de qué trata la Auditoría Interna de un SGSI desde dos puntos de vista: de un lado analiza qué requisitos pide ISO 27001 respecto de la misma; de otro cuál es la metodología a aplicar en la ejecución del proceso completo de éstas y diferencias con auditoría tradicional de sistemas de forma estricta.
Acaba el trabajo con la diferencia entre la Auditoria tradicional de Sistemas y la de un SGSI:
“En la tradicional auditoría de sistemas, el auditor aplica directamente a los mismos sus herramientas de auditoría o sus ‘prácticas cerebrales’ para comprobar la solidez de dicho sistema. Incide de forma clara sobre el mismo en la búsqueda de agujeros de seguridad que explotar de cara a incluirlos en su informe final. Se utilizan técnicas de hacking ético u otras de ingeniería social en muchos de los casos. Aquí podríamos hablar largo y tendido, pero simplemente es captar la diferencia con la Auditoría Interna del SGSI.”
“Respecto de la Auditoría del SGSI, son cosas distintas. En un instante dado, la Auditoría de Sistemas, Hacking Ético, …, pueden ser actividades que aporten hallazgos para la mejora de nuestro SGSI sin ningún género de dudas. Requiere de personal altamente cualificado en sistemas informáticos y en el análisis de vulnerabilidades y amenazas a los que se ven sometidos los sistemas. La especialización aplica también, incluso, a la tipología de máquinas que tengamos que auditar (mainframes, equipos ‘normales’, …).”
“Por sintetizar, la Auditoría de Sistemas Informáticos tiene una vertiente más técnica y se centra en la verificación de controles en el procesado de información en sistemas informáticos, incidiendo sobre los mismos para poder evaluar su eficacia y poder presentar el correspondiente informe a la alta dirección. Este auditor verifica información en términos de confidencialidad, integridad, disponibilidad, no repudio, … Durante las actuaciones de auditoría, procede a examinar y evaluar los procesos dentro del Área de Procesado de Datos, analizando los recursos aplicados al procesado y tomar conclusiones sobre los sistemas computerizados, con la consecuente toma de evidencias que respalden sus juicios sobre los sistemas.”
“Bien es cierto que, dada la situación actual en cuanto al desarrollo de normas como ISO 17799, ISO 27001, etc., tanto los auditores de SGSI como de Sistemas, tienden a ser auditores de todo, creándose la nube que actualmente tienen muchas personas.”
“Lo ideal para un auditor en estas líneas de negocio es disponer de conocimientos solventes en sistemas informáticos y de información, así como solvencia contrastada en las técnicas de gestión que se vienen imponiendo en todo el mundo en los últimos años.”
Recomiendo la lectura completa del texto en la siguiente página.
Sin Comentarios » | 
Auditoría, Basilea II, COBIT, ISO 27000, Seguridad | 
Permalink
Publicado por Martín Pérez
