Introducción a la Auditoria

Introducción a la Auditoria

1. Auditoria

   • Es el proceso de revisar las diferentes medidas de seguridad que tiene implantadas una organización frente a un marco de referencia
   • Tipos de auditoria
     • Auditoria de seguridad
       • Incorpora el proceso interno de la organización de gestión de la seguridad de la información y comprueba que la implantación de controles de seguridad cumple con lo establecido en las diferentes políticas. Estas auditorias se pueden realizar por un grupo interno o externo en cualquiera de los casos debe haber una independencia entre el equipo auditor y el implantador para obtener mejores resultados.
       • Auditorias internas
         • Se usan siempre que las organizaciones posean un grupo de auditores independientes ajenos a los procesos a evaluar, pero con el suficiente conocimiento para poder evaluar si las medidas de seguridad se están aplicando de manera adecuada.
       • Auditorias externas
         • Estas son realizadas por personas externas, totalmente independientes de la organización y con conocimientos acreditados en seguridad y se encargan de revisar las diferentes medidas de seguridad.
       • Independencia de Auditoría
         • Para garantizar la imparcialidad, el equipo auditor no debe participar en la elaboración de manuales, políticas y procedimientos de una organización, ni tomar decisiones sobre el estado del sistema de gestión de la seguridad de la información.
       • Código de conducta del equipo auditor
         • Deben actuar de forma veraz e imparcial
         • Deben evitar cualquier tipo de asignación que pueda ser un conflicto de intereses
         • No aceptarán ningún tipo de incentivo, comisión, descuento u otro tipo de provecho por parte de la organización auditada.
         • No podrán revelar las observaciones de las auditorias a terceros
         • No actuarán de forma que puedan perjudicar a ningunas de las partes implicadas en la auditoría
         • En caso de incumplimiento de este código, se procederá a una investigación en la que colaborarán para su esclarecimiento
     • Certificación de seguridad
       • Consiste en que la organización que implementado una normativa, encarga a una organización externa acreditada y con unas características concretas que analice la implantación de esta normativa para determinar si es correcta. Cuando la revisión finaliza se hace un informe y si es favorable se le entrega a la organización con un sello que certifica la correcta implantación de la normativa de la organización.
   • Equipo auditor
     • Es el grupo de personas encargado de ejecutar el proyecto de auditoria tanto en la revisión de las medidas de seguridad como en la implementación de la normativa si se busca la obtención de certificación.
     • Está formado por
       • Auditor líder
         • Haber participado como mínimo en tres auditorías a organizaciones como miembro de un equipo auditor.
         • Cualidades para el proceso de asesoramiento a la organización que está evaluando.
         • Capacidad para comunicar los resultados obtenidos tanto via oral como escrita.
       • Auditores
         • Calificaciones académicas necesarias
         • Los últimos 4 años trabajando con IT y de estos los últimos dos años relacionados con seguridad IT.
         • Conocimientos sobre procesos de análisis y gestión del riesgo.
     • El equipo auditor debe estar calificado para:
       • Identificar las amenazas, vulnerabilidades e impactos que puedan comprometer los activos de la organización
       • Discernir las areas de actividad de la organización
       • Verificar que la organización ha identificado correctamente sus riesgos
     • Perfil de los auditores
       • Haber revisado la documentación del sistema de gestión de la seguridad de la información
       • haber revisado el análisis de riesgos de una organización
       • Haber auditado la implantación de un sistema de gestión de la seguridad de la información.
       • Haber desarrollado los informes relativos a la auditoria en a que participó
       • Maduros, profesionales e independientes
       • Objetivos, analíticos y persistentes
       • Realistas y capaces de analizar e interpretar las situaciones en su justa medida
       • Flexibles ante las nuevas situaciones
       • Capaces de percibir situaciones y problemas no declarados
     • Perfil del auditor jefe
       • Ser conocedor del proceso de certificación
       • Haber realizado o participado en tres auditorias como miembro de un equipo de auditoria
       • Haber demostrado habilidades de comunicación
       • Funciones del auditor jefe
         • Planifica y gestiona todas las fases de la auditoria
         • Dirige la primera fase
         • Colabora en la selección del equipo de auditores
         • Controla los conflictos y maneja las situaciones difíciles
         • Dirige las reuniones con el equipo auditor y el personal auditado
         • Toma las decisiones sobre la auditoria y el SGSI
     • Funciones del equipo auditor
       • Apoyan al auditor jefe
       • Documentan y apoyan todos los hallazgos
       • Realizan el seguimiento de las acciones correctoras de las no conformidades encontradas

2. Personal de la auditoria

   • Equipo auditor
     • Jefe y miembros del equipo
     • Auditores en formación
     • Observadores, auditor provisional
     • Expertos, personal asesor
     • Testigos e invitados
   • Equipo auditado
     • El Guia
     • Representante de la dirección
     • Observadores, personal en formación
     • Consultores

Imágenes y archivos del mapa