🔍 Modo Auditor

Vista de solo lectura pensada para revisar con un auditor interno o externo: estado de certificación, checklist/SoA con exclusiones justificadas, riesgos y auditorías. No hay ningún botón de crear/editar/borrar en esta pantalla.

Estado de certificación por norma

Cumplimiento y Declaración de Aplicabilidad (SoA)

Registro de riesgos

Auditorías realizadas y hallazgos

Documentos y evidencias

Personas de la organización

Ficha real de cada persona — para que los requisitos de roles y responsabilidades apunten a alguien dado de alta aquí, no a un texto libre sin forma.

Alta Dirección / Órgano de Gobierno

A quien la organización rinde cuentas — consejo, accionariado, dirección general. Separado de Personas a propósito: esto no es personal operativo con roles de seguridad asignados.

Comité de Seguridad

El órgano de coordinación y supervisión de la seguridad de la información que la Política de Seguridad debe definir formalmente (art. 12.1.d y 12.6 RD 311/2022) — coordina la gestión de las medidas del Anexo II, hace seguimiento de su cumplimiento, y sus decisiones se documentan en actas archivadas en el repositorio de seguridad. Suele incluir a los responsables de la Información, del Servicio, de la Seguridad y del Sistema (art. 11), además de cualquier otro rol que la organización considere necesario.

Se eligen entre las Personas ya dadas de alta, o entre los miembros externos de Alta Dirección — el rol que ocupan en el comité puede no coincidir con su cargo del día a día.

Revisión por la Dirección

Cláusula 9.3 de ISO 27001:2022 — acto formal distinto de las reuniones del Comité de Seguridad, con entradas y salidas concretas exigidas por la norma. Aviso: hoy no hay ningún control del checklist que exija esta evidencia (es cláusula de gestión, no del Anexo A), así que este registro no mueve ningún % — se documenta porque lo exige la certificación real, no el checklist.

Infraestructuras

Activos físicos y técnicos relevantes para seguridad — CPD, servidores, red, oficinas. Los hallazgos de riesgo físico (ej. "seguridad del CPD sin corregir") apuntan aquí.

Formación

Qué se forma, cuándo y a quién — evidencia directa de A.6.3 (ISO27001) y mp.per.4 (ENS). Cada curso puede generar automáticamente su registro en el checklist.

Campañas de concienciación

mp.per.3 — distinto de Formación (mp.per.4): aquí va lo ligero, un correo de phishing simulado, un cartel, una charla breve. El registro se mantiene solo.

Radar de madurez ENS (ACIDT)

Media de la valoración ACIDT de todos los activos (no procesos) que ya tienen alguna dimensión valorada. Un activo sin valorar (todo en 0) no cuenta en la media, para no falsear el resultado a la baja mientras vas completando el inventario.

Inventario de activos y procesos

A.5.9 (ISO 27001) y op.exp.1 (ENS): todo lo que puede tener un riesgo asociado se da de alta aquí una vez, con su propietario. Desde Riesgos se elige de esta lista, nunca se escribe a mano.

Descripción del sistema de información a auditar

Descripción del sistema de información: software, hardware, comunicaciones, equipamiento auxiliar y ubicaciones, agrupados por tipo. No es un dato nuevo — reúne lo que ya está en Activos y procesos (arriba) y en Infraestructuras, listo para documentar el alcance real del sistema.

Unidades organizativas (sedes, departamentos...)

Estructura de la organización — para dar de alta un departamento (ej. "Área de Soporte e Innovación Tecnológica") y poder ubicar ahí a cada persona y cargo. También sirve para decir que una auditoría o un documento aplica solo a una sede o departamento concreto. Pueden anidarse (ej. "Dep. IT" dentro de "Sede Zaragoza").

Organigrama

La jerarquía vive en los cargos (quién reporta a quién), no en las personas — así el organigrama no se rompe cuando alguien cambia de puesto. Quién ocupa cada cargo se resuelve solo desde el Historial de puestos de Personas.

Roles y responsabilidades (ENS / RGPD)

Identificación de responsables: quién es hoy el Responsable de la Información, del Servicio, de la Seguridad y del Sistema (art. 11 y 13.2 RD 311/2022) — independiente del cargo de cada uno. Se asigna desde la ficha de cada persona (Organización → Personas → Roles de seguridad asignados).

Cargos de la organización

Proveedores críticos

A.5.19-A.5.23 (ISO 27001) / op.ext.1-3 (ENS). El registro mantenido al día es la evidencia de seguimiento — pero un contrato/SLA con cláusulas de seguridad reales solo cuenta si lo subes de verdad en Documentos y lo enlazas aquí, no se fabrica solo.

Alcances de certificación/auditoría

Un cliente puede tener varios alcances distintos — ej. ENS a todo el grupo, ISO 27001 solo a una sociedad o departamento.

Simulacros y pruebas

La prueba de que el sistema funciona de verdad, no solo de que está bien escrito — restauración de backup, continuidad, phishing, pentest, simulacro de incidente. Cada uno alimenta su bloque del checklist automáticamente cuando existe un control específico para ese tipo.

Registro de Incidentes (RNCR)

Incidentes reales ocurridos — no el procedimiento de cómo gestionarlos, eso ya está en Documentos. Sigue las mismas fases de tu Norma N-01: clasificación, preservación de evidencias antes de tocar nada, y notificación a quien corresponda con su fecha.

Calendario, documentación solicitada/aportada, informe y hallazgos/PAC — todo enlazado. Nada de esto duplica archivos: la documentación aportada enlaza con lo que ya está en Documentos.

Registro de autorizaciones

org.4 — el registro real de autorizaciones concedidas (alta de un sistema, un cambio en producción), no el procedimiento de cómo se autoriza.

Panel de control — Gobernanza

Mismo dato que el Checklist de ENS, agrupado por los 3 marcos oficiales del Anexo II (RD 311/2022) en vez de por bloques de auditoría propios. Basado en evidencia real vinculada, no en una autoevaluación Sí/No.

Categoría ENS calculada

Marco organizativo [org]

Estrategia, política, roles y gobernanza — Anexo II, apartado 3.1.

Marco operacional [op]

Planificación, control de accesos, explotación, servicios externos, continuidad, monitorización — Anexo II, apartado 3.2.

Medidas de protección [mp]

Instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios — Anexo II, apartado 3.3.

Subir documento

Documentos subidos 🔒 Cifrados en reposo (AES-256-GCM)

Checklist de auditoría (documental)

Agrupado en los mismos bloques que revisas en una auditoría documental de certificación o seguimiento — ve bloque a bloque, no todo mezclado.

Marco de riesgo

Escala de probabilidad/impacto y matriz propias de este cliente. Si no se configuran, se usa un marco por defecto (escala real 0-10 de MAGERIT/PILAR) para poder empezar a operar de inmediato.

Registro de riesgos

Terminología alineada con un análisis de riesgos tipo MAGERIT/ISO 27005 (Anexo I RD 311/2022, cláusula 6.1.2 ISO 27001:2022), para que puedas trasladar aquí un informe de riesgos real sin tener que reinterpretar los campos.

Plan de Tratamiento de Riesgos (PTR)

ISO 27001:2022 cláusula 6.1.3 / ENS op.pl.1 — todos los riesgos cuyo nivel residual iguala o supera el apetito configurado en Marco de riesgo, con su decisión de tratamiento y el estado real de las acciones (completadas y pendientes). Documento único pensado para enseñar al auditor, no una vista de trabajo con datos sueltos.