Auditoría de ciberseguridad

La auditoría de ciberseguridad evalúa la existencia y eficacia de los controles establecidos para proteger los activos de información. No se limita a los controles técnicos: la gobernanza —políticas, autorizaciones, gestión de proveedores y respuesta a incidentes— también entra en el alcance.

El objetivo es identificar la superficie de ataque y las brechas de control antes de que ocurra un incidente.

• Empresas tecnológicas cuyos clientes solicitan garantías de seguridad
• Organizaciones que implantan o mantienen la ISO/IEC 27001
• Empresas de infraestructuras críticas y sectores regulados
• Organizaciones que procesan datos de tarjetas (dentro del alcance de PCI DSS)
• Empresas dentro del alcance de una evaluación de seguridad de proveedores

El criterio es el marco aplicado: los controles del Anexo A de ISO/IEC 27001, IEC 62443 (industrial), PCI DSS, el NIST CSF o los CIS Controls. Aplicar directamente un marco de TI en un entorno industrial da un resultado erróneo; deben elegirse criterios adecuados para OT.

• Políticas de seguridad de la información y estructura de gobernanza
• Inventario de activos y clasificación
• El proceso de evaluación de riesgos y la Declaración de Aplicabilidad
• Gestión de identidades y accesos, cuentas privilegiadas
• Segmentación de red y seguridad perimetral
• Protección de endpoints y gestión de parches
• Criptografía y gestión de claves
• Registro, monitorización y capacidades de detección
• Pruebas de copia de seguridad y restauración
• Prácticas de desarrollo de software seguro
• Seguridad de proveedores y de prestadores de servicios en la nube
• El plan de respuesta a incidentes y sus ejercicios
• Continuidad del negocio y recuperación ante desastres
• Formación de concienciación y el factor humano

• ISO/IEC 27001
• ISO/IEC 27002
• IEC 62443
• PCI DSS
• NIST CSF
• ISO 19011

1. 1Selección de los criterios aplicablesSe determina la norma, el esquema o la legislación conforme a la cual se audita; en auditorías temáticas la elección del criterio determina directamente el significado del resultado.
2. 2Evaluación de riesgos y alcanceLas áreas de riesgo se identifican según la actividad y la ubicación de la organización; el número de días de auditoría se planifica en consecuencia.
3. 3Revisión de documentos y registrosSe examinan políticas, procedimientos, permisos, registros de medición y resultados de auditorías anteriores.
4. 4Auditoría in situSe recorren las áreas pertinentes; se efectúan mediciones, observaciones y controles de registros propios del tema.
5. 5Entrevistas con los trabajadoresCuando el tema lo exige, se mantienen entrevistas confidenciales con los trabajadores al margen de la dirección; las declaraciones se contrastan con los registros.
6. 6Evaluación del cumplimiento legalEl cumplimiento de la legislación vigente se comprueba por separado; una no conformidad legal es, en todo esquema, la categoría de hallazgo más grave.
7. 7Reporte de los hallazgosLos hallazgos se clasifican por gravedad y se recogen en un informe.
8. 8Acción correctiva y seguimientoSe obtiene un plan de acciones correctivas; se sigue su cierre dentro del plazo previsto por el esquema.

Los hallazgos se priorizan según el nivel de riesgo. Una vulnerabilidad directamente explotable y un documento de política faltante no tienen el mismo peso; esta distinción se hace explícita en el informe, y el orden de corrección se recomienda en función del riesgo.

• Datos del organismo, del auditor y del auditado
• Norma, esquema o legislación aplicados
• Fecha, duración y alcance de la auditoría
• Hallazgos de la revisión de documentos y registros
• Observaciones in situ y resultados de medición
• Hallazgos de las entrevistas con los trabajadores, si se realizaron
• Evaluación del cumplimiento legal
• Hallazgos, su gravedad y las evidencias
• Plan de acciones correctivas y plazos

Una auditoría de ciberseguridad evalúa la existencia y el diseño de los controles; no garantiza que cada control funcione eficazmente en todo momento. La auditoría muestra la situación en una fecha determinada, y el panorama de amenazas cambia constantemente. Tampoco es una prueba de penetración: si las vulnerabilidades son realmente explotables es objeto de una prueba técnica independiente.

La acreditación varía según el tipo de auditoría. Las auditorías de tercera parte que sustentan la certificación de sistemas de gestión se realizan conforme a ISO/IEC 17021-1 y las que sustentan la certificación de producto conforme a ISO/IEC 17065; estos alcances están sujetos a acreditación. Las auditorías de primera y segunda parte, y las regidas por las reglas propias del titular de un esquema (SMETA, amfori BSCI), no forman parte de la certificación acreditada; se realizan siguiendo la guía ISO 19011 y producen un informe. EUROLAB cuenta con acreditación internacionalmente reconocida conforme a ISO/IEC 17021-1 e ISO/IEC 17065, otorgada por organismos firmantes del acuerdo IAF; qué auditorías pueden ofrecerse dentro del alcance acreditado se confirma por escrito en la fase de oferta.

• Auditoría de cumplimiento social
• Auditoría ambiental
• Auditoría de SST
• Auditoría energética
• Auditoría de protección de datos
• Auditoría ESG