Una auditoría de seguridad informática o auditoría de seguridad de sistemas de información (SI) es el estudio que comprende el análisis y gestión de sistemas llevado a cabo por profesionales para identificar, enumerar y posteriormente describir las diversas vulnerabilidades que pudieran presentarse en una revisión exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores.
Una vez obtenidos los resultados, se detallan, archivan y reportan a los responsables quienes deberán establecer medidas preventivas de refuerzo y/o corrección siguiendo siempre un proceso secuencial que permita a los administradores mejorar la seguridad de sus sistemas aprendiendo de los errores cometidos con anterioridad.
Las auditorías de seguridad de SI permiten conocer en el momento de su realización cuál es la situación exacta de sus activos de información en cuanto a protección, control y medidas de seguridad.
Fases de una auditoría
Los servicios de auditoría constan de las siguientes fases: Recolección de información: Antes de empezar una auditoría es importante recolectar todo tipo de información, desde si poseen servidor compartido con más dominios hasta detalles internos del servicio a auditar.Auditorías de ciberseguridad Enumeración de redes, topologías y protocolos Verificación del Cumplimiento de los estándares internacionales. ISO, COBIT, etc. Identificación de los sistemas operativos instalados Análisis de servicios y aplicaciones Detección, comprobación y evaluación de vulnerabilidades Medidas específicas de corrección Recomendaciones sobre implantación de medidas preventivas.
Tipos de auditoría
Los servicios de auditoría pueden ser de distinta índole:
Auditoría de seguridad interna. En este tipo de auditoría se contrasta el nivel de seguridad y privacidad de las redes locales y corporativas de carácter interno Auditoría de seguridad perimetral. En este tipo de análisis, el perímetro de la red local o corporativa es estudiado y se analiza el grado de seguridad que ofrece en las entradas exteriores Test de intrusión. El test de intrusión o también conocido como pentesting es un método de auditoría mediante el cual se intenta acceder a los sistemas, para comprobar el nivel de resistencia a la intrusión no deseada. Es un complemento fundamental para la auditoría perimetral. Análisis forense. El análisis forense es una metodología de estudio ideal para el análisis posterior de incidentes, mediante el cual se trata de reconstruir cómo se ha penetrado en el sistema, a la par que se valoran los daños ocasionados. Si los daños han provocado la inoperabilidad del sistema, el análisis se denomina análisis post mortem. Auditoría de páginas web. Entendida como el análisis externo de la web, comprobando vulnerabilidades como la inyección de código SQL, Verificación de existencia y anulación de posibilidades de Cross Site Scripting (XSS), etc. Auditoría de código de aplicaciones. Análisis del código tanto de aplicaciones páginas Web como de cualquier tipo de aplicación, independientemente del lenguaje empleado
Realizar auditorías con cierta frecuencia asegura la integridad de los controles de seguridad aplicados a los sistemas de información. Acciones como el constante cambio en las configuraciones, la instalación de parches, actualización de los softwares y la adquisición de nuevo hardware hacen necesario que los sistemas estén continuamente verificados mediante auditoría.
Estándares de Auditoría Informática y de Seguridad Una auditoría se realiza con base a un patrón o conjunto de directrices o buenas prácticas sugeridas. Existen estándares orientados a servir como base para auditorías de informática. Uno de ellos es COBIT (Objetivos de Control de la Tecnologías de la Información), dentro de los objetivos definidos como parámetro, se encuentra el "Garantizar la Seguridad de los Sistemas". Adicional a este estándar podemos encontrar el estándar ISO 27002, el cual se conforma como un código internacional de buenas prácticas de seguridad de la información, este puede constituirse como una directriz de auditoría apoyándose de otros estándares de seguridad de la información que definen los requisitos de auditoría y sistemas de gestión de seguridad, como lo es el estándar ISO 27001.
Auditorías SOC 2 La realización de una auditoría SOC 2 solo puede ser llevada a cabo por firmas de auditoría licenciadas que cuenten con la certificación CPA, o por firmas certificadas para realizar evaluaciones SOC. Estos auditores deben ser independientes y cumplir con las normas de la AICPA.
El informe SOC 2 es un informe detallado sobre el control interno de la organización, elaborado de acuerdo con los cinco criterios de confianza de los servicios. Demuestra qué tan bien la organización protege los datos de sus clientes y asegura a los clientes que presta los servicios de forma segura y confiable. Por ello, los informes SOC 2 están destinados únicamente a clientes y otras partes interesadas. La evaluación de preparación para SOC 2 es un paso crítico antes de la auditoría. Ayuda a identificar brechas en los controles, la documentación o las evidencias en una etapa temprana, reduciendo sorpresas durante la auditoría. Una preparación minuciosa incluye completar la documentación, verificar las configuraciones del sistema, implicar a equipos interfuncionales y garantizar el monitoreo continuo.
En los informes SOC 2 se presta atención a los controles considerados en cinco categorías parcialmente superpuestas, denominadas criterios de confianza de los servicios, que también respaldan la tríada de la seguridad de la información CIA: Seguridad – la información y los sistemas están protegidos contra el acceso y la divulgación no autorizados, así como contra daños al sistema que puedan poner en riesgo su disponibilidad, confidencialidad, integridad y la privacidad. Disponibilidad – la información y los sistemas están disponibles para su uso operativo. Confidencialidad – la información está protegida y es accesible solo cuando existe una necesidad legítima. Se aplica a distintos tipos de información confidencial. Integridad del procesamiento de datos – el procesamiento de datos en el sistema es completo, fidedigno, exacto, oportuno y autorizado. Privacidad – la recopilación, el uso, el almacenamiento, la divulgación y la eliminación de datos personales se realizan de acuerdo con la política. La privacidad se aplica únicamente a los datos personales.
Lograr el cumplimiento del estándar SOC 2 de forma manual puede ser un proceso laborioso y complejo, que con frecuencia frena el crecimiento y genera cuellos de botella administrativos. En las empresas SaaS tecnológicas, la auditoría SOC 2 se obtiene para proporcionar garantías sobre diversos aspectos del software, incluyendo la seguridad, la disponibilidad y la integridad del procesamiento. Las organizaciones SaaS modernas suelen utilizar plataformas de automatización del cumplimiento para mantener la «preparación para la auditoría» mediante el monitoreo continuo de esos controles.
Véase también Seguridad informática Computadora Hacker Informática Ciberdelincuencia Internet Internet en la ciencia ficción
Referencias
Categoría:Seguridad informática