Autodiagnóstico

¿Qué tan preparada está tu organización para ISO/IEC 27001:2022?

15 preguntas · aproximadamente 4 minutos. Sin registro, sin reuniones y con el resultado en pantalla: nivel estimado de preparación, dónde estás más avanzado y dónde conviene poner el foco primero.

El resultado es orientativo y no sustituye un gap assessment, una auditoría interna ni la auditoría de certificación. Las preguntas son sobre cómo se gestiona la seguridad, no sobre sistemas ni incidentes concretos.

Tu nivel estimado de preparación en cuatro estados, de inicial a preparado para validar.
Las seis dimensiones que un auditor mira: gobierno, riesgos, controles, incidentes, evidencia y mejora continua.
Lo que ya tienes avanzado y las tres áreas donde pondríamos el foco primero, según tus respuestas.
Tu siguiente paso recomendado. Nada de esto requiere registrarse.

Responde por la organización, no por tu área. Si no sabes, marca «No lo sé»: es información útil, no una mala respuesta.

Este autodiagnóstico calcula el resultado en tu navegador y necesita JavaScript. Las quince preguntas están más abajo para que las revises; si prefieres que las veamos juntos, agenda un diagnóstico.

01 · Contexto y gobierno ¿La organización tiene definido formalmente el alcance de su sistema de gestión de seguridad de la información?

Sí, está documentado, aprobado y actualizado. Existe parcialmente o está en proceso. No está formalmente definido. No lo sé.

02 · Contexto y gobierno ¿Existen roles y responsabilidades formalmente definidos para la seguridad de la información?

Sí, están definidos, asignados y comunicados. Existen, pero no están completamente formalizados. Se manejan informalmente. No lo sé.

03 · Gestión de riesgos ¿La organización realiza evaluaciones formales de riesgos de seguridad de la información?

Sí, mediante una metodología definida y periódica. Se realizan evaluaciones, pero de forma parcial o irregular. Principalmente reaccionamos cuando aparece un problema. No lo sé.

04 · Gestión de riesgos ¿Existe un plan formal para tratar los riesgos identificados?

Sí, con responsables, acciones y seguimiento. Existe parcialmente. No existe formalmente. No lo sé.

05 · Gestión de riesgos ¿La organización mantiene una Declaración de Aplicabilidad (Statement of Applicability, SoA) actualizada?

Sí. Existe, pero necesita actualización. No. No sé qué es una Declaración de Aplicabilidad.

06 · Controles y operación ¿La organización dispone de políticas y procedimientos de seguridad formalmente aprobados y mantenidos?

Sí, están documentados, aprobados y revisados. Existen parcialmente o algunos están desactualizados. Existen principalmente como prácticas informales. No lo sé.

07 · Controles y operación ¿Existe un proceso formal para gestionar accesos, altas, modificaciones y bajas de usuarios?

Sí, y se conserva evidencia de su ejecución. Existe, pero no siempre se aplica o documenta. Se realiza informalmente. No lo sé.

08 · Controles y operación ¿La organización gestiona formalmente los riesgos de seguridad asociados a proveedores y terceros?

Sí, existe evaluación, requisitos y seguimiento. Solo para algunos proveedores críticos. No existe un proceso formal. No lo sé.

09 · Incidentes y continuidad ¿Existe un proceso documentado para gestionar incidentes de seguridad de la información?

Sí, incluyendo roles, escalamiento y registro. Existe parcialmente. Los incidentes se gestionan caso a caso. No lo sé.

10 · Incidentes y continuidad ¿La organización prueba periódicamente sus capacidades de continuidad y recuperación?

Sí, y los resultados generan acciones de mejora. Se realizan algunas pruebas. Existen planes, pero rara vez se prueban. No lo sé.

11 · Evidencia y medición ¿La organización conserva evidencia verificable de que sus controles de seguridad están funcionando?

Sí, de manera estructurada. Para algunos controles. Es difícil reunir evidencia cuando se solicita. No lo sé.

12 · Evidencia y medición ¿Existen indicadores o mecanismos para medir el desempeño del SGSI y sus controles?

Sí, se revisan periódicamente. Existen algunos indicadores. No existe medición estructurada. No lo sé.

13 · Auditoría y mejora continua ¿La organización realiza auditorías internas de su SGSI?

Sí, según un programa definido. Se han realizado, pero no periódicamente. No. No lo sé.

14 · Auditoría y mejora continua ¿La alta dirección realiza revisiones formales del SGSI?

Sí, periódicamente y con evidencia. Se revisa informalmente. No existe una revisión formal. No lo sé.

15 · Auditoría y mejora continua ¿Existe un proceso para registrar, corregir y hacer seguimiento a no conformidades y oportunidades de mejora?

Sí, formal y trazable. Existe parcialmente. No. No lo sé.

Tu nivel estimado de preparación

Este resultado es orientativo y no sustituye un gap assessment, una auditoría interna ni la auditoría de certificación.

Preparación por dimensión

Dónde pondríamos el foco primero

Tu siguiente paso recomendado

¿Quieres validar este resultado?

Podemos revisar contigo las respuestas y determinar qué tan lejos está realmente tu organización de ISO/IEC 27001:2022.

Conocer nuestro servicio ISO 27001

· Tus respuestas se guardan solo en esta pestaña y se borran al cerrarla.

Cómo se lee el resultado

Cuatro niveles de preparación. Ninguno significa «cumple» o «no cumple»: describen cuánto camino queda antes de que tenga sentido enfrentar una auditoría de certificación.

Inicial

Elementos aislados de gestión de seguridad. Quedan fundamentos importantes por formalizar antes de abordar un proceso de certificación.

En desarrollo

Ya existen varias prácticas y controles, pero todavía hay brechas de formalización, evidencia o gobierno que deberían abordarse.

Avanzado

Buena parte de los elementos fundamentales existe. Podría estar relativamente cerca de una preparación formal para certificación, sujeto a validación mediante gap assessment.

Preparado para validar

Señales de madurez en las principales dimensiones. El siguiente paso razonable es validar formalmente las brechas mediante un gap assessment antes de enfrentar la certificación.

Cómo se calcula. Cada respuesta suma según su grado de formalización, las dimensiones de riesgos, evidencia, auditoría y gobierno pesan más, y hay requisitos sin los cuales no hay sistema —alcance, evaluación y tratamiento de riesgos, declaración de aplicabilidad, auditoría interna y revisión por la dirección— que limitan el nivel aunque el resto esté bien. Las respuestas «No lo sé» no puntúan, pero se leen como falta de visibilidad, no como ausencia. Es un modelo orientativo desarrollado por JanusNet; no corresponde a un método oficial de scoring de ISO.

Este autodiagnóstico es una herramienta de autoevaluación con fines orientativos. No determina el cumplimiento de ISO/IEC 27001:2022 ni sustituye un gap assessment, una auditoría interna o la auditoría de certificación, que realiza un organismo certificador independiente. No solicita ni almacena información sobre sistemas, incidentes o clientes.

¿Qué tan preparada está tu organización para ISO/IEC 27001:2022?

Una lectura honesta de dónde estás, no una nota

Preparación por dimensión

Lo que ya tienes avanzado

Dónde pondríamos el foco primero

Tu siguiente paso recomendado

Podemos revisar contigo las respuestas y determinar qué tan lejos está realmente tu organización de ISO/IEC 27001:2022.

Revisar mi diagnóstico con un consultor

Cómo se lee el resultado

Preferencias de cookies