Ejecutar una auditoría de seguridad de la información requiere método, criterio profesional y un orden riguroso. Cada fase cumple un propósito específico y saltarse alguna compromete la calidad de todo el trabajo. A continuación se explican las fases que componen este proceso, desde la preparación inicial hasta el seguimiento de los compromisos adquiridos.
¿Cómo preparar correctamente una auditoría?
La preparación de la auditoría es el punto de partida [0:20]. Aquí defines los recursos disponibles: cuántos auditores participan o si trabajarás solo. Lo esencial es documentarte a fondo sobre el proceso o componente tecnológico que vas a revisar. Si auditas un firewall, necesitas conocer qué tipo de firewall maneja la organización. Si revisas una base de datos, debes saber si el gestor es Oracle o SQL Server.
Como insumo principal conviene apoyarse en la norma ISO 27001, pero también en otros estándares internacionales y buenas prácticas que ofrezcan directrices complementarias [1:12].
Una vez preparado, viene el plan de auditoría y la lista de verificación [1:28]. Ambas tareas se ejecutan en la misma fase. El plan implica sentarte con el auditor líder y definir:
- Qué elementos se van a auditar.
- Fecha de inicio y duración estimada.
- Distribución de horas de trabajo por fase.
- Fecha de entrega de informes.
Si tu jornada es compartida y solo puedes dedicar cuatro horas diarias al proyecto, extiende el cronograma de forma realista.
¿Qué se comunica en la reunión de apertura?
La reunión de apertura [2:25] es el primer contacto formal con el auditado. Preparas una presentación sencilla donde expones el alcance, presentas al equipo auditor y explicas las horas estimadas. Un punto clave: aclara que no todo el tiempo estarás en trabajo de campo. De cuarenta horas programadas, quizás solo veinte serán en sitio. El resto lo dedicarás a revisar evidencia, redactar documentos y generar observaciones desde tu oficina.
¿Cómo se ejecuta el trabajo de campo?
Antes de ir a sitio, realizas la identificación de riesgos [3:38]. Ya debes contar con una matriz de riesgos inicial, similar a la que se construye en un laboratorio previo. Otros riesgos aparecerán conforme te sientes con la persona responsable.
Durante la ejecución del trabajo de campo [4:02] te reúnes con el responsable del proceso, por ejemplo el DBA. Es fundamental establecer un protocolo de entrega de evidencia:
- Evidencia tomada en sitio con pantallazos: debe enviarse tan pronto termine la reunión.
- Documentos almacenados en un SharePoint o directorio compartido: concede un tiempo razonable para descargarlos.
- Si alguien necesita permisos especiales, puede tardar un par de horas.
Desarrolla tu criterio de auditor para distinguir cuándo la persona realmente no puede entregar la información por permisos, y cuándo necesita días para construir un documento que aseguraba tener listo [5:15].
¿Cómo presentar hallazgos con respaldo sólido?
La presentación de hallazgos [5:42] requiere evidencia contundente. Nunca menciones algo que no puedas soportar con documentación. Si alguien te dice verbalmente que no controlan las licencias de software, no puedes trasladar esa afirmación al jefe sin respaldo, porque en presencia de su superior probablemente lo negará y tu credibilidad profesional se verá afectada.
La solución es manejar actas de reunión [6:42]. Al terminar cada sesión, envías un resumen con lo conversado. Si la persona no responde en tres días, el acta queda como evidencia socializada.
¿Qué estructura tiene el informe borrador?
El informe borrador [7:18] contiene alcance, objetivos, trabajo de campo realizado y las conclusiones con los riesgos identificados. Se entrega primero al gerente del área, no al auditado operativo. Pueden solicitarte cambios de redacción, pero debes analizar que esos cambios no reduzcan la importancia del hallazgo. Puedes ceder en términos de forma, nunca en fondo.
¿Qué debe contener un plan de acción efectivo?
La solicitud de planes de acción [8:28] exige que cada hallazgo tenga una acción correctiva con tres elementos claros:
- Responsable: una cabeza visible del área, generalmente el gerente.
- Fecha de implementación: realista y acordada con criterio profesional.
- Causa raíz: la acción debe resolver el origen del problema, no solo el síntoma.
Si encuentras servidores sin parches en tres meses, no basta con que se comprometan a parchearlos. Deben establecer un proceso continuo que evite la recurrencia [10:48].
Respecto a la fecha, si alguien promete algo en un mes pero tu experiencia indica que no es viable, sugiere dos meses. Para trabajos grandes, acuerda entregas por fases.
El informe oficial [11:32] se genera una vez incorporados los planes de acción con fechas y responsables. Se entrega al CEO, al comité de auditoría y a la dirección general. Este documento es el que revisará cualquier auditoría de tercera parte.
Finalmente, el seguimiento de planes de acción [12:06] verifica el cumplimiento. Si los compromisos se cumplieron, la auditoría se cierra. Si quedaron atrasados, se reporta al comité de auditoría y a la alta gerencia. El respaldo del liderazgo organizacional es fundamental para que los responsables prioricen sus compromisos y eviten quedar expuestos en los reportes mensuales.
¿Cuál de estas fases representa el mayor reto en tu organización? Comparte tu experiencia en los comentarios.
