Auditorías de seguridad y revisiones de cumplimiento

Las auditorías de seguridad van desde autoevaluaciones internas, que utilizan marcos de referencia como listas de comprobación, hasta auditorías externas realizadas por terceros independientes. Las auditorías de cumplimiento verifican la adhesión a estándares específicos (PCI-DSS, ISO 27001, HIPAA). Las pruebas de penetración proporcionan garantía técnica. Cada una tiene un propósito diferente.

Defina el alcance de la auditoría con precisión: qué sistemas, procesos y controles están incluidos; el periodo de evaluación; los marcos de control aplicables; y el público objetivo (la dirección interna frente al organismo de certificación externo). Los cambios en el alcance afectan al coste, el calendario y la aplicabilidad de los hallazgos.

Los auditores recopilan tres tipos de evidencias: documentación (políticas, procedimientos y guías de configuración), observación (configuraciones de sistemas y recorridos de procesos) y pruebas (intento de activar los controles y revisión de registros). Las evidencias deben ser suficientes, fiables y pertinentes para cada control evaluado.

Las políticas de seguridad definen la intención; los procedimientos definen cómo se implementan las políticas. Los auditores verifican que las políticas existan y estén aprobadas, que los procedimientos estén actualizados y se sigan, que los registros de formación demuestren la concienciación del personal y que los procesos de excepción documenten las desviaciones aprobadas.

Los controles técnicos se verifican mediante un examen directo: revisar los conjuntos de reglas del firewall, probar intentos de omitir MFA, revisar los niveles de parches, auditar las pertenencias a grupos de Active Directory, comprobar las configuraciones de cifrado y verificar que la restauración de copias de seguridad funcione. Documentar los controles no es suficiente: deben probarse.

SOC 2 es una auditoría basada en los Trust Services Criteria que realizan firmas de CPA. El Tipo I evalúa el diseño de los controles en un momento concreto. El Tipo II evalúa el diseño y la eficacia operativa durante un periodo de 6 a 12 meses. Las empresas SaaS elaboran informes SOC 2 Tipo II para las evaluaciones de diligencia debida de sus clientes.

PCI-DSS exige una evaluación anual para los comerciantes y proveedores de servicios. Los Qualified Security Assessors (QSA) realizan evaluaciones in situ de los 12 requisitos. La reducción del alcance mediante la segmentación de red minimiza el entorno de datos de titulares de tarjetas y la complejidad de la evaluación.

Los hallazgos son fallos de controles que requieren medidas correctivas. Las observaciones son oportunidades de mejora que no implican un fallo actual de los controles. Cada hallazgo incluye: condición (lo que ocurre), criterio (lo que debería ocurrir), causa (por qué ocurre), efecto (impacto) y recomendación (cómo corregirlo).

Cree un Plan of Action and Milestones (POA&M) para cada hallazgo, con la persona responsable, la fecha objetivo, los controles compensatorios provisionales y el estado. Realice un seguimiento mensual del progreso de las medidas correctivas. Los auditores revisan el estado del POA&M en las evaluaciones de seguimiento o en la siguiente revisión anual.

Las auditorías anuales son insuficientes en entornos dinámicos. La supervisión continua del cumplimiento con AWS Config, Azure Policy o herramientas CSPM comerciales proporciona el estado de cumplimiento en tiempo real. Envíe los hallazgos al SIEM para generar alertas sobre desviaciones del cumplimiento entre ciclos de auditoría.

Preparación previa a la auditoría: realice una evaluación interna de preparación, organice las evidencias en una plataforma de gestión de auditorías, informe a las personas responsables de los controles sobre el proceso de evaluación, resuelva las brechas conocidas antes de la llegada de los auditores y designe un único punto de contacto para coordinar eficazmente las solicitudes de evidencias.

Las auditorías de seguridad proporcionan una garantía independiente de que los controles están diseñados y funcionan eficazmente. La recopilación de evidencias, las pruebas de controles técnicos, el seguimiento de las medidas correctivas y la supervisión continua del cumplimiento entre auditorías anuales crean conjuntamente un programa de cumplimiento sólido que satisface a clientes, organismos reguladores y la gestión interna de riesgos.