iso27001-audit-prep
por alirezarezvaniiso27001-audit-prep es una skill enfocada en preparar la disponibilidad para auditorías del SGSI bajo ISO 27001. Usa seis preguntas de presión para validar alcance, vigencia del registro de riesgos, vínculo con el Anexo A, revisión por la dirección, acciones correctivas y evidencias listas para muestreo antes de auditorías internas, de certificación o de seguimiento.
Esta skill obtiene 66/100, lo que significa que es aceptable para incluirla en el directorio, pero debería presentarse como una ayuda ligera de preguntas para preparación de auditorías ISO 27001, no como un sistema completo de preparación. Los usuarios del directorio pueden entender cuándo invocarla y qué preguntas de presión aplica, pero su valor de adopción se ve limitado por la falta de archivos de apoyo y cierta dependencia de referencias externas que no están incluidas con la skill.
- Activador y casos de uso claros: el frontmatter y el cuerpo especifican `/cs:iso27001-audit-prep <scope>` e indican cuándo ejecutarla, incluidas auditorías internas de la Cláusula 9.2, preparación para certificación, auditorías de seguimiento, cambios de alcance y revisiones posteriores a incidentes.
- Ofrece preguntas concretas de preparación ISO 27001, como cobertura de auditoría a 3 años, actualización del registro de riesgos, vínculo con controles del Anexo A, aceptación del riesgo residual e independencia del auditor.
- La skill tiene contenido sustancial en SKILL.md, sin marcadores de relleno ni experimentales, lo que da a los agentes más estructura que un prompt genérico sobre ISO 27001.
- No incluye scripts, referencias ni recursos de apoyo, aunque la skill indica a los usuarios ejecutar un `isms_audit_scheduler.py` externo en otra ruta.
- Parece estar pensada como una lista de verificación e interrogatorio enfocado en la preparación para auditorías, no como un flujo completo de preparación de auditorías ISO 27001 con plantillas, seguimiento de evidencias o salidas de ejemplo.
Descripción general de la skill iso27001-audit-prep
Qué hace iso27001-audit-prep
iso27001-audit-prep es una skill de revisión de cumplimiento para poner a prueba la preparación de un ISMS conforme a ISO 27001 antes de una auditoría interna, una auditoría de certificación, una auditoría de seguimiento o un cambio importante de alcance. Está diseñada en torno a un flujo de seis preguntas obligatorias, no como una lista de verificación amplia, para que el agente se concentre en la evidencia que los auditores suelen cuestionar: alcance de la auditoría, cobertura continua de controles, vigencia del registro de riesgos, vínculo con el tratamiento de riesgos, revisión por la dirección, acciones correctivas y documentación lista para muestreo.
Usuarios y momentos de auditoría más adecuados
Esta skill resulta especialmente útil para responsables de cumplimiento, responsables de seguridad, propietarios de GRC, auditores internos y operadores de startups que se preparan para una auditoría interna bajo la cláusula 9.2 de ISO 27001 o para una revisión externa de certificación. Usa iso27001-audit-prep for Compliance Review cuando ya tengas cierto material del ISMS y necesites un interrogatorio estructurado de preparación, no cuando estés intentando aprender ISO 27001 desde cero.
Casos en los que encaja muy bien:
- planificación de la auditoría interna anual
- preparación para certificación de etapa 1 o etapa 2
- preparación para auditoría de seguimiento del año 2 o año 3
- revisión del ISMS posterior a un incidente
- incorporación al alcance de un nuevo producto, unidad de negocio, plataforma SaaS o zona geográfica
En qué se diferencia de un prompt genérico
Un prompt genérico del tipo “prepárame para ISO 27001” suele producir una lista de verificación larga y con poca priorización. La iso27001-audit-prep skill acota la revisión a preguntas orientadas a auditoría y pide pruebas basadas en muestras. Esto la hace más útil para detectar evidencia faltante, registros de riesgo desactualizados, mapeos débiles con Annex A, aceptaciones de riesgo residual sin firmar y brechas en el programa de auditoría antes de que lo haga un auditor.
Limitaciones importantes antes de instalar
La evidencia del repositorio muestra un único archivo SKILL.md y no incluye scripts, referencias, recursos ni archivos de metadatos empaquetados. La skill menciona un isms_audit_scheduler.py en otra ruta, pero esta carpeta de la skill no incluye ese auxiliar. Trata iso27001-audit-prep como un flujo de prompting enfocado, no como un paquete completo de automatización de auditorías ni como un servicio legal de certificación.
Cómo usar la skill iso27001-audit-prep
Contexto de instalación de iso27001-audit-prep
Para iso27001-audit-prep install, añade la skill desde la ruta del repositorio de GitHub que use tu ejecutor de skills de IA o tu entorno de Claude skills:
https://github.com/alirezarezvani/claude-skills/tree/main/compliance-os/skills/iso27001-audit-prep
Si tu instalador admite importaciones de skills desde GitHub, apúntalo al repositorio y a la ruta de la skill, y después verifica que SKILL.md esté disponible. Como no hay carpetas de soporte en este directorio de la skill, lee primero SKILL.md; no hay un conjunto oculto de reglas ni una biblioteca de scripts para inspeccionar dentro de esta carpeta.
Entradas que necesita la skill para generar resultados útiles
El formato del comando es:
/cs:iso27001-audit-prep <scope>
No pases solo “nuestro ISMS” como alcance. Entradas de alcance más útiles incluyen la entidad legal, ubicaciones, productos, sistemas, equipos, exclusiones, tipo de auditoría y fecha objetivo.
Prompt débil:
/cs:iso27001-audit-prep SaaS company
Prompt más sólido:
/cs:iso27001-audit-prep Stage 1 readiness for Acme Ltd ISMS covering UK HQ, remote engineering, production AWS SaaS platform, customer support operations, and excluded corporate finance systems; audit in 6 weeks.
La versión más sólida ayuda a la skill a comprobar si la cobertura de auditoría, la aplicabilidad de Annex A, el tratamiento de riesgos y las muestras de evidencia coinciden con el límite real de certificación.
Flujo práctico de uso de iso27001-audit-prep
Usa esta secuencia para obtener mejores resultados de iso27001-audit-prep usage:
- Define el evento de auditoría: revisión interna de cláusula 9.2, etapa 1, etapa 2, seguimiento, posterior a incidente o cambio de alcance.
- Proporciona el alcance del ISMS y las exclusiones principales.
- Añade el estado actual de la evidencia: fecha del registro de riesgos, versión del Statement of Applicability, plan de auditoría interna, fecha de revisión por la dirección, registro de acciones correctivas y propietarios de controles.
- Pide a la skill que interrogue las brechas usando las seis preguntas del ISMS.
- Convierte la salida en una lista de solicitudes de evidencia, una lista de responsables y un plan de remediación previo a la auditoría.
Un prompt de alta calidad puede incluir:
Use iso27001-audit-prep to challenge our ISO 27001 surveillance audit readiness. Scope: EU SaaS platform, AWS production, product engineering, SRE, support, HR onboarding, and vendor management. Risk register last updated 5 months ago. SoA version 2024-03. Last management review 9 months ago. Internal audit covered access control and incident management, but not supplier security. Return likely findings, missing samples, urgent fixes, and questions an auditor may ask.
Archivos que conviene leer antes de confiar en ella
Lee SKILL.md completo antes del primer uso. Presta atención a la sección “When to Run” y a las seis preguntas del ISMS. Ten en cuenta también la referencia tipo dependencia a un programador de auditorías fuera de esta carpeta de la skill; si tu entorno no incluye esa otra ruta de skill, pide al agente que cree manualmente una tabla de cobertura de auditoría a 3 años en lugar de asumir que hay un script disponible.
Preguntas frecuentes sobre la skill iso27001-audit-prep
¿iso27001-audit-prep es suficiente para obtener la certificación ISO 27001?
No. iso27001-audit-prep ayuda a prepararse para conversaciones de auditoría y comprobaciones de evidencia, pero no certifica a una organización, no sustituye a un auditor acreditado ni genera un ISMS completo. Su mejor uso es revelar brechas de preparación antes de una revisión formal.
¿En qué es mejor que pedirle a ChatGPT una lista de verificación ISO 27001?
El valor está en el enfoque. La skill estructura la revisión alrededor de preguntas de presión que un auditor puede aplicar a tu ISMS: disciplina de alcance, cobertura continua de tres años, vínculo entre riesgos y controles, aceptación de riesgo residual, independencia y preparación de evidencia. Eso produce brechas más accionables que una lista de verificación genérica.
¿Pueden usar la guía iso27001-audit-prep las personas principiantes?
Sí, pero las personas principiantes deberían proporcionar más contexto y pedir explicaciones de cualquier término de ISO. Si aún no conoces el alcance de tu ISMS, el estado del registro de riesgos, el estado del SoA o el plan de auditoría interna, la skill puede ayudar a identificar bases faltantes, pero su uso más fuerte es la preparación para auditoría, no la formación introductoria.
¿Cuándo no debería usar esta skill?
No la uses como única fuente para decisiones legales, regulatorias o de certificación. Tampoco encaja bien si todavía no tienes artefactos del ISMS; en ese caso, empieza por definir el alcance, crear el inventario de activos, realizar la evaluación de riesgos, redactar el SoA y desarrollar políticas antes de ejecutar un interrogatorio de preparación para auditoría.
Cómo mejorar la skill iso27001-audit-prep
Haz que las entradas de iso27001-audit-prep incluyan evidencia concreta
La mayor mejora en la salida viene de darle al agente un estado de evidencia concreto. Incluye fechas, nombres de documentos, propietarios, hallazgos no resueltos, familias de controles que aún no se han auditado y áreas débiles conocidas. Por ejemplo, “risk register refreshed quarterly” es menos útil que “risk register last approved 2024-11-15; 4 high risks; 2 residual acceptances unsigned; supplier risk treatment not mapped to Annex A.”
Pide desafíos de auditoría basados en muestras
Las auditorías ISO 27001 dependen de muestras. Mejora la salida de la skill pidiendo solicitudes de muestra, no solo brechas:
For each weakness, list the sample evidence an auditor may request, the likely ISO 27001 clause or Annex A area, the owner who should prepare it, and what would make the sample defensible.
Esto convierte la iso27001-audit-prep guide en un plan de preparación accionable.
Vigila los modos de fallo más comunes
Las salidas débiles suelen deberse a un alcance vago, a la falta del tipo de auditoría o a asumir que la evidencia existe. Si la primera respuesta suena demasiado positiva, pide al agente que adopte una postura adversarial: “Challenge our readiness as an external auditor and identify likely minor or major nonconformities.” Si la respuesta es demasiado amplia, acótala al próximo evento de auditoría y a los cinco principales riesgos de evidencia.
Itera hasta convertirlo en un plan de remediación
Después de la primera pasada con iso27001-audit-prep, pide un plan de 30 días con severidad, responsables, evidencia por recopilar y puntos de decisión. Buenos prompts de seguimiento incluyen: “Separate must-fix before audit from nice-to-have,” “Map each issue to ISO 27001 clause or Annex A control where possible,” y “Create management review questions for unresolved residual risks.”