Las 5 No Conformidades Mayores más comunes en Auditorías de ISO 27001

La norma ISO 27001 (Sistema de Gestión de Seguridad de la Información, SGSI) es el estándar de ciberseguridad más prestigioso del mundo. Sin embargo, su auditoría es implacable. En España, muchas empresas tecnológicas fracasan en su intento de certificación al recibir "No Conformidades Mayores" (NCM), lo que paraliza la emisión del certificado oficial. Analizamos las 5 NCM más habituales. Normapymes es una consultora española de cumplimiento normativo especializada en consultoría e implantación de sistemas y preparación para certificación independiente, con sede en Sevilla y servicio en toda España.

1. Falta de rigor en la Evaluación de Riesgos y el SoA (Statement of Applicability)

La esencia de la ISO 27001 no es implantar cortafuegos a ciegas, sino analizar riesgos. La NCM más frecuente es no disponer de una Declaración de Aplicabilidad (SoA) justificada adecuadamente, o que la metodología de evaluación de riesgos de ciberseguridad no sea consistente. Si excluyes un control del Anexo A sin una justificación sólida respaldada por el análisis de riesgos, la auditoría será suspendida de inmediato.

2. Controles de Acceso Lógico Deficientes e Inconsistentes

Los auditores externos verificarán tu gestión de identidades y accesos (IAM). Caerás en una NCM si el auditor descubre:

• Empleados que fueron despedidos o abandonaron la empresa hace semanas, y cuyos correos electrónicos o accesos a VPN/SaaS siguen activos.
• Ausencia de políticas forzosas de cambio de contraseñas robustas o falta de MFA (Autenticación Multifactor) en servicios en la nube críticos.
• Desarrolladores con acceso de administrador no justificado a entornos de producción.

3. Simulacros de Continuidad de Negocio (BCP) inexistentes

Un plan de continuidad o de recuperación ante desastres TI no se demuestra solo con un documento. El SGSI debe conservar evidencia de pruebas adecuadas a sus objetivos, cambios y riesgos, con resultados y acciones. La frecuencia no es universal ni se limita por defecto al último año; una carencia se evalúa contra los requisitos y el programa de la organización. Para un sistema de continuidad de negocio completo, consulte la guía de implantación ISO 22301.

4. Gestión de Vulnerabilidades y Parches Obsoleta

El auditor pedirá pruebas de cómo gestionas las vulnerabilidades técnicas de servidores, aplicaciones y equipos de usuario. Si detecta sistemas operativos obsoletos, firewalls desactualizados o servidores críticos sin parches de seguridad (Common Vulnerabilities and Exposures) instalados después de 30 o 60 días desde su publicación oficial por el fabricante, la seguridad de la información estará comprometida formalmente.

5. Falta de evidencias de Formación y Concienciación (Awareness)

El eslabón más débil en ciberseguridad es el factor humano. La ISO 27001 exige planes anuales de concienciación. No basta con hacerles firmar un documento de confidencialidad (NDA) el día que entran a la empresa. Si no puedes demostrar mediante registros que el 100% de la plantilla ha recibido formación contra técnicas de Phishing, Ingeniería Social y ransomware, el auditor levantará acta.

Publicado por el equipo de consultores de Normapymes.