1. Definición: La auditoría de seguridad informática es la herramienta principal para poder conocer el estado de seguridad en que se encuentra una empresa en relación con sus sistemas informáticos, de comunicación y acceso a internet. Estas auditorías permiten mejorar los sistemas e incrementar la ciberseguridad, siendo fundamentales para poder garantizar el funcionamiento del negocio y proteger la integridad de la información que manejan.
1.1. Factores que se deben analizar en una auditoría informática:
1.1.1. Una auditoría informática aplicada a una empresa se revisa y valoran, como mínimo, estos factores: ***Procedimientos y políticas de seguridad informática de la empresa. ***Análisis de seguridad de los equipos (hardware y software) y de la red. ***Protocolos de ciberseguridad. ***Verificación del cumplimiento de la legalidad vigente en materia de protección de datos y ciberseguridad. ***Nivel de formación y concienciación de los empleados en seguridad informática.
2. Objetivo: El principal objetivo de una auditoría de seguridad es el de detectar las vulnerabilidades y debilidades de seguridad que pueden ser utilizadas por terceros malintencionados para robar información, impedir el funcionamiento de sistemas, o en general, causar daños a la empresa.
2.1. Fases que contiene una auditoría de seguridad informática: Podríamos resumir el proceso en siete pasos.
2.1.1. 1. Realizar un listado de los servicios que se van a inspeccionar. 2. Rastreo para verificar las normas de vigilancia y comprobar que se cumplen unos mínimos exigibles. 3. Identificar los sistemas operativos incorporados ya en el equipo, como el software y el hardware. 4. Analizar los beneficios de los servicios y la correcta instalación de las aplicaciones. 5. Comprobar y evaluar los defectos encontrados. 6. Corregir con reglas efectivas. 7. Implantar las medidas que sean necesarias con la finalidad de prevenir daños y ataques informáticos.
3. tipos de auditorías de seguridad informática. Las auditorías de seguridad pueden dividirse en:
3.1. Auditorías internas y externas.
3.1.1. Dependiendo de quién realice la auditoría se denominan internas, cuando son realizadas por personal de la propia empresa (aunque pueden tener apoyo o asesoramiento externo) o externas, cuando se realizan por empresas externas que son independientes de la empresa.
3.2. Auditorías técnicas.
3.2.1. Son aquellas auditorías cuyo objetivo se centra en una parte concreta o acotada de un sistema informático. Entre estas auditorías podemos encontrar las de cumplimiento de normativas que tienen como objetivo verificar si algún estándar de seguridad se cumple (como la validación de sistemas informatizados en la industria regulada), o si las políticas y protocolos de seguridad se están realizando de forma apropiada.
3.3. Auditorías por objetivo.
3.3.1. Se trata de auditorías de seguridad técnicas que se diferencia según el objetivo que persigan. Las más comunes son: *** Auditoría forense: Tiene el objetivo de identificar y recopilar evidencias digitales. *** Hacking ético: Consiste en realizar un test de intrusión en la compañía. *** Auditoría de redes: Se basa en mapear la red de dispositivos conectados en una organización. *** Análisis de código: Consiste en realizar pruebas de calidad en el sistema de seguridad de la información. *** Auditorías físicas: Buscan proteger externamente la seguridad perimetral de la infraestructura tecnológica. *** El análisis web: Se basa en conocer la seguridad de las APP y los servicios que se tienen contratados. *** Auditoría de vulnerabilidades: Trata de detectar los posibles agujeros de seguridad informática.
3.4. Características:
3.4.1. 1. La información de la empresa y para la empresa, siempre importante, se ha convertido en un Activo Real de la misma, como sus Stocks o materias primas si las hay. Por ende, han de realizarse inversiones informáticas, materia de la que se ocupa la Auditoria de Inversión Informática. 2. Del mismo modo, los Sistemas Informáticos han de protegerse de modo global y particular: a ello se debe la existencia de la Auditoría de Seguridad Informática en general, o a la auditoría de Seguridad de alguna de sus áreas, como pudieran ser Desarrollo o Técnica de Sistemas. 3. Cuando se producen cambios estructurales en la Informática, se reorganiza de alguna forma su función: se está en el campo de la Auditoría de Organización Informática.
4. ventajas y desventajas para las empresas contratar una auditoría de seguridad informática:
4.1. Ventajas:
4.1.1. 1. Disminución de ataques informáticos y definición del protocolo de actuación frente a los mismos. 2. Permite una mayor seguridad y niveles de protección para la empresa. 3. Ayuda a cumplir con la normativa vigente en materia de protección de datos. 4. La marca empresarial queda reforzada, así como su imagen corporativa. 5. Se determina con exactitud y precisión qué medidas son necesarias para el desarrollo de la seguridad. 6. La entidad empresarial aumenta su seguridad, de tal manera que los clientes verán validados valores tan importantes como confidencialidad de datos e integridad informativa. 7. El rendimiento de las herramientas tecnológicas de la empresa mejora. 8. La prevención de ataques es una inversión a futuro, dado que evita el desembolso de recursos en la recuperación de información robada.
4.2. Desventajas:
4.2.1. 1. Costo inicial alto. 2. El código embebido puede ser borrado o modificado. 3. No se verifican procesos particulares sino genéricos. 4. Limitada habilidad para determinar si la aplicación es propensa a error. 5. Solo se verifican aplicaciones que se están ejecutando. 6. Las vulnerabilidades de este tipo de software pueden permitir ataques.
5. Beneficios de la Auditoria Informática:
5.1. Los principales beneficios que observamos dentro de una auditoría informática son los siguientes: *** Causa una comprobación de riesgo dentro de la empresa. *** Perfecciona la figura pública. *** Minimiza el valor de la mala condición por reclamos, rechazos por mala producción, etc. *** Se puede realizar este control general administrativo, sin aviso previo. *** Beneficia a cada usuario en cuanto a la convicción y certeza con relación a los servicios que puede ofrecer la empresa. *** Mejora el ambiente de trabajo y las relaciones internas de los mismos.
5.2. Importancia de la auditoría informática:
5.2.1. Como todos sabemos todas las compañías o empresas quieren ser mejor en todos los sentidos y se angustian un poco de los bienes o patrimonio que tienen. Las tecnologías de información (TI), como son, las redes, bases de datos, hardware, telecomunicaciones, investigación de tecnologías, software e ingeniería del mismo,en la actualidad se han convertido en parte importante dentro de una empresa, gracias a su beneficio y ganancia en cuanto a las competencias que surgen en el mercado. De la misma manera, un sistema de TI mal diseñado puede convertirse en un instrumento muy peligroso para el servicio y la coordinación de la organización, por lo que es muy conveniente el buen funcionamiento para la buena producción y desarrollo de una empresa.