Partamos de la importancia de la ejecución de auditorías dentro de los diversos procesos de gestión de tecnología y seguridad de la información. La auditoría ofrece una visión objetiva e independiente del estado y funcionamiento del proceso de la auditoría, así mismo esta visión permite tener un diagnóstico de la situación actual, saca a la luz deficiencias en actividades que, de no corregirse, representan un riesgo para la organización y consecuentemente afectando el logro de los objetivos del negocio y en algunos casos generando costos excesivos por las deficiencias existentes.

Ahora bien, ¿cómo podemos saber si una actividad se está realizando bajo un marco de mejores prácticas?, ¿cómo podemos medir consistentemente a lo largo del tiempo? La respuesta evidente resulta en basar las metodologías de auditoría en marcos de referencia de aceptación internacional, lo cual permite por una parte, hacer consistente el proceso de revisión a lo largo del tiempo y poder comparar resultados de los temas revisados con otras organizaciones.

El estándar mas reconocido para implementar un Sistema de Gestión de Seguridad de la Información es el ISO-27001, el cual establece una serie de prácticas alrededor de la seguridad de la información dentro de las que podemos mencionar:

1. Políticas de Seguridad de la Información
2. Organización de la Función de Seguridad de la Información
3. Seguridad de los Recursos Humanos
4. Gestión de Activos de Información
5. Control de Accesos
6. Cifrado de Información
7. Seguridad Física y Ambiental
8. Seguridad de las Operaciones
9. Seguridad de las Telecomunicaciones
10. Seguridad en la Adquisición Desarrollo y Mantenimiento de Sistemas de Información
11. Seguridad en la Gestión de Terceros
12. Gestión de Incidentes de Seguridad
13. Seguridad para la Continuidad de Negocio
14. Gestión de Cumplimiento Regulatorio

Cada práctica posee a su vez una serie de objetivos de control que la organización debe implementar dentro del ámbito de alcance que tenga declarado para su Sistema de Gestión de Seguridad de la Información, por lo tanto la forma para ejecutar una auditoría es apegarse a las prácticas de control implementadas en la organización y revisar, no solo el cumplimiento, sino ir hacia la verificación del diseño y efectividad operativa de los controles para poder ofrecer una opinión referente al grado en que se está mitigando el riesgo de la seguridad de la información.

Por Cristina Caballero. CRISC & ISO27001 LA