02Banana Defense · Seguridad de la información
Consultoría ISO 27001 para preparar un SGSI que funcione
La consultoría ISO 27001 de Banana Defense prepara tu sistema de gestión de seguridad de la información (SGSI). Trabajamos sobre ISO/IEC 27001:2022: alcance, riesgos, controles y evidencia.
Banana Defense · mapa de exposiciónSimulación- CríticoEl panel de control tiene la contraseña de fábrica. Desde ahí se llega a los datos de clientes.Abierto
- AltoEl asistente de IA entrega datos de otros clientes si se lo piden con engaños.Abierto
De la política escrita a la práctica
Puedes tener reglas de acceso, respaldos y acuerdos con proveedores sin saber cuándo se revisaron. Un SGSI conecta riesgos, responsables y controles que puedan mantenerse. La preparación comprueba cómo funcionan y qué corregir, para responder a clientes, entender incidentes y priorizar riesgos.
Qué cubre nuestra consultoría ISO 27001
Definimos la gestión y sus evidencias para el alcance acordado. Tu organización conserva las decisiones y la operación de los controles.
- 01
Alcance del SGSI
Precisamos procesos, servicios, ubicaciones y dependencias según cómo circula la información y quién responde.
- 02
Evaluación de riesgos
Identificamos información, amenazas y consecuencias, con criterios y responsables para tratar o aceptar riesgos.
- 03
Controles y Anexo A
Elegimos controles según riesgos y contrastamos el Anexo A para revisar omisiones.
- 04
Declaración de Aplicabilidad
Documenta controles necesarios, razones, estado de implementación y exclusiones justificadas del Anexo A.
Trabajo que convierte controles en prácticas
- Asignar responsables y organizar documentos
- Definimos quién ejecuta y revisa acciones, y qué documentos necesitan aprobación y control de cambios.
- Reunir registros
- Relacionamos políticas con evidencia de accesos, formación, revisiones e incidentes según los controles elegidos.
- Tratar diferencias
- Registramos hallazgos, causas y acciones; comprobamos con evidencia si cada corrección resolvió el problema.
- Revisar con la dirección
- Presentamos riesgos, objetivos y pendientes para asignar recursos y evaluar si el sistema sigue siendo adecuado.
Cómo avanzamos hacia la auditoría externa
- 01
Verificar independencia y alcance
Banana Defense no audita sistemas que Banana Script construye, opera o mantiene; corresponde a terceros.
- 02
Diagnosticar la situación actual
Entrevistamos responsables y revisamos documentos con acceso de lectura para identificar controles y evidencia faltante.
- 03
Preparar y poner en práctica
Preparamos tratamiento, Declaración de Aplicabilidad y documentos. Los responsables implementan controles y generan registros.
- 04
Realizar la preauditoría acordada
Revisamos prácticas y pendientes. Es una revisión de preparación, no una auditoría independiente, y no sustituye la auditoría interna requerida.
Alcances según la información que proteges
Proveedores de software
Desarrollo, soporte e infraestructura externa, con dependencias y responsabilidades sobre datos de clientes definidas.
Servicios financieros
Información crítica y controles según consecuencias de pérdida, alteración o indisponibilidad.
Salud y operaciones de atención
Accesos por función, separación de información y responsabilidades sobre expedientes, conversaciones y documentos.
Logística y comercio
Protección de pedidos e inventarios compartidos con proveedores, y respuesta a interrupciones.
Aprovechar procesos existentes
Revisamos prácticas de compras, personal, tecnología y operación para conservar lo útil y ajustar lo necesario. Los registros deben sostenerse en el trabajo habitual.
- Altas y retiros de acceso
- Gestión de proveedores
- Control de cambios
- Atención de incidentes
- Seguimiento de acciones correctivas
Cómo revisamos el avance de la preparación
- Alcance aprobado y dependencias identificadas
- Riesgos con tratamiento y responsable
- Declaración de Aplicabilidad actualizada
- Controles con registros y correcciones verificadas
- Decisiones y seguimiento de la dirección
Cómo se estima el acompañamiento
Cotizamos procesos, sedes, proveedores y madurez de gestión. Definimos diagnóstico, preparación y preauditoría. Las adecuaciones técnicas y los servicios del organismo certificador se presentan aparte, con responsables y costos pendientes identificados.
Preguntas frecuentes
¿Banana Defense nos certifica en ISO 27001?
No. Banana Defense prepara y acompaña. Un organismo certificador acreditado realiza la auditoría y decide sobre la certificación; nuestro informe documenta la preparación sin garantizar su aprobación.
¿Debemos aplicar todos los controles del Anexo A?
No automáticamente. La selección depende de riesgos y requisitos del alcance. La Declaración de Aplicabilidad recoge controles necesarios y justifica inclusiones y exclusiones.
¿Cuánto cuesta preparar el SGSI?
Depende del alcance y del trabajo existente. Revisamos procesos y evidencia para estimar el acompañamiento, e identificamos cambios que deban ejecutar tu equipo o proveedores.
¿Cuánto tiempo toma estar listos para la auditoría?
Depende de las brechas y la aplicación de controles. El calendario contempla reunir evidencia y corregir hallazgos. Las fechas del certificador se coordinan por separado.
¿La preauditoría reemplaza un pentesting?
No. Revisa gestión y evidencia. El pentesting prueba aplicaciones o infraestructura con autorización; si hace falta, acordamos su propio alcance, permisos y entregables.
Servicios relacionados
Otros servicios que se conectan con este
ISO 42001
Revisamos usos de IA, responsables, riesgos y cambios para definir las evidencias y decisiones pendientes.
Ver el servicioPentesting en Colombia
Pruebas autorizadas de aplicaciones web, APIs y nube, con integradores especializados según el alcance.
Ver el servicioSeguridad de IA
Probamos instrucciones maliciosas, exposición de datos y permisos en chatbots, agentes, copilotos y aplicaciones con RAG.
Ver el servicio
Define el alcance antes de reunir documentos
Cuéntanos qué servicio incluirás, qué información maneja y quién opera los sistemas. Revisamos independencia y punto de partida para organizar tareas y evidencia.