Auditorías de seguridad
Una auditoría de seguridad debería resultar incómoda, pero de una forma constructiva. Si una auditoría da resultados satisfactorios y todo el mundo se siente aliviado, me gustaría comprobar de nuevo si realmente se ha probado algo o si solo se ha confirmado que las políticas existen. Las auditorías que realizo se basan en una pregunta: ¿funciona este control realmente como se supone que debe hacerlo, en condiciones reales, o simplemente parece correcto sobre el papel?
Lo que realmente evalúo
La revisión de la documentación es donde se detienen la mayoría de las auditorías, y es donde comienza la mía. A partir de ahí, verifico: extraigo las exportaciones de configuración en lugar de fiarme de una captura de pantalla de los ajustes; compruebo las listas de acceso reales con respecto a quién se supone que debe tener acceso, en lugar de basarme en un organigrama que lleva un año desactualizado; examino una muestra de los registros para comprobar si la supervisión que se supone que debe realizarse se está llevando a cabo realmente; y compruebo si un plan de respuesta a incidentes resistiría el impacto de un incidente real, en lugar de limitarme a comprobar que está bien redactado. La brecha entre lo «documentado» y lo «real» es donde se encuentran, de hecho, casi todos los hallazgos que realmente importan.
Cómo llevo a cabo una auditoría
Defino el alcance de la auditoría en función de lo que más le importe —ya sea un marco específico con el que deba demostrar su conformidad, un sistema o una unidad de negocio concretos, o una evaluación general del estado de su postura de seguridad en su conjunto— y le informo con total transparencia de lo que entra y lo que queda fuera del alcance antes de comenzar, ya que una auditoría que se amplía o se reduce discretamente a mitad del proceso produce resultados en los que nadie puede confiar. Durante la auditoría, busco evidencia en lugar de meras garantías: configuraciones, registros, historiales de acceso y, cuando resulta útil, pruebas directas para comprobar si un control es eficaz. Al final, recibirá conclusiones específicas y priorizadas, no una lista genérica clasificada por gravedad que sea idéntica para todos los clientes que he tenido.
También le digo con toda franqueza lo que funciona bien, porque una auditoría que solo detecta problemas empieza a parecer menos una evaluación honesta y más un argumento de venta para conseguir más trabajo. A veces, la conclusión honesta es que un control es sólido y que puede dejar de preocuparse por él.
A quién va dirigido
Organizaciones que desean una visión independiente y externa de su situación de seguridad; empresas que se preparan para una auditoría de clientes o reglamentaria y desean identificar primero sus propias deficiencias; y consejos de administración o directivos que desean una garantía basada en pruebas, y no solo en la autodeclaración de un proveedor.
Si desea una evaluación real, y no un simple trámite, póngase en contacto con nosotros.