Introducción a la auditoría informática

Introducción a la auditoría informática

1. Auditoria

   • Una auditoría es el proceso de revisar las diferentes medidas de seguridad que tiene implantadas una organización frente a un marco de referencia. La realiza una entidad independiente.
   • Desde el punto de vista de las auditorias de seguridad, nos encontramos con dos tipos fundamentales
     • Auditoria de seguridad
       • Se incorpora directamente al proceso interno de la organización de gestión de la seguridad de la información y comprueba que la implantación de los controles de seguridad cumple con lo establecido en las diferentes políticas dictadas por la organización y que ha sido implantado de forma técnicamente correcta.
       • Es importante destacar que al tratarse de un proceso interno del SGSI, la auditoría tendrá definido un alcance que, como máximo
       • Auditorías internas: podrán realizarse siempre que las organizaciones posean un grupo de auditoría independiente del área que se ha de analizar y que tenga los conocimientos suficientes para dictaminar si las medidas de seguridad son suficientes y si están correctamente configuradas.
       • Auditorías externas: son las que se realizan por empresas externas, totalmente independiente de la organización y con conocimiento acreditados en seguridad.
     • Certificación de Seguridad
       • La certificación de seguridad consiste en que la organización que ha implantado la normativa ISO/IEC 27001 (o en su defecto la UNE 71502) encarga a una organización externa acreditada y con unas características concretas, que analice la implantación de esta normativa para dictaminar si es correcta. Una vez finalizada su revisión, elaborará un informe y en el caso de que sea favorable se le entrega a la organización un sello que certifica la correcta implantación de la normativa en la organización.

2. Equipo Auditor

   • El equipo auditor es el grupo de personas encargado de ejecutar el proyecto de auditoría, tanto en el caso de la revisión de las medidas de seguridad (auditoría de seguridad), como de la revisión de la correcta implantación de la normativa ISO/IEC 27001, si se busca la obtención de la certificación.
   • Equipo de Trabajo
     • Auditor Líder:
       • Haber participado como mínimo en tres auditorías a organizaciones como miembro de un equipo auditor.
       • Cualidades para el proceso de asesoramiento a la organización que está evaluando.
       • Capacidad para comunicar los resultados obtenidos tanto vía oral como escrita.
     • Auditores:
       • Calificaciones académicas necesarias.
       • Los últimos cuatro años trabajando con las IT y de éstos, los dos últimos relacionados con la seguridad de las IT.
       • Conocimiento sobre procesos de análisis y gestión del riesgo.
   • Independencia de Auditoría
     • Con el fin de garantizar su imparcialidad, el equipo auditor no debe participar en la elaboración de manuales, políticas o procedimientos de una organización, ni puede formar parte del grupo que toma decisiones sobre el estado del sistema de gestión de la seguridad de la información. Tampoco puede dar recomendaciones específicas para el desarrollo del SGSI. Sí podrá, una vez finalizada la auditoría, emitir las recomendaciones que considere oportunas.
   • Código de Conducta del Equipo Auditor
     • Código de conducta que han de seguir el equipo auditor para asegurar la correcta realización de sus tareas:
       • Deben actuar de forma veraz e imparcial.
       • Deben evitar cualquier tipo de asignación que pueda causar un conflicto de intereses.
       • No aceptarán ningún tipo de incentivo, comisión, descuento u otro tipo de provecho por parte de la organización auditada.
       • No podrán revelar las observaciones de las auditorías a terceros.
       • No actuarán de forma que puedan perjudicar a ninguna de las partes implicadas en la auditoría.
       • En caso de incumplimiento de este código, se procederá a una investigación en la que colaborarán para su esclarecimiento.
     • Los miembros del equipo auditor deben estar cualificados para:
       • Identificar las amenazas, vulnerabilidades e impactos que puedan comprometer los activos de la organización.
       • Discernir las áreas de actividad de la organización.
       • Verificar que la organización ha identificado correctamente sus riesgos.
   • Perfiles de los Auditores
     • Es recomendable que los auditores que forman parte del equipo auditor cuenten con experiencia previa desarrollando las siguientes actividades, especialmente si la auditoría es de certificación:
       • Haber revisado la documentación del sistema de gestión de la seguridad de la información.
       • Haber revisado el análisis de riesgos de una organización.
       • Haber auditado la implantación de un sistema de gestión de la seguridad de la información.
       • Haber desarrollado los informes relativos a la auditoría en la que participó.
     • A nivel personal se requiere, para poder desarrollar el trabajo de auditor, que sean:
       • Maduros, profesionales e independientes.
       • Objetivos, analíticos y persistentes.
       • Realistas y capaces de analizar e interpretar las situaciones en su justa medida.
       • Flexibles ante nuevas situaciones.
       • Capaces de percibir situaciones y problemas no declarados.
   • Perfil del Auditor Jefe
     • El auditor jefe del grupo de auditoría será el encargado de dirigirla. En este sentido, un auditor, jefe además de los requisitos indicados en el subapartado anterior, obligados para cualquier miembro del grupo de auditoría, deberá:
       • Ser conocedor del proceso de certificación.
       • Haber realizado o participado en tres auditorías como miembro de un equipo de auditoría.
       • Haber demostrado habilidades de comunicación.
   • Distribución de Funciones
     • Auditor Jefe: Dirige la primera fase. Controla los conflictos y maneja las situaciones difíciles.
       • Planifica y gestiona todas las fases de la auditoría.
       • Colabora en la selección del equipo de auditores.
       • Dirige las reuniones con el equipo auditor y el personal auditado.
       • Toma decisiones sobre la auditoría y el SGSI.
     • Auditores:
       • Apoyan al auditor jefe.
       • Documentan y apoyan todos los hallazgos.
       • Realizan el seguimiento de las acciones correctoras para corregir las no conformidades encontradas.
   • Personal de Auditoría
     • Equipo Auditor:
       • Jefe y miembros del equipo: normalmente se trata de una o dos personas.
       • Auditores en formación: personal en formación para convertirse en auditor.
       • Observadores, auditor provisional: puede ser un observador del organismo de acreditación (por ejemplo, ENAC) para supervisar la auditoría.
       • Expertos, personal asesor: personal que asesora al auditor sobre temas técnicos o concretos del negocio o las tecnologías que se auditan.
       • Testigos e invitados.
     • Equipo Auditado:
       • Guía: persona de la empresa que acompaña al equipo auditor y le facilita la información solicitada. Normalmente será el responsable del sistema de gestión de la seguridad de la información.
       • Representante de la dirección: persona autorizada por la empresa para confirmar la implicación y compromiso de la dirección con las políticas de seguridad aprobadas.
       • Observadores, personal en formación: normalmente personal de la empresa en formación como auditor interno.
       • Consultores: consultor externo que la empresa ha contratado para asesorarle en el desarrollo del SGSI. Éste puede asistir a la auditoría pero no debe intervenir en ningún momento.