CISO Assistant autoalojado: de la instalación limpia a un portal operativo de ISO 27001, RGPD y NIS2

La mayoría de las guías de instalación de CISO Assistant se quedan cortas.

Le muestran cómo arrancar los contenedores, abrir la página de inicio de sesión y crear un administrador.

Y entonces se encuentra ante una plataforma GRC vacía.

¿Y ahora qué?

Describe la secuencia que seguimos para convertir una instalación autoalojada recién desplegada de CISO Assistant en un portal GRC utilizable.

Los ejemplos proceden de un despliegue real de Community Edition. Los nombres de menú que figuran a continuación corresponden a CISO Assistant v4.x y pueden cambiar ligeramente entre versiones.

La secuencia es:

1. Inicie sesión y proteja la cuenta de administrador

Abra la URL de su CISO Assistant.

Por ejemplo:

Inicie sesión con la cuenta de administrador creada durante la instalación.

Todavía no empiece a crear datos de cumplimiento.

Primero proteja esta cuenta.

Abra su menú de usuario.

Abra su perfil.

Cambie la contraseña inicial del administrador.

Guarde la nueva contraseña en su gestor de contraseñas.

Compruebe antes de continuar

Ahora debería tener:

Más adelante crearemos cuentas de administrador nominales.

2. Configure los ajustes básicos del portal

Hay varios ajustes aquí que es más fácil configurar ahora que cuando ya haya creado cientos de registros.

Notificaciones por correo electrónico

Escala de seguridad de los activos

Por ejemplo, nuestro despliegue utilizó:

0–3

porque el registro de activos existente del cliente valoraba la confidencialidad, la integridad y la disponibilidad de 0 a 3.

Haga esto antes de importar los activos.

Cambiar la escala una vez introducido el inventario de activos genera un trabajo de limpieza innecesario.

Resultados parcialmente conformes

Resulta útil durante la migración, porque muchos controles ni están totalmente ausentes ni cuentan con evidencias completas.

Autovalidación

Póngalo en:

Off

La persona que crea o modifica el material de cumplimiento no debería aprobar automáticamente su propio trabajo.

Obligatoriedad de MFA

Dominios personales

Déjelo en:

Off

En un SGSI corporativo, los objetos deben residir en dominios organizativos diseñados deliberadamente, no en espacios de trabajo personales.

Guarde los ajustes.

3. Active los módulos que realmente vaya a utilizar

Organization

Active:

Operations

Active:

Management and Governance

Active:

Reports es especialmente importante porque más adelante habilita el informe de la Declaración de Aplicabilidad.

Compliance

Active:

Risk management

Active:

GDPR / Privacy

Active:

Extra

Active:

Guarde.

Compruebe

Mire la barra lateral izquierda.

Ahora debería ver áreas adicionales, entre ellas:

• Risk
• Compliance
• Operations
• Privacy
• Third parties
• Reports

Si Reports no aparece, vuelva atrás y revise la feature flag.

No pase a construir la auditoría ISO hasta que Reports esté disponible.

4. Configure SSO

En un despliegue corporativo, hágalo antes de crear la población de usuarios habitual.

La configuración exacta del proveedor de identidad depende de cuál utilice.

Una configuración habitual es Microsoft Entra ID con SAML.

Primero cree la Enterprise Application en Entra.

Copie desde Entra:

• Microsoft Entra Identifier
• App Federation Metadata URL

Ahora vuelva a CISO Assistant.

Rellene:

IdP Entity ID
Pegue el Microsoft Entra Identifier.

Metadata URL
Pegue la App Federation Metadata URL.

SP Entity ID
Utilice el mismo identificador externo configurado en Entra.

Revise las asignaciones de atributos.

Como mínimo, verifique que la asignación de correo electrónico/UID es correcta.

Active:

SSO auto-provisioning / JIT

Con JIT activado, se puede crear una nueva persona en su primer inicio de sesión mediante SSO.

Eso no significa que la nueva persona deba recibir automáticamente acceso al SGSI.

Inicialmente, la cuenta no debería tener permisos útiles hasta que usted le asigne el grupo adecuado.

Guarde.

Pruébelo antes de forzar SSO

Abra un navegador privado o en modo incógnito.

Inicie sesión con una cuenta corporativa normal.

Debería acceder a CISO Assistant.

Cierre sesión.

Ahora pruebe de nuevo la cuenta local de administrador de emergencia.

Ambas deberían funcionar.

Solo cuando ambas pruebas hayan tenido éxito active cualquier ajuste que obligue a los usuarios normales a pasar por SSO.

Problema habitual: “User not declared”

Compruebe que el aprovisionamiento JIT está activado.

Problema habitual: solo algunas personas no pueden iniciar sesión

Revise el uso de mayúsculas y minúsculas en la dirección de correo electrónico y la asignación entre el proveedor de identidad y CISO Assistant.

Problema habitual: el inicio de sesión redirige a HTTP o a un nombre de host interno del backend

Normalmente se trata de un problema de URL externa o de cabeceras del proxy inverso.

Corrija la configuración del despliegue antes de continuar.

Problema habitual: error 500 tras el inicio de sesión SAML

Revise de nuevo:

• Entity ID;
• metadata URL;
• Reply URL;
• asignaciones de atributos.

No continúe hasta que SSO funcione de forma fiable.

5. Configure el correo electrónico y pruébelo

CISO Assistant necesita el correo electrónico para algo más que notificaciones de tipo comercial.

Se utiliza para tareas operativas como:

• restablecimiento de contraseña;
• caducidad de evidencias;
• notificaciones de tareas;
• fechas de vencimiento;
• hallazgos.

SMTP se configura a nivel de despliegue, no íntegramente a través de la interfaz web.

Utilice un buzón de servicio dedicado.

No utilice el buzón personal de un empleado.

Una vez configurado SMTP en el host, vuelva a:

Si el correo no llega, corríjalo ahora.

No cree usuarios locales externos hasta que el restablecimiento de contraseña y el correo de notificaciones funcionen.

6. Haga la primera copia de seguridad

Antes de construir el SGSI, haga una copia de seguridad que sepa que es correcta.

Regla para el resto de la implantación

Haga otra copia de seguridad:

• antes de las importaciones grandes;
• antes de la migración de riesgos;
• antes de cambios masivos mediante API;
• después de completar cada fase importante.

No averigüe si su copia de seguridad funciona el día en que la necesite.

7. Cree los dominios organizativos

Ahora creamos la estructura de acceso.

Ejemplo:

Name

Description

Create IAM groups
On

Pulse Save.

Después cree otros dominios solo cuando exista un límite real de acceso o de responsabilidad.

Por ejemplo:

• Company - Technology
• Company - Operations
• Company - Finance

No reproduzca todo su organigrama solo porque pueda hacerlo.

Los dominios son, ante todo, límites de acceso.

Compruebe

Para cada dominio, CISO Assistant debería haber creado grupos de roles como:

• Analyst
• Approver
• Domain manager
• Reader
• Respondent
• Technical tester

Si esos grupos no se crearon, vuelva atrás y compruebe si Create IAM groups estaba activado cuando se creó el dominio.

8. Cree el perímetro del SGSI

Un dominio no es el alcance de ISO 27001.

Cree el alcance por separado, como un perímetro.

Ejemplo:

Name

Description
Pegue la declaración de alcance de ISO 27001 realmente aprobada.

No escriba:

a menos que ese sea realmente su alcance aprobado.

Utilice la redacción de la documentación de su SGSI o de su certificado.

Domain

Reference ID

Status

Utilice Production si se trata de un SGSI que ya está en funcionamiento.

Utilice Design solo si el alcance todavía no ha entrado realmente en producción.

Guarde.

Si lo necesita, cree perímetros adicionales como:

• GDPR-Processing
• TECH-Platform
• OPS-Production
• FIN-Systems

Importante

Los perímetros no son lo mismo que los límites de acceso.

Si es necesario separar el acceso, utilice dominios.

9. Elimine los datos de demostración

Haga esto antes de empezar a introducir datos reales de la empresa en el portal.

Una instalación nueva puede contener objetos de demostración.

Busque datos de demostración como:

Ábralo.

Compruebe qué objetos están vinculados a él.

Elimine los elementos de demostración vinculados:

• auditorías;
• evaluaciones de riesgos;
• activos;
• otros registros de ejemplo.

Después elimine el perímetro de demostración.

Compruebe

Busque en el portal el nombre de la empresa de ejemplo.

No debería quedar nada perteneciente a la organización de ejemplo.

No le conviene que una startup SaaS ficticia aparezca en una exportación entregada a su auditor de ISO.

10. Cree su administrador nominal

Deje de usar la cuenta de emergencia (break-glass) para el trabajo habitual.

Abra:

User groups

Añada:

Cierre sesión.

Vuelva a iniciar sesión con su cuenta nominal.

Confirme que puede administrar el portal.

A partir de este momento, conserve el administrador original solo para emergencias.

11. Deje que los usuarios normales lleguen mediante SSO

Si el aprovisionamiento JIT está activado, no cree manualmente a todo el mundo.

Pida al primer usuario del SGSI que inicie sesión mediante SSO.

Abra:

User groups

Asigne el rol necesario.

Por ejemplo:

Compruebe los permisos

Utilice una cuenta de prueba sin privilegios de administrador.

Confirme que la cuenta puede ver lo que debe ver.

Confirme que no puede editar objetos ajenos a su rol.

Hágalo ahora.

12. Revise las bibliotecas de marcos normativos

Abra:

Loaded libraries

Busque:

Confirme que:

International standard ISO/IEC 27001:2022

está cargada.

Busque:

Confirme que GDPR está cargado si necesita la evaluación de privacidad.

Busque:

Compruebe qué bibliotecas de marco o de correspondencias (mapping) de NIS2 están presentes en su versión.

No descargue bibliotecas solo porque no las esté utilizando.

Las bibliotecas de correspondencias sin usar no hacen nada hasta que las aplique.

Revise la matriz de riesgos

Si utiliza su propia matriz aprobada, deténgase aquí e importe esa matriz antes de crear evaluaciones de riesgos.

Una vez creada una evaluación de riesgos con una matriz, cambiarla después no es una corrección trivial.

13. Importe una matriz de riesgos personalizada si es necesario

Si su metodología de riesgos actual utiliza su propia matriz, prepárela como una biblioteca de CISO Assistant.

Ahora abra:

Loaded libraries

Busque la biblioteca de su matriz.

En una matriz de 4×4, compruebe al menos:

• probabilidad baja + impacto bajo;
• probabilidad alta + impacto alto;
• las celdas del umbral de tratamiento.

No dé por supuesto que las filas y las columnas se hayan interpretado correctamente.

Compruebe

14. Inicie el journey de ISO 27001

Si su versión incluye el journey de ISO 27001, utilícelo.

Pulse:

Start a journey

Elija:

ISO 27001:2022 — Full Implementation

Seleccione:

Use an existing domain

Elija su dominio del SGSI.

Active:

Create underlying objects

Esto es importante.

Si lo deja sin marcar, el journey es fundamentalmente una lista de comprobación.

Si lo activa, CISO Assistant crea objetos subyacentes útiles.

Deje:

Adjust menu and modules

sin marcar si ya ha configurado manualmente sus feature flags.

Inicie el journey.

Ahora inspeccione lo que ha creado

Revise los objetos creados por el journey.

Puede crear:

• ISO issues;
• objectives;
• una auditoría de ISO 27001;
• plantillas de tareas;
• métricas;
• applied controls;
• una evaluación de riesgos;
• un findings binder.

No acepte todo a ciegas.

Si creó una evaluación de riesgos con la matriz estándar de 5×5 pero su organización utiliza una matriz personalizada de 4×4:

Compruebe

15. Cree las cuestiones del contexto de ISO

Ejemplo:

Name

Category
Elija la categoría adecuada.

Origin

Status

Description
Explique por qué afecta al SGSI.

Guarde.

Cree la siguiente cuestión.

Algunos ejemplos:

• entorno de ciberataques;
• dependencia de la nube;
• rotación de personal;
• obligaciones legales;
• requisitos del mercado;
• adopción de IA;
• dependencia de proveedores clave;
• relevancia del cambio climático.

No escriba aquí un análisis DAFO de manual.

Utilice la evaluación real del contexto de la organización.

16. Cree las partes interesadas

Para cada parte interesada significativa, cree una Entity.

Ejemplos:

• dirección;
• empleados;
• clientes;
• proveedores;
• contratistas;
• reguladores;
• proveedores de TIC.

Para cada entidad, incluya en la descripción:

• necesidades;
• expectativas;
• requisitos;
• cómo los aborda el SGSI.

Guarde.

Así la cláusula 4.2 dispone de un lugar estructurado donde residir, en lugar de dejar todo el análisis dentro de un único archivo de Word.

17. Cree los objetivos de seguridad de ISO

Ejemplos:

• completar dos simulacros de phishing;
• alcanzar una cobertura de MFA definida;
• realizar una prueba anual de recuperación ante desastres;
• cerrar un hallazgo de auditoría concreto;
• reducir las vulnerabilidades de riesgo alto dentro del SLA definido.

Introduzca:

• objetivo;
• responsable;
• meta;
• fechas;
• estado.

Guarde cada uno.

18. Importe el inventario de activos

Haga primero una copia de seguridad.

Ejemplo:

Name

Description
Explique para qué lo utiliza la organización.

Business value
Explique por qué es importante el servicio.

Owner
Seleccione a la persona responsable.

Domain
Elija el dominio organizativo correcto.

Type
Elija Primary o Supporting.

Utilice Primary para los servicios o la información importantes para el negocio.

Utilice Supporting para los sistemas, el software, la infraestructura, las personas o las instalaciones que dan soporte a esos servicios.

Defina los objetivos de seguridad.

Por ejemplo:

Confidentiality
2

Integrity
3

Availability
3

Si mantiene objetivos de recuperación, introduzca:

• RTO;
• RPO;
• MTD.

Añada etiquetas útiles como:

• type:saas
• criticality:critical
• classification:confidential
• subprocessor:yes

Guarde.

Orden de carga

Hágalo en este orden:

1. servicios de negocio;
2. activos de información importantes;
3. sistemas de soporte;
4. infraestructura;
5. plataformas SaaS importantes;
6. hardware, cuando sea relevante para el modelo de riesgos.

Esto le permite vincular los activos de soporte con los servicios de los que dependen.

Compruebe

Abra la lista de Assets.

Verifique que cada activo importante tiene:

• un responsable;
• un dominio;
• valores C/I/A;
• clasificación;
• datos de recuperación cuando sean necesarios.

Si un servicio crítico en cuanto a disponibilidad no tiene un objetivo de recuperación, corríjalo antes de continuar.

19. Cree las políticas como objetos gestionados

Ejemplo:

Name

Reference ID

Owner
ISMS Manager

Status

Utilice Active solo si existe realmente un documento aprobado.

Defina:

Start date

Defina:

Expiry date

Utilice la fecha de caducidad como la próxima fecha de revisión obligatoria.

Adjunte el documento aprobado.

Si la copia de referencia permanece en SharePoint, introduzca la dirección de SharePoint en:

Link

Guarde.

Repita el proceso con las políticas principales:

• Seguridad de la información
• Uso aceptable
• Control de acceso
• Contraseñas y autenticación
• Criptografía
• Clasificación
• Conservación
• Copias de seguridad
• Recuperación ante desastres
• Gestión de activos
• Seguridad física
• Gestión de riesgos
• Gestión de vulnerabilidades
• Gestión de incidentes
• Concienciación en seguridad
• Protección de datos
• Seguridad de proveedores
• Gestión de cambios

Añada otras que existan realmente en su organización.

Compruebe

20. Configure los Applied controls

Defina:

Owner

Defina:

Status

Utilice:

• To do
• In progress
• On hold
• Active
• Degraded
• Deprecated

Utilice Active solo cuando el control realmente funcione.

Ejemplo:

Abra el control correspondiente a la gestión de accesos.

Asigne como responsable al responsable de seguridad.

Añada una descripción de lo que la organización hace realmente.

Por ejemplo:

Vincule los activos relevantes.

Defina las fechas si procede.

Guarde.

Repita el proceso con los controles reales.

Regla importante

No vuelva a describir el requisito de ISO.

Describa su implementación.

21. Cree las tareas recurrentes de control

Name

Recurrent
Yes

Frequency
Every 3 months

Assigned to
Security Manager

En la descripción, escriba el procedimiento real.

Por ejemplo:

1. exportar los usuarios activos del proveedor de identidad;
2. exportar las asignaciones de roles privilegiados;
3. compararlos con los empleados en activo;
4. identificar los accesos inactivos o injustificados;
5. pedir al responsable correspondiente que confirme si se mantiene, se elimina o se modifica;
6. aplicar los cambios;
7. adjuntar la revisión completada.

Vincule la tarea al applied control de control de acceso.

Guarde.

Ahora cree el resto del calendario operativo real.

Como mínimo, tenga en cuenta lo siguiente:

22. Cree la evaluación de riesgos real

Ahora que existen los activos, los controles y la matriz, cree la evaluación de riesgos.

Ejemplo:

Name

Reference ID

Perimeter

Version

Status

Risk matrix
Seleccione la matriz aprobada para su organización.

Tenga cuidado aquí.

La matriz es una decisión estructural importante.

Compruébela antes de guardar.

Defina:

Authors

Defina:

Reviewers

Defina:

Due date

Defina:

Risk tolerance

de acuerdo con la metodología aprobada.

Guarde.

23. Introduzca un escenario de riesgo, clic a clic

Ejemplo:

Name

Risk assessment
Seleccione la evaluación que acaba de crear.

Reference

Threat
Seleccione la amenaza adecuada.

Pulse Save.

Ahora abra el escenario.

Pulse Edit.

Defina:

Owner

Seleccione el activo relevante.

Seleccione o cree la vulnerabilidad.

Ejemplo:

Ahora vaya a la sección Current risk.

Elija los controles existentes relevantes.

Defina:

Current probability

Defina:

Current impact

CISO Assistant debería calcular el nivel de riesgo a partir de la matriz.

Ahora vaya a Residual risk.

Si se requiere tratamiento, añada un control adicional.

Ejemplo:

Defina:

• responsable;
• prioridad;
• ETA;
• coste, si se utiliza;
• estado.

Ahora defina la probabilidad residual y el impacto residual esperados.

Defina:

Treatment status

Por ejemplo:

Añada la justificación.

Guarde.

Compruebe

El control de tratamiento también debería aparecer en:

24. Cree la aceptación formal del riesgo

Cuando se acepte un riesgo residual, no deje la decisión enterrada en un acta de reunión.

Introduzca:

Name

Approver
El usuario de dirección autorizado para aceptar el riesgo.

Risk scenarios
Seleccione los escenarios que se aceptan.

Justification
Haga referencia a la decisión de tratamiento.

Expiry date
Defina la próxima fecha de revisión.

Guarde.

Compruebe si hay problemas como:

• el escenario figura como Accepted pero no tiene ninguna aceptación;
• la aceptación ha caducado;
• otros estados de riesgo incoherentes.

Corrija los X-rays antes de continuar.

25. Configure la auditoría de ISO 27001

Introduzca:

Name

Reference ID

Perimeter

Target framework

Selected implementation groups

Elija ambos:

• Clauses
• Statement of Applicability (SoA)

Version

Status

Authors
Equipo del SGSI

Reviewers
Dirección / auditor interno

Si todavía no ha generado los controles del marco normativo, active:

Suggest controls

Guarde.

Compruebe

La página de la auditoría debería contener:

Debería ver requisitos que cubren las cláusulas 4 a 10 y los controles del Anexo A.

26. Evalúe correctamente un control de ISO

Complete un control por entero antes de intentar rellenar 93 filas.

desplácese hasta:

Associated requirements

Abra:

5.15 Access control

Se abre un panel.

Abra:

Applied controls

pestaña.

Adjunte su implementación existente de control de acceso.

No cree otro control duplicado a menos que realmente no exista ninguno.

Abra:

Evidences

Vincule evidencias si procede.

Ahora rellene:

Observation

Escriba la justificación real.

Este texto alimentará después la SoA.

Guarde.

Su regla para Compliant

Utilice Compliant solo cuando:

Si algo todavía se está subsanando, utilice Partially compliant o Non compliant, según corresponda.

No lo marque como conforme porque “tenemos una política al respecto”.

27. Elabore la Declaración de Aplicabilidad

Recorra el Anexo A.

Para cada control:

1. abra el requisito;
2. decida su aplicabilidad;
3. adjunte el applied control relevante;
4. adjunte la evidencia vigente;
5. escriba la justificación;
6. defina Result;
7. defina el Status del flujo de trabajo;
8. guarde.

Por ejemplo, si realmente no se externaliza el desarrollo de software:

No introduzca:

Eso no es una justificación.

28. Exporte la SoA real

Elija:

Statement of Applicability

Seleccione su auditoría.

Opcionalmente, seleccione las evaluaciones de riesgos relevantes.

Seleccione el grupo de implementación de la SoA.

Pulse:

Render

Revise las columnas.

Debería ver información como:

• referencia;
• aplicable;
• justificación;
• implementación;
• control de referencia;
• controles adicionales;
• cobertura de riesgos.

Ahora exporte el informe a PDF.

Abra el PDF.

Lea varias filas.

Asegúrese de que el texto de Observation que introdujo produce realmente una SoA útil.

Si el PDF está lleno de justificaciones vacías o inútiles, vuelva a la auditoría y corrija los registros.

29. Añada evidencias desde el control

La forma más sencilla de gestionar las evidencias es hacerlo desde el control al que dan soporte.

Abra:

Evidences

pestaña.

Pulse:

+ Add evidence

Ejemplo:

Name

Description

Suba el archivo adjunto o añada el enlace a la fuente controlada.

Defina:

Owner

Defina:

Status

Para una evidencia aprobada:

Defina:

Expiry date

Para una revisión de accesos trimestral, utilice aproximadamente tres meses.

Guarde.

Renueve correctamente las evidencias

Tres meses después, no cree:

Abra el registro de evidencia existente.

Añada una new revision.

Adjunte el archivo del nuevo trimestre.

Registre la versión y la fecha.

Mantenga un único objeto de evidencia estable y renuévelo mediante revisiones.

Así obtiene un historial sin llenar el sistema de registros duplicados.

30. Pruebe la caducidad de las evidencias

Cree un elemento de evidencia temporal con una fecha de caducidad próxima.

Verifique que aparece en las vistas de vigilancia y caducidad correspondientes.

El modelo operativo debería ser:

evidencia vigente → prueba válida del control.

evidencia caducada → requiere revisión.

El sistema debe hacer visibles las evidencias obsoletas.

No confíe en que alguien recuerde la fecha a partir del nombre del archivo.

31. Elabore el registro del RGPD

Active primero las funciones de Privacy si todavía no lo ha hecho.

Ahora siga este orden.

Finalidades

Cree finalidades como:

• prestación del servicio al cliente;
• administración de empleados;
• facturación;
• marketing;
• gestión de proveedores.

Guarde.

Datos personales

Ejemplos:

• datos de identificación de empleados;
• datos de contacto de clientes;
• información de facturación;
• registros de autenticación.

Defina la conservación y la sensibilidad cuando estén disponibles.

Guarde.

Actividades de tratamiento

Para cada actividad de tratamiento, rellene:

• nombre;
• descripción;
• base jurídica;
• interesados;
• categorías de datos personales;
• finalidades;
• destinatarios;
• transferencias internacionales;
• conservación;
• responsable;
• medidas de seguridad.

En security measures, vincule los applied controls que ya existan.

No reconstruya controles de acceso y de cifrado específicos del RGPD si los controles de ISO ya cumplen esa función.

Guarde.

32. Pruebe una solicitud de ejercicio de derechos

Por ejemplo:

Introduzca solo los datos personales necesarios para gestionar la solicitud.

Defina:

Received date

Defina:

Due date

de acuerdo con el requisito legal o de procedimiento.

Asigne el responsable.

Vincule la actividad de tratamiento relevante.

Guarde.

Ahora asegúrese de que el usuario responsable ve la fecha de vencimiento.

Una vez confirmado, elimine el registro de prueba si no es un caso real.

33. Configure el registro de brechas de seguridad

Debe saber dónde registrar:

• la hora de detección;
• la descripción;
• los datos afectados;
• las personas afectadas;
• las consecuencias;
• la contención;
• la decisión de notificación;
• la notificación a la autoridad;
• la comunicación a las personas afectadas.

No descubra el formulario de brechas de datos por primera vez durante un incidente.

34. Cree la auditoría del RGPD

Esa es una de las principales razones para usar una plataforma GRC en lugar de hojas de cálculo separadas para el RGPD e ISO.

35. Elabore el registro de proveedores

Introduzca:

Name

Description

Domain

Mission

Owner

Defina los datos de criticidad y riesgo disponibles.

Guarde.

Por ejemplo:

Entity:

Solution:

Otro ejemplo:

Entity:

Solution:

Defina:

• fecha de inicio;
• renovación o caducidad, cuando proceda;
• responsable.

Adjunte o vincule el contrato o el DPA como evidencia.

36. Cree una evaluación de proveedor

Ejemplo:

Name

Perimeter

Entity

Framework / questionnaire
Elija el cuestionario de proveedores que utilice.

Authors

Reviewers

Representative
Si el proveedor va a responder directamente.

Expiry date
Para los proveedores críticos o de riesgo alto, defina normalmente la próxima fecha de revisión exigida.

Complete la evaluación.

Defina la conclusión.

Guarde.

Compruebe

El registro del proveedor debería indicarle ahora:

Si la respuesta a cualquiera de estas preguntas es “mire en la carpeta del proveedor”, la migración no ha terminado.

37. Configure los incidentes

Su registro de incidentes debería recoger, como mínimo:

• nombre;
• descripción;
• gravedad;
• estado;
• origen de la detección;
• responsable;
• activos afectados;
• evidencias;
• cronología.

Si su ticket operativo permanece en Freshservice, Jira, osTicket u otra herramienta, manténgalo allí.

Utilice CISO Assistant para guardar el registro GRC y enlazar con el ticket operativo.

No obligue a su equipo técnico de incidentes a abandonar una herramienta de respuesta a incidentes que funciona solo porque la plataforma GRC tenga un objeto Incident.

38. Cree los findings binders

Ejemplos:

• External certification audit 2026
• Internal audit 2026
• Penetration test 2026
• Vulnerabilities
• Continuous control monitoring

Ahora cree los hallazgos.

Para cada hallazgo, registre:

• el hallazgo original;
• la referencia;
• el requisito relacionado;
• el responsable;
• la prioridad;
• la fecha objetivo;
• la causa raíz;
• el control correctivo.

No marque el hallazgo como Closed solo porque alguien diga que se ha corregido.

Adjunte primero la evidencia de eficacia.

Después ciérrelo.

39. Configure las excepciones de seguridad

Ejemplo:

Name

Description
Explique la excepción real.

Owner

Approver

Severity

Status

Expiration date

Vincule:

• el control afectado;
• el activo afectado;
• el escenario de riesgo;
• las evidencias compensatorias.

Guarde.

40. Realice la auditoría interna desde el portal

Antes de la auditoría interna, cree una cuenta Reader para el auditor o facilite exportaciones controladas.

El auditor debería trabajar sobre la auditoría de ISO vigente.

Cuando la auditoría se haya firmado formalmente:

y después active:

Locked

Con ello, la evaluación del año queda congelada.

No siga editando la auditoría ya firmada.

Para el siguiente ciclo, cree una nueva auditoría tomando la anterior como referencia.

41. Prepare la revisión por la dirección con datos en vivo

Exporte:

• acciones abiertas;
• estado de las auditorías;
• hallazgos;
• SoA;
• evaluaciones de proveedores;
• evaluación de riesgos;
• objetivos;
• métricas.

La revisión por la dirección debería utilizar esta información en vivo.

Tras la reunión, toda decisión de la dirección que requiera trabajo debería convertirse en:

• un applied control;
• una tarea;
• una decisión sobre un riesgo;
• un hallazgo o una acción.

Asígnele:

• un responsable;
• una ETA.

Adjunte el acta aprobada de la reunión como evidencia de la cláusula 9.3 de ISO 27001.

42. Configure el sistema para el funcionamiento diario

En este punto, la instalación ya no es el proyecto.

El proyecto es hacerlo funcionar.

Revise:

Risk acceptances

Alguien debe renovar o revocar las aceptaciones que están a punto de caducar.

Si nadie es responsable de estas actividades, el portal volverá poco a poco a ser el mismo sistema de cumplimiento obsoleto que usted quería sustituir.

43. Cuatro semanas antes de la auditoría de certificación o de seguimiento

Ejecute esta lista de comprobación en el portal.

Políticas

Abra la lista de vigilancia de Governance.

No debería haber ninguna política caducada sin explicación.

Evidencias

Filtre las evidencias caducadas o ausentes.

Renueve lo que corresponda legítimamente.

No retrotraiga las fechas de las evidencias.

Applied controls

Filtre por:

Degraded

Investigue cada uno de ellos.

Tareas

Riesgos

Abra cada evaluación de riesgos.

Compruebe que se ha revisado dentro del ciclo exigido.

Compruebe los riesgos residuales High/Very High.

Hallazgos

Abra el último binder de la auditoría de certificación o interna.

Todo hallazgo dado por cerrado debería tener evidencia de eficacia.

Declaración de Aplicabilidad

Auditoría interna y revisión por la dirección

Asegúrese de que ambas se han realizado dentro del ciclo exigido y de que sus evidencias están adjuntas.

Proveedores

Compruebe que las revisiones anuales de proveedores exigidas están completas.

Responsables

Compruebe que los controles, los riesgos, las políticas y las evidencias no pertenecen a alguien que se marchó hace seis meses.

44. Dé acceso al auditor externo

Si el auditor necesita acceso al portal:

Defina una:

Expiry date

Añada:

Reader

en los dominios necesarios.

No le asigne Analyst ni Administrator por comodidad.

Pruebe usted mismo la cuenta del auditor antes de que comience la auditoría.

Si el SSO obligatorio está activado y el auditor es externo, puede:

• invitar al auditor como invitado a través de su proveedor de identidad;
• o utilizar exportaciones controladas.

Una vez terminada la auditoría, retire su acceso.

Conserve el registro de la retirada como evidencia de la revisión de accesos.

45. Qué aspecto tiene “terminado”

No tiene un despliegue de CISO Assistant terminado solo porque se abra la página de inicio.

Tiene una primera implantación terminada cuando alguien puede abrir el portal y responder:

Ese es el objetivo.

Dónde interviene Futurion Solutions

Por eso nuestro trabajo con CISO Assistant no se vende como una instalación en Docker.

Desplegamos la plataforma, pero el despliegue es solo el principio.

El proyecto completo abarca:

Eso incluye tomar el sistema existente basado en Excel, Word y SharePoint y convertirlo en los objetos descritos en esta guía: dominios, perímetros, activos, políticas, controles, riesgos, auditorías, evidencias, evaluaciones de proveedores, hallazgos y trabajo recurrente.

Cuando resulta útil, conectamos después el portal con los sistemas que ya contienen evidencias de cumplimiento, de modo que las comprobaciones recurrentes no dependan de que alguien exporte el mismo informe cada mes.

El resultado final debería ser algo que el propio equipo del cliente pueda operar tras el traspaso.