Implementación
Construimos junto a tu equipo los documentos, controles y registros que exige el sistema de gestión.
04
Preparación final
Hacemos la auditoría interna, apoyamos la revisión por la dirección y te acompañamos durante la auditoría externa.
Para quién es
¿Es para tu empresa?
Si te reconoces en alguno de estos casos, vale la pena conversar.
Empresas que venden servicios a clientes corporativos o al Estado
Proveedores de software o servicios de TI que manejan datos de terceros
Organizaciones que quieren ordenar su seguridad antes de certificarse
Empresas que necesitan un sistema de gestión de seguridad por exigencia regulatoria
Preguntas frecuentes
Lo que suelen preguntarnos
¿Qué es una auditoría de seguridad informática?
Es una revisión independiente y metódica de cómo tu empresa protege su información. Combina entrevistas, revisión de políticas y verificación técnica en los sistemas para comprobar si los controles existen, funcionan y se aplican de forma consistente. El resultado es un informe con hallazgos, evidencia y recomendaciones priorizadas, que sirve como hoja de ruta para mejorar la seguridad.
¿Qué es ISO 27001?
ISO/IEC 27001 es la norma internacional que define los requisitos de un sistema de gestión de seguridad de la información. Su edición vigente es de 2022. No impone una tecnología específica: exige que la organización identifique sus riesgos, elija controles adecuados, los documente, los mida y los mejore de forma continua. Es aplicable a empresas de cualquier tamaño y sector.
¿Ustedes entregan la certificación ISO 27001?
No. La certificación la otorga un organismo certificador independiente, que realiza la auditoría externa y emite el certificado. Por independencia, quien implementa el sistema no debe ser quien lo certifica. Nuestro rol es auditar tu situación, ayudarte a implementar el SGSI y prepararte para que llegues a esa auditoría con la documentación, los registros y los controles en orden.
¿Qué es un análisis de brechas?
Es la comparación entre lo que tu empresa hace hoy y lo que pide la norma. Para cada requisito y control se indica si se cumple, se cumple parcialmente o no se cumple, junto con la evidencia revisada. Es el primer paso recomendable antes de comprometerse con una certificación, porque permite dimensionar el esfuerzo real y priorizar el trabajo.
¿ISO 27001 sirve para la Ley Marco de Ciberseguridad?
La ley exige a los operadores de importancia vital implementar un sistema de gestión de seguridad de la información continuo, y ISO 27001 es el marco más conocido para hacerlo. Sin embargo, la norma no reemplaza los protocolos y estándares que dicte la ANCI ni las obligaciones específicas de la ley. Te ayudamos en la parte técnica; el análisis jurídico de tu caso corresponde a un abogado.
