{"id":206663,"date":"2026-11-06T19:37:43","date_gmt":"2026-11-06T17:37:43","guid":{"rendered":"https:\/\/factorial.com\/blog\/?p=206663"},"modified":"2026-11-06T19:40:01","modified_gmt":"2026-11-06T17:40:01","slug":"evidencias-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/","title":{"rendered":"Evidencias de la ISO 27001: qu\u00e9 pide el auditor y c\u00f3mo prepararlas"},"content":{"rendered":"<p>Las evidencias son lo que<strong> convierte tu sistema de gesti\u00f3n de seguridad en algo que un auditor puede verificar<\/strong>. Sin ellas, una pol\u00edtica aprobada o un control bien dise\u00f1ado no cuentan para la certificaci\u00f3n.<\/p>\n<p>El problema es que suelen estar repartidas entre herramientas, carpetas y correos, y reunirlas a \u00faltima hora es una de las tareas que m\u00e1s tiempo consume en cualquier<a href=\"https:\/\/factorial.es\/blog\/auditoria-iso-27001\/\"> auditor\u00eda ISO 27001<\/a>.<\/p>\n<p>En este art\u00edculo encontrar\u00e1s <strong>qu\u00e9 evidencias pide el auditor<\/strong>, c\u00f3mo distingue entre una evidencia v\u00e1lida y una que no lo es, la lista por cl\u00e1usula y por control del Anexo A y los pasos para tenerlas preparadas.<\/p>\n<h2>\u00bfQu\u00e9 son las evidencias en ISO 27001?<\/h2>\n<p>Una evidencia es<strong> cualquier informaci\u00f3n verificable que demuestra que tu sistema de gesti\u00f3n de seguridad de la informaci\u00f3n (SGSI) funciona<\/strong> tal y como lo has descrito. Si tu pol\u00edtica dice que los port\u00e1tiles van cifrados, la evidencia es el informe que muestra qu\u00e9 equipos est\u00e1n cifrados y desde cu\u00e1ndo.<\/p>\n<p>La norma habla de <strong>informaci\u00f3n documentada<\/strong> y distingue dos tipos.<\/p>\n<ul>\n<li><strong>Informaci\u00f3n que se mantiene:<\/strong> son los documentos que describen c\u00f3mo funciona el sistema, como <a href=\"https:\/\/factorial.es\/blog\/politica-seguridad-informacion\/\">la pol\u00edtica de seguridad<\/a>, el alcance o los procedimientos. Se actualizan cuando algo cambia.<\/li>\n<li><strong>Informaci\u00f3n que se conserva: <\/strong>son los registros que prueban lo que ha pasado, como un informe de auditor\u00eda interna, un ticket de baja o un log de accesos. No se modifican, se guardan.<\/li>\n<\/ul>\n<p>Con los documentos demuestras que has dise\u00f1ado el sistema. Con los registros demuestras que lo aplicas. <strong>El auditor necesita las dos cosas<\/strong>, y es en los registros donde suelen aparecer los huecos.<\/p>\n<p>Si has llegado buscando el control 5.28 del Anexo A, conviene aclarar la diferencia. Ese control se llama \u00abRecopilaci\u00f3n de evidencias\u00bb y trata algo m\u00e1s concreto. Exige un procedimiento para identificar, recoger y preservar pruebas tras un incidente de seguridad, de forma que tengan validez en un proceso disciplinario o judicial. Es un requisito dentro de la gesti\u00f3n de incidentes, distinto de las evidencias que revisa el auditor para certificarte.<\/p>\n<h2>\u00bfQu\u00e9 tipos de evidencias revisa el auditor?<\/h2>\n<p>La auditor\u00eda de certificaci\u00f3n tiene dos fases. En la <strong>fase 1<\/strong> el auditor revisa la documentaci\u00f3n del <a href=\"https:\/\/factorial.es\/blog\/sistema-gestion-seguridad-informacion\/\">SGSI<\/a> y comprueba que est\u00e1s preparado. En la <strong>fase 2<\/strong> verifica que lo documentado se aplica en el d\u00eda a d\u00eda. Para hacerlo combina cuatro tipos de evidencia.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Tipo de evidencia<\/th>\n<th style=\"text-align: center;\">En qu\u00e9 consiste<\/th>\n<th style=\"text-align: center;\">Ejemplo<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">Documental<\/td>\n<td style=\"text-align: center;\">Pol\u00edticas, procedimientos, actas y planes aprobados<\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de control de accesos firmada por la direcci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Registros t\u00e9cnicos<\/td>\n<td style=\"text-align: center;\">Exportaciones, logs e informes generados por los sistemas<\/td>\n<td style=\"text-align: center;\">Informe de parches pendientes por dispositivo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Entrevistas<\/td>\n<td style=\"text-align: center;\">Preguntas a las personas responsables de cada proceso<\/td>\n<td style=\"text-align: center;\">Preguntar al equipo de IT qu\u00e9 hace cuando alguien deja la empresa<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Observaci\u00f3n<\/td>\n<td style=\"text-align: center;\">Comprobaci\u00f3n directa de c\u00f3mo se ejecuta un control<\/td>\n<td style=\"text-align: center;\">Pedir que muestren en pantalla la configuraci\u00f3n de bloqueo de un equipo<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>El auditor no revisa todo, sino que trabaja con muestras. Elige tres bajas del \u00faltimo trimestre, cinco port\u00e1tiles al azar o un incidente concreto, y sigue el rastro de principio a fin. Si una sola muestra no cuadra con lo que dice la pol\u00edtica, tienes un hallazgo.<\/p>\n<p>Por eso no basta con que la evidencia exista. Para que el auditor la d\u00e9 por buena tiene que cumplir varias condiciones.<\/p>\n<ul>\n<li><strong>Fechada: <\/strong>una captura sin fecha no demuestra que el control funcionara durante el periodo auditado.<\/li>\n<li><strong>Dentro del alcance: <\/strong>tiene que corresponder a los sistemas, sedes y procesos incluidos en el SGSI.<\/li>\n<li><strong>Trazable: <\/strong>debe quedar claro qui\u00e9n la gener\u00f3, qui\u00e9n aprob\u00f3 la acci\u00f3n y a qu\u00e9 control responde.<\/li>\n<li><strong>Coherente con la pol\u00edtica:<\/strong> si la pol\u00edtica dice que las revisiones de accesos son trimestrales, el auditor esperar\u00e1 cuatro revisiones al a\u00f1o.<\/li>\n<li><strong>Aut\u00e9ntica:<\/strong>\u00a0generada en su momento y sin modificar. Un registro creado a posteriori es peor que no tenerlo.<\/li>\n<\/ul>\n<h2>Lista de evidencias ISO 27001<\/h2>\n<p>La lista se divide en dos bloques. Las evidencias del SGSI responden a<strong> las cl\u00e1usulas 4 a 10 <\/strong>y son obligatorias para cualquier empresa. Las evidencias de<strong> los controles del Anexo A<\/strong> dependen de los controles que hayas declarado aplicables en tu <a href=\"https:\/\/factorial.es\/blog\/declaracion-de-aplicabilidad-iso-27001\/\">declaraci\u00f3n de aplicabilidad<\/a>.<\/p>\n<h3>1. Evidencias del SGSI<\/h3>\n<p>Son las que demuestran que el sistema de gesti\u00f3n existe, tiene due\u00f1o y se revisa. Ninguna herramienta t\u00e9cnica las genera por ti, as\u00ed que conviene tenerlas localizadas desde el principio.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Cl\u00e1usula<\/th>\n<th style=\"text-align: center;\">Qu\u00e9 demuestra<\/th>\n<th style=\"text-align: center;\">Evidencia habitual<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>4.3 Alcance<\/strong><\/td>\n<td style=\"text-align: center;\">Qu\u00e9 cubre el SGSI y qu\u00e9 queda fuera<\/td>\n<td style=\"text-align: center;\">Documento de alcance aprobado, con sedes, procesos, sistemas e interfaces<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.2 Pol\u00edtica<\/strong><\/td>\n<td style=\"text-align: center;\">El compromiso de la direcci\u00f3n<\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de seguridad de la informaci\u00f3n firmada y comunicada a la plantilla<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.3 Roles<\/strong><\/td>\n<td style=\"text-align: center;\">Qui\u00e9n es responsable de qu\u00e9<\/td>\n<td style=\"text-align: center;\">Organigrama de seguridad o matriz de responsabilidades<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.2 Evaluaci\u00f3n de riesgos<\/strong><\/td>\n<td style=\"text-align: center;\">C\u00f3mo identificas y valoras los riesgos<\/td>\n<td style=\"text-align: center;\">Metodolog\u00eda documentada y resultados del \u00faltimo an\u00e1lisis de riesgos<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1.3 Tratamiento de riesgos<\/strong><\/td>\n<td style=\"text-align: center;\">Qu\u00e9 decides hacer con cada riesgo<\/td>\n<td style=\"text-align: center;\">Plan de tratamiento, declaraci\u00f3n de aplicabilidad y aceptaci\u00f3n del riesgo residual por sus propietarios<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Objetivos<\/strong><\/td>\n<td style=\"text-align: center;\">Qu\u00e9 quieres conseguir y c\u00f3mo lo mides<\/td>\n<td style=\"text-align: center;\">Objetivos de seguridad con responsable, plazo e indicador<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.2 Competencia<\/strong><\/td>\n<td style=\"text-align: center;\">Que las personas clave est\u00e1n preparadas<\/td>\n<td style=\"text-align: center;\">Certificados, registros de formaci\u00f3n y descripciones de puesto<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.3 Concienciaci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Que la plantilla conoce la pol\u00edtica<\/td>\n<td style=\"text-align: center;\">Registros de asistencia y resultados de las formaciones<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Control operacional<\/strong><\/td>\n<td style=\"text-align: center;\">Que los procesos se ejecutan como se planificaron<\/td>\n<td style=\"text-align: center;\">Registros de cambios, tickets y planes de acci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.1 Seguimiento y medici\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Que mides el rendimiento del SGSI<\/td>\n<td style=\"text-align: center;\">Cuadro de indicadores con resultados por periodo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.2 Auditor\u00eda interna<\/strong><\/td>\n<td style=\"text-align: center;\">Que revisas el sistema antes que nadie<\/td>\n<td style=\"text-align: center;\">Programa de auditor\u00eda, informe de la \u00faltima auditor\u00eda interna y hallazgos<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>9.3 Revisi\u00f3n por la direcci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Que la direcci\u00f3n supervisa el sistema<\/td>\n<td style=\"text-align: center;\">Acta de la \u00faltima revisi\u00f3n con decisiones y acciones acordadas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>10.2 No conformidades<\/strong><\/td>\n<td style=\"text-align: center;\">Que corriges lo que falla<\/td>\n<td style=\"text-align: center;\">Registro de no conformidades con an\u00e1lisis de causa, acci\u00f3n correctiva y verificaci\u00f3n de eficacia<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>La revisi\u00f3n por la direcci\u00f3n y la auditor\u00eda interna son las dos evidencias que m\u00e1s se olvidan en una primera certificaci\u00f3n. Las dos tienen que haberse hecho antes de la fase 2, con tiempo suficiente para cerrar los hallazgos.<\/p>\n<h3>2. Evidencias de los controles del Anexo A<\/h3>\n<p>El Anexo A de la ISO\/IEC 27001:2022 recoge <strong>93 controles <\/strong>repartidos en cuatro bloques. No todos aplican a todas las empresas, pero cada control que declares aplicable necesita al menos una evidencia de que funciona. Estas son las m\u00e1s habituales en una auditor\u00eda.<\/p>\n<h4><strong>Controles organizativos<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Control<\/th>\n<th style=\"text-align: center;\">Evidencia que suele pedir el auditor<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>5.9 Inventario de activos<\/strong><\/td>\n<td style=\"text-align: center;\">Inventario actualizado con propietario asignado a cada activo y fecha de la \u00faltima revisi\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.10 Uso aceptable<\/strong><\/td>\n<td style=\"text-align: center;\">Normas de uso aceptable y registro de su aceptaci\u00f3n por la plantilla<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.11 Devoluci\u00f3n de activos<\/strong><\/td>\n<td style=\"text-align: center;\">Registro de devoluci\u00f3n de equipos de las \u00faltimas bajas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.15 a 5.18 Control de accesos<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de accesos, solicitudes aprobadas, revisiones peri\u00f3dicas de permisos y retirada de accesos en las bajas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.19 a 5.22 Proveedores<\/strong><\/td>\n<td style=\"text-align: center;\">Registro de proveedores cr\u00edticos, cl\u00e1usulas de seguridad en contratos y evaluaciones peri\u00f3dicas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.23 Servicios en la nube<\/strong><\/td>\n<td style=\"text-align: center;\">Listado de servicios cloud en uso, responsable de cada uno y criterios de selecci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.24 a 5.27 Incidentes<\/strong><\/td>\n<td style=\"text-align: center;\">Procedimiento de gesti\u00f3n de incidentes, registro de incidentes con cronolog\u00eda y lecciones aprendidas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>5.29 y 5.30 Continuidad<\/strong><\/td>\n<td style=\"text-align: center;\">Plan de continuidad y registro de la \u00faltima prueba realizada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controles de personas<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Control<\/th>\n<th style=\"text-align: center;\">Evidencia que suele pedir el auditor<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>6.1 Comprobaci\u00f3n de antecedentes<\/strong><\/td>\n<td style=\"text-align: center;\">Procedimiento de verificaci\u00f3n en la contrataci\u00f3n y registros de su aplicaci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.2 Condiciones de contrataci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Contratos o anexos con obligaciones de seguridad y confidencialidad firmados<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.3 Formaci\u00f3n y concienciaci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Plan de formaci\u00f3n, asistencia y resultados por empleado<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.5 Responsabilidades tras la baja<\/strong><\/td>\n<td style=\"text-align: center;\">Checklist de offboarding completado en las bajas recientes<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>6.7 Teletrabajo<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de teletrabajo y configuraci\u00f3n de seguridad de los equipos remotos<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controles f\u00edsicos<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Control<\/th>\n<th style=\"text-align: center;\">Evidencia que suele pedir el auditor<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>7.1 y 7.2 Per\u00edmetro y acceso f\u00edsico<\/strong><\/td>\n<td style=\"text-align: center;\">Registro de accesos a oficinas o zonas restringidas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.9 Activos fuera de las instalaciones<\/strong><\/td>\n<td style=\"text-align: center;\">Listado de equipos asignados fuera de la oficina y medidas aplicadas, como el cifrado o el bloqueo remoto<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.10 Soportes de almacenamiento<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de uso de soportes extra\u00edbles y su aplicaci\u00f3n t\u00e9cnica<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>7.14 Eliminaci\u00f3n o reutilizaci\u00f3n de equipos<\/strong><\/td>\n<td style=\"text-align: center;\">Registro de borrado seguro o certificado de destrucci\u00f3n de los equipos retirados<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4><strong>Controles tecnol\u00f3gicos<\/strong><\/h4>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Control<\/th>\n<th style=\"text-align: center;\">Evidencia que suele pedir el auditor<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>8.1 Dispositivos de usuario final<\/strong><\/td>\n<td style=\"text-align: center;\">Estado de cumplimiento de cada dispositivo con las pol\u00edticas de seguridad, como bloqueo de pantalla, contrase\u00f1a o versi\u00f3n del sistema operativo<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.2 Accesos privilegiados<\/strong><\/td>\n<td style=\"text-align: center;\">Listado de cuentas con privilegios de administrador y su justificaci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.5 Autenticaci\u00f3n segura<\/strong><\/td>\n<td style=\"text-align: center;\">Configuraci\u00f3n de la autenticaci\u00f3n multifactor y sistemas donde se aplica<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.7 Protecci\u00f3n contra malware<\/strong><\/td>\n<td style=\"text-align: center;\">Cobertura de la soluci\u00f3n antimalware o EDR por dispositivo y registro de alertas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.8 Vulnerabilidades t\u00e9cnicas<\/strong><\/td>\n<td style=\"text-align: center;\">Informe de parches aplicados y pendientes, con fechas<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.9 Gesti\u00f3n de la configuraci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Configuraciones base aprobadas y comprobaci\u00f3n de que los equipos las cumplen<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.10 Eliminaci\u00f3n de informaci\u00f3n<\/strong><\/td>\n<td style=\"text-align: center;\">Registros de borrado de datos en equipos retirados o reasignados<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.13 Copias de seguridad<\/strong><\/td>\n<td style=\"text-align: center;\">Pol\u00edtica de copias, registro de ejecuci\u00f3n y prueba de restauraci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.15 Registro de eventos<\/strong><\/td>\n<td style=\"text-align: center;\">Logs de los sistemas cr\u00edticos y periodo de retenci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.24 Uso de criptograf\u00eda<\/strong><\/td>\n<td style=\"text-align: center;\">Estado de cifrado de discos por dispositivo y gesti\u00f3n de las claves de recuperaci\u00f3n<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\"><strong>8.32 Gesti\u00f3n de cambios<\/strong><\/td>\n<td style=\"text-align: center;\">Registro de cambios con evaluaci\u00f3n, aprobaci\u00f3n y pruebas<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Si quieres repasar el contenido de cada bloque antes de construir tu propia lista, en el art\u00edculo sobre los <a href=\"https:\/\/factorial.es\/blog\/dominios-iso-27001\/\">dominios de la ISO 27001<\/a> tienes el detalle de cada uno.<\/p>\n<h2>\u00bfC\u00f3mo recopilar las evidencias para la auditor\u00eda?<\/h2>\n<p>Las empresas que pasan la auditor\u00eda sin sobresaltos tienen algo en com\u00fan. <strong>Deciden qu\u00e9 evidencia corresponde a cada control mucho antes de que el auditor la pida<\/strong>. Estos son los pasos para conseguirlo.<\/p>\n<h3>1. Parte de la declaraci\u00f3n de aplicabilidad<\/h3>\n<p>La declaraci\u00f3n de aplicabilidad (SoA) recoge los controles del Anexo A que has decidido aplicar y el motivo de cada decisi\u00f3n. Es el mejor punto de partida porque te dice exactamente qu\u00e9 tendr\u00e1s que demostrar.<\/p>\n<p><strong>Recorre la SoA control por control y anota al lado qu\u00e9 evidencia prueba que funciona<\/strong>. Si un control aplicable no tiene ninguna evidencia asociada, ya sabes d\u00f3nde est\u00e1 tu primer hueco. Y si declaras un control como implantado pero no puedes ense\u00f1ar nada que lo respalde, el auditor lo detectar\u00e1 en la fase 2.<\/p>\n<h3>2. Asigna un responsable y una frecuencia a cada evidencia<\/h3>\n<p>Una evidencia sin due\u00f1o acaba sin actualizar. <strong>Cada evidencia necesita una persona que la genere y otra que la revise<\/strong>, y una frecuencia acorde con lo que dice tu pol\u00edtica.<\/p>\n<p>Algunas evidencias se producen una vez al a\u00f1o, como la revisi\u00f3n por la direcci\u00f3n. Otras cambian cada semana, como el estado de los parches. Reunir toda esta informaci\u00f3n en un mapa de evidencias te da una visi\u00f3n r\u00e1pida de qu\u00e9 est\u00e1 cubierto y qu\u00e9 no. Puede ser tan sencillo como algo similar a esto:<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: center;\">Control<\/th>\n<th>Evidencia<\/th>\n<th>Fuente<\/th>\n<th>Responsable<\/th>\n<th>Frecuencia<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"text-align: center;\">5.9<\/td>\n<td>Inventario de activos con propietario<\/td>\n<td>Herramienta de gesti\u00f3n de activos<\/td>\n<td>Responsable de IT<\/td>\n<td>Continua, revisi\u00f3n trimestral<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">5.18<\/td>\n<td>Revisi\u00f3n de permisos<\/td>\n<td>Directorio y aplicaciones SaaS<\/td>\n<td>Responsables de \u00e1rea<\/td>\n<td>Trimestral<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">8.8<\/td>\n<td>Informe de parches<\/td>\n<td>MDM<\/td>\n<td>Responsable de IT<\/td>\n<td>Mensual<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">9.3<\/td>\n<td>Acta de revisi\u00f3n por la direcci\u00f3n<\/td>\n<td>Documento interno<\/td>\n<td>Responsable de seguridad<\/td>\n<td>Anual<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3>3. Centraliza y automatiza las evidencias<\/h3>\n<p>Cuando las evidencias est\u00e1n repartidas entre el correo, carpetas personales y varias herramientas, encontrarlas lleva horas. Y si la persona que sabe d\u00f3nde est\u00e1 todo no est\u00e1 disponible el d\u00eda de la auditor\u00eda, el problema se complica.<\/p>\n<p>Gu\u00e1rdalas en <strong>un \u00fanico repositorio<\/strong>, con una carpeta por cl\u00e1usula o por control y la fecha en el nombre de cada archivo. Limita el acceso a quien lo necesite, porque muchas contienen informaci\u00f3n sensible.<\/p>\n<p>Para las evidencias t\u00e9cnicas, como el inventario de activos, el cifrado de los equipos o los parches, lo mejor es que salgan directamente de<strong> tus herramientas de gesti\u00f3n de dispositivos<\/strong>. Una exportaci\u00f3n manual se queda desactualizada en pocas semanas, mientras que un informe autom\u00e1tico siempre refleja la situaci\u00f3n real y lleva su fecha.<\/p>\n<h3>4. Haz un simulacro con casos reales<\/h3>\n<p>Antes de la fase 2, ponte en el lugar del auditor. Elige una incorporaci\u00f3n reciente, una baja del \u00faltimo trimestre y un port\u00e1til al azar, y<strong> comprueba que puedes reconstruir toda la cadena<\/strong> de cada caso.<\/p>\n<p>En una baja, por ejemplo, tendr\u00edas que poder ense\u00f1ar la comunicaci\u00f3n de RRHH, la retirada de los accesos, la devoluci\u00f3n del equipo y el borrado de los datos, todo con sus fechas. Si alguno de esos pasos falta o no cuadra con lo que dice la pol\u00edtica, mejor descubrirlo ahora. Lo que no encuentres t\u00fa tampoco lo encontrar\u00e1 el auditor.<\/p>\n<h3>5. Mant\u00e9n las evidencias entre auditor\u00edas<\/h3>\n<p>La certificaci\u00f3n tiene <strong>una validez de tres a\u00f1os<\/strong>, con una auditor\u00eda de seguimiento cada a\u00f1o y una recertificaci\u00f3n al final del ciclo. El auditor revisar\u00e1 evidencias del periodo transcurrido desde la \u00faltima visita, no solo del mes anterior.<\/p>\n<p>Si las evidencias solo se generan cuando se acerca la auditor\u00eda, cada seguimiento vuelve a ser una carrera. <strong>Las que se producen de forma continua<\/strong>, con responsables y frecuencias claras, eliminan ese problema y hacen que el sistema funcione tambi\u00e9n el resto del a\u00f1o.<\/p>\n<h2>Errores habituales con las evidencias<\/h2>\n<p>La mayor\u00eda de las no conformidades que aparecen en una auditor\u00eda tienen poco que ver con controles que no existen. Suelen deberse a controles que existen pero no se pueden demostrar. Estos son los errores m\u00e1s frecuentes:<\/p>\n<ul>\n<li><strong>Capturas de pantalla sin contexto:<\/strong> una imagen que muestra \u00abcifrado activado\u00bb no dice en qu\u00e9 equipo, en qu\u00e9 fecha ni si se aplica al resto de la flota. Las capturas pueden complementar, pero rara vez bastan por s\u00ed solas.<\/li>\n<li><strong>Evidencias creadas a \u00faltima hora:<\/strong> un acta de revisi\u00f3n redactada la semana antes de la auditor\u00eda o un registro rellenado con fechas pasadas se detectan con facilidad. Adem\u00e1s, comprometen la credibilidad del resto del sistema.<\/li>\n<li><strong>La pol\u00edtica dice una cosa y la pr\u00e1ctica otra:<\/strong> si la pol\u00edtica fija revisiones de accesos trimestrales y solo hay una al a\u00f1o, el auditor levantar\u00e1 una no conformidad aunque la revisi\u00f3n est\u00e9 bien hecha. Es mejor ajustar la pol\u00edtica a una frecuencia realista que incumplirla.<\/li>\n<li><strong>Evidencias dispersas:<\/strong> aprobaciones en el correo, exportaciones en el port\u00e1til de una persona y tickets en tres herramientas distintas. Cuando la persona que sab\u00eda d\u00f3nde estaba todo se va de vacaciones o de la empresa, la evidencia desaparece con ella.<\/li>\n<li><strong>Activos que no est\u00e1n en el inventario: <\/strong>un port\u00e1til que nadie registr\u00f3 o una aplicaci\u00f3n SaaS contratada por un departamento sin pasar por IT. Si el activo no est\u00e1 en el inventario, ning\u00fan control se le aplica, y el auditor suele encontrarlo al cruzar datos.<\/li>\n<li><strong>Bajas sin cerrar del todo:<\/strong> la cuenta principal se desactiva, pero el acceso a una herramienta SaaS sigue activo o el port\u00e1til no se ha devuelto. Las bajas son de las primeras muestras que pide el auditor porque revelan r\u00e1pido si los procesos de RRHH e IT est\u00e1n conectados.<\/li>\n<\/ul>\n<h2>\u00bfC\u00f3mo Factorial IT te ayuda con las evidencias ISO 27001?<\/h2>\n<p>Buena parte de las evidencias del Anexo A son t\u00e9cnicas. Describen el estado de los dispositivos, los accesos y los activos de la empresa en un momento concreto. Recopilarlas a mano obliga a exportar datos de varias herramientas, cruzarlos y repetir el proceso antes de cada auditor\u00eda.<\/p>\n<p><a href=\"https:\/\/factorial.es\/factorial-it\">Factorial IT<\/a> genera esas evidencias de forma continua a partir de la gesti\u00f3n diaria de la flota, y cada informe lleva su fecha.<\/p>\n<ul>\n<li><strong>Inventario de activos siempre actualizado (5.9).<\/strong> Los dispositivos se registran autom\u00e1ticamente con su propietario asignado, para flotas mixtas de macOS, Windows, Linux, iOS y Android. El inventario se puede descargar con fecha y porcentaje de cobertura.<\/li>\n<li><strong>Estado de seguridad de cada dispositivo (8.1, 8.9 y 8.24).<\/strong> Las pol\u00edticas de seguridad se aplican desde el MDM y el estado de cumplimiento de cada equipo, incluido el cifrado de disco, queda registrado.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201960 aligncenter\" src=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png\" alt=\"inventario Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-1024x497.png 1024w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-300x146.png 300w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it-768x373.png 768w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14121330\/inventario-it-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Parches y vulnerabilidades (8.8).<\/strong> Visibilidad de las actualizaciones aplicadas y pendientes por dispositivo, con su historial.<\/li>\n<li><strong>Protecci\u00f3n contra malware (8.7).<\/strong> El EDR integrado muestra la cobertura por equipo y el registro de alertas y respuestas.<\/li>\n<li><strong>Bajas conectadas con RRHH (5.11, 6.5 y 7.14).<\/strong> Como Factorial IT est\u00e1 sincronizado con las altas y bajas de Factorial, cada salida activa la retirada de accesos, la devoluci\u00f3n del equipo y el borrado remoto. Queda registrado el tiempo entre la baja en RRHH y el corte del \u00faltimo acceso, que es justo la muestra que suele pedir el auditor.<\/li>\n<\/ul>\n<p><img decoding=\"async\" class=\"size-large wp-image-201970 aligncenter\" src=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png\" alt=\"evidencias Factorial IT\" width=\"1024\" height=\"497\" srcset=\"https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-1024x497.png 1024w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-300x146.png 300w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it-768x372.png 768w, https:\/\/factorial.es\/wp-content\/uploads\/2026\/09\/14123436\/evidencias-factorial-it.png 1200w\" sizes=\"(max-width: 1024px) 100vw, 1024px\" \/><\/p>\n<ul>\n<li><strong>Aplicaciones SaaS y accesos (5.15 y 5.23).<\/strong> Visibilidad de las aplicaciones en uso, qui\u00e9n tiene acceso a cada una y detecci\u00f3n de herramientas que se usan sin pasar por IT.<\/li>\n<li><strong>M\u00f3dulo de Compliance.<\/strong> Re\u00fane el estado de estos controles en un solo lugar, para que la preparaci\u00f3n de la auditor\u00eda consista en revisar y descargar en vez de buscar.<\/li>\n<\/ul>\n<p>Conviene ser claro sobre el l\u00edmite. Factorial IT trabaja en la capa t\u00e9cnica del cumplimiento. Las evidencias del SGSI, como el an\u00e1lisis de riesgos, la declaraci\u00f3n de aplicabilidad, la auditor\u00eda interna o la revisi\u00f3n por la direcci\u00f3n, dependen de tu equipo y de tu proceso de gesti\u00f3n. Ninguna herramienta las sustituye.<\/p>\n<p>Para cubrir esa parte, Factorial ofrece un <a href=\"https:\/\/factorial.es\/iso-27001\">servicio de certificaci\u00f3n ISO 27001 de principio a fin<\/a> junto a partners especializados, que acompa\u00f1a a la empresa desde el diagn\u00f3stico hasta la auditor\u00eda. Y si quieres ver control por control qu\u00e9 evidencia genera la plataforma, lo tienes en detalle en <a href=\"https:\/\/factorial.es\/blog\/como-factorial-it-ayuda-a-cumplir-iso-27001\/\">c\u00f3mo Factorial IT ayuda a cumplir con la ISO 27001<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Las evidencias son lo que convierte tu sistema de gesti\u00f3n de seguridad en algo que un auditor puede verificar. Sin ellas, una pol\u00edtica aprobada o un control bien dise\u00f1ado no cuentan para la certificaci\u00f3n. El problema es que suelen estar repartidas entre herramientas, carpetas y correos, y reunirlas a \u00faltima hora es una de las<a href=\"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/\" class=\"read-more\"> [&#8230;]<\/a><\/p>\n","protected":false},"author":352,"featured_media":206670,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1091],"tags":[],"class_list":["post-206663","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-iso-27001"],"acf":{"topics":"factorial-it"},"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v21.5 (Yoast SEO v21.9.1) - https:\/\/yoast.com\/wordpress\/plugins\/seo\/ -->\n<title>Evidencias de la ISO 27001: qu\u00e9 pide el auditor | Factorial<\/title>\n<meta name=\"description\" content=\"\u00bfTienes dudas sobre las evidencias de la ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/factorial.es\/blog\/evidencias-iso-27001\/\" \/>\n<meta property=\"og:locale\" content=\"en_US\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Evidencias de la ISO 27001: qu\u00e9 pide el auditor y c\u00f3mo prepararlas\" \/>\n<meta property=\"og:description\" content=\"\u00bfTienes dudas sobre las evidencias de la ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!\" \/>\n<meta property=\"og:url\" content=\"https:\/\/factorial.es\/blog\/evidencias-iso-27001\/\" \/>\n<meta property=\"og:site_name\" content=\"Factorial\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-06T17:37:43+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-11-06T17:40:01+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/06133321\/evidencias-iso-27001.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1800\" \/>\n\t<meta property=\"og:image:height\" content=\"976\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"Enrique Quiroga\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:creator\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:site\" content=\"@factorialapp\" \/>\n<meta name=\"twitter:label1\" content=\"Written by\" \/>\n\t<meta name=\"twitter:data1\" content=\"Enrique Quiroga\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. reading time\" \/>\n\t<meta name=\"twitter:data2\" content=\"14 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/#article\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/\"},\"author\":{\"name\":\"Enrique Quiroga\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\"},\"headline\":\"Evidencias de la ISO 27001: qu\u00e9 pide el auditor y c\u00f3mo prepararlas\",\"datePublished\":\"2026-11-06T17:37:43+00:00\",\"dateModified\":\"2026-11-06T17:40:01+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/\"},\"wordCount\":3047,\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"articleSection\":[\"ISO 27001\"],\"inLanguage\":\"en-US\"},{\"@type\":\"WebPage\",\"@id\":\"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/\",\"url\":\"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/\",\"name\":\"Evidencias de la ISO 27001: qu\u00e9 pide el auditor | Factorial\",\"isPartOf\":{\"@id\":\"https:\/\/factorial.com\/blog\/#website\"},\"datePublished\":\"2026-11-06T17:37:43+00:00\",\"dateModified\":\"2026-11-06T17:40:01+00:00\",\"description\":\"\u00bfTienes dudas sobre las evidencias de la ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!\",\"inLanguage\":\"en-US\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/factorial.com\/blog\/#website\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"name\":\"Factorial\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/factorial.com\/blog\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/factorial.com\/blog\/?s={search_term_string}\"},\"query-input\":\"required name=search_term_string\"}],\"inLanguage\":\"en-US\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/factorial.com\/blog\/#organization\",\"name\":\"All-in-one business management software - Factorial\",\"url\":\"https:\/\/factorial.com\/blog\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"contentUrl\":\"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png\",\"width\":946,\"height\":880,\"caption\":\"All-in-one business management software - Factorial\"},\"image\":{\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/\"},\"sameAs\":[\"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/\",\"https:\/\/twitter.com\/factorialapp\",\"https:\/\/www.linkedin.com\/company\/factorialhr\",\"https:\/\/www.youtube.com\/@factorialmedia\",\"https:\/\/www.instagram.com\/factorial\/#\"]},{\"@type\":\"Person\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014\",\"name\":\"Enrique Quiroga\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"en-US\",\"@id\":\"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/\",\"url\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"contentUrl\":\"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g\",\"caption\":\"Enrique Quiroga\"},\"url\":\"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/\"}]}<\/script>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Evidencias de la ISO 27001: qu\u00e9 pide el auditor | Factorial","description":"\u00bfTienes dudas sobre las evidencias de la ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/factorial.es\/blog\/evidencias-iso-27001\/","og_locale":"en_US","og_type":"article","og_title":"Evidencias de la ISO 27001: qu\u00e9 pide el auditor y c\u00f3mo prepararlas","og_description":"\u00bfTienes dudas sobre las evidencias de la ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!","og_url":"https:\/\/factorial.es\/blog\/evidencias-iso-27001\/","og_site_name":"Factorial","article_publisher":"https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","article_published_time":"2026-11-06T17:37:43+00:00","article_modified_time":"2026-11-06T17:40:01+00:00","og_image":[{"width":1800,"height":976,"url":"https:\/\/factorial.com\/wp-content\/uploads\/2026\/11\/06133321\/evidencias-iso-27001.png","type":"image\/png"}],"author":"Enrique Quiroga","twitter_card":"summary_large_image","twitter_creator":"@factorialapp","twitter_site":"@factorialapp","twitter_misc":{"Written by":"Enrique Quiroga","Est. reading time":"14 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/#article","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/"},"author":{"name":"Enrique Quiroga","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014"},"headline":"Evidencias de la ISO 27001: qu\u00e9 pide el auditor y c\u00f3mo prepararlas","datePublished":"2026-11-06T17:37:43+00:00","dateModified":"2026-11-06T17:40:01+00:00","mainEntityOfPage":{"@id":"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/"},"wordCount":3047,"publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"articleSection":["ISO 27001"],"inLanguage":"en-US"},{"@type":"WebPage","@id":"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/","url":"https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/","name":"Evidencias de la ISO 27001: qu\u00e9 pide el auditor | Factorial","isPartOf":{"@id":"https:\/\/factorial.com\/blog\/#website"},"datePublished":"2026-11-06T17:37:43+00:00","dateModified":"2026-11-06T17:40:01+00:00","description":"\u00bfTienes dudas sobre las evidencias de la ISO 27001? Te explicamos todo lo que tienes que saber sobre ello. \u00a1Entra y desc\u00fabrelo!","inLanguage":"en-US","potentialAction":[{"@type":"ReadAction","target":["https:\/\/factorial.com\/blog\/es\/evidencias-iso-27001\/"]}]},{"@type":"WebSite","@id":"https:\/\/factorial.com\/blog\/#website","url":"https:\/\/factorial.com\/blog\/","name":"Factorial","description":"","publisher":{"@id":"https:\/\/factorial.com\/blog\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/factorial.com\/blog\/?s={search_term_string}"},"query-input":"required name=search_term_string"}],"inLanguage":"en-US"},{"@type":"Organization","@id":"https:\/\/factorial.com\/blog\/#organization","name":"All-in-one business management software - Factorial","url":"https:\/\/factorial.com\/blog\/","logo":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/","url":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","contentUrl":"https:\/\/factorial.mx\/wp-content\/uploads\/2023\/07\/18155144\/factorial-logo.png","width":946,"height":880,"caption":"All-in-one business management software - Factorial"},"image":{"@id":"https:\/\/factorial.com\/blog\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/people\/Factorial\/100064908455810\/","https:\/\/twitter.com\/factorialapp","https:\/\/www.linkedin.com\/company\/factorialhr","https:\/\/www.youtube.com\/@factorialmedia","https:\/\/www.instagram.com\/factorial\/#"]},{"@type":"Person","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/576a40f0f266777ab73068c097d59014","name":"Enrique Quiroga","image":{"@type":"ImageObject","inLanguage":"en-US","@id":"https:\/\/factorial.com\/blog\/#\/schema\/person\/image\/","url":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/fcc26a14dc327372e37434cfc64f3917?s=96&d=identicon&r=g","caption":"Enrique Quiroga"},"url":"https:\/\/factorial.com\/blog\/author\/enrique-quiroga\/"}]}},"_links":{"self":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206663"}],"collection":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/users\/352"}],"replies":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/comments?post=206663"}],"version-history":[{"count":5,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206663\/revisions"}],"predecessor-version":[{"id":206743,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/posts\/206663\/revisions\/206743"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media\/206670"}],"wp:attachment":[{"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/media?parent=206663"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/categories?post=206663"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factorial.com\/blog\/wp-json\/wp\/v2\/tags?post=206663"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}