Dominar la terminología que define la norma ISO 27001 para el proceso de auditoría es el primer paso para formarte como auditor interno. Cada concepto establece un lenguaje común y estandarizado que elimina ambigüedades y garantiza que todos los involucrados entiendan exactamente de qué se habla durante la verificación de un sistema de gestión de seguridad de la información.
¿Qué es la evidencia de auditoría y por qué debe ser verificable?
La evidencia de auditoría se define como los registros, declaraciones o hechos sobre cualquier situación que se presenta y que sean verificables [0:27]. Un funcionario puede explicar cómo funciona un control, cómo aplica la política de backup o cómo gestiona el control de cambios. Sin embargo, esa información inicial no es suficiente por sí sola.
Lo verdaderamente importante es que puedas sentarte con el responsable y pedirle que demuestre lo que afirma [1:10]. Por ejemplo:
- Solicitar evidencia de que el backup se ejecuta en el horario establecido.
- Revisar las pruebas de restauración y sus resultados.
- Contrastar cada hecho relatado con documentación o registros reales.
Sin verificación, la información carece de valor dentro del proceso de auditoría.
¿Quiénes participan en una auditoría ISO 27001?
El cliente es la organización o el área que recibe la auditoría, también conocido como el auditado [1:37]. En una auditoría interna, el cliente sería el dueño del proceso bajo revisión, como el oficial de seguridad o el líder de seguridad de la empresa. En una auditoría externa o de tercera parte, el cliente es la compañía completa [2:13].
El auditor es la persona que ejecuta el trabajo de verificación [2:28]. Puede ser uno o varios profesionales, dependiendo del tamaño y alcance definido. Los recursos se calculan en términos de horas-hombre (HH). Este profesional debe reunir dos competencias fundamentales:
- Conocer a profundidad la norma ISO 27001 y su catálogo de controles.
- Tener la expertise técnica sobre la herramienta o tecnología que está verificando.
El auditado es el funcionario específico con el que te sientas a hacer el levantamiento de información [2:58]. Puede ser, por ejemplo, el DBA (administrador de base de datos) cuando el alcance implica verificar las pistas de auditoría de una base de datos.
¿Cómo se estructura un programa de auditoría?
El programa de auditoría es un conjunto de una o más auditorías planificadas normalmente para un año completo [3:27]. Las buenas prácticas recomiendan definirlo de enero a diciembre, considerando el contexto de la organización.
Por ejemplo, si auditas una empresa comercializadora de juguetes, diciembre será un mes crítico por la temporada navideña, así que no podrás realizar auditorías en ese período [3:55]. Lo recomendable es contar con al menos nueve o diez meses efectivos para dar cubrimiento a la mayoría de procesos.
Una estrategia eficaz consiste en segmentar la auditoría grande del sistema de gestión en auditorías más pequeñas ejecutadas mes a mes [4:22]. Así el programa queda mejor definido y los entregables se generan de forma continua.
¿Qué significa el alcance de la auditoría y por qué es crítico?
El alcance establece los límites de la auditoría y debe quedar claro y documentado antes de comenzar el trabajo [4:40]. Define hasta dónde vas a llegar en términos de tiempo y espacio, y debe ser coherente con los recursos disponibles.
- Si eres el único auditor, ajusta el alcance para poder cubrirlo completamente.
- Si cuentas con dos o tres auditores, el alcance puede ser mayor.
- Solo un evento de fuerza mayor debería impedir el cumplimiento total del alcance.
El profesionalismo del auditor se mide precisamente por haber cubierto todo lo comprometido [5:30]. Dejar ítems sin revisar afecta la credibilidad del informe y el alineamiento con la ISO 27001.
¿Qué diferencia hay entre conclusiones y hallazgos?
Las conclusiones son el resultado final de la auditoría: una opinión independiente, objetiva y respaldada con evidencia [6:15]. Se entregan de acuerdo al alcance planificado inicialmente. Siguiendo el ejemplo del proceso de backups, la conclusión indicará si la organización cumple o no con su propia política.
Los hallazgos son las situaciones específicas que identificas durante el proceso y que derivan en no conformidades o incumplimientos [6:42]. Por ejemplo:
- La política establece un backup incremental diario a medianoche.
- Durante la revisión descubres que solo se ejecuta día de por medio.
- El hallazgo documenta esa brecha entre lo definido y lo ejecutado.
Sobre estos hallazgos, el dueño del proceso debe entregar planes de acción o acciones correctivas [7:22]. En el caso del backup, podrían comprometerse a revisar la programación de tareas, corregir la configuración o evaluar si la herramienta presenta fallas.
Cada término de esta terminología se conecta con el siguiente: sin un alcance bien definido no hay programa sólido, sin evidencia verificable no hay hallazgos válidos, y sin hallazgos documentados no existen conclusiones que impulsen la mejora. ¿Cuál de estos conceptos consideras más desafiante en la práctica? Comparte tu experiencia.
