Una no conformidad es el incumplimiento de un requisito de una norma, una ley o un procedimiento interno, detectado en una auditoría. En normas como ISO/IEC 27001 suele clasificarse como mayor, si compromete el sistema de gestión, o menor, si es un fallo aislado, y exige analizar la causa y aplicar una acción correctiva. Por ejemplo, no tener evidencia de las revisiones de accesos.
Cómo lo resolvemos en TecnetOne: Cumplimiento normativo
no conformidad mayor, no conformidad menor, hallazgo de auditoría, acción correctiva, no conformidad ISO
Términos relacionados
Madurez de ciberseguridad (modelo de madurez)
Un modelo de madurez de ciberseguridad es una escala que mide qué tan establecidas, documentadas y mejoradas están las prácticas de seguridad de una organización, normalmente en niveles que van de procesos informales a procesos medidos y optimizados. Un diagnóstico de madurez sirve para saber dónde está la empresa, compararla con un marco de referencia y priorizar el siguiente paso.
Declaración de aplicabilidad (SoA)
La declaración de aplicabilidad (SoA, Statement of Applicability) es el documento obligatorio de ISO/IEC 27001 que enumera los controles del Anexo A, indica cuáles aplica la organización y justifica la inclusión o exclusión de cada uno. Es una de las primeras piezas que revisa el auditor de certificación, porque conecta el análisis de riesgos con los controles realmente implementados.
CISO virtual (vCISO)
Un CISO virtual (vCISO) es un servicio en el que un especialista externo asume las funciones del director de seguridad de la información (CISO, Chief Information Security Officer): estrategia, políticas, gestión de riesgos y reporte a la dirección. Es común en empresas medianas que necesitan ese liderazgo para una auditoría o un cliente, pero no justifican una plaza de tiempo completo.
ISO 27017 e ISO 27018
La ISO/IEC 27017 y la ISO/IEC 27018 son normas internacionales que amplían los controles de la ISO/IEC 27002 para servicios en la nube. La 27017 agrega controles de seguridad para proveedores y clientes de nube; la 27018 se enfoca en proteger datos personales cuando un proveedor de nube pública los trata por cuenta de un cliente. Suelen evaluarse junto con la ISO/IEC 27001.
NOM-024-SSA3-2012
La NOM-024-SSA3-2012 es la norma oficial mexicana que fija los requisitos de los sistemas de información de registro electrónico para la salud, como el expediente clínico electrónico. Pide interoperabilidad entre sistemas y medidas para proteger la confidencialidad e integridad de la información de los pacientes. Aplica a los prestadores de servicios de salud de los sectores público, social y privado que usan estos sistemas.
Apetito y tolerancia al riesgo
El apetito de riesgo es el nivel de riesgo que una organización está dispuesta a aceptar para cumplir sus objetivos, definido por la dirección. La tolerancia al riesgo es la variación aceptable respecto de ese nivel en un indicador concreto. Por ejemplo, un apetito bajo ante fugas de datos de clientes y una tolerancia de pocas horas de caída al año en pagos.
¿Quieres pasar del concepto a tu operación?
Cuéntanos qué necesitas y un ingeniero de TecnetOne te responde.
Hablar con un ingenieroHablar con un ingeniero
Cuéntanos qué necesitas y te respondemos el mismo día hábil.