Introducción a la Auditoría Informática

Introducción a la Auditoría Informática

1. Tipos de Auditorías

   • Auditoría de Seguridad
     • se incorpora directamente al proceso interno de la organización de gestión de la seguridad de la información y comprueba que la implantación de los controles de seguridad cumple con lo establecido en las diferentes políticas dictadas por la organización y que ha sido implantado de forma técnicamente correcta
     • consisten en la revisión de las medidas de seguridad sin más objetivo que dictaminar si la seguridad es correcta o si presenta deficiencias en el alcance que se haya determinado frente a una referencia dada
     • pueden ser realizadas o por un grupo interno o por una entidad externa, pero en cualquiera de los dos casos es importante una independencia suficiente del equipo auditor frente al equipo implantador y de operaciones para poder garantizar la calidad del resultado
       • Auditorias Internas
         • podrán realizarse siempre que las organizaciones posean un grupo de auditoría independiente del área que se ha de analizar y que tenga los conocimientos suficientes para dictaminar si las medidas de seguridad son suficientes y si están correctamente configuradas
       • Auditorias Externas
         • son las que se realizan por empresas externas, totalmente independientes de la organización y con conocimientos acreditados en seguridad
   • Certificación de Seguridad
     • Consiste en que la organización que ha implantado la normativa ISO/1EC 27001 (o en su defecto la UNE 71502) encarga a una organización externa -acreditada y con unas características concretas-, que analice la implantación de esta normativa para dictaminar si es correcta
     • Organizaciones de Certificación
       • la certificación únicamente la pueden otorgar aquellas organizaciones que cumplen con una serie de requisitos comprobados (audita¬dos) por un tercero de confianza (el organismo de acreditación)
       • Estas organizaciones de certificación son independientes, y son expresamente auditoras.
     • únicamente pueden ser realizadas por organizaciones debidamente acreditadas por entidades denominadas organismos de acreditación

2. Equipo Auditor

   • Independencia de Auditoría
     • El equipo Auditor no puede:
       • Participar en la elaboración de manuales, políticas o procedimientos de una organización
       • Formar parte del grupo que toma decisiones sobre el estado del sistema de gestión de la seguridad de la información
       • Dar recomendaciones específicas para el desarrollo del SCSI
     • El equipo auditor puede:
       • Emitir las recomendaciones que considere oportunas, una vez finalizada la auditoría
       • Auditar y certificar el cumplimiento de las especificaciones del sistema de gestión de la seguridad de la información
       • Hacer el seguimiento de las no conformidades detectadas
       • Realizar auditorías previas a la certificación para verificar el estado del sistema de gestión de la seguridad de la información
   • Código de conducta del equipo auditor
     • Deben actuar de forma veraz e imparcial
     • Deben evitar cualquier tipo de asignación que pueda causar un conflicto de intereses.
     • No aceptarán ningún tipo de incentivo, comisión, descuento u otro tipo de provecho por parte de la organización auditada
     • No podrán revelar las observaciones de las auditorías a terceros
     • No actuarán de forma que puedan perjudicar a ninguna de las partes implicadas en la auditoría.
     • En caso de incumplimiento de este código, se procederá a una investigación en la que colaborarán para su esclarecimiento
     • Los miembros deben de estar cualificados para:
       • Identificar las amenazas, vulnerabilidades e impactos que puedan comprometer los activos de la organización
       • Discernir las áreas de actividad de la organización.
       • Verificar que la organización ha identificado correctamente sus riesgos
     • Los miembros deben de tener:
       • Una formación universitaria o experiencia profesional y formación que se considere equivalente
       • suficiente experiencia (habitualmente se consideran cuatro años) en tecnologías de la información
       • Dos años de experiencia en segundad de las tecnologías de la información y haber realizado un curso de auditoría de cinco días
   • Perfil de los auditores
     • Deben de tener experiencia previa desarrollando las siguientes actividades:
       • Haber revisado la documentación del sistema de gestión de la seguridad de la información
       • • Haber revisado el análisis de riesgos de una organización
       • • Haber auditado la implantación de un sistema de gestión de la seguridad de la información.
       • • Haber desarrollado los informes relativos a la auditoría en la que participó
     • A nivel personal se requiere que sean:
       • Maduros, profesionales e independientes
       • Objetivos, analíticos y persistentes.
       • Realistas y capaces de analizar e interpretar las situaciones en su justa medida
       • Flexibles ante nuevas situaciones
       • Capaces de percibir situaciones y problemas no declarados
   • Perfil del auditor jefe
     • Es el encargado de dirigir la auditoria
     • Debe de reunir los requisitos del perfil del auditor
     • Deberá de:
       • Ser conocedor del proceso de certificación
       • Haber realizado o participado en tres auditorías como miembro de un equipo de auditoría.
       • Haber demostrado habilidades de comunicación
   • Distribución de funciones
     • Del Jefe:
       • Planifica y gestiona todas las fases de la auditoría
       • Dirige la primera fase
       • Controla los conflictos y maneja las situaciones difíciles.
       • Dirige las reuniones con el equipo auditor y el personal auditado.
       • Toma decisiones sobre la auditoría y el SCSI
     • Del Equipo de Auditores:
       • Apoyan al auditor jefe.
       • Documentan y apoyan todos los hallazgos.
       • Realizan el seguimiento de las acciones correctoras para corregir las no conformidades encontradas.
   • Personal de Auditoría
     • Equipo Auditor
       • Jefe y miembros del equipo: normalmente se trata de una o dos personas.
       • Auditores en formación: personal en formación para convertirse en auditor
       • Observadores, auditor provisional: puede ser un observador del organismo de acreditación (por ejemplo, ENAC) para supervisar la auditoría
       • Expertos, personal asesor: personal que asesora al auditor sobre temas técnicos o concretos del negocio o las tecnologías que se auditan
       • Testigos e invitados
     • Equipo del Auditado
       • Guía: persona de la empresa que acompaña al equipo auditor y le facilita la información solicitada. Normalmente será el responsable del sistema de gestión de la seguridad de la información
       • Representante de la dirección: persona autorizada por la empresa para confirmar la implicación y compromiso de la dirección con las políticas de seguridad aprobadas
       • Observadores, personal en formación: normalmente personal de la empresa en formación como auditor interno
       • Consultores: consultor externo que la empresa ha contratado para asesorarle en el desarrollo del SCSI
   • es el grupo de personas encargado de ejecutar el proyecto de auditoría, tanto en el caso de la revisión de las medidas de seguridad (auditoría de seguridad), como de la revisión de la correcta implantación de la normativa ISO/1EC 27001, si se busca la obtención de la certificación
   • Esta formado por un auditor jefe y por un grupo de auditories
   • Habilidades técnicas
     • dependerán exclusivamente del entorno que haya que auditar, aunque no son esenciales, puesto que el conocimiento técnico necesario podrá ser incorporado al equipo en los momentos en que se necesite

3. Auditoría es el proceso de revisar las diferentes medidas de seguridad que tiene implantadas una organización

4. Las auditorias son realizadas por una entidad independiente