AUDITORIA AL SGSI - NOMBRE EMPRESA

FECHA DE EVALUACIÓN: 25/09/2022

ELABORADO POR: Nombres y apellidos del Colaborador 1 - Cargo
Nombres y apellidos del Colaborador 2 - Cargo
Nombres y apellidos del Colaborador 3 - Cargo
PRUEBAS REALIZADAS: ● Verificar si la organización cumple con los
documentos obligatorios para implementar el SGSI
(Sistema de Gestión de Seguridad de la
Información).
● Evaluar el SGSI teniendo en cuenta el documento de
test de cumplimiento suministrado por la empresa
CertiProf.
AREA AUDITADA /
PROCESO AUDITADO:

I. Objetivo:

● Verificar si la organización cumple con los documentos obligatorios para implementar

el SGSI (Sistema de Gestión de Seguridad de la Información).

● Evaluar el SGSI teniendo en cuenta el documento de test de cumplimiento

suministrado por la empresa CertiProf.

II. Alcance:

Esta evaluación se realizó enmarcada en las mejores prácticas de la norma técnica

colombiana NTC-ISO-IEC 27001:2013 “Sistemas de Gestión de la Seguridad de la
Información (SGSI)” y el ANEXO A (Normativo).

4. La Organización y su Contexto

4.1 Entendiendo la organización y su contexto

Nro. Pregunta Respuesta (SI / NO) Observaciones

¿Están identificados los objetivos del NO El documento no

1 SGSI Sistema de Gestión de la contiene los
Seguridad de la Información? objetivos del SGSI.

¿Se han identificado las cuestiones SI Exitoso

2 internas y externas relacionadas con
la Seguridad de la Información?

¿Se han identificado como las partes

internas y externas pueden suponer
3
amenazas o riesgos para la seguridad
de la Información?
4.2 Expectativas de las partes interesadas

Nro. Pregunta Respuesta (SI / NO) Observaciones

¿Se han identificado las partes

1
interesadas?

¿Existe un listado de requisitos

2 sobre Seguridad de la Información
de las partes interesadas?

¿Existe un listado de requisitos

sobre Seguridad de la Información
3 referente a reglamentos,
requisitos legales y requisitos
contractuales?

4.3 Alcance del SGSI

Nro. Pregunta Respuesta (SI / NO) Observaciones

¿Se ha determinado el alcance del SI Se ha

SGSI y se conserva información determinado el
documentada? alcance del SGSI
1
y se conserva
información
documentada

¿El alcance cuenta con las SI El alcance

características de la organización? cuenta con las
2 características
de la
organización

¿El alcance cuenta con los SI El alcance

procesos de la organización? cuenta con los
3
procesos de la
organización.
4 ¿El alcance cuenta con las NO El alcance
funciones y responsabilidades de cuenta con los
la organización? cargos, pero no
 estan detalladas
las funciones y
responsabilidade
s de la
organización

¿El alcance cuenta con los activos NO En el documento

de información de la organización? se menciona el
formato FTO01,
5
pero no se
suministró y no se
observó.

¿El alcance cuenta con la SI La organización no

ubicación geográfica de la cuenta con
organización (oficinas remotas, oficinas remotas y
6 lugares fuera de
interfaces con clientes, servicios,
control.
funciones, lugares fuera de
control)?

¿El alcance cuenta con los limites NO No se observó

desde la perspectiva información
organizacional (procesos, relacionada a
7 riesgos.
ubicaciones físicas, sistemas de
información, activos de
información, riesgos, personal)?

¿El alcance cuenta con los limites NO No tiene un

desde la perspectiva tecnológica detalle de cada
(Infraestructura tecnológica, uno de ,os temas
8
software, hardware, roles y de tecnología,
tales como<: HW,
responsabilidades)?
SW

4.4 SGSI Sistema de Gestión de la Seguridad de la información

Nro. Pregunta Respuesta (SI / NO) Observaciones

¿El sistema de Gestión de

Seguridad de la información SGSI
está establecido, implementado y
1
se revisa de forma planificada
considerando oportunidades de
mejora?
CONCLUSIONES:

Se identificó que la organización cuenta con un documento estructurado el cual

contiene todo el detalle del alcance del SGSI con los siguientes ítems:

● Características de la organización.
● Activos de Información.
● Ubicación Geográfica.
● Funciones y Responsabilidades.

Se identificó que la organización cuenta con un documento estructurado el cual

contiene todo el detalle del alcance del SGSI, sin embargo, no se observó la relación de
activos de información y la ubicación geográfica.

Recomendación:
Se recomienda que en el documento del alcance del SGSI se tenga en cuenta la
relación de activos de información y ubicación geográfica, para dar cumplimiento a
lo establecido en la cláusula 4.3 de la Norma internacional NTC-ISO/IEC
27001:2013.