Introducción a la auditoría informática

Introducción a la auditoría informática

1. Es el proceso de revisar las diferentes medidas de seguridad que tiene implantadas una organización frente a un marco de referencia.

2. Tipos de Auditorias

   • Auditoria de Seguridad: Comprueba que la implantación de los controles de seguridad cumple con lo establecido en las diferentes políticas dictadas por la organización y que ha sido implantado técnicamente de manera correcta.
     • auditorías internas
       • podrán realizarse siempre que las organizaciones posean un grupo de auditoría independiente del área que se ha de analizar y que tenga los conocimientos suficientes para dictaminar si las medidas de seguridad son suficientes y si están correctamente configuradas.
     • auditorías externas
       • son las que se realizan por empresas externas, totalmente independientes de la organización y con conocimientos acreditados en seguridad. Estas empresas se encargarán de revisar las diferentes medidas de seguridad.
   • Certificación de Seguridad: Consiste en la organización que ha implantado la normativa ISO/IEC 27001 encarga a una organización externa-acreditada y con unas características concretas, que analice la implantación de esta normativa para analizar si es correcta.

3. Equipo Auditor

   • Es el grupo de personas encargado de ejecutar el proyecto de auditoria, tanto en el caso de la revisión de medidas de seguridad(auditoria de seguridad) como la revisión de la correcta implantación de la normativa ISO/IEC 27001, si se busca la obtención de la certificación.
   • Independencia de Auditoria Con el fin de garantizar la imparcialidad, el equipo auditor no debe participar en la elaboración de manuales, políticas o procedimientos de una organización, ni puede formar parte del grupo que toma decisiones sobre el estado del sistema de gestión de seguridad de la informacion.
   • Código de conducta del equipo auditor
     • • Deben actuar de forma veraz e imparcial.
     • Deben evitar cualquier tipo de asignación que pueda causar un conflicto de intereses.
     • No aceptarán ningún tipo de incentivo, comisión, descuento u otro tipo de provecho por parte de la organización auditada.
     • No podrán revelar las observaciones de las auditorías a terceros.
     • No actuarán de forma que puedan perjudicar a ninguna de las partes implicadas en la auditoría.
     • En caso de incumplimiento de este código, se procederá a una investigación en la que colaborarán para su esclarecimiento.
   • Perfil de los auditores
     • Haber revisado la documentación del sistema de gestión de la seguridad de la información.
     • • Haber revisado el análisis de riesgos de una organización.
     • • Haber auditado la implantación de un sistema de gestión de la seguridad de la información.
     • • Haber desarrollado los informes relativos a la auditoría en la que participó.
     • Y a nivel personal se requiere, para poder desarrollar el trabajo de auditor, que sean: • Maduros, profesionales e independientes. • Objetivos, analíticos y persistentes. • Realistas y capaces de analizar e interpretar las situaciones en su justa medida. • Flexibles ante nuevas situaciones. • Capaces de percibir situaciones y problemas no declarados.
   • Perfil del auditor jefe
     • El auditor jefe del grupo de auditoría será el encargado de dirigirla. En este sentido, un auditor, jefe además de los requisitos indicados en el subapartado anterior, obligados para cualquier miembro del grupo de auditoría, deberá:
       • • Ser conocedor del proceso de certificación.
       • • Haber realizado o participado en tres auditorías como miembro de un equipo de auditoría.
       • • Haber demostrado habilidades de comunicación.
   • Distribución de funciones
     • • Planifica y gestiona todas las fases de la auditoría.
     • • Dirige la primera fase.
     • • Colabora en la selección del equipo de auditores.
     • • Controla los conflictos y maneja las situaciones difíciles.
     • • Dirige las reuniones con el equipo auditor y el personal auditado.
     • • Toma decisiones sobre la auditoría y el SGSI.
   • Personal de auditoría
     • Durante la realización de la auditoría pueden participar más personas de las que se han nombrado hasta ahora (auditor jefe, auditores y auditado):
       • Equipo auditor
         • Jefe y miembros del equipo: normalmente se trata de una o dos personas. – Auditores en formación: personal en formación para convertirse en auditor. – Observadores, auditor provisional: puede ser un observador del organismo de acreditación (por ejemplo, ENAC) para supervisar la auditoría. – Expertos, personal asesor: personal que asesora al auditor sobre temas técnicos o concretos del negocio o las tecnologías que se auditan. – Testigos e invitados.
       • Equipo del auditado
         • Guía: persona de la empresa que acompaña al equipo auditor y le facilita la información solicitada. Normalmente será el responsable del sistema de gestión de la seguridad de la información. – Representante de la dirección: persona autorizada por la empresa para confirmar la implicación y compromiso de la dirección con las políticas de seguridad aprobadas. – Observadores, personal en formación: normalmente personal de la empresa en formación como auditor interno. – Consultores: consultor externo que la empresa ha contratado para asesorarle en el desarrollo del SGSI. Éste puede asistir a la auditoría pero no debe intervenir en ningún momento.