Plantillas gratuitas
Checklist del Anexo A de ISO 27001
Decide para cada uno de los 93 códigos del Anexo A si se aplica a tu empresa y por qué, y si está implantado: la base de tu Declaración de Aplicabilidad.
Cómo usarla
- 1Descarga el archivo para Excel o imprímelo.
- 2Rellena las columnas vacías con tu equipo o tus proveedores.
- 3Acordad responsables y fechas, y revisad de nuevo en unos meses.
Qué contiene: 93 elementos
A.5.1Organizativo
Política de seguridad de la información; Las políticas se revisan con regularidad; La plantilla confirma que conoce las políticas; Método de gestión de riesgos; Los riesgos se revisan con regularidad; El tratamiento de riesgos está aprobado
A.5.2Organizativo
Responsabilidades de seguridad asignadas
A.5.3Organizativo
Separación de funciones incompatibles; Los roles de seguridad tienen suplente
A.5.4Organizativo
La dirección aprueba y supervisa la seguridad
A.5.5Organizativo
Contactos con las autoridades identificados
A.5.6Organizativo
Contactos con grupos de seguridad
A.5.7Organizativo
Se recopila información sobre amenazas; Se mantiene un registro de riesgos; Seguimiento de los avisos de seguridad de los fabricantes
A.5.8Organizativo
Seguridad en los proyectos; Evaluación de riesgos antes de los cambios
A.5.9Organizativo
Riesgos vinculados a los activos; Inventario de activos de TI; Cada activo tiene un responsable
A.5.10Organizativo
Normas de uso aceptable
A.5.11Organizativo
Devolución de activos al salir de la empresa
A.5.12Organizativo
La información está clasificada
A.5.13Organizativo
La información está etiquetada
A.5.14Organizativo
Normas para transferir información
A.5.15Organizativo
Política de control de accesos
A.5.16Organizativo
Cuentas personales, sin accesos compartidos
A.5.17Organizativo
Normas de contraseñas; Se cambian las contraseñas por defecto; Los secretos se guardan de forma segura
A.5.18Organizativo
Los accesos se aprueban; Los accesos se revisan con regularidad; Acceso de proveedores e invitados
A.5.19Organizativo
Riesgos de proveedores en el registro; Política de seguridad de proveedores; Registro de proveedores; Acceso de proveedores controlado
A.5.20Organizativo
Seguridad en los contratos con proveedores; Salida de proveedores planificada
A.5.21Organizativo
Subcontratistas conocidos; Revisión de vulnerabilidades en productos TIC
A.5.22Organizativo
Evaluación de los proveedores; Seguimiento de los servicios de proveedores; Los proveedores te comunican sus incidentes
A.5.23Organizativo
Los servicios en la nube están inventariados; Elección segura de servicios en la nube
A.5.24Organizativo
Plan de respuesta a incidentes; Ejercicios de respuesta a incidentes
A.5.25Organizativo
Evaluación de las alertas; Clasificación de los incidentes
A.5.26Organizativo
Registro de los incidentes; Plazos de notificación de NIS2 conocidos; Se informa a los clientes afectados; Ayuda externa acordada; Notificación de brechas de datos personales
A.5.27Organizativo
Lecciones aprendidas
A.5.28Organizativo
Conservación de evidencias
A.5.29Organizativo
Escenarios de interrupciones graves; Equipo de gestión de crisis; Seguridad durante las interrupciones; Comunicación de emergencia
A.5.30Organizativo
Plan de continuidad de negocio; Análisis de impacto en el negocio; Se prueba el plan de continuidad; Recuperación ante desastres de TI; Cobertura del fallo de un proveedor; Actualización de los planes tras los cambios
A.5.31Organizativo
Requisitos legales y contractuales identificados
A.5.32Organizativo
Licencias y propiedad intelectual
A.5.33Organizativo
Protección de los registros
A.5.34Organizativo
Protección de datos personales
A.5.35Organizativo
Revisión independiente de la seguridad; Auditorías internas; Revisión de la eficacia por la dirección
A.5.36Organizativo
Se comprueba el cumplimiento de las normas de seguridad; Seguimiento de las medidas de riesgo; Se mide la eficacia de las medidas; Seguimiento de las acciones correctivas
A.5.37Organizativo
Procedimientos operativos documentados
A.6.1Personas
Comprobación de antecedentes
A.6.2Personas
Seguridad en las condiciones laborales
A.6.3Personas
La dirección tiene formación en ciberseguridad; Concienciación en seguridad para toda la plantilla; Concienciación sobre phishing; Formación para roles de TI y seguridad; Normas básicas de ciberhigiene; Se comprueba la eficacia de la formación; Se comunican los nuevos temas de seguridad; Se conservan los registros de formación
A.6.4Personas
Proceso disciplinario
A.6.5Personas
Retirada de accesos al salir de la empresa; Revisión de accesos al cambiar de puesto
A.6.6Personas
Acuerdos de confidencialidad
A.6.7Personas
Normas de teletrabajo
A.6.8Personas
La plantilla notifica eventos de seguridad; Los eventos se comunican con rapidez
A.7.1Físico
Acceso controlado a las oficinas
A.7.2Físico
Acceso controlado a las oficinas; Salas de servidores cerradas con llave
A.7.3Físico
Visitas acompañadas
A.7.4Físico
Supervisión del acceso físico
A.7.5Físico
Protección contra incendios y agua
A.7.6Físico
Normas para trabajar en salas que necesitan protección, por ejemplo sin visitas sin acompañante y sin fotos.
A.7.7Físico
Mesa limpia y pantalla limpia
A.7.8Físico
Ubicación segura de los equipos
A.7.9Físico
Equipos fuera de la oficina
A.7.10Físico
Soportes extraíbles
A.7.11Físico
Suministro eléctrico protegido
A.7.12Físico
Los cables de corriente y de red están protegidos contra daños, interferencias e intercepción.
A.7.13Físico
Mantenimiento de los equipos
A.7.14Físico
Eliminación segura
A.8.1Tecnológico
Dispositivos gestionados de forma centralizada; Bloqueo o borrado de dispositivos perdidos; Dispositivos personales para el trabajo; Bloqueo automático de pantalla
A.8.2Tecnológico
Cuentas de administrador separadas y limitadas; Acceso de emergencia
A.8.3Tecnológico
Acceso a los datos restringido por rol
A.8.4Tecnológico
Acceso al código fuente; Protección del código fuente
A.8.5Tecnológico
Autenticación multifactor para el acceso remoto; Autenticación multifactor para administradores; Intentos de inicio de sesión limitados; Inicio de sesión único cuando sea posible; Inicio de sesión resistente al phishing para accesos críticos
A.8.6Tecnológico
Monitorización de la capacidad
A.8.7Tecnológico
Protección contra malware en todos los dispositivos; Filtrado del correo; Macros y scripts restringidos
A.8.8Tecnológico
Actualizaciones de seguridad instaladas con rapidez; Sustitución de sistemas sin soporte; Análisis de vulnerabilidades; Corrección de vulnerabilidades por prioridad; Comunicación de vulnerabilidades; Prioridad a los sistemas expuestos a internet
A.8.9Tecnológico
Estándares de configuración segura; Configuración documentada
A.8.10Tecnológico
Eliminación de la información que ya no se necesita
A.8.11Tecnológico
Los datos personales o sensibles se ocultan o sustituyen cuando no hace falta el valor completo, por ejemplo en pruebas.
A.8.12Tecnológico
Prevención de fugas de datos
A.8.13Tecnológico
Copias de seguridad periódicas; Copias guardadas por separado; Se prueban las restauraciones; Copias de los servicios en la nube; Se detectan los fallos de las copias; Objetivos de tiempo de recuperación definidos; Acceso restringido a las copias
A.8.14Tecnológico
Redundancia en los sistemas críticos
A.8.15Tecnológico
Registro de los eventos importantes; Los registros se conservan y protegen; Registro de la actividad de los administradores
A.8.16Tecnológico
Detección de actividad sospechosa; Monitorización fuera del horario laboral; La monitorización cubre los servicios en la nube
A.8.17Tecnológico
Relojes sincronizados; Horas fiables en los registros
A.8.18Tecnológico
Herramientas de administración protegidas
A.8.19Tecnológico
Instalación de software controlada
A.8.20Tecnológico
Un cortafuegos protege la red; Acceso remoto seguro; Revisión de las reglas del cortafuegos; Servicios expuestos identificados; Correo protegido contra la suplantación
A.8.21Tecnológico
Wi-Fi protegida; Servicios de red protegidos
A.8.22Tecnológico
Redes separadas; Redes de administración separadas
A.8.23Tecnológico
Se bloquean los sitios web dañinos
A.8.24Tecnológico
Normas de cifrado; Portátiles y móviles cifrados; Datos en tránsito cifrados; Copias de seguridad cifradas; Gestión de las claves de cifrado; Vigilancia de los certificados; Bases de datos con datos sensibles cifradas; Se sustituye el cifrado obsoleto
A.8.25Tecnológico
Normas de desarrollo seguro
A.8.26Tecnológico
Requisitos de seguridad definidos; Seguridad en la compra de TIC
A.8.27Tecnológico
Principios de arquitectura segura
A.8.28Tecnológico
Revisión del código; Revisión de componentes de terceros
A.8.29Tecnológico
Pruebas de seguridad antes de publicar; Pruebas de penetración
A.8.30Tecnológico
Desarrollo externalizado controlado
A.8.31Tecnológico
Pruebas y producción separadas
A.8.32Tecnológico
Cambios controlados
A.8.33Tecnológico
Protección de los datos de prueba
A.8.34Tecnológico
Las pruebas y auditorías no interrumpen la operación
| Código | Tema | Cubierto por estos controles | Se aplica (Sí / No) | Justificación | Implantado (Sí / En parte / No) | Responsable | Evidencias |
|---|---|---|---|---|---|---|---|
| A.5.1 | Organizativo | Política de seguridad de la información; Las políticas se revisan con regularidad; La plantilla confirma que conoce las políticas; Método de gestión de riesgos; Los riesgos se revisan con regularidad; El tratamiento de riesgos está aprobado | |||||
| A.5.2 | Organizativo | Responsabilidades de seguridad asignadas | |||||
| A.5.3 | Organizativo | Separación de funciones incompatibles; Los roles de seguridad tienen suplente | |||||
| A.5.4 | Organizativo | La dirección aprueba y supervisa la seguridad | |||||
| A.5.5 | Organizativo | Contactos con las autoridades identificados | |||||
| A.5.6 | Organizativo | Contactos con grupos de seguridad | |||||
| A.5.7 | Organizativo | Se recopila información sobre amenazas; Se mantiene un registro de riesgos; Seguimiento de los avisos de seguridad de los fabricantes | |||||
| A.5.8 | Organizativo | Seguridad en los proyectos; Evaluación de riesgos antes de los cambios | |||||
| A.5.9 | Organizativo | Riesgos vinculados a los activos; Inventario de activos de TI; Cada activo tiene un responsable | |||||
| A.5.10 | Organizativo | Normas de uso aceptable | |||||
| A.5.11 | Organizativo | Devolución de activos al salir de la empresa | |||||
| A.5.12 | Organizativo | La información está clasificada | |||||
| A.5.13 | Organizativo | La información está etiquetada | |||||
| A.5.14 | Organizativo | Normas para transferir información | |||||
| A.5.15 | Organizativo | Política de control de accesos | |||||
| A.5.16 | Organizativo | Cuentas personales, sin accesos compartidos | |||||
| A.5.17 | Organizativo | Normas de contraseñas; Se cambian las contraseñas por defecto; Los secretos se guardan de forma segura | |||||
| A.5.18 | Organizativo | Los accesos se aprueban; Los accesos se revisan con regularidad; Acceso de proveedores e invitados | |||||
| A.5.19 | Organizativo | Riesgos de proveedores en el registro; Política de seguridad de proveedores; Registro de proveedores; Acceso de proveedores controlado | |||||
| A.5.20 | Organizativo | Seguridad en los contratos con proveedores; Salida de proveedores planificada | |||||
| A.5.21 | Organizativo | Subcontratistas conocidos; Revisión de vulnerabilidades en productos TIC | |||||
| A.5.22 | Organizativo | Evaluación de los proveedores; Seguimiento de los servicios de proveedores; Los proveedores te comunican sus incidentes | |||||
| A.5.23 | Organizativo | Los servicios en la nube están inventariados; Elección segura de servicios en la nube | |||||
| A.5.24 | Organizativo | Plan de respuesta a incidentes; Ejercicios de respuesta a incidentes | |||||
| A.5.25 | Organizativo | Evaluación de las alertas; Clasificación de los incidentes | |||||
| A.5.26 | Organizativo | Registro de los incidentes; Plazos de notificación de NIS2 conocidos; Se informa a los clientes afectados; Ayuda externa acordada; Notificación de brechas de datos personales | |||||
| A.5.27 | Organizativo | Lecciones aprendidas | |||||
| A.5.28 | Organizativo | Conservación de evidencias | |||||
| A.5.29 | Organizativo | Escenarios de interrupciones graves; Equipo de gestión de crisis; Seguridad durante las interrupciones; Comunicación de emergencia | |||||
| A.5.30 | Organizativo | Plan de continuidad de negocio; Análisis de impacto en el negocio; Se prueba el plan de continuidad; Recuperación ante desastres de TI; Cobertura del fallo de un proveedor; Actualización de los planes tras los cambios | |||||
| A.5.31 | Organizativo | Requisitos legales y contractuales identificados | |||||
| A.5.32 | Organizativo | Licencias y propiedad intelectual | |||||
| A.5.33 | Organizativo | Protección de los registros | |||||
| A.5.34 | Organizativo | Protección de datos personales | |||||
| A.5.35 | Organizativo | Revisión independiente de la seguridad; Auditorías internas; Revisión de la eficacia por la dirección | |||||
| A.5.36 | Organizativo | Se comprueba el cumplimiento de las normas de seguridad; Seguimiento de las medidas de riesgo; Se mide la eficacia de las medidas; Seguimiento de las acciones correctivas | |||||
| A.5.37 | Organizativo | Procedimientos operativos documentados | |||||
| A.6.1 | Personas | Comprobación de antecedentes | |||||
| A.6.2 | Personas | Seguridad en las condiciones laborales | |||||
| A.6.3 | Personas | La dirección tiene formación en ciberseguridad; Concienciación en seguridad para toda la plantilla; Concienciación sobre phishing; Formación para roles de TI y seguridad; Normas básicas de ciberhigiene; Se comprueba la eficacia de la formación; Se comunican los nuevos temas de seguridad; Se conservan los registros de formación | |||||
| A.6.4 | Personas | Proceso disciplinario | |||||
| A.6.5 | Personas | Retirada de accesos al salir de la empresa; Revisión de accesos al cambiar de puesto | |||||
| A.6.6 | Personas | Acuerdos de confidencialidad | |||||
| A.6.7 | Personas | Normas de teletrabajo | |||||
| A.6.8 | Personas | La plantilla notifica eventos de seguridad; Los eventos se comunican con rapidez | |||||
| A.7.1 | Físico | Acceso controlado a las oficinas | |||||
| A.7.2 | Físico | Acceso controlado a las oficinas; Salas de servidores cerradas con llave | |||||
| A.7.3 | Físico | Visitas acompañadas | |||||
| A.7.4 | Físico | Supervisión del acceso físico | |||||
| A.7.5 | Físico | Protección contra incendios y agua | |||||
| A.7.6 | Físico | Normas para trabajar en salas que necesitan protección, por ejemplo sin visitas sin acompañante y sin fotos. | |||||
| A.7.7 | Físico | Mesa limpia y pantalla limpia | |||||
| A.7.8 | Físico | Ubicación segura de los equipos | |||||
| A.7.9 | Físico | Equipos fuera de la oficina | |||||
| A.7.10 | Físico | Soportes extraíbles | |||||
| A.7.11 | Físico | Suministro eléctrico protegido | |||||
| A.7.12 | Físico | Los cables de corriente y de red están protegidos contra daños, interferencias e intercepción. | |||||
| A.7.13 | Físico | Mantenimiento de los equipos | |||||
| A.7.14 | Físico | Eliminación segura | |||||
| A.8.1 | Tecnológico | Dispositivos gestionados de forma centralizada; Bloqueo o borrado de dispositivos perdidos; Dispositivos personales para el trabajo; Bloqueo automático de pantalla | |||||
| A.8.2 | Tecnológico | Cuentas de administrador separadas y limitadas; Acceso de emergencia | |||||
| A.8.3 | Tecnológico | Acceso a los datos restringido por rol | |||||
| A.8.4 | Tecnológico | Acceso al código fuente; Protección del código fuente | |||||
| A.8.5 | Tecnológico | Autenticación multifactor para el acceso remoto; Autenticación multifactor para administradores; Intentos de inicio de sesión limitados; Inicio de sesión único cuando sea posible; Inicio de sesión resistente al phishing para accesos críticos | |||||
| A.8.6 | Tecnológico | Monitorización de la capacidad | |||||
| A.8.7 | Tecnológico | Protección contra malware en todos los dispositivos; Filtrado del correo; Macros y scripts restringidos | |||||
| A.8.8 | Tecnológico | Actualizaciones de seguridad instaladas con rapidez; Sustitución de sistemas sin soporte; Análisis de vulnerabilidades; Corrección de vulnerabilidades por prioridad; Comunicación de vulnerabilidades; Prioridad a los sistemas expuestos a internet | |||||
| A.8.9 | Tecnológico | Estándares de configuración segura; Configuración documentada | |||||
| A.8.10 | Tecnológico | Eliminación de la información que ya no se necesita | |||||
| A.8.11 | Tecnológico | Los datos personales o sensibles se ocultan o sustituyen cuando no hace falta el valor completo, por ejemplo en pruebas. | |||||
| A.8.12 | Tecnológico | Prevención de fugas de datos | |||||
| A.8.13 | Tecnológico | Copias de seguridad periódicas; Copias guardadas por separado; Se prueban las restauraciones; Copias de los servicios en la nube; Se detectan los fallos de las copias; Objetivos de tiempo de recuperación definidos; Acceso restringido a las copias | |||||
| A.8.14 | Tecnológico | Redundancia en los sistemas críticos | |||||
| A.8.15 | Tecnológico | Registro de los eventos importantes; Los registros se conservan y protegen; Registro de la actividad de los administradores | |||||
| A.8.16 | Tecnológico | Detección de actividad sospechosa; Monitorización fuera del horario laboral; La monitorización cubre los servicios en la nube | |||||
| A.8.17 | Tecnológico | Relojes sincronizados; Horas fiables en los registros | |||||
| A.8.18 | Tecnológico | Herramientas de administración protegidas | |||||
| A.8.19 | Tecnológico | Instalación de software controlada | |||||
| A.8.20 | Tecnológico | Un cortafuegos protege la red; Acceso remoto seguro; Revisión de las reglas del cortafuegos; Servicios expuestos identificados; Correo protegido contra la suplantación | |||||
| A.8.21 | Tecnológico | Wi-Fi protegida; Servicios de red protegidos | |||||
| A.8.22 | Tecnológico | Redes separadas; Redes de administración separadas | |||||
| A.8.23 | Tecnológico | Se bloquean los sitios web dañinos | |||||
| A.8.24 | Tecnológico | Normas de cifrado; Portátiles y móviles cifrados; Datos en tránsito cifrados; Copias de seguridad cifradas; Gestión de las claves de cifrado; Vigilancia de los certificados; Bases de datos con datos sensibles cifradas; Se sustituye el cifrado obsoleto | |||||
| A.8.25 | Tecnológico | Normas de desarrollo seguro | |||||
| A.8.26 | Tecnológico | Requisitos de seguridad definidos; Seguridad en la compra de TIC | |||||
| A.8.27 | Tecnológico | Principios de arquitectura segura | |||||
| A.8.28 | Tecnológico | Revisión del código; Revisión de componentes de terceros | |||||
| A.8.29 | Tecnológico | Pruebas de seguridad antes de publicar; Pruebas de penetración | |||||
| A.8.30 | Tecnológico | Desarrollo externalizado controlado | |||||
| A.8.31 | Tecnológico | Pruebas y producción separadas | |||||
| A.8.32 | Tecnológico | Cambios controlados | |||||
| A.8.33 | Tecnológico | Protección de los datos de prueba | |||||
| A.8.34 | Tecnológico | Las pruebas y auditorías no interrumpen la operación |
El Anexo A se nombra solo por sus códigos, porque los textos de ISO están protegidos por derechos de autor: ten la norma a mano para la redacción oficial. Las descripciones son los controles de la biblioteca de CloudSignLab que cubren cada código.
Hazlo en CloudSignLab
Mantén tu Declaración de Aplicabilidad en CloudSignLab: madurez por tema a partir de tus controles, justificaciones, evidencias y una SoA imprimible.
Recibe nuevas plantillas y noticias sobre NIS2
Opcional: te escribimos cuando publicamos una nueva plantilla o guía. Primero confirmas por correo y puedes darte de baja cuando quieras.