¿Se ha realizado y documentado un análisis formal de los factores internos (ej. cultura, estructura, objetivos) y externos (ej. mercado, legislación, competencia) que impactan la seguridad de la información de la empresa?

¿Existe una lista documentada de las partes interesadas (clientes, proveedores, reguladores, empleados, etc.) y un análisis de sus requisitos y expectativas en materia de seguridad?

¿Está el alcance del SGSI claramente definido y documentado, especificando qué partes de la organización, procesos, activos y ubicaciones están cubiertas?

¿Están los procesos clave del SGSI y sus interacciones definidos, implementados y se busca activamente su mejora continua, alineados con el ciclo PDCA (Planificar-Hacer-Verificar-Actuar)?

¿Puede la alta dirección evidenciar su compromiso a través de la asignación de recursos, la comunicación activa de la importancia de la seguridad y su participación directa en las revisiones del SGSI?

¿Existe una política de seguridad de la información aprobada por la alta dirección, comunicada a toda la organización y alineada con los objetivos estratégicos del negocio?

¿Están los roles y responsabilidades de seguridad (ej. Dueño del Riesgo, CISO, etc.) formalmente asignados, documentados y comunicados a las personas involucradas?

¿Se ha establecido y se utiliza una metodología formal para identificar, analizar y evaluar los riesgos de seguridad de la información de manera consistente y repetible?

¿Existe un proceso para seleccionar y aplicar controles para tratar los riesgos identificados, y se documentan los resultados en un Plan de Tratamiento de Riesgos y una Declaración de Aplicabilidad (SoA)?

¿Se han definido objetivos de seguridad medibles (ej. "reducir incidentes de phishing en un 20%") que estén alineados con la política de seguridad y se haya planificado cómo alcanzarlos?

¿Se gestionan los cambios en el SGSI (ej. nuevos procesos, tecnologías o políticas) de forma controlada y planificada para asegurar que no introducen nuevos riesgos?

¿Se han asignado los recursos necesarios (financieros, humanos y tecnológicos) para establecer, mantener y mejorar eficazmente el SGSI?

¿Se asegura la organización de que el personal con responsabilidades de seguridad tiene la formación, certificaciones, habilidades y experiencia adecuadas para su rol?

¿Se llevan a cabo programas de sensibilización y formación para que todo el personal comprenda la política de seguridad, sus responsabilidades y las consecuencias de no cumplirla?

¿Existe un plan de comunicación que defina qué se comunica sobre seguridad de la información, a quién, cuándo y a través de qué canales (ej. reuniones, emails, intranet)?

¿Se gestiona la documentación del SGSI (políticas, procedimientos, registros) mediante un proceso que controla su creación, revisión, aprobación, distribución, versionado y obsolescencia?

¿Están los procesos operativos (ej. gestión de acceso, backups, etc.) planificados y controlados para asegurar que se ejecutan de acuerdo con los requisitos de seguridad definidos?

¿Se monitorean y miden indicadores clave de rendimiento (KPIs) para evaluar la eficacia del SGSI y sus controles, y se analizan los resultados para tomar decisiones informadas?

¿Se realiza un programa de auditorías internas para verificar que el SGSI cumple tanto con los requisitos de la norma ISO 27001 como con los definidos por la propia organización?

¿Se llevan a cabo reuniones formales de revisión por la alta dirección para evaluar la adecuación, idoneidad y eficacia del SGSI y tomar decisiones estratégicas basadas en datos?

¿Utiliza la organización los resultados de auditorías, revisiones y mediciones para identificar oportunidades y realizar mejoras continuas en el SGSI?

¿Existe un proceso formal para registrar, investigar y tratar las no conformidades, identificando su causa raíz e implementando acciones correctivas para evitar que se repitan?

¿Existe una política general de seguridad y políticas específicas (ej. de control de acceso) que estén aprobadas, actualizadas y comunicadas a todo el personal?

¿Están los roles y responsabilidades de seguridad claramente definidos, asignados y documentados para todo el personal y la dirección?

¿Se han identificado y separado funciones conflictivas (ej. quien solicita un pago no puede ser quien lo aprueba) para prevenir fraudes o errores no detectados?

¿Cómo demuestra la dirección su exigencia de que se cumplan las políticas de seguridad? ¿Forma parte de las evaluaciones de desempeño?

¿Se han identificado y establecido canales de comunicación con autoridades relevantes (ej. policía, agencias de ciberseguridad, autoridades de protección de datos)?

¿Participa la organización en foros, asociaciones o grupos de la industria para mantenerse actualizada sobre mejores prácticas y amenazas de seguridad?

¿Tiene la organización un proceso para recopilar y analizar activamente información sobre nuevas amenazas y vulnerabilidades que puedan afectarle (ej. suscripciones a boletines de seguridad)?

¿Se evalúan los riesgos de seguridad y se definen requisitos de seguridad como parte de la metodología de gestión de proyectos de la organización?

¿Existe un inventario actualizado de los activos de información (datos, software, hardware, etc.), con propietarios asignados y clasificación?

¿Existe una política de uso aceptable que defina lo que los empleados pueden y no pueden hacer con los activos de la empresa (ej. internet, email, portátiles)?

¿Existe un proceso formal de baja de empleados (offboarding) que asegure la devolución de todos los activos físicos y la revocación de todos los accesos lógicos?

¿Tiene la organización un esquema de clasificación de la información (ej. Público, Interno, Confidencial, Secreto) y se aplica a los datos que maneja?

¿Se etiqueta la información (tanto digital como física) según su clasificación para asegurar que se maneje con el nivel de protección adecuado?

¿Existen reglas claras y mecanismos seguros (ej. cifrado, acuerdos de transferencia) para proteger la información cuando se transfiere tanto dentro como fuera de la organización?

¿Existe una política de control de acceso que defina cómo se concede, revisa y revoca el acceso a la información, basada en los principios de "necesidad de saber"?

¿Existe un proceso centralizado para gestionar el ciclo de vida de las identidades de usuario (creación, modificación, eliminación) de forma única y segura?

¿Cómo se gestionan las contraseñas, tokens u otros autenticadores? ¿Se aplican políticas de complejidad, cambio periódico y protección?

¿Se revisan periódicamente los derechos de acceso de los usuarios para asegurar que sigan siendo apropiados para sus funciones (principio de mínimo privilegio)?

¿Se evalúan los riesgos de seguridad de los proveedores antes de establecer una relación comercial con ellos?

¿Se incluyen cláusulas de seguridad de la información, confidencialidad y cumplimiento en los contratos y acuerdos con los proveedores?

¿Evalúa la organización los riesgos de seguridad en toda la cadena de suministro de sus productos/servicios de tecnología, incluyendo los proveedores de sus proveedores?

¿Se realiza un seguimiento y revisión periódica del desempeño de seguridad de los proveedores para asegurar que cumplen con lo acordado?

¿Evalúa la organización la seguridad de los proveedores de servicios en la nube (ej. AWS, Azure, Google Cloud) y define requisitos de seguridad claros para su uso?

¿Existe un plan de respuesta a incidentes documentado que defina roles, responsabilidades y procedimientos a seguir en caso de un evento de seguridad?

¿Existe un proceso para evaluar las alertas y eventos de seguridad y determinar cuáles requieren una respuesta formal como incidentes?

¿Se siguen los procedimientos del plan de respuesta para contener, erradicar y recuperarse de los incidentes de seguridad de manera efectiva?

¿Se realiza un análisis post-incidente (lecciones aprendidas) para identificar la causa raíz y aplicar mejoras que eviten su recurrencia?

¿Existen procedimientos para recolectar y preservar evidencia digital de manera forense para facilitar investigaciones internas o legales?

¿Consideran los planes de continuidad del negocio cómo se mantendrán los controles de seguridad (ej. control de acceso, cifrado) durante una situación de desastre?

¿Se han implementado y probado planes de recuperación para la tecnología (TIC) que aseguren que los sistemas y datos críticos puedan restaurarse dentro de los plazos de negocio requeridos (RTO/RPO)?

¿Mantiene la organización un inventario de todas las leyes (ej. GDPR), regulaciones y cláusulas contractuales aplicables en materia de seguridad y privacidad?

¿Existen políticas y controles para proteger la propiedad intelectual de la empresa y para asegurar el uso legítimo de software y activos de terceros?

¿Se protegen los registros importantes (logs, registros financieros, etc.) para garantizar su integridad y disponibilidad durante el tiempo de retención requerido?

¿Identifica la organización qué datos personales recopila y aplica controles específicos para proteger la privacidad de acuerdo con la legislación vigente (ej. GDPR)?

¿Se somete el SGSI a revisiones por parte de auditores independientes (internos o externos) que no estén involucrados en su implementación?

¿Se realizan revisiones técnicas y de procedimientos para verificar que los sistemas y el personal cumplen con las políticas de seguridad establecidas?

¿Están documentados los procedimientos operativos clave (ej. cómo hacer backups, cómo dar de alta un usuario) y están disponibles para el personal que los necesita?

¿Se realiza una verificación de antecedentes (screening) a los candidatos para roles críticos o con acceso a información sensible, de acuerdo con la ley?

¿Incluyen los contratos de trabajo cláusulas que definen las responsabilidades de seguridad de la información del empleado?

¿Recibe todo el personal formación inicial y continua sobre seguridad de la información, incluyendo temas como phishing y gestión de contraseñas?

¿Existe y se ha comunicado un proceso disciplinario que especifique las consecuencias de incumplir las políticas de seguridad de la información?

¿Se gestionan las responsabilidades post-empleo, como los acuerdos de confidencialidad (NDA), como parte del proceso de baja del empleado?

¿Firman los empleados, contratistas y otros terceros con acceso a información sensible acuerdos de confidencialidad (NDA)?

¿Existe una política de trabajo remoto que defina los requisitos de seguridad para los empleados que trabajan desde casa (ej. uso de VPN, seguridad de la red Wi-Fi)?

¿Conoce el personal cómo y a quién reportar un incidente de seguridad sospechoso de manera rápida y sencilla?

¿Están las instalaciones protegidas por perímetros de seguridad claros (ej. muros, vallas, recepción) para controlar el acceso físico?

¿Se utilizan controles de acceso físico (ej. tarjetas de acceso, cerraduras) para restringir la entrada a áreas seguras como oficinas y centros de datos?

¿Se han implementado medidas de seguridad física dentro de las oficinas, como cerraduras en despachos sensibles o armarios con llave para documentos?

¿Se utilizan sistemas de monitoreo (ej. cámaras de vigilancia, alarmas de intrusión) para supervisar las áreas críticas y detectar accesos no autorizados?

¿Están los centros de datos y salas de servidores protegidos contra amenazas como incendios (detectores, extintores), inundaciones (sensores) y fallos de suministro eléctrico (SAI/UPS)?

¿Existen reglas específicas para trabajar en áreas seguras, como la supervisión de visitas o la restricción del uso de cámaras?

¿Existe una política de escritorio y pantalla limpios que exija guardar documentos sensibles y bloquear las pantallas de los ordenadores cuando no se están utilizando?

¿Se ubican los equipos críticos (ej. servidores) en áreas protegidas para minimizar el acceso no autorizado y la exposición a daños?

¿Qué medidas de seguridad se aplican a los activos cuando salen de la oficina, como el cifrado de disco en portátiles o el seguimiento de dispositivos?

¿Existe un procedimiento para gestionar los medios de almacenamiento (USB, discos duros, cintas de backup), incluyendo su compra, transporte y destrucción segura?

¿Están los sistemas críticos protegidos por sistemas de alimentación ininterrumpida (SAI/UPS) y generadores para asegurar su funcionamiento ante un corte eléctrico?

¿Está el cableado de red y eléctrico protegido contra daños físicos o interceptación no autorizada (ej. mediante canaletas, armarios de red cerrados)?

¿Se siguen procedimientos seguros durante el mantenimiento de los equipos, como la supervisión del personal externo y la verificación de que la seguridad no se vea comprometida?

¿Existe un proceso para garantizar que los datos se borran de forma segura o los discos se destruyen físicamente antes de desechar equipos como ordenadores o servidores?

¿Están los ordenadores de los usuarios (endpoints) protegidos con medidas como antivirus/antimalware, cifrado de disco y firewalls personales?

¿Se gestionan los privilegios de administrador de forma restringida, concediéndolos solo cuando es estrictamente necesario y por tiempo limitado?

¿Se utilizan mecanismos técnicos (ej. permisos en sistemas de archivos) para hacer cumplir el principio de "necesidad de saber" y restringir el acceso a la información?

¿Está el acceso al código fuente de las aplicaciones controlado y auditado, permitiéndolo solo a los desarrolladores autorizados?

¿Se utilizan mecanismos de autenticación robustos, como la autenticación multifactor (MFA), especialmente para accesos a sistemas críticos o remotos?

¿Se monitorea la capacidad de los sistemas (CPU, RAM, disco) para anticipar problemas de rendimiento y planificar futuras necesidades?

¿Están todos los servidores y dispositivos de usuario protegidos con software antimalware actualizado, y se realizan análisis periódicos?

¿Existe un proceso para identificar, evaluar y remediar vulnerabilidades técnicas en sistemas y aplicaciones (ej. mediante escaneos de vulnerabilidades y gestión de parches)?

¿Se utilizan configuraciones seguras (hardening) estandarizadas para desplegar nuevos sistemas, y se monitorea para detectar desviaciones?

¿Se utilizan herramientas de borrado seguro para eliminar permanentemente la información de los medios antes de su reutilización o desecho?

¿Se utilizan técnicas como el enmascaramiento o la anonimización de datos para proteger la información sensible en entornos de prueba o desarrollo?

¿Se utilizan herramientas de Prevención de Fuga de Datos (DLP) para monitorear y bloquear la exfiltración no autorizada de información sensible?

¿Existe una política de copias de seguridad que defina qué se respalda, con qué frecuencia, y se realizan pruebas periódicas de restauración para asegurar su validez?

¿Se utilizan componentes redundantes (ej. fuentes de alimentación, discos en RAID, clústeres de servidores) para asegurar la alta disponibilidad de los sistemas críticos?

¿Se generan y almacenan de forma segura los registros (logs) de los sistemas, y se revisan para detectar actividades sospechosas?

¿Se utilizan herramientas de monitoreo (ej. SIEM) para detectar y alertar sobre actividades inusuales o potencialmente maliciosas en tiempo real?

¿Están los relojes de todos los sistemas sincronizados con una fuente de tiempo fiable (ej. servidor NTP) para asegurar la correlación precisa de los eventos?

¿Se restringe y monitorea el uso de herramientas de administración potentes para evitar su uso indebido?

¿Existe un proceso controlado para instalar software en los sistemas, basado en listas de software aprobado para evitar la instalación de aplicaciones no autorizadas o maliciosas?

¿Se utilizan controles de red como firewalls y listas de control de acceso (ACL) para gestionar el flujo de tráfico y proteger los perímetros de la red?

¿Se configuran los servicios de red (DNS, DHCP, etc.) de forma segura y se deshabilitan los puertos y servicios innecesarios?

¿Está la red segmentada en diferentes zonas (ej. red de usuarios, red de servidores, DMZ) para limitar la propagación de un posible ataque?

¿Se utiliza una solución de filtrado web para bloquear el acceso a categorías de sitios web maliciosos o inapropiados?

¿Existe una política que defina cuándo y cómo usar el cifrado para proteger datos en reposo y en tránsito, y cómo gestionar las claves criptográficas de forma segura?

¿Se integra la seguridad en todas las fases del ciclo de vida de desarrollo de software (SDLC), desde los requisitos hasta el despliegue?

¿Se definen requisitos de seguridad específicos antes de desarrollar o comprar una nueva aplicación?

¿Se aplican principios de diseño seguro, como la defensa en profundidad o el diseño por defecto seguro, al construir nuevas arquitecturas?

¿Reciben los desarrolladores formación en prácticas de codificación segura (ej. para prevenir inyección SQL, XSS) y se revisa el código en busca de vulnerabilidades?

¿Se realizan pruebas de seguridad (ej. SAST, DAST, pruebas de penetración) como parte del proceso de desarrollo y antes de poner las aplicaciones en producción?

¿Cuando se subcontrata el desarrollo, se imponen requisitos de seguridad al proveedor y se verifica su cumplimiento?

¿Están los entornos de desarrollo, pruebas y producción lógicamente (o físicamente) separados para evitar que los cambios de desarrollo afecten a la producción?

¿Existe un proceso formal de gestión de cambios que requiera la evaluación de riesgos de seguridad, la aprobación y las pruebas antes de implementar cambios en producción?

¿Se evita el uso de datos personales o sensibles reales en entornos de prueba? Si es necesario, ¿se anonimizan o se protegen adecuadamente?

¿Se planifican y acuerdan cuidadosamente las pruebas de auditoría en sistemas productivos para minimizar el riesgo de impacto en las operaciones?