AUDITORIA INFORMÁTICA

AUDITORIA INFORMÁTICA

1. Tipos De Auditorias

   • Auditoria De Seguridad
     • Se incorpora directamente al proceso interno de la organización de gestión de la seguridad de la información
       • Estos procesos consisten, en la revisión de las medidas de seguridad
         • Si la seguridad es correcta o si se presenta deficiencias en el alcance que se haya determinado frente a una referencia dada
           • Tendrá definido un alcance, que como máximo, será el mismo que el del propio SGSI
             • Esencial antes de abordar un caso definir tanto el alcance como la referencia contra la que se quiere auditar
               • Se centra en un alcance mas reducido, un tipo de infraestructura, una aplicación, un proceso del SGSI concreto
                 • Ejemplo: el cumplimiento de algún aspecto legal relativo a la privacidad, protección de datos personales, o procesos relacionados con la gestión de calidad
                   • Esencial antes de abordar un caso definir tanto el alcance como la referencia contra la que se quiere auditar
                     • Pueden ser realizadas o por un grupo interno o por una entidad externa
     • Auditorias Internas
       • Podrán realizarse siempre que las organizaciones posean un grupo de auditoria independiente
         • Analiza si los conocimientos son suficientes para dictaminar si las medidas de seguridad son suficientes y si están correctamente configuradas
     • Auditorias Externas
       • Se realizán por empresas externas
         • Totalmente independientes de la organización y con conocimientos acreditados en seguriad
           • Estas empresas se encargarán de revisar las diferentes medidas de seguridad
     • Estos procesos consiste en la elaboración de un informe en el que se dictaminan las deficiencias de seguridad que se hayan podido detectar
     • Importante tener en cuenta que estas deben ser lo mas objetivo, claro, conciso y directo posible
     • Posiblemente estará dirigido tanto a personal directo de alto nivel como a mandos intermedios y operativos
       • Por lo que debe organizarse teniendo en cuenta esta cirscustancia
   • Certificación de Seguridad
     • Consiste en la organización que ah implantado la normativa ISO/IEC 27001
       • Encarga a una organización externa-acreditada y con unas características concretas, que analice la implantación de esta normativa para determinar si es correcta
     • Organizaciones de Certificación
       • Organismos de acreditación
         • Puede ser otorgada únicamente a aquellas organizaciones que cumplen con una serie de requisitos comprobados
           • Estas son independientes, ofrecen solo servicio de auditoria

2. Equipo Auditor

   • Independencia De Auditoria
     • Con el fin de garantizar su imparcialidad
       • El equipo no debe participar en la elaboración de manuales, políticas o procedimientos de una organización
         • El equipo si puede auditar y certificar el cumplimiento de las especificaciones
           • Un miembro también tiene capacidad de impartir formación génerica sobre estas normativas
             • También puede realizar auditorias previas a la certificación
   • Codigo De Conducta de Equipo Auditor
     • Actuan de forma veraz e imparcial
       • Evitar cualquier tipo de asignación que pueda causar un conflicto de intereses
         • No aceptaran ningún tipo de incentivo, descuento u otro tipo de provecho por parte de la organización auditada
           • No podrán revelar las observaciones de las auditorias a terceros
             • No actuarán de forma que pueda perjudicar a ninguna de las partes implicadas en la auditoria
               • En caso de incumplimiento de este código, se procederá a una investigación, en la que colaborarán para su establecimiento
     • Estos deben estar calificados para:
       • Identificar las amenazas, vulnerabilidades e impactos que puedan comprometer los activos de la organizacion
         • Discernir las áreas de actividad de la organización
           • Verificar que la organización ha identificado correctamente sus riesgos
   • Perfil De Los Auditores
     • Haber revisado la documentación del sistema de gestión de seguridad de la información
       • Revisar análisis de riesgos de una organización
         • Haber auditado la implantación de un sistema de gestión de la seguridad de la información
           • Haber desarrollado los informes relativos en la auditoria en la que participo
     • En nivel personal se requiere:
       • Maduros, profesionales e independientes
         • Objetivos, analíticos y persistentes
           • Realistas y capaces de analizar eh interpretar las situaciones en su justa medida
             • Flexibles ante nuevas situaciones
               • Capaces de percibir situaciones y problemas no declarados
   • Perfil Del Auditor Jefe
     • Ser conocedor del proceso de certificación
       • Haber realizado o participado en tres auditorías como miembro de un equipo de auditoria
         • Haber demostrado habilidades de comunicación
   • Distribución De Funciones
     • Planifica y gestiona todas las fases de auditotia
       • Dirige la primera fase
         • Colabora en la selección del equipo de auditores
           • Controla los conflictos y maneja las situaciones dificiles
             • Dirige las reuniones con el equipo auditor y el equipo auditor
               • Toma decisiones sobre la auditoria y el SGSI
     • Funciones que pertenecen al equipo de auditores
       • Apoyan al auditor jefe
         • Documentan y apoyan todos los hallazgos
           • Realizan el seguimiento de las acciones correctoras para corregir las no conformidades encontradas
   • Personal De Auditoria
     • Equipo Auditor
       • Jefe y miembros de equipo:
         • Normalmente se trata de una o dos personas
       • Auditores en formación:
         • Personal en formación para convertirse en auditor
       • Observadores, Auditor provisional
         • Puede ser un observador del organismo de acreditación
       • Expertos, personal asesor
         • Personal que asesora al auditor sobre temas técnicos o concretos del negocio
       • Testigos o invitados
     • Equipo Auditado
       • Guía:
         • Persona de la empresa que acompaña al equipo auditor
       • Representante de la dirección:
         • Persona autorizada por la empresa para confirmar la implicación
       • Observadores, Personal en formación:
         • Normalmente personal de la empresa en formación
       • Consultores:
         • Consultor externo que la empresa ah contratado para asesorarle en el desarrollo del SGSI
   • Es un grupo de personas encargado de ejecutar el proyecto de auditoria
     • Esta formado por un auditor líder o auditor jefe que dirige la auditoria

3. Una Auditoria es el proceso de revisar las diferentes medidas de seguridad que tiene implantadas una organización