Introduccion a la Auditoria Informatica

Introduccion a la Auditoria Informatica

1. 1. Tipos Auditorias

   • Auditoria de Seguridad
     • La Auditoria de Seguridad se incorpora directamente al proceso interno de la organizacion de gestion de la seguridad de la informacion y comprueba que la implantacion de los controles de seguridad cumple con lo establecido en las diferentes politicas dictadas por la organizacion y que ha sido implantado de forma teecnicamente correcta.
   • Certificacion de Seguridad
     • Consiste en que la organizacion que ha implantado la normativa ISO/IEC 27001 encarga a una organizacion externa - acredetida y con unas caracteristicas concretas que analice la implantacion de esta normativa para determinar si es correcta.

2. 2. Equipo Auditor

   • El equipo Auditor es el grupo de personas encargado de ejecutar el proyecto de audoria, tanto en el caso de la revision de las medidas de seguridad (Auditoria de seguridad) como la revision correcta implantacion de la normativa ISO/IEC 27001, si se busca la obtencion de la certificacion
   • Auditor Lider
     • Haber Participado como minimo en tres auditorias a organizaciones como miembro de un equipo auditor
     • Cualidades para el proceso de asesoramiento a la organizacion que estas evaluando
     • Capacidad para comunicar los resultados obtenidos tanto via oral como escrita
   • Auditores
     • Calificaciones academicas necesarias
     • Los ultimos cuatro años trabajando con las IT y de estos los dos ultimos relacionados con la seguridad de las IT
     • Conocimiento sore procesos de analisis y gestion de riesgo
   • 2.1 Independencia de Auditoria
     • Con el fin de garantizar su imparcialidad, el equipo auditor no debe participar en la elaboracion de manuales, politicas o procedimientos de una organizacion ni puede formar parte del grupo que toma decisiones sobre el estado
   • 2.2 Codigo de contucta del equipo auditor
     • Deben actuar de forma veraz e imparcial
     • Deben evitar cualquier tipo de asignacion que pueda causar un conflicto de intereses.
     • No aceptaran ningun tipo de incentivo, comision, descuento u otro tipo de provecho por parte de la organizacion auditada
     • No podran revelar las observaciones de las auditorias a terceros
     • En el caso de incumplimiento de este codigo, se procedera a una investigacion en la que colaboraran para su esclarecimiento
     • No actuaran de forma que puedan perjudicar a ninguna de las partes implicadas en la auditoria
     • Los miembros del equipo auditor deben estar cualificados para:
       • Identificar las amenazas, vulnerabildades e impactos que puedan comprometer los activos de la organizacion
       • Desernir las areas de actividad de la organizacion
       • Verificar que la organizacion ha identificado correctamente su riesgo
   • 2.3 Perfil de los auditores
     • Es recomendable que los auditores que forman parte del equipo auditor cuenten con experiencia previa desarrollando las siguientes actividades, especialmente si la auditoria es de certificacion:
     • A nivel personal se requiere:
     • Haber revisado la documentacion del sistema de gestion de la seguridad de la informacion
     • Haber revisado el analisis de riesgos de una organizacion
     • Haber auditado la implantacion de un sistema de gestion de la seguridad de la informacion
     • Haber desarrollado los informes relativos a la auditoria en la que participo
     • Maduros, profesionales e independientes
     • Objetivos, analiticos y persistentes
     • Realistas y capaces de analizar e interpretar las situaciones en su justa medida
     • Flexible ante nuevas situaciones
     • Capaces de percibir situaciones y problemas no declarados
   • 2.4 Perfil del auditor de jefe
     • El auditor de jefe grupo sera el encargado de dirigirla.
     • Ser conocedor del proceso de certificacion
     • Haber realizado o participado en tres auditorias como miembro de un equipo de auditoria
     • Haber demostrado habilidades de comunicacion
   • 2.5 Distribucion de funciones
     • Planifica y Gestiona todas las fases de auditoria
     • Dirige la primera fase
     • Colabora en la seleccion del equipo de auditores
     • Colabora en la seleccion del equipo de auditores
     • Dirige las reuniones con el equipo auditor y el personal auditado
   • 2.6 Personal de auditoria
     • Equipo Auditor
       • Jefe y miembro del equipo: normalmente se trata de una o dos personas
       • Auditores en formacion: personal en formacion para convertirse en auditor
       • Obseradores, auditor provisional: Puede ser un observador del organismo de acreditacion
       • Expertos, personal asesor: personal que asesora al auditor sobre temas tecnicos o del negocio que se auditan.
       • Testigos e invitados
     • Equipo Auditado
       • Guia: Persona de la empresa que acompaña al equipo auditor y le facilita la informacion solicitada
       • Representante de la direccion: persona autorizada por la empresa para confirmar la implicacion y el compromiso de la direccion con las politicas de seguridad aprobadas
       • Observadores, personal en formacion: normalmente personal de la empresa en formacion como auditor interno
       • Consultores: consultor externo que la empresa ha contratado para asesorarle en el desarrollo del SGSI.

3. Por: Harold Geovany Lazo Sanchez