Controles, auditorías y certificación

Elegir un marco es la parte fácil. El trabajo difícil consiste en implementar controles y después demostrar que funcionan mediante auditorías y, cuando sea necesario, obtener la certificación.

Esta lección aborda el recorrido práctico: cómo son realmente los controles, qué tipos de evidencias esperan los auditores, cómo se desarrolla el proceso de auditoría y qué significa y qué no significa un certificado.

Los controles se dividen en tres categorías clásicas según cómo reducen los riesgos:

• Preventivos — impiden que ocurra un incidente (MFA, firewalls y mínimo privilegio).
• Detectivos — revelan un incidente mientras ocurre o después de que haya ocurrido (registros, alertas de SIEM y supervisión de la integridad de los archivos).
• Correctivos — restauran los sistemas y limitan los daños después de un incidente (copias de seguridad, aplicación de parches y respuesta a incidentes).

Un programa sólido combina los tres; depender únicamente de la prevención le deja a ciegas cuando esta falla.

Los controles también se clasifican por su naturaleza:

• Administrativos — políticas, procedimientos, formación y revisiones de acceso.
• Técnicos — implementados mediante tecnología: cifrado, control de acceso y registros.
• Físicos — cerraduras, lectores de credenciales e instalaciones seguras.

Los auditores buscan cobertura en los tres ámbitos. Un control técnico perfecto, debilitado por una política que nadie sigue, no es un control real.

Los auditores evalúan los controles en dos dimensiones:

• Eficacia del diseño — si funciona según lo previsto, ¿el control puede abordar el riesgo?
• Eficacia operativa — ¿funciona realmente y de forma coherente durante un periodo de tiempo?

Un control puede estar bien diseñado sobre el papel, pero fallar en la práctica (por ejemplo, una revisión de registros que nadie realiza realmente). Las evidencias deben demostrar ambas dimensiones.

Las auditorías se basan en evidencias. Para cada control debe demostrar que funciona. Algunos artefactos habituales son:

• Registros de revisiones de acceso que demuestran la recertificación trimestral.
• Registros y tickets que prueban que se investigaron las alertas.
• Exportaciones de configuración que demuestran que el cifrado o MFA están aplicados.
• Registros de finalización de la formación.

Los auditores trabajan con muestras. Seleccionan un control, solicitan pruebas correspondientes a un periodo y siguen su trazabilidad de principio a fin.

Hay dos niveles de auditoría:

• Auditoría interna — usted, o un auditor interno contratado, revisa su propio SGSI para detectar brechas antes de la auditoría externa. ISO 27001 la exige.
• Auditoría externa o de certificación — un organismo acreditado e independiente le evalúa para otorgarle el certificado.

Las auditorías internas son un ensayo. Detectar primero sus propias no conformidades resulta mucho más barato que dejar que las encuentre el organismo de certificación.

La certificación ISO 27001 se desarrolla en dos etapas:

• Etapa 1 — revisión de la documentación. El auditor comprueba que existen y son coherentes los documentos del SGSI, el alcance, la política, la evaluación de riesgos y la SoA.
• Etapa 2 — auditoría de implementación. El auditor verifica que los controles funcionan realmente mediante entrevistas, muestreo de evidencias y observación.

Si supera ambas, recibe el certificado, que normalmente tiene una validez de tres años con auditorías de seguimiento periódicas.

Las auditorías producen hallazgos, clasificados según su gravedad:

• No conformidad mayor — falta un control o presenta un fallo fundamental; impide la certificación hasta que se corrija.
• No conformidad menor — un incumplimiento puntual que no debilita todo el sistema; requiere un plan de acciones correctivas.
• Observación u oportunidad de mejora — es una recomendación, no un incumplimiento.

Debe responder con un plan de acciones correctivas: causa raíz, corrección y prevención de recurrencias.

La certificación no es permanente. Los certificados ISO 27001 siguen un ciclo:

• Auditorías de seguimiento — normalmente anuales, son comprobaciones más ligeras de que el SGSI sigue funcionando.
• Auditoría de recertificación — una reevaluación completa, normalmente cada tres años.

Esto garantiza que el SGSI siga funcionando. Si deja que los controles caduquen entre auditorías, corre el riesgo de perder el certificado en la siguiente visita de seguimiento.

Los equipos maduros evitan las prisas de las auditorías mediante el cumplimiento continuo: recopilan evidencias automáticamente y mantienen los controles siempre listos para una auditoría.

• Automatice la recopilación de evidencias (revisiones de acceso, instantáneas de configuración) según una programación.
• Supervise en tiempo real las desviaciones de los controles, como cuando un bucket de S3 se hace público.
• Trate el cumplimiento como un estado continuo, no como un proyecto anual.

Este es también el ámbito en el que las herramientas SOAR y de automatización del cumplimiento resultan útiles, ya que convierten las auditorías puntuales en una garantía continua.

A veces, un control obligatorio realmente no puede implementarse tal como está definido; por ejemplo, un sistema heredado podría no admitir MFA. Los marcos permiten utilizar controles compensatorios: una alternativa que cumple el mismo objetivo de riesgo.

• Documente por qué el control original no es viable.
• Describa la alternativa (por ejemplo, un aislamiento estricto de red junto con una supervisión reforzada del sistema heredado).
• Demuestre que reduce el riesgo hasta un nivel equivalente.

Los auditores aceptan controles compensatorios cuando la justificación y la reducción equivalente del riesgo se demuestran claramente con evidencias, no cuando simplemente se afirman.

Analice la eficacia de los controles desde el punto de vista de un auditor.

Controles, auditorías y certificación:

• Según su función, los controles son preventivos, detectivos o correctivos; según su naturaleza, son administrativos, técnicos o físicos. Utilice capas de todos ellos.
• Los auditores evalúan tanto la eficacia del diseño como la eficacia operativa, y para demostrar la operación se necesitan evidencias recopiladas durante un periodo.
• Las auditorías internas detectan las deficiencias antes de la auditoría externa de certificación, que se realiza en la Etapa 1 (documentación) y la Etapa 2 (implementación).
• Los hallazgos van desde no conformidades mayores y menores hasta observaciones; responda con planes de acciones correctivas.
• Los certificados requieren auditorías de seguimiento y de recertificación; adopte el cumplimiento continuo para mantenerse siempre preparado para las auditorías.