las auditorías de seguridad por google
Más información sobre las auditorías de seguridad
Anteriormente, te explicamos cómo planificar y realizar una auditoría de seguridad interna. En esta lección, aprenderás más sobre las auditorías de seguridad y cuáles son sus objetivos.
Auditorías de seguridad
Una auditoría de seguridad es una revisión de los controles, políticas y procedimientos de seguridad de una organización. Las auditorías son revisiones independientes que evalúan si una compañía acata los criterios internos, como políticas, procedimientos y prácticas recomendadas, y externos, como el cumplimiento de normas, leyes y regulaciones federales.
Además, una auditoría de seguridad se puede utilizar para evaluar los controles de seguridad establecidos por una organización. Recuerda que los controles de seguridad son medidas diseñadas para reducir riesgos de seguridad específicos.
Asimismo, las auditorías ayudan a garantizar que se realicen verificaciones de seguridad (por ejemplo, monitoreo diario de paneles de gestión de eventos e información de seguridad) para identificar amenazas, riesgos y vulnerabilidades. Esto ayuda a mantener la postura de seguridad de una organización. Y, si hay problemas de seguridad, se debe contar con un plan de acción correctiva.
Metas y objetivos de una auditoría
La meta de una auditoría es garantizar que las prácticas de tecnología de la información (TI) de una organización cumplan con los estándares de la industria y de la propia organización. El objetivo es identificar y abordar las áreas que requieren mejoras y desarrollo. Las auditorías proporcionan dirección y claridad al identificar las fallas actuales y desarrollar un plan para corregirlas.
Las auditorías de seguridad deben realizarse para proteger los datos y evitar sanciones y multas por parte de agencias gubernamentales. La frecuencia de las auditorías depende de las leyes locales y las regulaciones de cumplimiento normativo federal.
Factores que determinan las auditorías
Los factores que determinan los tipos de auditorías que una organización debe implementar incluyen:
Tipo de industria
Tamaño de la organización
Vínculos con las regulaciones gubernamentales
Ubicación geográfica de la empresa
Decisión comercial de regirse por determinado cumplimiento normativo
Para revisar las regulaciones de cumplimiento normativo comunes a las que las diferentes organizaciones deben adherirse, consulta la lectura sobre controles, marcos y cumplimiento.
El papel de los marcos y controles en las auditorías
Además del cumplimiento normativo, es importante mencionar el papel que desempeñan los marcos y controles en las auditorías de seguridad. Algunos marcos, como el Marco de Ciberseguridad (CSF) del Instituto Nacional de Estándares y Tecnología (NIST) y la serie de normas internacionales para la seguridad de la información (ISO 27000), están diseñados para ayudar a las organizaciones a prepararse para las auditorías de seguridad de cumplimiento normativo. Al adherirse a estos y otros marcos pertinentes, las empresas pueden ahorrar tiempo al realizar auditorías externas e internas. Además, cuando se utilizan junto con los controles, los marcos pueden respaldar la capacidad de las organizaciones para cumplir con los requisitos y estándares de cumplimiento normativo.
Existen tres categorías principales de controles que se deben revisar durante una auditoría: controles administrativos/directivos, técnicos y físicos. Para obtener más información sobre los controles específicos relacionados con cada categoría, haz clic en el siguiente enlace y selecciona “Usar plantilla”.
Enlace a la plantilla: Categorías de control
O BIEN
Si no tienes una cuenta de Google, descarga la plantilla directamente desde el siguiente archivo adjunto.
Lista de control de la auditoría
Antes de realizar una auditoría, es necesario crear una lista de control, que suele incluir los siguientes pasos:
Identifica el ámbito de la auditoría
La auditoría debería:
Enumerar los activos que se evaluarán, por ejemplo, si los cortafuegos (firewalls) están bien configurados, si la información personal de identificación (PII) es segura, si los activos físicos están bloqueados, etc..
Especificar de qué manera la auditoría ayudará a la organización a alcanzar sus objetivos.
Indicar la frecuencia con la que debería realizarse.
Incluir una evaluación de las políticas, protocolos y procedimientos de la organización para asegurar que funcionen según lo previsto y que el personal los esté poniendo en práctica.
Completa una evaluación de riesgos
Una evaluación de riesgos se utiliza para analizar los riesgos organizacionales identificados, relacionados con el presupuesto, los controles, los procesos internos y los estándares externos (por ejemplo, regulaciones).
Realiza una auditoría
Al realizar una auditoría interna, evaluarás la seguridad de los activos identificados que se mencionan en el alcance de la auditoría.
Crea un plan de mitigación
Un plan de mitigación es una estrategia implementada para reducir el nivel de riesgo y los costos potenciales, sanciones u otros problemas que puedan perjudicar la postura de seguridad de la organización.
Comunica los resultados a las partes interesadas
El resultado final de este proceso es proporcionar un informe detallado de los hallazgos, las mejoras sugeridas necesarias para reducir el nivel de riesgo de la organización, así como las normas y los estándares de cumplimiento que la empresa debe cumplir.
Conclusiones clave
En esta lección, aprendiste más sobre las auditorías de seguridad, incluyendo su definición, el propósito de su realización y el papel que desempeñan los marcos, los controles y el cumplimiento normativo en dicho proceso.
Si bien todavía queda mucho más por aprender sobre este tema, esta introducción tiene como objetivo brindarte apoyo para que puedas realizar una auditoría propia como parte de una actividad de autorreflexión en tu cartera, más adelante en este curso.
Recursos para obtener información adicional
A continuación, se incluyen los recursos que puedes explorar para profundizar tus conocimientos sobre las auditorías en el ámbito de la ciberseguridad:
Comentarios
Publicar un comentario