Cuestionario Previo ISO27001

1. Nombre

2. Email

3. Denominación Social

4. CIF

5. Domicilio Social

6. Tipo de Servicios que presta su empresa

1.¿Has realizado un análisis de riesgos de cada tratamiento? En caso negativo, justificar.

Si No

Justifica si has contestado No

2 ¿Ha realizado el cliente un análisis de riesgos de cada tratamiento?

Si No

Justifica si has contestado no en la pregunta anterior

3. ¿Ha establecido su entidad protocolo de respuesta ante el ejercicio de derechos de los interesados?

Si No

4. ¿Dispone su organización de un procedimiento de notificación y gestión de incidencias/brechas de seguridad que afecten a los datos de carácter personal?

Si No

5. En dicho procedimiento, ¿se recoge la obligación de notificar inmediatamente la brecha de seguridad a la organización en caso de tener un impacto sobre sus datos?

Si No No disponemos de procedimiento

6. ¿Tiene su organización en la actualidad algún procedimiento sancionador/investigación abierta con la Autoridad de control (AEPD)?

Si No

7. ¿Se garantiza que las personas que traten los datos de nuestra entidad han sido formadas en materia de protección de datos?

Si No

1. ¿Dispone su empresa de una política de seguridad de la información, compuesta por normativa interna asociada y aprobada por la dirección, que establezca todas las responsabilidades de gestión de riesgos de seguridad sobre los servicios prestados a sus clientes?

Si No

2. ¿Dispone su empresa de medidas técnicas (cifrado mediante algoritmos fuertes y no obsoletos) para la protección de la información clasificada de sus clientes cuando sea necesario almacenarla en su infraestructura para la prestación del servicio?

Si No

3. ¿Dispone su empresa de mecanismos para evitar la salida no autorizada de información de sus sistemas?

Si No

En caso afirmativo, indicar brevemente la naturaleza de estos mecanismos.

4. ¿Su empresa tiene implantado un sistema de gestión de seguridad de la información certificado (ejemplo ISO 27001, ISO 27701)?

Si No

Aportar certificación en vigor avalada por organismo acreditado.

5. ¿Dispone su empresa de normativa interna sobre control de acceso lógico a los sistemas de información involucrados en el servicio a sus clientes o a la infraestructura propia que almacene información clasificada de sus clientes, en la que se defina cómo se otorgan los privilegios de acceso a los usuarios y la revisión periódica de estos?

Si No

6. ¿Dispone su empresa de mecanismos de control de acceso lógico a los sistemas de información involucrados en el servicio a sus clientes o a la infraestructura propia que almacene información clasificada de sus clientes, identificando unívocamente los accesos de los usuarios (incluso remotamente) y monitorizándolos?

Si No

7. ¿Dispone su empresa de un programa de formación/concienciación en materia de seguridad de la información y uso seguro de la tecnología y sistemas de información, que permita a los empleados conocer la correcta actuación ante cualquier situación durante la prestación del servicio a sus clientes?

Si No

Aportar plan anual de formación y concienciación específico en seguridad de la información y uso de los sistemas de información a sus empleados.

8. ¿Dispone su empresa de procedimientos de monitorización de los sistemas de información involucrados en el servicio prestado a sus clientes, registrando todas las actividades de usuario, así como eventos y errores relevantes para la seguridad, incluyendo los relativos a comunicaciones, transmisión de ficheros, aplicaciones web o sistemas intermedios de almacenamiento temporal?

Si No

9. ¿Dispone su empresa de procedimientos definidos de gestión y reporte de incidentes de seguridad que incluyan la notificación a los clientes afectados (a su información o a los servicios) y a las autoridades competentes, si es requerido en cumplimiento de las obligaciones legales?

Si No

10. ¿Dispone su empresa de planes periódicos de revisión de seguridad (auditorías técnicas, pruebas de intrusión, etc.) de los productos o servicios de los que provee a sus clientes?

Si No

Aportar información sobre la naturaleza de las revisiones y periodicidad, indicando si son realizadas por terceros y la metodología empleada.

11. ¿Dispone su empresa de un procedimiento para evitar la instalación de software no autorizado en los equipos de usuario y sistemas productivos involucrados en el servicio que prestan a sus clientes?

Si No

En caso afirmativo, incluya una breve descripción que permita evaluar el alcance de este procedimiento.

12. ¿Tiene su empresa implantados controles y mecanismos de protección de los dispositivos portátiles y móviles que se utilicen para la prestación del servicio a sus clientes?

Si No

En caso afirmativo, incluya una breve descripción que permita evaluar el alcance de estos controles.

13. ¿Dispone su infraestructura tecnológica de medidas que permitan la separación lógica de la información de los diferentes clientes a los que prestan servicio?

Si No

14. ¿Dispone su empresa de mecanismos o medios técnicos que permitan garantizar la identidad del remitente en las comunicaciones digitales con sus clientes?

Si No

En caso afirmativo, indicar brevemente la clase de medidas disponibles.

15. ¿Dispone su empresa de medidas técnicas de protección perimetral, segmentación y fortificación de su red para mantener los niveles de seguridad necesarios en cada uno de los segmentos, controlando así, el acceso a recursos y el tráfico sin afectar a su rendimiento?

Si No