EXTRACTE SIMULAT
| Control | Aplicable | Estat | Risc |
|---|---|---|---|
| A.5 Polítiques de SI | Sí | Parcial | Mitjà |
| A.6 Organització | Sí | Absent | Alt |
| A.8 Gestió d’actius | Sí | Iniciada | Mitjà |
| A.8.8 Vulnerabilitats | Sí | Absent | Alt |
| A.5.30 Continuïtat TIC | Sí | Absent | Crític |
Disposar de la certificació ISO 27001 és cada vegada més un requisit per accedir a contractes: licitacions públiques, acords amb grans clients i marcs de confiança digital. Sense la certificació, quedeu fora de mercats sencers. I el primer pas per arribar-hi és saber on sou realment respecte dels 93 controls que exigeix la norma.
Moltes PIMEs i proveïdors TIC creuen que ja compleixen els controls d’ISO 27001, però quan arriba l’auditor de certificació, apareixen buits importants. Això pot retardar la certificació 2-3 mesos, encarir la implementació o, en el pitjor cas, bloquejar-la si els buits són sistemàtics.
Sense un gap assessment previ no sabeu si els controls existents són suficients, si realment funcionen o si la documentació és auditable. Els vostres clients esperen evidències clares de conformitat i no les teniu. A més, alguns controls són més crítics que d’altres segons el vostre context (mida, dades gestionades, sector), però sense anàlisi no sabeu quins prioritzar.
Inclou registre de riscos, roadmap cap a certificació i priorització per impacte i esforç. Entrega: SoA en Excel + informe PDF auditor-ready.
Proveïdors TIC que necessiten la certificació ISO 27001 per oferir serveis a administracions públiques o grans empreses. PIMEs que gestionen dades sensibles (sanitàries, financeres, personals) amb clients que exigeixen ISO 27001 per contracte. Empreses en creixement o en procés de fusió que necessiten una estructura de seguretat certificable. Organitzacions que han passat una preauditoria i necessiten ordenar els buits detectats.
Per a qui NO és: empreses sense requisit contractual ni competitiu de certificació. Organitzacions amb certificació ISO 27001 vigent de fa menys de 12 mesos. Entitats de mida o complexitat tan grans que requereixen auditoria completa més implementació assistida de més de 6 mesos (en aquest cas, recomanem un projecte d’implementació completa).
Fase 1: Entrevistes i revisió (setmanes 1-2)
el consultor sènior de BeSec realitza 4-5 entrevistes amb responsables d’IT, seguretat, operacions i negoci per entendre mida, dades gestionades, infraestructura, proveïdors crítics i controls documentats. Revisió de polítiques, procediments, registres d’incidents i evidència tècnica.
Fase 2: Proves de control (setmanes 2-3)
validació tècnica dels controls clau (control d’accés, criptografia, còpies de seguretat, registre d’activitat, segregació de sistemes). No és una prova exhaustiva: és la validació que els controls documentats funcionen com es declara.
Fase 3: Anàlisi i redacció (setmanes 3-4)
classificació de cada control (implementat, parcial, no implementat), estimació de la complexitat per completar-lo i anàlisi dels riscos associats als buits. Redacció de tots els entregables.
els 93 controls de l’Annex A classificats per estat (matriu de maduresa), descripció de cada buit, evidència de suport i severitat estimada. 30-50 pàgines segons complexitat.
riscos de negoci associats als controls absents o parcials, amb probabilitat, impacte i mitigacions proposades.
Statement of Applicability (SoA) inicial
quins controls apliquen al vostre context, quins no (amb justificació) i el grau d’implementació de cadascun.
Pla d’accions prioritzat i sessió executiva
15-25 accions ordenades per urgència (regulatòria, risc operatiu, dependències) i complexitat, amb durada i recursos estimats. Sessió executiva: presentació de 90 minuts amb junta/gerència sobre els 3 riscos més alts, les 3 accions més urgents i la visió de durada i cost de la implementació completa.
Cicle de 3 a 6 setmanes segons mida (PIME petita o empresa mitjana-gran). Inici en menys de 7 dies. Possibilitat d’accelerar a 2-3 setmanes amb disponibilitat completa de l’equip clau.
En 3-6 setmanes teniu el mapa exacte del vostre estat respecte d’ISO 27001:2022, un roadmap executable cap a la certificació i estimacions realistes de cost i durada. Sabeu quins controls falten, quins són parcials i en quin ordre implementar-los. Amb el gap report a la mà, l’auditor de certificació no us trobarà sorpreses importants.
