Dos directores esta semana. La misma pregunta de mi parte: cuénteme su última revisión por la dirección.
El primero: «¿El qué?»
El segundo: «Creo que firmé algo en marzo.»
Mi equipo en Cresco Cybersecurity, parte del grupo Integrity360, está llevando a ambas organizaciones hacia la certificación ISO 27001. Las dos entran en la Etapa 2 antes de que acabe el mes. Ambos SGSI están en buen estado. El alcance redactado, la evaluación de riesgos completada, la SoA justificada línea por línea, la auditoría interna cerrada y las acciones en seguimiento. Nueve meses de trabajo sólido por parte de personas que sabían lo que hacían.
Y ambas estaban a punto de llevar a su máximo responsable a una sala con un auditor, sin ninguna preparación.
Nadie le avisa al director de que está en el programa
Revise su plan de auditoría. La alta dirección tiene un turno. Suele ser al principio, a menudo antes de que el auditor haya examinado cualquier otra cosa, y existe porque ISO/IEC 17021-1 exige que la Etapa 2 evalúe la responsabilidad de la dirección. No se puede evaluar la responsabilidad de la dirección leyendo una política. Hay que hablar con la dirección.
Así que la primera impresión real de su SGSI viene de la única persona en el edificio que nunca ha leído una cláusula de la norma.
Y esta es la aritmética que nadie hace. Un control inexistente da lugar a una no conformidad menor. Un responsable inexistente lleva a la Cláusula 5. Una de esas se cierra con una captura de pantalla. La otra dice que el sistema entero no pertenece a nadie, y cambia la manera en que el auditor lee cada evidencia durante el resto de la semana.
Su director no necesita saber qué es TLS. Si empieza a explicarlo, eso es peor, no mejor. Necesita responder a seis preguntas.
Las seis preguntas
«¿Cuál es el alcance de su SGSI?»
La respuesta que mata es «todo lo que hacemos». La segunda que mata es el silencio seguido de una mirada al responsable de seguridad. Todo el mundo en la sala ve esa mirada.
Cláusula 4.3. El perímetro, en lenguaje de negocio. Qué servicios, qué equipos, qué sedes. Y una cosa que queda deliberadamente fuera, y por qué.
Esta última parte importa más que el resto. Cualquiera puede recitar lo que está incluido. Solo quien estuvo en la conversación sabe qué se dejó fuera.
«¿Cuáles son sus objetivos de seguridad de la información?»
«No ser hackeados.» Eso es lo que me respondieron esta semana. Es honesto. También le dice al auditor que nadie ha medido nunca nada.
Cláusula 6.2. Dos o tres, aproximadamente, con una dirección de mejora. Nadie espera que un director cite cifras. Sí esperan que sepa en qué decidió mejorar la empresa y si está funcionando.
«¿Cuáles son sus mayores riesgos?»
Observe esta. Nueve de cada diez veces el director repite lo que le dijo IT, y lo que le dijo IT es una lista de controles ausentes. Sin MFA. Atrasados en los parches. Sin prueba de DR desde el año pasado.
Esos no son riesgos. Son brechas. Un auditor escucha eso y sabe exactamente lo que ocurrió: la evaluación de riesgos la construyó un único técnico, en una hoja de cálculo, en solitario, y nunca salió del equipo de seguridad.
«¿Qué recursos ha proporcionado?»
Esta es la que les pilla. Absolutamente todas las veces.
«Apoyamos plenamente el programa.» Eso es una frase, no un recurso. Las Cláusulas 5.1 y 7.1 quieren algo que se pueda contar. Una partida presupuestaria. Una contratación. Una herramienta que se pagó. Días liberados para que alguien pudiera ejecutar la auditoría interna. Formación que se aprobó.
Si su director no puede nombrar ninguno, siéntese con la versión incómoda de eso: ¿alguna vez le pidió algo? Un director al que nunca se le ha pedido nada no es que no apoye. Es que no está informado. Y eso es responsabilidad suya.
«¿Quién es responsable de la seguridad de la información aquí?»
«Nuestro CISO.» Incorrecto, y es un camino rápido hacia un hallazgo en la Cláusula 5.3.
La responsabilidad operativa se delega. La responsabilidad última no se mueve. La respuesta es «yo», seguida de quién lo gestiona día a día y con qué frecuencia le informa.
«Cuénteme su última revisión por la dirección.»
La pregunta más reveladora de toda la entrevista, de ahí que haya comenzado con ella.
Tres cosas; ese es el listón. Aproximadamente cuándo. Quién estaba en la sala. Una decisión que salió de ella.
Una decisión. Solo eso.
Si no pueden nombrar ninguna, el auditor concluirá lo que usted concluiría en su lugar: la revisión por la dirección ocurrió sobre el papel, unos días antes de la auditoría, y nadie tomó ninguna decisión porque nadie estaba realmente presente. Después van a comprobarlo. Suelen tener razón.
Y una que nadie ve venir. ¿Ha determinado alguien si el cambio climático es relevante para su SGSI? La Enmienda 1, de febrero de 2024, añadió una sola frase a la Cláusula 4.1: la organización debe determinar si el cambio climático es una cuestión relevante. Los auditores llevan preguntando desde que las auditorías de seguimiento lo recogieron ese mismo año.
«Lo analizamos, afecta a la disponibilidad en nuestra sede de Lisboa y está recogido en el análisis de contexto» funciona perfectamente. También funciona «lo analizamos, no es relevante para nuestro SGSI y aquí está documentado».
Está permitido concluir que no. No está permitido no concluir nada.
Reglas para la sala
Responda la pregunta y deje de hablar. El silencio no es un hueco que su director deba llenar. Es una técnica. Los directores odian el silencio y lo llenan con detalles, y cada detalle es una puerta. Cada puerta es una nueva línea de investigación, y ya consta en el registro.
«No lo sé, eso lo lleva [nombre]» es una respuesta válida. Adivinar, no. Nadie suspende porque un director no retenga un detalle operativo. Todo auditor persigue alguna vez una suposición que resulta ser incorrecta, y entonces se tiene un problema de credibilidad encima de uno factual.
Nunca diga «siempre» ni «nunca». Los absolutos son una invitación a tomar muestras. Diga «siempre revocamos el acceso en la fecha de baja» y el auditor irá a buscar el caso en que no lo hicieron. «El proceso establece X y lo revisamos trimestralmente» resiste el contacto. Los absolutos, no.
No responda por otras personas. «Creo que IT se encarga de eso» es un hilo, y lo van a tirar. «Eso lo lleva [nombre], que está disponible esta tarde» no es un hilo.
Nada se promete para después de la auditoría. Todo lo que su director ofrezca enviar más adelante entra directamente en las notas. Si no existía durante la auditoría, no existía. La misma trampa con «estamos trabajando en eso». Si el trabajo ya está registrado como una acción de mejora con un responsable y una fecha, dígalo exactamente así. Si no lo está, su director acaba de declarar una no conformidad en voz alta.
No se desahogue. Los directores se desahogan. «Pido presupuesto y nunca me lo dan» es un hallazgo de la Cláusula 7.1, entregado voluntariamente por la única persona en el edificio cuyo testimonio tiene más peso.
Trucos que realmente funcionan
Envíe tres líneas destacadas, no el expediente completo. Cuarenta y ocho horas antes, las actas de la última revisión por la dirección llegan al director con exactamente tres cosas marcadas: la fecha, los asistentes y una decisión. Nadie lee un expediente de doce páginas la noche anterior. Todo el mundo lee tres líneas destacadas.
Déle un solo número. Los directores recuerdan un número. Elija el que demuestre compromiso y hágalo suyo. La cifra de presupuesto, el número de personas contratadas, los días liberados para la auditoría interna. Uno. No un cuadro de mando.
Redacte la frase de responsabilidad con ellos, con sus palabras. Quién es responsable, quién lo gestiona, con qué frecuencia se reúnen. Su formulación, no la suya. Una frase que el director ha construido él mismo resiste la pregunta de seguimiento. Una frase que usted escribió para él se derrumba a la segunda.
Haga el primer ensayo sin el responsable de seguridad en la sala. Descubrirá muy rápido qué retiene realmente el director frente a lo que normalmente se le entrega. Incorpore al ISM en la segunda ronda.
Ponga los registros sobre la mesa. La política, la declaración de alcance, los objetivos, las actas de la última revisión por la dirección. Leer a partir de un registro no es hacer trampa; es exactamente el punto. Un director que dice «déjeme consultar las actas» y las consulta acaba de demostrar que las actas se utilizan.
Solicite un horario razonable. No encajado entre dos llamadas del consejo. Un director con prisa da respuestas cortantes, las respuestas cortantes parecen desinterés y el auditor alarga la sesión para averiguar por qué. Veinte minutos sin prisa son más cortos que diez con ella.
Adviértale de que el auditor puede pedirle que salga. Algunos lo hacen, y tienen derecho a ello. Si la cara del director cae cuando ocurre, esa es información que el auditor obtiene gratis.
Cualquier cosa que aflore en el ensayo, regístrela
Este es el paso que la mayoría pasa por alto.
Hace el ensayo con una semana de antelación y salen a la superficie tres brechas reales. El instinto es ir a corregirlas discretamente como si nunca hubieran existido.
Haga lo contrario. Introdúzcalas en el registro de mejora ese mismo día, con un responsable y una fecha.
Una brecha que el auditor encuentra y que usted ya había registrado, asignado y fechado es evidencia de que la Cláusula 10 funciona. La misma brecha sin registrar es una no conformidad. Usted puede elegir en cuál se convierte, y esa elección caduca en el momento en que el auditor se sienta.
No está informando a su director. Se está auditando a sí mismo.
Cuarenta y cinco minutos, con una semana de antelación. No presento nada. Formulo las seis preguntas en voz alta, en orden, y dejo que respondan mal.
Después miramos lo que no pudieron responder, y ahí es donde deja de ser una sesión informativa.
¿No puede nombrar una decisión de la revisión por la dirección? La revisión por la dirección no es real.
¿No puede nombrar un recurso? Nadie se lo pidió nunca.
¿No puede describir el alcance? El alcance pertenece a quien lo redactó, y no fue él.
No construyó un SGSI deficiente. Lo construyó junto al negocio en lugar de dentro de él. Los documentos están bien. El sistema simplemente no pasa por las personas que la norma dice que debe pasar. Eso es una no conformidad de la Cláusula 5 y un auditor tendría razón al redactarla.
Mejor que lo encuentre usted antes que ellos. Una semana es suficiente para hacerlo real. No es suficiente para hacerlo presentable.
Si su auditoría es el lunes
Tres cosas, en este orden.
Una decisión de la última revisión por la dirección. Un número que demuestre un recurso. Una frase sobre quién es responsable.
Con esas tres cosas, su director entra con algo real que decir. Todo lo demás de esta página es para la próxima vez.
Las dos empresas con las que me reuní esta semana cambiaron algo en los días siguientes. Ningún cambio fue un documento.
Así que vaya hoy mismo y hágale a su director una sola pregunta. Nombre una decisión de la última revisión por la dirección.
Lo que responda es su respuesta.
Christophe Mazzola es Head of GRC Practice Development en Cresco Cybersecurity, parte del grupo Integrity360, y CISO en ejercicio.
Nuestros cursos de ISO/IEC 27001 Lead Implementer y Lead Auditor cubren la Cláusula 5 y la Cláusula 9.3 tal como se auditan, no como se resumen. Cinco días, certificación PECB, 2.499 €. Si suspende el examen dos veces, le devolvemos el dinero.