¿Qué te pedirá el auditor que aún no puedes enseñar? Un registro para ISO 27001, NIS2 y RGPD

El problema

La mayoría de hallazgos de auditoría no son por falta de seguridad, sino por falta de pruebas. La prueba de restauración trimestral se hizo en junio pero no en septiembre, y la auditoría es en cinco semanas. La copia inmutable del backup lleva una semana fallando y nadie lo ha relacionado con los controles. Un control está marcado como implantado sin ninguna evidencia detrás. La excepción de DLP caducó el mes pasado. Y la misma prueba de restauración responde a ISO 27001, NIS2 y RGPD, pero la recogen tres personas tres veces, o nadie.

Qué he hecho

• Un único registro de controles y evidencias mapeado a ISO/IEC 27001:2022, NIS2 y RGPD, con comprobaciones en cinco áreas: evidencias, controles, excepciones, cobertura por requisito y calidad de los datos.
• El grado de preparación de cada marco para la fecha de auditoría: cada requisito queda cubierto, excluido, en riesgo o como brecha, con lo que lo impide.
• report.html con un plan de recogida a nueve semanas, review.md para la revisión de seguridad, actions.csv, un índice audit-pack.csv para el auditor, un soa.csv en formato de Declaración de Aplicabilidad y evidence-calendar.ics con cada fecha de vencimiento.

Cómo está hecho

Python solo con la librería estándar. La demo es una empresa inventada con 23 controles, 33 evidencias y 3 excepciones frente a 48 requisitos, cinco semanas antes de una auditoría de seguimiento de ISO 27001, con brechas puestas a propósito. 14 tests.

Qué aprendí

De aplicar ISO 27001, NIS2 y RGPD en operaciones de IT, preparando evidencias y respondiendo auditorías: una evidencia bien guardada sirve para varios marcos, y el calendario de lo que hay que recoger importa tanto como los propios controles.

Siguientes pasos

• Exportar tu registro de controles y tu índice de evidencias a CSV y adaptar las columnas.
• Añadir al catálogo los requisitos frente a los que te auditan.
• Importar evidence-calendar.ics en el calendario del equipo y ejecutarlo antes de cada revisión de seguridad.

¿Quieres llevarlo a tu entorno o adaptarlo a tu caso? Escríbeme y lo vemos.