Prepara tu auditoría ISO 27001 con el Anexo A y la evidencia delante.
Para quien implanta o mantiene un SGSI: HodeiShield puntúa los 93 controles del Anexo A (edición de 2022), recoge la evidencia de cada uno y te dice qué falta antes de la auditoría de certificación.
- SGSI de Hodeitek certificado ISO/IEC 27001:2023 (nº 34/5700/26/10159); su alcance incluye los sistemas que soportan el SaaS HodeiShield. No es una certificación de producto
- Datos en la UE (OVH, Gravelines); Cloudflare (EE. UU.) en la ruta de la petición
Qué pide ISO 27001, en breve
La norma fija los requisitos de un sistema de gestión de la seguridad de la información. El Anexo A es un catálogo de referencia de controles, no una lista que haya que cumplir entera.
Resumen informativo, no asesoramiento. La certificación depende de tu alcance, de tus decisiones sobre los riesgos y del criterio del organismo de certificación.
- Contexto, alcance y liderazgo
- La organización determina su contexto, las partes interesadas y el alcance del SGSI, y la dirección fija la política y los roles (cláusulas 4 y 5).
- Evaluar y tratar los riesgos
- Se evalúan los riesgos, se elige su tratamiento, se comparan los controles necesarios con los del Anexo A y se justifica cada inclusión o exclusión en la Declaración de aplicabilidad (cláusulas 6.1.2 y 6.1.3).
- Operar, medir y auditar
- Se opera el SGSI con información documentada, se mide su desempeño y se realizan auditorías internas y revisiones por la dirección (cláusulas 7 a 9).
- Mejorar de forma continua
- Las no conformidades se corrigen y el sistema se mejora de manera continua (cláusula 10).
Los cuatro temas del Anexo A y dónde entra HodeiShield
El Anexo A de la edición de 2022 agrupa 93 controles en cuatro temas. La plataforma los recoge todos como lista de control, pero solo trabaja de verdad en parte de ellos.
A.5
Organizativos (37)
Proveedores, incidentes, políticas y riesgos tienen módulo propio; el resto se sigue como lista de control con tu evidencia.
ParcialA.6
Personas (8)
Selección, concienciación y acuerdos de confidencialidad ocurren fuera de la plataforma. Puedes registrar su estado y subir la evidencia.
No cubreA.7
Físicos (14)
Seguridad de instalaciones y equipos fuera de la plataforma. Puedes registrar su estado y subir la evidencia.
No cubreA.8
Tecnológicos (34)
CVE diarias y alertas por componente a partir del SBOM; el agente de endpoint aporta comprobaciones como evidencia.
Parcial
De cada requisito de ISO 27001 a una capacidad de HodeiShield
Con fase del ciclo y alcance. Solo lo que respalda la plataforma.
Directo: la plataforma lo hace. Parcial: aporta evidencia o una parte, el resto es tuyo. No cubre: queda fuera de HodeiShield.
- Obligación:
Contexto de la organización, partes interesadas y alcance del SGSI
Cl. 4
Qué hace HodeiShield:Fuera de HodeiShield. Definir el alcance y las partes interesadas es un trabajo de la dirección.
FaseFuera del cicloAlcanceNo cubre - Obligación:
Evaluar los riesgos de seguridad de la información
Cl. 6.1.2
Qué hace HodeiShield:Registro de riesgos con matriz 5×5 inherente y residual y apetito de riesgo declarado. Para proveedores, ALE FAIR en euros con banda de incertidumbre simulada (sin calibrar). Los criterios y la metodología de evaluación los defines tú.
Docs · Motor de riesgo (se abre en una pestaña nueva)FasePREDICTAlcanceParcial - Obligación:
Tratar los riesgos y elaborar la Declaración de aplicabilidad
Cl. 6.1.3
Qué hace HodeiShield:Cada riesgo lleva su tratamiento y sus notas. Un control del Anexo A puede marcarse «no aplicable», con la razón en las notas, y deja de contar en la puntuación. HodeiShield no genera la Declaración de aplicabilidad como documento.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseFuera del cicloAlcanceParcial - Obligación:
Aplicar y seguir los controles del Anexo A
Anexo A (93)
Qué hace HodeiShield:Lista de control con los 93 controles de la edición de 2022: estado, responsable, fecha límite, notas y evidencia por control. La puntuación es controles implementados sobre controles aplicables.
Demo · vista ISO 27001FaseSENSEAlcanceDirecto - Obligación:
Políticas e información documentada
A.5.1; Cl. 7.5
Qué hace HodeiShield:Evidencia con responsable, fecha de validez y estado, que subes o enlazas tú; la caducada deja de contar. Biblioteca de políticas con versiones y registro de cada cambio. El contenido de las políticas es tuyo.
Docs · Cumplimiento (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Seguridad en las relaciones con proveedores y en la cadena de suministro TIC
A.5.19 a A.5.22
Qué hace HodeiShield:Cuestionarios por token con recordatorios, escaneo externo periódico, CVE diarias y SBOM de proveedores. Las cláusulas del contrato y el seguimiento del servicio son tuyos.
Docs · Motor de riesgo (se abre en una pestaña nueva)FaseSENSEPREDICTAlcanceParcial - Obligación:
Gestión de los incidentes de seguridad de la información
A.5.24 a A.5.28
Qué hace HodeiShield:Registro único de incidentes, clasificados una sola vez y con evidencia adjunta. Los procedimientos de respuesta y las lecciones aprendidas los documentas tú.
Demo · registro de incidentesFaseFuera del cicloAlcanceParcial - Obligación:
Gestión de las vulnerabilidades técnicas
A.8.8
Qué hace HodeiShield:Sincronización diaria de CVE y alertas por componente sobre los SBOM que ingieres. El agente de endpoint reporta por ciclo y sus comprobaciones no entran en la puntuación de cumplimiento.
Docs · Cadena SBOM, CVE y alerta (se abre en una pestaña nueva)FaseSENSEAlcanceParcial - Obligación:
Seguimiento, medición y evidencia para el auditor o un cliente
Cl. 9.1
Qué hace HodeiShield:Postura por marco y atestación ATTEST con la banda de ISO 27001, firmada con ML-DSA-65 y verificable sin conexión. Prueba integridad, origen y momento, no veracidad.
Docs · Verificador ATTEST (se abre en una pestaña nueva)FaseATTESTAlcanceParcial - Obligación:
Auditoría interna y revisión por la dirección
Cl. 9.2 y 9.3
Qué hace HodeiShield:Fuera de HodeiShield. La puntuación y la evidencia pueden servir de entrada, pero las realizas y las documentas tú.
FaseFuera del cicloAlcanceNo cubre
Lo que HodeiShield no hace con ISO 27001
Qué queda fuera, dicho antes de la demo.
No certifica a tu organización
La certificación ISO/IEC 27001 la concede un organismo acreditado tras una auditoría. HodeiShield mide tu postura con la evidencia que aportas y no sustituye esa auditoría. El SGSI certificado de Hodeitek SL es el de la empresa y no se traslada a tu organización.
No genera la Declaración de aplicabilidad
Puedes marcar un control como no aplicable y anotar por qué, pero la plataforma no produce ese documento ni decide qué controles te corresponden.
No modela las cláusulas del sistema de gestión
El catálogo es el del Anexo A. Contexto, objetivos, competencia, auditoría interna y revisión por la dirección no tienen módulo propio; el registro de riesgos y la evidencia pueden alimentarlos.
La evidencia no se recoge sola
Se sube o se enlaza a mano. Los colectores en la nube están planificados y no existen hoy, y el agente de endpoint reporta por ciclo, no en tiempo real.
Preguntas sobre ISO 27001
Respuestas con el alcance exacto.
¿HodeiShield me certifica en ISO 27001?
No. La certificación la concede un organismo acreditado tras auditar tu sistema de gestión. HodeiShield mide tu postura con la evidencia que aportas y señala lo que falta; estar listo para la auditoría depende de tu evidencia y de tus decisiones.
¿Cómo se puntúa el Anexo A?
Cada uno de los 93 controles tiene un estado que fijas tú. La puntuación es el porcentaje de implementados sobre los aplicables. Un control sin evaluar no sube la puntuación: solo «no aplicable» sale del cálculo. Es una autoevaluación, no una auditoría.
¿Genera la Declaración de aplicabilidad?
No. Puedes marcar controles como no aplicables y anotar la razón, pero la Declaración de aplicabilidad como documento, con su justificación de cada inclusión y exclusión, la redactas tú.
¿Sirve la misma evidencia para ENS o NIS2?
El crosswalk liga los controles de ISO 27001 con sus equivalentes en ENS, NIS2, SOC 2, ISO 42001 y NIST CSF 2.0 para no evidenciar dos veces lo mismo. Una equivalencia orienta el trabajo, pero no sustituye el criterio del auditor de cada norma.
¿Con qué edición de la norma trabaja?
Con ISO/IEC 27001:2022. El catálogo recoge los 93 controles de su Anexo A: A.5.1 a A.5.37, A.6.1 a A.6.8, A.7.1 a A.7.14 y A.8.1 a A.8.34.
Soluciones relacionadas
¿Necesitas ayuda para cerrar las brechas?
HodeiShield te enseña dónde están. Si necesitas un equipo que las cierre, Hodeitek ofrece consultoría de gobierno, riesgo y cumplimiento.
¿Eres MSSP? Programa de partners
Recorre el Anexo A con tu evidencia delante
En la demo marcamos los controles que te aplican y vemos qué evidencia tienes ya, qué caduca y qué falta antes de la auditoría.
Sin compromiso. Datos de ejemplo.