ISO/IEC 27001 para empresas SaaS: por dónde empezar

Para un servicio SaaS, el SGSI comienza delimitando servicio, información, infraestructura y responsabilidades. El alcance debe reflejar la operación real y sus dependencias, incluidos proveedores y entornos de desarrollo.

Relaciona activos y flujos de información con riesgos y controles. La declaración de aplicabilidad explica controles necesarios, estado y justificación. Revisa identidad, accesos, cambios, respaldos, registros e incidentes sin asumir que contratar una nube transfiere toda la responsabilidad.

Ejemplo ilustrativo: un integrante cambia de función. Sigue solicitud, aprobación, modificación y revocación de permisos en aplicación, repositorio y nube. Comprueba que el control cubre cuentas técnicas y excepciones.

Utiliza estos puntos como apoyo a la revisión. Para concluir, identifica el criterio aplicable y la evidencia concreta; la lista no sustituye una auditoría ni determina una decisión de certificación.

Profundiza en las fuentes y en los temas vinculados con la decisión que estás evaluando.

Si buscas desarrollar criterio para diseñar y auditar internamente sistemas de gestión, revisa el programa académico y sus condiciones de evaluación. Si representas a una organización que necesita certificación, define norma, actividades y sitios para consultar el proceso de evaluación independiente.

请将其用作一致性核对。它不能取代适用要求或该案例的审核计划。