Inventariamos

Cómo preparar la auditoría de ISO 27001 o del ENS: las evidencias que te van a pedir

Qué carpetas conviene tener montadas antes de que llegue el auditor, qué pide cada control de la ISO 27001 y del ENS y cómo responder a una no conformidad sin dramatismos.

8 min de lectura Ángel Martín Quero · Técnico de sistemas en Inventariamos · Revisado el

Qué mira el auditor y qué te va a pedir

Una auditoría de certificación no consiste en que alguien te pregunte si tenéis una política de seguridad. Consiste en que te pida ver algo concreto: la lista de equipos, el último correo de una copia fallida, el alta de la persona que entró en septiembre, el acta de la última formación. Si lo enseñas en un minuto, el control está cubierto. Si tienes que ir a buscarlo a tres sitios, el auditor lo apunta.

Conviene separar los dos esquemas. La ISO/IEC 27001:2022 es una norma internacional y la certificación la emite una entidad acreditada (en España, acreditada por ENAC). Suele funcionar por ciclos, con una auditoría inicial y revisiones periódicas de seguimiento, y el auditor elige una muestra de controles del Anexo A que hayas declarado aplicables. El ENS (Real Decreto 311/2022, BOE-A-2022-7191) es obligatorio para el sector público y para las empresas privadas que le prestan servicios o soluciones. Según su texto, los sistemas de categoría MEDIA o ALTA precisan una auditoría para certificar su conformidad, y los de categoría BÁSICA pueden declararla con una autoevaluación. La auditoría ordinaria del ENS debe repetirse al menos cada dos años.

Aunque cambien las siglas, las evidencias técnicas que se piden se repiten. Casi siempre caen en seis familias:

  • Inventario de activos: equipos, licencias y responsables (ISO 5.9, ENS op.exp.1).
  • Copias de seguridad y pruebas de restauración (ISO 8.13, ENS mp.info.6).
  • Altas, bajas y cambios de accesos (ISO 5.15 y 5.18, ENS op.acc.4).
  • Parches y protección contra malware (ISO 8.7 y 8.8, ENS op.exp.4 y op.exp.6).
  • Incidentes y su gestión (ISO 5.24 a 5.28, ENS op.exp.7).
  • Formación y concienciación (ISO 6.3, ENS mp.per.3).

Si ya tienes un inventario cuidado, la mitad del trabajo está hecho. Si no, empieza por la guía de cómo hacer un inventario de equipos informáticos.

La carpeta de evidencias, ordenada por control

La forma más barata de llegar tranquilo es una carpeta compartida (SharePoint, OneDrive o un recurso de red con permisos limitados) con una subcarpeta por familia. Dentro, solo evidencias con fecha: exportaciones, capturas, actas y registros. Nada de borradores. Abajo tienes un ejemplo para una oficina de unos veinte puestos; despliega cada carpeta para ver qué suele ir dentro.

/Evidencias-2026/
01-inventario/ISO 5.9, 8.1 · op.exp.1
  • Exportación mensual de equipos (PC-RECEP-02, PORT-GERENCIA-01…) con serie, usuario y SO
  • Relación de licencias y responsable de cada una (ISO 5.32)
  • Actas de entrega y devolución firmadas (ISO 5.11)
02-copias/ISO 8.13 · mp.info.6
  • Informe semanal de copias con resultado correcto o fallido
  • Acta de la última prueba de restauración: qué se restauró, quién y cuánto tardó
  • Captura de la política de retención y de la copia fuera de la oficina
03-accesos/ISO 5.15, 5.18, 8.5 · op.acc.4, op.acc.6
  • Formularios de alta y baja con fecha de ejecución
  • Listado trimestral de usuarios y permisos revisado y firmado
  • Captura de la directiva de contraseñas y del doble factor en Microsoft 365
04-parches-y-malware/ISO 8.7, 8.8 · op.exp.4, op.exp.6
  • Informe de actualizaciones de Windows 11 y macOS por equipo
  • Estado del antivirus en todos los puestos y fecha de las últimas firmas
  • Lista de equipos sin soporte y plan para sustituirlos
05-incidentes/ISO 5.24 a 5.28 · op.exp.7
  • Registro de incidencias con fecha, causa, solución y responsable
  • Procedimiento de notificación, con el plazo de 72 h del RGPD (art. 33) para brechas con datos personales
  • Informe de la última incidencia relevante y lo aprendido
06-formacion/ISO 6.3 · mp.per.3
  • Hoja de asistencia a la sesión anual sobre phishing y uso aceptable (ISO 5.10)
  • Material usado y fecha de la última revisión
  • Aceptación del uso aceptable por parte de cada nueva incorporación

Dos hábitos mejoran la carpeta más que cualquier herramienta: poner la fecha en el nombre del archivo (2026-09-copias-restauracion.pdf) y guardar la evidencia el mismo día en que ocurre. Reconstruir un registro dos semanas antes de la visita es la forma más habitual de acabar con una no conformidad.

Cómo sacar cada evidencia sin pasar una semana

Buena parte de lo que pide el auditor se puede exportar en minutos si sabes dónde mirar. Algunos ejemplos reales en un puesto Windows 11:

Para demostrar que un equipo tiene el disco cifrado (ISO 8.1, ENS mp.eq.3), abre PowerShell como administrador y ejecuta:

Estado de BitLocker en el equipo 
manage-bde -status C:

Para mostrar el nivel de actualizaciones instaladas (ISO 8.8, ENS op.exp.4), esta consulta lista las últimas revisiones con su fecha:

Últimas actualizaciones instaladas 
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10 HotFixID, InstalledOn

En un Mac, Ajustes del Sistema > General > Acerca de muestra la versión de macOS, y Privacidad y seguridad > FileVault confirma el cifrado. En Microsoft 365, el centro de administración permite exportar la lista de usuarios con licencia y el estado del doble factor; esa exportación, con fecha, vale como evidencia de accesos.

Ojo con las capturas sueltas: una imagen sin fecha ni equipo identificable convence poco. Mejor un informe exportado, con el nombre del equipo visible. Para ver cuándo conviene retirar los equipos que ya no reciben actualizaciones, la guía sobre cuándo renovar los ordenadores de la empresa te da el criterio.

Las pruebas de restauración merecen un párrafo aparte porque casi nadie las hace. Tener copias que se ejecutan cada noche no demuestra que se puedan recuperar. Una vez al trimestre, elige un archivo al azar de una carpeta de administración, restáuralo en otro sitio, ábrelo y apunta fecha, quién lo hizo y el tiempo que llevó. Es un acta de diez líneas, y es justo lo que se echa en falta en las auditorías.

No conformidades mayores y menores

Cuando el auditor encuentra algo que no cumple, lo clasifica. La terminología varía un poco entre entidades, pero la idea es parecida:

Tipo Qué significa Ejemplo en una oficina
Mayor Falta un requisito completo o hay un fallo que compromete el sistema. Suele bloquear o retrasar el certificado hasta que se corrige. No existe ninguna prueba de restauración ni registro de copias en todo el periodo.
Menor El requisito está cubierto pero con un fallo puntual o aislado. Se corrige con un plan y se revisa después. Una baja de empleado tardó tres semanas en ejecutarse, cuando el resto se hicieron el mismo día.
Observación u oportunidad de mejora No incumple nada, pero el auditor avisa de un riesgo. No exige acción formal. El inventario está al día, pero no tiene responsable asignado en tres impresoras.

Un detalle práctico: lo que más suele hundirse son los registros que dependen de una persona y de su memoria, como los que dependen de que alguien se acuerde de apuntar la baja. Si el proceso no deja rastro por sí solo, tarde o temprano falta un dato.

Plan de acciones correctivas

Si te llega una no conformidad, no discutas el fondo en la sala. Pide que quede por escrito y responde con un plan, que es lo que la entidad espera. Un buen plan de acciones correctivas tiene cinco partes:

  1. Descripción: qué se encontró, con la misma redacción del informe.
  2. Causa: por qué ocurrió. «Se olvidó» no es una causa; «el aviso de baja depende de un correo manual» sí lo es.
  3. Corrección inmediata: arreglar el caso concreto (ejecutar la baja pendiente, lanzar la restauración).
  4. Acción correctiva: cambiar el proceso para que no se repita, con responsable y fecha.
  5. Comprobación: cómo y cuándo se verificará que funciona, con su evidencia.

Los plazos los fija la entidad certificadora y dependen de la gravedad, así que pregúntalos por escrito. Si la no conformidad tiene que ver con un incidente, la guía de gestión de incidencias informáticas ayuda a que el registro quede en su sitio, y si tiene que ver con el cese de personas, la de altas y bajas de empleados y equipos.

Calendario de preparación en ocho semanas

Si la auditoría está a un par de meses, este reparto funciona en una oficina de entre 10 y 40 puestos sin parar la actividad:

  • Semanas 1 y 2: montar la carpeta de evidencias y completar el inventario. Asignar responsable a cada familia.
  • Semanas 3 y 4: hacer la primera prueba de restauración, revisar usuarios y permisos y exportar el estado de parches.
  • Semana 5: sesión de formación con hoja de firmas y repaso del procedimiento de incidentes.
  • Semana 6: auditoría interna: alguien que no haya montado las carpetas intenta encontrar cada evidencia en menos de dos minutos.
  • Semanas 7 y 8: cerrar lo que haya salido y dejar el plan de acciones preparado, por si acaso.

No hace falta tener todos los controles perfectos. La norma pide un sistema que funcione y mejore, no uno impecable. Y si aún no tienes política escrita, empieza por la guía de política de seguridad de la información para una pyme y, si te preguntas por dónde empezar con el alcance, por la de certificación ISO 27001 en una pyme.

Fuentes oficiales

Cómo lo hacemos en Inventariamos

No certificamos ni auditamos: eso corresponde a una entidad acreditada. Lo que sí hacemos, según el alcance acordado, es ayudarte a preparar y mantener las evidencias técnicas desde nuestro servicio de ciberseguridad para pymes. El panel de Inventariamos mantiene el inventario actualizado y exportable por fecha, y desde sistemas y redes revisamos copias, restauraciones, accesos y parches para que cada carpeta tenga su registro. Si quieres ver cuánto te falta antes de la visita, escríbenos desde Contacto.

Volver a todas las guías