Introduccion a la Auditoria Informatica

Introduccion a la Auditoria Informatica

1. 1. Tipos de auditorías

   • Una auditoría es el proceso de revisar las diferentes medidas de seguridad que tiene implantadas una organización frente a un marco de referencia.
     • 1.1. Auditoria de seguridad: La auditoría de seguridad se incorpora directamente al proceso interno de la organización de gestión de la seguridad de la información y comprueba que la implantación de los controles de seguridad cumple con lo establecido en las diferentes políticas dictadas por la organización y que ha sido implantado de forma técnicamente correcta.
       • Las auditorias internas: podrán realizarse siempre que las organizaciones posean un grupo de auditoría independiente del área que se ha de analizar y que tenga los conocimientos suficientes para dictaminar si las medidas de seguridad son suficientes y si están correctamente configuradas
       • Las auditorias externas: son las que se realizan por empresas externas, totalmente independientes de la organización y con conocimientos acreditados en seguridad.
   • 1.2. Certificacion de seguridad
     • La certificación de seguridad consiste en que la organización que ha implantado la normativa ISO/IEC 27001 (o en su defecto la UNE 71502)
       • Organizaciones de certificación
         • Las certificaciones de seguridad únicamente pueden ser realizadas por organizaciones debidamente acreditadas por entidades denominadas organismos de acreditación

2. 2. Equipo auditor

   • El equipo auditor es el grupo de personas encargado de ejecutar el proyecto de auditoría, tanto en el caso de la revisión de las medidas de seguridad (auditoría de seguridad), como de la revisión de la correcta implantación de la normativa ISO/IEC 27001, si se busca la obtención de la certificación.
   • 2.1. Independencia de auditoria
     • Con el fin de garantizar su imparcialidad, el equipo auditor no debe participar en la elaboración de manuales, políticas o procedimientos de una organización, ni puede formar parte del grupo que toma decisiones sobre el estado del sistema de gestión de la seguridad de la información
   • 2.2. Codigo de conducta del equipo auditor
     • Especialmente cuando se trata de auditorias de certificacion, los miembros del equipo auditor han de seguir un código de conducta para asegurar la correcta realización de sus tareas:
       • Deben actuar de forma veraz e imparcial
       • Deben evitar cualquier tipo de asignacion que pueda causar un conflicto de intereses.
       • No aceptaran ningun tipo de incentivo, comision, descuento u otro tipo de provecho por parte de la organización auditada
       • No podran revelar las observaciones de las auditorias a terceros
       • No actuaran de forma que puedan perjudicar a ninguna de las partes implicadas en la auditoria
     • Los miembros del equipo auditor deben estar cualificados para
       • Identificar las amenazas, vulnerabilidades e impactos que puedan comprometer los activos de la organizacion
       • Discernir las areas de actividad de la organización
       • Verificar que la organizacion ha identificado correctamente sus riesgos
   • 2.3. Perfil de los auditores
     • Además de los requisitos señalados en el subapartado anterior, es recomendable que los auditores que forman parte del equipo auditor cuenten con experiencia previa desarrollando las siguientes actividades, especialmente si la auditoría es de certificación
       • Haber revisado la documentación del sistema de gestion de la seguridad de la informacion
       • Haber revisado el analisis de riesgos de una organización
       • Haber auditado la implantacion de un sistema de gestion de la seguridad de la informacion
     • Y a nivel personal se requiere, para poder desarrollar el trabajo de auditor, que sean:
       • Maduros, profesionales e independientes
       • Objetivos, analíticos y persistentes
       • Realistas y capaces de analizar e interpretar las situaciones en su justa medida.
   • 2.4. Perfil del auditor jefe
     • El auditor jefe del grupo de auditoría será el encargado de dirigirla
       • Ser conocedor del proceso de certificacion
       • Haber realizado o participado en tres auditorías como miembro de un equipo de auditoría
       • Haber demostrado habilidades de comunicación
   • 2.5. Distribución de funciones
     • Planifica y gestiona todas las fases de la auditoría
     • Dirige la primera fase.
     • Colabora en la selección del equipo de auditores
     • Controla los conflictos y maneja las situaciones difíciles
     • Dirige las reuniones con el equipo auditor y el personal auditado
   • 2.6. Personal de auditoría
     • Equipo auditor
       • Jefe y miembros del equipo: normalmente se trata de una o dos personas
       • Auditores en formación: personal en formación para convertirse en auditor
       • Observadores, auditor provisional: puede ser un observador del organismo de acreditación (por ejemplo, ENAC) para supervisar la auditoría.
       • Testigos e invitados
     • Equipo del auditado
       • Guía: persona de la empresa que acompaña al equipo auditor y le facilita la información solicitada. Normalmente será el responsable del sistema de gestión de la seguridad de la información.
       • Representante de la dirección: persona autorizada por la empresa para confirmar la implicación y compromiso de la dirección con las políticas de seguridad aprobadas
       • Observadores, personal en formación: normalmente personal de la empresa en formación como auditor interno