Auditoria interna de un SGSI según ISO 27001

Interesante artículo el que escribe, con todo lujo de detalles, mi amigo José Manuel.

Auditoria interna de un SGSI segun ISO 27001 es un esbozo de los principales entresijos que tiene la evaluación interna de un Sistema de Gestión de Seguridad de la Información (SGSI), enfocando el problema desde el punto de vista normado que ofrece ISO 27001:2005, y desde la óptica de la auditoría no conducida por terceros, sino por personal propio del patrocinador del sistema.

Este tipo de artículos me vienen siempre de perlas, ya que desde hace tiempo he pasado del mundo de la consultoría de la gestión de seguridad a trabajar en un área de auditoría interna, con lo que, gracias a este tipo de enfoques, puedo ver cómo plantean los servicios de consultoría el diseño y la implantación de sistemas de este tipo. En la brega diaria de la auditoría, cuando la consultoría emana desde dentro, se cogen siempre las mejores prácticas de las normas y recomendaciones, pero nunca se sigue a pies juntillas un sólo texto: lo frecuente es componer nuestras propias normas inhouse que más se adapten a nuestras necesidades de gestión. Las consultoras externas suelen optar por ceñirse a un marco determinado, y esto es algo principalmente debido a la certificabilidad del sistema propuesto, y también por que es más sencillo desplegar un servicio que se ciña a un sólo marco que no uno que cumpla o contemple más de un marco.

Me quedo especialmente con la reflexión final:

Lo ideal para un auditor en estas líneas de negocio es disponer de conocimientos solventes en sistemas informáticos y de información, así como solvencia contrastada en las técnicas de gestión que se vienen imponiendo en todo el mundo en los últimos años.

Suscribo esta hipótesis al 100% :)