La auditoría informática o auditoría de los sistemas de información es un proceso de análisis de los sistemas de información de una organización con el objetivo de evaluar su estado y el nivel de seguridad existente. Consiste en recoger, agrupar y evaluar evidencias para determinar si un sistema de información cumple con los requisitos de salvaguardar los activos de la organización, mantener la integridad de los datos y lograr eficazmente los fines de la organización. Además, se busca evaluar si el sistema utiliza eficientemente los recursos y cumple con las leyes y regulaciones establecidas.
Los mecanismos de control en el área de informática son directivos, preventivos, de detección, correctivos o de recuperación ante una contingencia.
Los objetivos de la auditoría informática son:
El análisis de la eficiencia de los sistemas informáticos. La verificación del cumplimiento de la normativa en este ámbito. La revisión de la eficaz gestión de los recursos informáticos.
La necesidad de contar con lineamientos y herramientas estándar para el ejercicio de la auditoría informática ha promovido la creación y desarrollo de buenas prácticas como COBIT, COSO e ITIL.
Actualmente la certificación de ISACA Certified Information Systems Auditor (CISA) es una de las más reconocidas y avaladas por los estándares internacionales, ya que el proceso de obtención consta de un examen extenso y exige mantenerse actualizado acumulando horas de formación continua para conservar la certificación.
Tipos de auditoría Generalmente, se distinguen dos tipos de auditoría y de auditores, según si estos pertenecen a la organización o no:
Auditoría interna: se realiza desde el ambiente interno de la organización, es decir, por empleados propios o de alguna subsidiaria, y la entidad tiene el poder de decisión sobre el proceso llevado a cabo para realizarla. Auditoría externa: se realiza por personal ajeno a la empresa, y la organización no tiene poder de decisión sobre el proceso llevado a cabo por el ente que audita.
Según el área de la organización que se audita: Auditoría operacional: se refiere a la revisión de la operación de una organización y juzga la eficiencia de la misma. Esta operación puede consistir en los permisos de empleados o en los accesos a sistemas de gestión. Auditoría administrativa: se refiere a la organización y eficiencia de la estructura del personal y de los procesos administrativos en que actúa dicho personal. Auditoría social: se refiere a la revisión del entorno social en que se ubica y desarrolla una organización, con el fin de valorar aspectos externos e internos que interfieren en la productividad de la misma.
Otra clasificación según el área de la organización: Auditoría de la gestión: la contratación de bienes y servicios, documentación de los programas, etc. Auditoría legal de protección de datos: cumplimiento legal de las medidas de seguridad exigidas por la normativa de protección de datos personales aplicable; en España, el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos. Auditoría de los datos: clasificación de los datos, estudio de las aplicaciones y análisis de los flujogramas. Auditoría de las bases de datos: controles de acceso, de actualización, de integridad y calidad de los datos. Auditoría de la seguridad: referida a datos e información, verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio. Auditoría de la seguridad física: referida a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno. Auditoría de la seguridad lógica: comprende los métodos de autenticación de los sistemas de información. Auditoría de las comunicaciones: se refiere a la auditoría de los procesos de autenticación en los sistemas de comunicación. Auditoría de la seguridad en producción: frente a errores, accidentes y fraudes. Auditoría a empleados: frente a errores, accidentes y fraudes, accesos no autorizados y vulnerabilidad de claves.
Principales pruebas y herramientas para efectuar una auditoría informática
En la realización de una auditoría informática el auditor puede realizar las siguientes pruebas: Pruebas sustantivas: verifican el grado de confiabilidad del sistema de información del organismo. Se suelen obtener mediante observación, cálculos, muestreos, entrevistas, técnicas de examen analítico, revisiones y conciliaciones. Verifican asimismo la exactitud, integridad y validez de la información. Pruebas de cumplimiento: verifican el grado de cumplimiento de lo revelado mediante el análisis de la muestra. Proporcionan evidencias de que los controles clave existen y de que son aplicables efectiva y uniformemente.
Metodologías para la auditoría informática Existen diferentes metodologías que ayudan en el proceso de revisión de riesgos informáticos. Dos de las más utilizadas son Octave y Magerit.
Octave La metodología Octave es una evaluación que se basa en riesgos y planeación técnica de seguridad computacional. Es un proceso interno de la organización: las personas de la empresa tienen la responsabilidad de establecer la estrategia de seguridad una vez que se realice dicha evaluación. Lo característico de esta metodología es que la evaluación se basa en el conocimiento del personal de la empresa para capturar el estado actual de la seguridad, de manera que resulta más fácil determinar los riesgos críticos.
A diferencia de las evaluaciones típicas enfocadas en la tecnología, Octave está dirigida a riesgos organizacionales y está enfocada en temas estratégicos relacionados con la práctica; es flexible y puede aplicarse a la medida de la mayoría de las organizaciones.
En esta revisión es necesario que las empresas manejen el proceso de la evaluación y tomen las decisiones para proteger la información. El equipo de análisis, integrado por personas de los departamentos de TI, de negocios, etc., lleva a cabo la evaluación, debido a que todas las perspectivas son cruciales para controlar los riesgos de seguridad computacional.
Magerit La metodología Magerit (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) fue desarrollada en España debido al rápido crecimiento de las tecnologías de información, con la finalidad de hacer frente a los diversos riesgos relacionados con la seguridad informática.
El Consejo Superior de Administración Electrónica (CSAE) promueve la utilización de esta metodología como respuesta a la creciente dependencia de las empresas respecto de los sistemas de información para lograr sus objetivos de servicio.
Las fases que contempla el modelo Magerit son:
Planificación del proyecto: establece el marco general de referencia para el proyecto. Análisis de riesgos: permite determinar cómo es, cuánto vale y cómo están protegidos los activos. Gestión de riesgos: permite la selección e implantación de salvaguardas para conocer, prevenir, impedir, reducir o controlar los riesgos identificados.
Al aplicar esta metodología se conocerá el nivel de riesgo actual de los activos, por lo que se podrá mejorar la aplicación de salvaguardas y conocer el riesgo reducido o residual.
La razón de ser de Magerit está directamente relacionada con la generalización del uso de los medios electrónicos, informáticos y telemáticos, que supone unos beneficios evidentes para los ciudadanos, pero que también da lugar a ciertos riesgos que deben minimizarse con medidas de seguridad que garanticen la autenticación, confidencialidad, integridad y disponibilidad de los sistemas de información y generen confianza cuando se utilicen tales medios.
También se ha desarrollado software basado en la metodología Magerit, como Pilar.
Estándares de auditoría Los diferentes tipos de auditoría de seguridad pueden dividirse en tres bloques principales según el objeto auditado y los métodos aplicados:
Auditoría de mejores prácticas para la seguridad de la información
El uso de marcos normativos nacionales o internacionales que cubran de forma eficaz todos los aspectos que pueden afectar a los activos de la organización, como los más conocidos: la serie ISO/IEC 27000 de la Organización Internacional de Normalización, los marcos del Instituto Nacional de Estándares y Tecnología (NIST) y el Esquema Nacional de Seguridad (ENS) español. También es habitual que las organizaciones definan sus propios marcos de estándares, adaptados a sus necesidades concretas.
Auditoría del cumplimiento de los requisitos legales y normativos en materia de seguridad de la información
La realización de este tipo de auditoría permite evaluar el cumplimiento de las leyes y de la normativa aplicable.
Los informes Service Organization Control 2 (SOC 2) fueron desarrollados por la AICPA para auditar la existencia y eficacia de los controles relativos a la seguridad, disponibilidad, integridad del procesamiento, confidencialidad y protección de datos personales en las organizaciones. Estos informes se utilizan habitualmente para evaluar, informar y verificar los procesos de gestión de datos de un proveedor externo.
Auditorías de hacking ético
Se pueden distinguir auditorías de vulnerabilidades, pruebas de penetración y ejercicios de red team. El objetivo de cada uno de ellos es identificar posibles vulnerabilidades o fallos de seguridad en la infraestructura tecnológica de la organización. Se aplican metodologías y marcos como el Open Source Security Testing Methodology Manual (OSSTMM), los controles del Center for Internet Security (CIS), el Open Worldwide Application Security Project (OWASP) y MITRE ATT&CK.
Los auditores pueden encargarse de nichos concretos de la seguridad organizacional y corporativa, por ejemplo, auditar: el proceso de innovación tecnológica; las innovaciones comparativas; la posición tecnológica; los sistemas y aplicaciones; los medios de procesamiento de la información; la gestión y arquitectura de TI; la parte cliente, servidores, telecomunicaciones, intranet y extranet.
Beneficios Sus beneficios son: Mejora la imagen pública. Genera confianza en los usuarios sobre la seguridad y control de los servicios de TI. Optimiza las relaciones internas y el clima de trabajo. Disminuye los costos de la mala calidad (reprocesos, rechazos, reclamos, entre otros). Genera un balance de los riesgos en TI. Permite controlar la inversión en un entorno de TI, a menudo impredecible.
Referencias
Categoría:Derecho informático Categoría:Seguridad informática