{"id":206498,"date":"2026-11-04T12:27:54","date_gmt":"2026-11-04T10:27:54","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206498"},"modified":"2026-11-04T12:36:45","modified_gmt":"2026-11-04T10:36:45","slug":"auditoria-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/","title":{"rendered":"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor y c\u00f3mo prepararte"},"content":{"rendered":"<p>En una auditor\u00eda ISO 27001, un auditor externo comprueba que tu sistema de gesti\u00f3n de seguridad de la informaci\u00f3n cumple la norma. Para ello revisa la documentaci\u00f3n, entrevista a tu equipo y pide ver en tus sistemas las evidencias de que<strong> los controles funcionan en el d\u00eda a d\u00eda<\/strong>.<\/p>\n<p>Muchas empresas preparan la auditor\u00eda como si fuera un examen de documentaci\u00f3n. Llegan con las pol\u00edticas impecables y descubren en la fase 2 que el auditor quiere ver el registro de la \u00faltima baja de un empleado, la fecha de la \u00faltima prueba de restauraci\u00f3n de una copia de seguridad o el porcentaje de port\u00e1tiles con el cifrado activo hoy.<\/p>\n<p>En este art\u00edculo ver\u00e1s <strong>qu\u00e9 tipos de auditor\u00eda ISO 27001 existen<\/strong>, c\u00f3mo es el proceso paso a paso, cu\u00e1nto dura, qu\u00e9 revisa exactamente el auditor y qu\u00e9 ocurre si encuentra incumplimientos. Tambi\u00e9n tienes una gu\u00eda pr\u00e1ctica para llegar a la auditor\u00eda con las evidencias listas.<\/p>\n<h2>\u00bfQu\u00e9 es una auditor\u00eda ISO 27001?<\/h2>\n<p>Una auditor\u00eda ISO 27001 es<strong> un proceso sistem\u00e1tico, independiente y documentado<\/strong> en el que un auditor re\u00fane evidencias y las eval\u00faa de forma objetiva para comprobar en qu\u00e9 medida tu organizaci\u00f3n cumple los requisitos de la norma. Lo que se audita es tu<a href=\"https:\/\/factorial.es\/blog\/sistema-gestion-seguridad-informacion\/\"> sistema de gesti\u00f3n de seguridad de la informaci\u00f3n (SGSI)<\/a>, dentro del alcance que hayas definido, y no la empresa entera.<\/p>\n<p>El auditor busca responder a dos preguntas. La primera es si el SGSI cumple los requisitos de las cl\u00e1usulas 4 a 10 de <a href=\"https:\/\/factorial.es\/blog\/iso-27001\/\">la ISO 27001<\/a>, que son las que definen el contexto, el liderazgo, la gesti\u00f3n de riesgos, el soporte, la operaci\u00f3n, la evaluaci\u00f3n del desempe\u00f1o y la mejora. La segunda es si los controles del Anexo A que declaraste aplicables en tu <a href=\"https:\/\/factorial.es\/blog\/declaracion-de-aplicabilidad-iso-27001\/\">declaraci\u00f3n de aplicabilidad<\/a> est\u00e1n implantados y funcionan.<\/p>\n<h2>Tipos de auditor\u00eda ISO 27001<\/h2>\n<p>Una organizaci\u00f3n certificada pasa por varias auditor\u00edas en cada ciclo de tres a\u00f1os. Unas las hace la propia empresa y otras una entidad de certificaci\u00f3n acreditada.<\/p>\n<figure class=\"wp-block-table\">\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Tipo de auditor\u00eda<\/th>\n<th style=\"text-align: center;\">\u00bfQui\u00e9n la hace?<\/th>\n<th style=\"text-align: center;\">\u00bfCu\u00e1ndo?<\/th>\n<th style=\"text-align: center;\">\u00bfQu\u00e9 revisa?<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Auditor\u00eda interna<\/strong><\/td>\n<td style=\"text-align: center;\">La propia empresa, con una persona independiente o un auditor contratado<\/td>\n<td style=\"text-align: center;\">A intervalos planificados, y al menos una antes de certificar<\/td>\n<td style=\"text-align: center;\">Todo el SGSI a lo largo del programa de auditor\u00eda<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>Auditor\u00eda de certificaci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Entidad de certificaci\u00f3n acreditada<\/td>\n<td style=\"text-align: center;\">A\u00f1o 0, en dos fases<\/td>\n<td style=\"text-align: center;\">La documentaci\u00f3n en la fase 1 y el funcionamiento real en la fase 2<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>Auditor\u00eda de seguimiento<\/strong><\/td>\n<td style=\"text-align: center;\">Entidad de certificaci\u00f3n acreditada<\/td>\n<td style=\"text-align: center;\">A\u00f1os 1 y 2 del ciclo<\/td>\n<td style=\"text-align: center;\">Una parte del sistema, los cambios y los hallazgos anteriores<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>Auditor\u00eda de recertificaci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Entidad de certificaci\u00f3n acreditada<\/td>\n<td style=\"text-align: center;\">A\u00f1o 3, antes de que venza el certificado<\/td>\n<td style=\"text-align: center;\">Todo el SGSI y su evoluci\u00f3n durante el ciclo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n<h3>1. Auditor\u00eda interna<\/h3>\n<p>La cl\u00e1usula 9.2 de la norma obliga a hacer <strong>auditor\u00edas internas a intervalos planificados<\/strong>, dentro de un programa que defina la frecuencia, los m\u00e9todos, los responsables y el alcance de cada una. Su objetivo es detectar incumplimientos antes de que lo haga la entidad de certificaci\u00f3n, y sin una auditor\u00eda interna completa no se puede pasar la auditor\u00eda de certificaci\u00f3n.<\/p>\n<p>La persona que la hace debe ser <strong>competente e imparcial<\/strong>, lo que significa que no puede auditar procesos que ha dise\u00f1ado o que gestiona. En una empresa de 40 personas esto suele ser un problema real, porque quien m\u00e1s sabe del SGSI es precisamente quien lo ha montado. La salida habitual es contratar a un auditor externo para la auditor\u00eda interna, que adem\u00e1s aporta una segunda opini\u00f3n sobre los procesos y el an\u00e1lisis de riesgos.<\/p>\n<p>Junto a la auditor\u00eda interna, la cl\u00e1usula 9.3 exige la <strong>revisi\u00f3n por la direcci\u00f3n<\/strong>. Las dos tienen que estar hechas y documentadas antes de la fase 1, y el auditor externo preguntar\u00e1 qu\u00e9 se decidi\u00f3 en ambas.<\/p>\n<h3>2. Auditor\u00eda de certificaci\u00f3n<\/h3>\n<p>Es <strong>la auditor\u00eda que da acceso al certificado y la m\u00e1s exigente<\/strong>, porque es la primera vez que alguien externo revisa el sistema completo. Se divide en dos fases.<\/p>\n<p>En la <strong>fase 1<\/strong>, el auditor comprueba que la documentaci\u00f3n est\u00e1 completa y que la organizaci\u00f3n est\u00e1 preparada. En la <strong>fase 2<\/strong>, verifica que lo documentado se cumple en la pr\u00e1ctica. Si la supera, la empresa recibe un certificado v\u00e1lido durante tres a\u00f1os. El recorrido completo hasta llegar a este punto est\u00e1 en la gu\u00eda sobre <a href=\"https:\/\/factorial.es\/blog\/como-obtener-iso-27001\/\">c\u00f3mo obtener la certificaci\u00f3n ISO 27001<\/a>.<\/p>\n<h3>3. Auditor\u00edas de seguimiento<\/h3>\n<p>Durante la vigencia del certificado, la entidad vuelve <strong>al menos una vez al a\u00f1o<\/strong>. La primera auditor\u00eda de seguimiento debe hacerse dentro de los 12 meses siguientes a la decisi\u00f3n de certificaci\u00f3n. Son m\u00e1s cortas que la inicial y no revisan todo el sistema, el auditor elige una parte de los controles en cada visita y a lo largo del ciclo acaba cubri\u00e9ndolos todos.<\/p>\n<p>Hay cosas que revisa en todas las visitas.<\/p>\n<ul>\n<li>Qu\u00e9 se hizo con las no conformidades de la auditor\u00eda anterior.<\/li>\n<li>Los cambios en la organizaci\u00f3n, el alcance, los riesgos o la Declaraci\u00f3n de Aplicabilidad.<\/li>\n<li>La auditor\u00eda interna y la revisi\u00f3n por la direcci\u00f3n del \u00faltimo periodo.<\/li>\n<li>Los incidentes de seguridad y las quejas recibidas.<\/li>\n<li>Las evidencias de mejora continua, que es lo que pide la cl\u00e1usula 10.<\/li>\n<\/ul>\n<p>El riesgo m\u00e1s habitual en esta fase es llegar con un SGSI que se dej\u00f3 de mantener al d\u00eda despu\u00e9s de certificar. Si nadie ha tocado el sistema en doce meses, se nota enseguida.<\/p>\n<h3>4. Auditor\u00eda de recertificaci\u00f3n<\/h3>\n<p>Antes de que venza el certificado,<strong> la entidad hace una auditor\u00eda completa para renovarlo otros tres a\u00f1os<\/strong>. Es parecida a una fase 2, aunque el auditor ya conoce la organizaci\u00f3n y se centra en c\u00f3mo ha evolucionado el SGSI durante el ciclo.<\/p>\n<p>Conviene programarla con varios meses de margen, porque si no se completa antes del vencimiento, el certificado caduca.<\/p>\n<h2>\u00bfC\u00f3mo es el proceso de auditor\u00eda ISO 27001 paso a paso?<\/h2>\n<p>El proceso de certificaci\u00f3n empieza mucho antes de que llegue el auditor. Estos son los pasos desde que el SGSI est\u00e1 listo hasta que tienes el certificado:<\/p>\n<h3>1. Elegir la entidad de certificaci\u00f3n<\/h3>\n<p>Antes de pedir ofertas, el SGSI tiene que estar implantado y funcionando, con el alcance definido, la <a href=\"https:\/\/factorial.es\/blog\/politica-seguridad-informacion\/\">pol\u00edtica de seguridad<\/a> aprobada, la <a href=\"https:\/\/factorial.es\/blog\/evaluacion-de-riesgos-iso-27001\/\">evaluaci\u00f3n de riesgos<\/a> hecha, los controles aplicados y al menos una auditor\u00eda interna y una revisi\u00f3n por la direcci\u00f3n completas. Si todav\u00eda no est\u00e1s en ese punto, la gu\u00eda sobre <a href=\"https:\/\/factorial.es\/blog\/como-implementar-iso-27001\/\">c\u00f3mo implementar la ISO 27001 paso a paso<\/a> te sirve de hoja de ruta.<\/p>\n<p>Con eso listo, pide ofertas a varias entidades acreditadas. Te preguntar\u00e1n por el n\u00famero de personas dentro del alcance, las sedes y la complejidad de la actividad, porque con esos datos calculan los d\u00edas de auditor\u00eda y, por tanto, el precio. Si quieres hacerte una idea del presupuesto total, en el art\u00edculo sobre <a href=\"https:\/\/factorial.es\/blog\/cuanto-cuesta-certificarse-iso-27001\/\">cu\u00e1nto cuesta certificarse en ISO 27001<\/a> tienes el desglose.<\/p>\n<h3>2. Fase 1 o revisi\u00f3n documental<\/h3>\n<p>La fase 1 es una comprobaci\u00f3n de que est\u00e1s preparado. El auditor revisa la documentaci\u00f3n b\u00e1sica del SGSI y entiende el contexto de la organizaci\u00f3n antes de entrar en detalle.<\/p>\n<ul>\n<li><strong>Alcance del SGSI: <\/strong>qu\u00e9 \u00e1reas, procesos, sedes y sistemas entran y cu\u00e1les se excluyen, con su justificaci\u00f3n.<\/li>\n<li><strong>Pol\u00edtica y objetivos de seguridad:<\/strong> aprobados por la direcci\u00f3n y comunicados.<\/li>\n<li><strong>Metodolog\u00eda y resultados de la evaluaci\u00f3n de riesgos:<\/strong> junto con el plan de tratamiento.<\/li>\n<li><strong>Declaraci\u00f3n de aplicabilidad: <\/strong>con la justificaci\u00f3n de cada control incluido o excluido.<\/li>\n<li><strong>Auditor\u00eda interna y revisi\u00f3n por la direcci\u00f3n: <\/strong>con\u00a0sus resultados y las decisiones tomadas.<\/li>\n<\/ul>\n<p>Al terminar, el auditor emite un informe con las \u00e1reas que le preocupan y que podr\u00edan convertirse en no conformidades en la fase 2. Es tu oportunidad de corregirlas a tiempo. Entre la fase 1 y la fase 2 suelen pasar <strong>entre unas semanas y un par de meses<\/strong>, seg\u00fan lo que haya que ajustar y la agenda de la entidad.<\/p>\n<h3>3. Fase 2 o auditor\u00eda de certificaci\u00f3n<\/h3>\n<p>La fase 2 es la auditor\u00eda de verdad. El auditor comprueba que los controles est\u00e1n implantados y que funcionan, y la din\u00e1mica suele repetirse en casi todas las entidades.<\/p>\n<ul>\n<li><strong>Plan de auditor\u00eda.<\/strong> Unos d\u00edas antes recibes el plan con las fechas, los horarios, los auditores, las \u00e1reas que se van a revisar y las personas a las que se va a entrevistar.<\/li>\n<li><strong>Reuni\u00f3n de apertura.<\/strong> El auditor presenta el alcance, el m\u00e9todo y la agenda, y confirma qui\u00e9n ser\u00e1 su interlocutor.<\/li>\n<li><strong>Entrevistas y revisi\u00f3n de evidencias.<\/strong> Recorre los procesos con sus responsables, pide registros y toma muestras, por ejemplo dos bajas del \u00faltimo trimestre o el \u00faltimo incidente registrado.<\/li>\n<li><strong>Avances parciales.<\/strong> En las auditor\u00edas de varios d\u00edas suele adelantar al final de cada jornada lo que ha encontrado.<\/li>\n<li><strong>Reuni\u00f3n de cierre.<\/strong> Presenta los hallazgos, su clasificaci\u00f3n y los siguientes pasos. Es el momento de aclarar cualquier malentendido.<\/li>\n<\/ul>\n<p>Las entrevistas no son solo con el responsable de seguridad. El auditor habla con la direcci\u00f3n, con IT y con cualquier persona del equipo, y las preguntas cambian mucho seg\u00fan el perfil.<\/p>\n<figure class=\"wp-block-table\">\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">\u00bfA qui\u00e9n entrevista?<\/th>\n<th style=\"text-align: center;\">Ejemplos de preguntas<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Direcci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">\u00bfCu\u00e1les son los objetivos de seguridad? \u00bfQu\u00e9 recursos se han asignado al SGSI? \u00bfQu\u00e9 se decidi\u00f3 en la \u00faltima revisi\u00f3n por la direcci\u00f3n?<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>Responsable del SGSI<\/strong><\/td>\n<td style=\"text-align: center;\">\u00bfC\u00f3mo se eval\u00faan los riesgos? \u00bfPor qu\u00e9 se ha excluido este control? \u00bfQu\u00e9 se hizo con los hallazgos de la auditor\u00eda interna?<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>IT<\/strong><\/td>\n<td style=\"text-align: center;\">\u00bfC\u00f3mo se retiran los accesos cuando alguien se va? \u00bfQu\u00e9 porcentaje de equipos tiene el cifrado activo? \u00bfCu\u00e1ndo se prob\u00f3 por \u00faltima vez una restauraci\u00f3n?<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>RRHH<\/strong><\/td>\n<td style=\"text-align: center;\">\u00bfC\u00f3mo se comprueban los antecedentes al contratar? \u00bfD\u00f3nde est\u00e1 firmado el acuerdo de confidencialidad? \u00bfQu\u00e9 formaci\u00f3n en seguridad recibe un nuevo empleado?<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>Cualquier persona del equipo<\/strong><\/td>\n<td style=\"text-align: center;\">\u00bfD\u00f3nde est\u00e1 la pol\u00edtica de seguridad? \u00bfQu\u00e9 har\u00edas si recibieras un correo sospechoso? \u00bfA qui\u00e9n avisar\u00edas si perdieras el port\u00e1til?<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n<h3>4. Informe y decisi\u00f3n de certificaci\u00f3n<\/h3>\n<p>Despu\u00e9s de la reuni\u00f3n de cierre llega el informe escrito con los hallazgos y la recomendaci\u00f3n del auditor. Si hay no conformidades, tienes que presentar un plan de acciones correctivas, y en el caso de las mayores demostrar que est\u00e1n resueltas.<\/p>\n<p>Un detalle que mucha gente desconoce es que <strong>el auditor no decide si te certifican<\/strong>. Recomienda, y la decisi\u00f3n la toman personas de la entidad que no han participado en la auditor\u00eda. Cuando la decisi\u00f3n es favorable, se emite el certificado con una validez de tres a\u00f1os.<\/p>\n<h2>\u00bfCu\u00e1nto dura una auditor\u00eda ISO 27001?<\/h2>\n<p>La duraci\u00f3n se mide en <strong>d\u00edas de auditor<\/strong> y depende sobre todo del n\u00famero de personas dentro del alcance del SGSI. La ISO\/IEC 27006-1 recoge una tabla de referencia que las entidades ajustan al alza o a la baja seg\u00fan la complejidad, el n\u00famero de sedes o el grado de externalizaci\u00f3n.<\/p>\n<figure class=\"wp-block-table\">\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Personas en el alcance<\/th>\n<th style=\"text-align: center;\">Auditor\u00eda inicial (fase 1 y fase 2)<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">De 1 a 10<\/td>\n<td style=\"text-align: center;\">5 d\u00edas de auditor<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">De 26 a 45<\/td>\n<td style=\"text-align: center;\">8,5 d\u00edas de auditor<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">De 46 a 65<\/td>\n<td style=\"text-align: center;\">10 d\u00edas de auditor<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">De 126 a 175<\/td>\n<td style=\"text-align: center;\">13 d\u00edas de auditor<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">De 276 a 425<\/td>\n<td style=\"text-align: center;\">15 d\u00edas de auditor<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n<p>Los d\u00edas de auditor no equivalen a d\u00edas naturales. Una auditor\u00eda de 10 d\u00edas de auditor puede hacerse en cinco d\u00edas con dos auditores, y parte de ese tiempo se dedica a preparar y redactar el informe. Como referencia, cada <strong>auditor\u00eda de seguimiento<\/strong> dura alrededor de un tercio de la inicial y la de <strong>recertificaci\u00f3n<\/strong>, unos dos tercios.<\/p>\n<p>El plazo total hasta tener el certificado es otra cosa. Una pyme que parte de cero suele necesitar <strong>entre seis y doce meses<\/strong> para implantar el SGSI y acumular registros suficientes, a los que se suman las semanas entre la fase 1 y la fase 2 y el tiempo hasta la decisi\u00f3n de certificaci\u00f3n. Lo que m\u00e1s alarga el proceso es la cantidad de carencias que aparecen por el camino y lo r\u00e1pido que se corrigen.<\/p>\n<h2>\u00bfQu\u00e9 revisa el auditor en una auditor\u00eda ISO 27001?<\/h2>\n<p>En una auditor\u00eda ISO 27001, el auditor revisa dos cosas. Por un lado, <strong>los requisitos del sistema de gesti\u00f3n <\/strong>que recogen las cl\u00e1usulas 4 a 10. Por otro, <strong>los controles del Anexo A<\/strong> que aplicas, que es donde m\u00e1s empresas tropiezan en la fase 2 porque el auditor pide evidencias de que funcionan.<\/p>\n<h3>Los requisitos del sistema de gesti\u00f3n<\/h3>\n<p>Las cl\u00e1usulas 4 a 10 de la norma son obligatorias y no se pueden excluir. En la <a href=\"https:\/\/factorial.es\/blog\/estructura-iso-27001\/\">estructura de la ISO 27001<\/a> tienes el detalle de cada una, y esto es lo que el auditor suele comprobar en ellas.<\/p>\n<ul>\n<li><strong>Contexto y alcance:<\/strong> que la organizaci\u00f3n ha analizado sus factores internos y externos, las partes interesadas y sus requisitos, y que el alcance es coherente con todo ello.<\/li>\n<li><strong>Liderazgo: <\/strong>que la direcci\u00f3n participa de verdad, aprueba la pol\u00edtica, asigna recursos y define roles con nombres y apellidos.<\/li>\n<li><strong>Planificaci\u00f3n: <\/strong>que la evaluaci\u00f3n de riesgos sigue una metodolog\u00eda repetible, que el plan de tratamiento est\u00e1 aprobado y que los objetivos de seguridad se pueden medir.<\/li>\n<li><strong>Soporte:<\/strong>\u00a0que las personas tienen la competencia necesaria, que han recibido formaci\u00f3n y que la documentaci\u00f3n est\u00e1 controlada.<\/li>\n<li><strong>Operaci\u00f3n:<\/strong> que el plan de tratamiento se est\u00e1 ejecutando y que los riesgos se revisan cuando hay cambios.<\/li>\n<li><strong>Evaluaci\u00f3n del desempe\u00f1o:<\/strong> que se miden indicadores, que se ha hecho la auditor\u00eda interna y que existe un acta de la revisi\u00f3n por la direcci\u00f3n.<\/li>\n<li><strong>Mejora: <\/strong>que las no conformidades se registran, se analiza su causa y se cierran con acciones correctivas.<\/li>\n<\/ul>\n<h3>Los controles del Anexo A que dependen de IT<\/h3>\n<p>El Anexo A recoge 93 controles en cuatro bloques, organizativos, de personas, f\u00edsicos y tecnol\u00f3gicos. Puedes repasarlos en el art\u00edculo sobre los <a href=\"https:\/\/factorial.es\/blog\/dominios-iso-27001\/\">dominios de la ISO 27001<\/a>. Una buena parte se demuestra con documentaci\u00f3n y proceso, pero hay un grupo que solo se demuestra con el estado real de los equipos y los accesos. Son los que el auditor comprueba dato a dato, y estos son los que m\u00e1s se repiten en la fase 2.<\/p>\n<h2>\u00bfQu\u00e9 tiene que demostrar IT en la auditor\u00eda ISO 27001?<\/h2>\n<p>Estas ocho evidencias agrupan <strong>20 de los 93 controles del Anexo A<\/strong>. No son los \u00fanicos que revisa el auditor, pero s\u00ed los que dependen de IT y los que m\u00e1s no conformidades generan en la fase 2. Junto a cada una ver\u00e1s qu\u00e9 pide el auditor, c\u00f3mo es una buena respuesta y d\u00f3nde suele fallar.<\/p>\n<h3>1. Inventario de activos con un responsable para cada uno<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?:<\/strong> el <a href=\"https:\/\/factorial.es\/blog\/inventario-de-activos-iso-27001\/\">inventario de activos<\/a> de informaci\u00f3n y activos asociados, con su propietario. Muchos auditores empiezan por los activos de informaci\u00f3n, como los datos de clientes o el c\u00f3digo fuente, y despu\u00e9s preguntan qu\u00e9 equipos y servicios los tratan.<\/li>\n<li><strong>Una buena respuesta: <\/strong>un inventario actualizado con cada activo vinculado a una persona, coherente con lo que est\u00e1 realmente en uso y con la devoluci\u00f3n de equipos registrada en cada salida.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?:<\/strong> una hoja de c\u00e1lculo que solo lista port\u00e1tiles, con equipos asignados a personas que ya no est\u00e1n en la empresa.<\/li>\n<\/ul>\n<h3>2. Configuraci\u00f3n segura de todos los dispositivos<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?: <\/strong>el estado de los dispositivos de usuario, con el cifrado de disco, el bloqueo de pantalla, el antimalware activo y una configuraci\u00f3n base definida. Suele comprobarlo todo a la vez y en equipos concretos.<\/li>\n<li><strong>Una buena respuesta:<\/strong> una consola que muestre el estado de toda la flota a fecha de hoy, con el porcentaje de cumplimiento de cada regla y la lista de los equipos que no cumplen.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?:<\/strong> existe la pol\u00edtica que obliga a cifrar, pero nadie sabe cu\u00e1ntos equipos tienen el cifrado activo. O el antivirus est\u00e1 contratado y hay un pu\u00f1ado de port\u00e1tiles con el agente parado.<\/li>\n<\/ul>\n<h3>3. Accesos y su revisi\u00f3n peri\u00f3dica<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?: <\/strong>qui\u00e9n tiene acceso a un sistema concreto, con qu\u00e9 privilegios y desde cu\u00e1ndo, y cu\u00e1ndo se revis\u00f3 esa lista por \u00faltima vez. Lo explica con detalle el art\u00edculo sobre el <a href=\"https:\/\/factorial.es\/blog\/control-acceso-iso-27001\/\">control de acceso en la ISO 27001<\/a>.<\/li>\n<li><strong>Una buena respuesta: <\/strong>la lista de accesos por persona y el registro de una revisi\u00f3n reciente en la que alguien compar\u00f3 esa lista con los roles y retir\u00f3 lo que sobraba.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?:<\/strong> una lista correcta sin ninguna revisi\u00f3n detr\u00e1s, o una revisi\u00f3n que se limita a confirmar la lista sin contrastarla con lo que cada persona necesita.<\/li>\n<\/ul>\n<h3>4. Un onboarding y un offboarding completos<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?: <\/strong>casi siempre toma una incorporaci\u00f3n y una salida recientes y pide ver c\u00f3mo se dieron los accesos, c\u00f3mo se retiraron y c\u00f3mo se recuper\u00f3 el equipo.<\/li>\n<li><strong>Una buena respuesta: <\/strong>el\u00a0mismo proceso para todo el mundo, visible en los sistemas, con el tiempo que pas\u00f3 entre el \u00faltimo d\u00eda del empleado y el corte de su \u00faltimo acceso.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?: <\/strong>una persona que se fue hace meses y sigue teniendo una cuenta activa en una herramienta de la que nadie se acordaba. Es uno de los hallazgos m\u00e1s repetidos en cualquier auditor\u00eda.<\/li>\n<\/ul>\n<h3>5. Gesti\u00f3n de vulnerabilidades y parches<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?: <\/strong>c\u00f3mo se detectan las vulnerabilidades, c\u00f3mo se priorizan y en cu\u00e1nto tiempo se corrigen, en los equipos de los empleados y tambi\u00e9n en el software que desarrolla la empresa, si lo hace.<\/li>\n<li><strong>Una buena respuesta:<\/strong>\u00a0unos plazos definidos seg\u00fan la gravedad, el nivel de parche de cada equipo y la lista de sistemas fuera de soporte con su plan de tratamiento.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?:<\/strong> las actualizaciones autom\u00e1ticas est\u00e1n activas en los port\u00e1tiles, pero nadie puede decir qu\u00e9 pasa con una dependencia vulnerable en el producto o con un servidor antiguo.<\/li>\n<\/ul>\n<h3>6. Copias de seguridad con una prueba de restauraci\u00f3n<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?: <\/strong>qu\u00e9 se copia, con qu\u00e9 frecuencia y cu\u00e1ndo se restaur\u00f3 algo por \u00faltima vez.<\/li>\n<li><strong>Una buena respuesta: <\/strong>una prueba de restauraci\u00f3n con fecha y resultado documentado. Basta con una carpeta o un buz\u00f3n si queda registrada, porque lo que se comprueba es que el camino de recuperaci\u00f3n funciona.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?: <\/strong>copias que se ejecutan cada noche desde hace a\u00f1os sin que nadie haya probado nunca a recuperar una.<\/li>\n<\/ul>\n<h3>7. Servicios en la nube y aplicaciones SaaS<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?: <\/strong>el registro de los servicios en la nube que tratan informaci\u00f3n de la empresa, con un responsable para cada uno y lo que pasar\u00eda con los datos si dejaras de usarlos.<\/li>\n<li><strong>Una buena respuesta: <\/strong>un registro completo, incluidas las aplicaciones contratadas fuera de IT, y un plan de salida documentado para los servicios cr\u00edticos.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?: <\/strong>el\u00a0registro solo recoge lo que contrat\u00f3 IT, y el shadow IT queda fuera de cualquier evaluaci\u00f3n.<\/li>\n<\/ul>\n<h3>8. Gesti\u00f3n de incidentes ensayada<\/h3>\n<ul>\n<li><strong>\u00bfQu\u00e9 pide el auditor?:<\/strong> c\u00f3mo se detecta, se eval\u00faa, se escala y se resuelve un incidente, y qu\u00e9 se cambi\u00f3 despu\u00e9s.<\/li>\n<li><strong>Una buena respuesta: <\/strong>procedimientos para los incidentes m\u00e1s probables, el registro de incidentes reales gestionados con ellos y un simulacro que se ha hecho de verdad.<\/li>\n<li><strong>\u00bfD\u00f3nde suele fallar?:<\/strong>\u00a0una pol\u00edtica que describe un proceso que nunca se ha probado y un registro de incidentes vac\u00edo, algo que al auditor le cuesta creer en cualquier empresa con m\u00e1s de unas decenas de personas.<\/li>\n<\/ul>\n<p>Esta tabla resume las ocho evidencias con los controles del Anexo A con los que se relaciona cada una, para que puedas localizarlos en tu declaraci\u00f3n de aplicabilidad.<\/p>\n<figure class=\"wp-block-table\">\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Evidencia que pide el auditor<\/th>\n<th style=\"text-align: center;\">Controles del Anexo A<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: left;\">Inventario de activos con propietario y devoluci\u00f3n de equipos<\/td>\n<td style=\"text-align: center;\">5.9, 5.10, 5.11<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: left;\">Estado de cifrado, bloqueo de pantalla, antimalware y configuraci\u00f3n de los dispositivos<\/td>\n<td style=\"text-align: center;\">8.1, 8.7, 8.9, 8.24<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: left;\">Lista de accesos por persona y registro de su revisi\u00f3n<\/td>\n<td style=\"text-align: center;\">5.15, 5.16, 5.18, 8.2<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: left;\">Una incorporaci\u00f3n y una salida recientes de principio a fin<\/td>\n<td style=\"text-align: center;\">5.11, 6.5, 5.18<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: left;\">Plazos de parcheo y nivel de parche por equipo<\/td>\n<td style=\"text-align: center;\">8.8<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: left;\">Alcance de las copias y una prueba de restauraci\u00f3n con fecha<\/td>\n<td style=\"text-align: center;\">8.13, 5.30<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: left;\">Registro de servicios en la nube con plan de salida<\/td>\n<td style=\"text-align: center;\">5.23<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: left;\">Procedimientos de incidentes, registros y un simulacro<\/td>\n<td style=\"text-align: center;\">5.24, 5.25, 5.26, 5.27<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n<h2>\u00bfQu\u00e9 pasa si el auditor detecta incumplimientos?<\/h2>\n<p>Cada incumplimiento que encuentra el auditor se registra como un hallazgo, con tres partes. El requisito que no se cumple, la evidencia que lo demuestra y la diferencia entre ambos. Seg\u00fan su gravedad, se clasifica de tres formas.<\/p>\n<h3>No conformidad mayor<\/h3>\n<p>Es <strong>un requisito que falta por completo o un control que falla de forma sistem\u00e1tica<\/strong>. Por ejemplo, no haber hecho la auditor\u00eda interna, no tener una evaluaci\u00f3n de riesgos o no contar con ning\u00fan proceso de gesti\u00f3n de incidentes.<\/p>\n<p>En la auditor\u00eda de certificaci\u00f3n, una no conformidad mayor <strong>impide emitir el certificado<\/strong> hasta que se corrige y se demuestra la acci\u00f3n correctiva, a veces con una visita adicional. Si la entidad no puede verificar la correcci\u00f3n en los seis meses siguientes al final de la fase 2, lo habitual es que haya que repetirla.<\/p>\n<h3>No conformidad menor<\/h3>\n<p>Es <strong>un fallo puntual dentro de un proceso que s\u00ed funciona<\/strong>. El proceso de baja existe y se aplica, pero en una de las muestras una cuenta sigui\u00f3 activa dos semanas m\u00e1s de la cuenta. O se gestionan los incidentes, pero uno no qued\u00f3 bien registrado.<\/p>\n<p>No bloquea la certificaci\u00f3n, aunque tienes que presentar un plan de acci\u00f3n que la entidad acepte y el auditor comprobar\u00e1 en la siguiente visita que se ha cumplido. Ojo con acumularlas. Varias no conformidades menores sobre el mismo requisito pueden llevar al auditor a concluir que el control falla de forma sistem\u00e1tica y a calificarlo como mayor.<\/p>\n<h3>Observaciones y oportunidades de mejora<\/h3>\n<p>Las observaciones recogen situaciones que todav\u00eda cumplen la norma pero que podr\u00edan acabar en una no conformidad si no se atienden o recomendaciones para mejorar el sistema. No exigen un plan de acci\u00f3n formal, pero el auditor suele preguntar por ellas en la siguiente visita.<\/p>\n<h3>\u00bfQu\u00e9 consecuencias tiene en cada auditor\u00eda?<\/h3>\n<figure class=\"wp-block-table\">\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Auditor\u00eda<\/th>\n<th style=\"text-align: center;\">Si hay no conformidades mayores<\/th>\n<th style=\"text-align: center;\">Si hay no conformidades menores<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Certificaci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">No se emite el certificado hasta que se corrigen y se verifican<\/td>\n<td style=\"text-align: center;\">Se puede certificar con un plan de acci\u00f3n aceptado<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>Seguimiento<\/strong><\/td>\n<td style=\"text-align: center;\">Si no se resuelven a tiempo, la entidad puede suspender el certificado<\/td>\n<td style=\"text-align: center;\">Plan de acci\u00f3n que se revisa en la siguiente visita<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>Recertificaci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">La renovaci\u00f3n queda en suspenso hasta resolverlas<\/td>\n<td style=\"text-align: center;\">Se renueva con un plan de acci\u00f3n aceptado<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n<p>En todos los casos, la cl\u00e1usula 10.2 pide algo m\u00e1s que corregir el problema concreto. Hay que <strong>analizar la causa<\/strong> y aplicar una acci\u00f3n que evite que se repita. Si la cuenta que qued\u00f3 activa se debi\u00f3 a que la herramienta no estaba en el inventario, desactivarla no basta, hay que incorporar la herramienta al proceso de baja.<\/p>\n<p>Suspender la certificaci\u00f3n por completo no es f\u00e1cil, porque las carencias graves suelen aparecer antes, en la auditor\u00eda interna o en la fase 1. Pero tampoco es imposible, y casi siempre ocurre por la misma raz\u00f3n, un sistema que existe en los documentos y no en el d\u00eda a d\u00eda.<\/p>\n<h3>Errores habituales que acaban en no conformidad<\/h3>\n<p>Hay fallos que los auditores encuentran una y otra vez, da igual el tama\u00f1o o el sector de la empresa. Estos son los m\u00e1s frecuentes y conviene revisarlos antes de la fase 2:<\/p>\n<ul>\n<li><strong>Una pol\u00edtica sin pr\u00e1ctica detr\u00e1s:<\/strong> el procedimiento est\u00e1 aprobado pero no hay ning\u00fan registro de que se aplique.<\/li>\n<li><strong>Un inventario desactualizado:<\/strong> equipos asignados a personas que ya no est\u00e1n o aplicaciones en uso que no aparecen.<\/li>\n<li><strong>Accesos que nadie revisa:<\/strong> la lista existe, pero no hay constancia de ninguna revisi\u00f3n.<\/li>\n<li><strong>Copias nunca restauradas: <\/strong>el backup funciona en teor\u00eda y nadie lo ha comprobado.<\/li>\n<li><strong>Una auditor\u00eda interna hecha por quien mont\u00f3 el SGSI:<\/strong> falta la imparcialidad que exige la norma.<\/li>\n<li><strong>Un alcance mal definido:<\/strong> demasiado estrecho, genera interfaces dif\u00edciles de gestionar entre lo que entra y lo que no. Demasiado amplio, multiplica el trabajo sin aportar valor.<\/li>\n<li><strong>Hallazgos anteriores sin cerrar:<\/strong> en los seguimientos es lo primero que se revisa.<\/li>\n<\/ul>\n<h2>\u00bfC\u00f3mo te ayuda Factorial IT en la auditor\u00eda ISO 27001?<\/h2>\n<p>Para superar la auditor\u00eda ISO 27001 hace falta un sistema de gesti\u00f3n con decisiones de direcci\u00f3n, una evaluaci\u00f3n de riesgos, procedimientos y personas que los aplican, y ninguna herramienta lo resuelve por s\u00ed sola. Pero buena parte de lo que el auditor comprueba en la fase 2 son datos, el estado de los equipos, qui\u00e9n tiene acceso a qu\u00e9 y qu\u00e9 pas\u00f3 en la \u00faltima baja. Y esa es la parte que <a href=\"https:\/\/factorial.es\/factorial-it\">Factorial IT<\/a> resuelve, para que la evidencia t\u00e9cnica <strong>se genere sola y con fecha<\/strong> en lugar de reconstruirse la semana antes de la auditor\u00eda.<\/p>\n<ul>\n<li><strong>Inventario de activos en tiempo real.<\/strong> Toda la flota de macOS, Windows, Linux, iOS y Android desde una sola consola, con cada dispositivo vinculado a una persona y un departamento a trav\u00e9s de la conexi\u00f3n con RRHH, y las aplicaciones SaaS realmente en uso, incluido el shadow IT.<\/li>\n<li><strong>Estado de seguridad de cada dispositivo.<\/strong> Aplicaci\u00f3n y verificaci\u00f3n del cifrado y de las pol\u00edticas de configuraci\u00f3n, con el porcentaje de cumplimiento a una fecha concreta y la lista de equipos que no cumplen.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201959 aligncenter\" src=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-1024x505.png\" alt=\"gesti\u00f3n de activos de Factorial IT\" width=\"1024\" height=\"505\" srcset=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-1024x505.png 1024w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-300x148.png 300w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it-768x379.png 768w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121148\/gestion-activos-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Altas y bajas sincronizadas con RRHH.<\/strong> Cuando alguien sale de la empresa, se retiran sus accesos, se bloquea el dispositivo y se liberan sus licencias, con un registro que muestra el tiempo entre la baja y el corte del \u00faltimo acceso.<\/li>\n<li><strong>Vulnerabilidades y actualizaciones.<\/strong> Nivel de parche por equipo y detecci\u00f3n de software fuera de soporte.<\/li>\n<li><strong>Cobertura del antimalware.<\/strong> Verificaci\u00f3n de que el agente de protecci\u00f3n est\u00e1 instalado y activo en cada dispositivo.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-202434 aligncenter\" src=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png\" alt=\"controles Factorial IT\" width=\"1024\" height=\"500\" srcset=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-1024x500.png 1024w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-300x147.png 300w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it-768x375.png 768w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/18140225\/controles-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Trazabilidad ante un incidente.<\/strong> El usuario del equipo afectado, sus accesos, sus aplicaciones y cada acci\u00f3n realizada, con bloqueo y borrado remoto.<\/li>\n<\/ul>\n<p>Factorial IT no gestiona tu SGSI, no hace tu evaluaci\u00f3n de riesgos, no prueba tus copias de seguridad ni sustituye al auditor interno. Puedes ver el detalle de qu\u00e9 controles cubre y cu\u00e1les no en el art\u00edculo sobre <a href=\"https:\/\/factorial.es\/blog\/como-factorial-it-ayuda-a-cumplir-iso-27001\/\">c\u00f3mo Factorial IT ayuda a cumplir con la ISO 27001<\/a>.<\/p>\n<p>Para esa otra parte, Factorial IT trabaja con <strong>consultoras especializadas<\/strong> que montan el sistema de gesti\u00f3n apoy\u00e1ndose en los datos que ya genera la plataforma, de modo que llegas a la auditor\u00eda con un \u00fanico recorrido de principio a fin y una entidad acreditada independiente emite el certificado. En el siguiente enlace puedes ver m\u00e1s sobre <a href=\"https:\/\/factorial.es\/consultoria-iso-27001\">el servicio de consultor\u00eda de ISO 27001<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>En una auditor\u00eda ISO 27001, un auditor externo comprueba que tu sistema de gesti\u00f3n de seguridad de la informaci\u00f3n cumple la norma. Para ello revisa la documentaci\u00f3n, entrevista a tu equipo y pide ver en tus sistemas las evidencias de que los controles funcionan en el d\u00eda a d\u00eda. Muchas empresas preparan la auditor\u00eda como<a href=\"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":206500,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1091],"tags":[],"class_list":["post-206498","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-iso-27001"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor | Factorial<\/title>\n<meta name=\"description\" content=\"\u00bfTienes dudas sobre la auditor\u00eda ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorial.es\/blog\/auditoria-iso-27001\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor y c\u00f3mo prepararte\" \/>\n<meta property=\"og:description\" content=\"\u00bfTienes dudas sobre la auditor\u00eda ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorial.es\/blog\/auditoria-iso-27001\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-04T10:27:54+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-11-04T10:36:45+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/03172954\/auditoria-iso-27001.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"20 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor y c\u00f3mo prepararte\",\"datePublished\":\"2026-11-04T10:27:54+00:00\",\"dateModified\":\"2026-11-04T10:36:45+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/\"},\"wordCount\":4587,\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"articleSection\":[\"ISO 27001\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/\",\"url\":\"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/\",\"name\":\"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/#website\"},\"datePublished\":\"2026-11-04T10:27:54+00:00\",\"dateModified\":\"2026-11-04T10:36:45+00:00\",\"description\":\"\u00bfTienes dudas sobre la auditor\u00eda ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorial.com\/blog\/#website\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorial.com\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorial.com\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor | Factorial","description":"\u00bfTienes dudas sobre la auditor\u00eda ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorial.es\/blog\/auditoria-iso-27001\/","og_locale":"en_US","og_type":"article","og_title":"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor y c\u00f3mo prepararte","og_description":"\u00bfTienes dudas sobre la auditor\u00eda ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!","og_url":"https:\/\/factorial.es\/blog\/auditoria-iso-27001\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-11-04T10:27:54+00:00","article_modified_time":"2026-11-04T10:36:45+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/03172954\/auditoria-iso-27001.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"20 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/#article","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor y c\u00f3mo prepararte","datePublished":"2026-11-04T10:27:54+00:00","dateModified":"2026-11-04T10:36:45+00:00","mainEntityOfPage":{"@id":"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/"},"wordCount":4587,"publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"articleSection":["ISO 27001"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/","url":"https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/","name":"Auditor\u00eda ISO 27001: qu\u00e9 revisa el auditor | Factorial","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/#website"},"datePublished":"2026-11-04T10:27:54+00:00","dateModified":"2026-11-04T10:36:45+00:00","description":"\u00bfTienes dudas sobre la auditor\u00eda ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorial.com\/blog\/es\/auditoria-iso-27001\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorial.com\/blog\/#website","url":"https:\/\/factorial.com\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorial.com\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/factorial.com\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorial.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206498"}],"collection":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/comments?post=206498"}],"version-history":[{"count":4,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206498\/revisions"}],"predecessor-version":[{"id":206524,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206498\/revisions\/206524"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media\/206500"}],"wp:attachment":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media?parent=206498"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/categories?post=206498"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/tags?post=206498"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}