Introducción a la auditoria informática

Introducción a la auditoria informática

1. Tipos de auditoria

   • Desde el punto de vista de las auditorias de seguridad, nos encontramos con dos tipos fundamentales:
     • Auditoria de seguridad
       • La auditoria de seguridad se incorpora directamente al proceso interno de la organizacion de gestion de la seguridad de la informacion y comprueba que la implantacion de los controles de seguridad cumple con lo establecido en loas diferentes politicas dictadas por la organizacion y que ha sido implantado de forma tecnicamente correcta.
       • En cualquier caso es esencial antes de abordar un proceso de auditoria definir tanto el alcance como la refeencia contra la que se quiere auditar.
       • Auditorias internas
         • podrian realizarse siempre que las organizaciones posean un grupo de auditoria independiente del area que se ha de analizar y que tenga un grupo de auditoria independiente del area que se ha de analizar y que tenga los conocimientos suficientes para dictaminar si las medidas de seguridad son suficientes y si estan correctamente configuradas.
       • auditorias externas
         • son las que se realizan por empresas externas, totalmente independientes de la organizacion y con conocimientos acreditados en seguridad.Estas empresas se encarganran de revisar las diferentes medidas de seguridad
       • En los dos caso, el resultado de estos procesos de auditoria consiste en la elaboracion de un informe en el que se dictaminan las deficiencias de seguridad que se hayan podido detectar dentro del alcance que se haya determinado para la uditoria. Es importante tener en cuenta que este informe debe ser lo mas objetivo,claro,concluso y directo posible.
     • Certificion de seguridad
       • La certificacion de seguridad consiste en que la organizacion que ha implantado la normativa ISO/IEC 27001 encargada a una organizacion externa-acreditada y con unas caracteristicas concretas, que analice la implantacion de esta normativa para dictaminar si es correcta. una vez finalizada su revision, elaborara un informe y en el caso de que sea favorable se le entrega a la organizacion un selllo que certifica la correcta implantacion de la normativa en la organizacion.
       • organizaciones de certificacion
         • Las certificaciones de seguridad unicamente pueden ser realizadas por organizaciones de bidamente acreditadas por entidades denominadas organismos de acreditacion como por ejemplo en España , la ENAC.

2. una auditoria es el proceso de revisar las diferentesmedidas de seguridad que tiene implantadas una organizacion frente a un marco de referencia. La realiza una entidad Independiente.

3. Equipo auditor

   • El equipo auditor es el grupo de personas encargado de ejecutar el proyecto de auditoria, tanto en el caso de la revision de la correcta implantacion de la normativa ISO/IEC 27001, si se busca la obtencion de la certificacion.
   • Auditor lider
     • a) Haber participado como minimo en tres auditorias a organizaciones como miembro de un equipo auditor.
     • b)Cualidades para el proceso de asesoramiento a la organizacion que esta evaluando.
     • c)Capacidad para comunicar los resultados obtenidos tanto via oral como escrita
   • Auditores
     • a)Calificaciones academicas necesarias.
     • b)Los ultimos cuatro años trabajando con las IT y de estos, los dos ultimos relacionados con la seguridad de las IT.
     • c)Conocimientos sobre procesos de analisis y gestion del riesgo

4. Independencia de auditoria

   • con el fin de garantizar su imparcialidad, el equipo auditor no debe participar en la elaboracion de manuales, politicas o procedimientos de una organizacion, ni puede formar parte del grupo que toma decisiones sobre el estado del sistema de gestion de la seguridad de la informacion. Tampoco puede dar recomendaciones especifica para el desarrollo del SGSI. Si podrauna ves finalizada la auditoria emitir las recomendaciones que considere oportunas.

5. Codigo de conducta del equipo auditor

   • especialmente cuando se trata de auditorias de certificacion, los miembros del equipo auditor han de seguir un codigo de conducta para asegurar la correcta realizacion de susteareas:
     • 1.Deben actuar de forma veraz e Imparcial
     • 2.Deben evitar cualquier tipo de asignacion que pueda causar un conflicto de intereses
     • 3.No aceptaran ningun tipo de incentivos, comision, descuento u otro tipo de provecho por parte de la organizacion auditada
     • 4.No podran revelar las observaciones de las auditorias a terceros
     • 5.No actuaran de forma que puedan perjudicar a ninguna de las partes implicadas en la auditoria
     • 6.En caso de incumplimiento de este codigo, se procedera a una investigacion en la que colaboraran para su esclarecimento
   • Los miembros del equipo auditor deben estar calificados para:
     • A. Identificar las amenazas, vulnerabilidades e impactos que puedan comprometer los activos de la organizacion
     • B. Discernir las areas de actividad de la organizacion
     • C. Verificar que la organizacion ha identificado correctamente sus riesgos.

6. Formacion y expericia del auditor

   • Los miembros del equipo auditor deben tener una formacion universitaria o experencia profesional y formacion que se considere equivalente.

7. Perfil de los auditores

   • 1.Haber revisado la documentacion del sistema de gestion de la seguridad de la informacion
   • 2.Haber revisado el analisis de riesgos de una organizacion
   • 3.Haber auditado la implantacion de un sistema de gestion de la seguridad de la informacion
   • 4.Haber desarrollado los informes relativos a la auditoria en la que participo
   • A nivel personal que se requiere para poder desarrollar el trabajo de auditor:
     • a) Maduros,profecionales e independientes
     • b)objetivos,analiticos y persistentes
     • c)Realistas y capaces de analizar e interpretar las situaciones en su justa medida
     • d)Flexibles ante nuevas situaciones
     • e) Capaces de percibir situaciones y problemas no declarados.

8. Perfil de auditor jefe

   • El auditor jefe del grupo de auditoria sera el encargado de dirigirla.En este sentido, un auditor, jefe ademas de los requisitos indicados en el subapartado anterior, obligados para cualquier miembro del grupo de auditoria, debera:
   • 1.Ser conocedor del proceso de certificacion
   • 2.Haber realizado o participado en tres auditorias como miembro de un equipo de auditoria
   • 3.Haber demostrado habilidades de comunicacion

9. personal de auditoria

   • Equipo del auditado
     • Guia:persona de la empresa que acompaña al equipo auditor y le facilita la informacion solicitada.Normalmente sera el responsable del sistema de gestion de la seguridad de la informacion.
     • representante de la direccion:persona autorizada por la empresa para confirmar la implicacion y compromiso de la direccion con las politicas de seguridad aprobadas
     • Observaciones,personal en formacion:normamente personal de la empresa en formacion como auditor internp
     • consultores:consultor externo que la empresa ha contratado para asesorarle en el desarrollo del SGSI. Este puede asistir a la auditoria pero no debe intevenir en ningun momento
   • Equipo auditor
     • Jefe y miembros del equipo:normalmente se trata de una o dos personas
     • Auditores en formacion:personal en formacion para convertirse en auditor
     • observadores, auditor provisional: puede ser un observador del organismo de acreditacion para supervisar la auditoria
     • Expertos,personal asecor:personal que asesora al auditor sobre temas tecnicos o concretos del negocio o las tecnologias que se auditan
     • testigos e invitados