Auditoría de seguridad

Una auditoría de seguridad es una evaluación sistemática y exhaustiva de los controles de seguridad que protegen un sistema, una red, una aplicación o una infraestructura, hecha para identificar vulnerabilidades, valorar si se está siguiendo la política de seguridad y producir recomendaciones que mejoren la postura general.

Cubre terreno variado: la arquitectura de red, la política y los procedimientos de seguridad, las amenazas que se le aplican y si se están cumpliendo las obligaciones regulatorias.

Se hace de forma recurrente y no una sola vez, porque tanto el parque como las amenazas cambian, y el resultado de una auditoría es una afirmación sobre un momento.

Qué la caracteriza

Amplitud. Una auditoría examina todas las partes relevantes del entorno: redes, sistemas, aplicaciones, política y procesos. La amplitud es lo que la distingue de una prueba dirigida a un solo objetivo.

Encontrar vulnerabilidades. Configuraciones incorrectas, parches que faltan, una gestión deficiente de las credenciales y cualquier otra cosa que dejaría que algo saliera mal.

Comprobar el cumplimiento. Si la política, las normas y los requisitos legales aplicables se están cumpliendo de verdad, y si eso se puede evidenciar.

Recomendaciones. Los hallazgos por sí solos no cambian nada. La salida que importa es qué hacer, en qué orden y por qué ese orden.

Un ejemplo

Una empresa financiera decide auditar su entorno, tanto para proteger los datos de sus clientes como para cumplir con las obligaciones del sector. El trabajo podría ir así.

Revisión de política y procedimientos. Los auditores examinan lo que existe sobre el papel y si se corresponde con la práctica.

Análisis de la arquitectura de red. Una mirada detallada en busca de vulnerabilidades: configuraciones incorrectas, puertos abiertos innecesarios, fallos en los dispositivos de red.

Escaneo de vulnerabilidades. Las herramientas identifican problemas conocidos: sistemas desactualizados, servicios expuestos sin necesidad, configuraciones deficientes.

Pruebas de intrusión. En algunos casos, se lanzan ataques simulados para valorar si el entorno resiste de verdad una intrusión, en lugar de si debería resistirla.

Revisión de aplicaciones. Cuando la organización tiene aplicaciones propias, se examinan en busca de vulnerabilidades en el código y en la lógica.

El resultado es un informe con recomendaciones concretas: un control de acceso más estricto, mejor gestión de parches, política actualizada, formación del personal. Lo que decide si la auditoría sirvió de algo es cuáles de esas se implantan.

Auditoría de seguridad, cumplimiento, pentesting y retest

Auditoría de seguridad es el término paraguas que usa quien compra, y debajo caben cosas que no son equivalentes. Confundirlas es lo que lleva a una organización a tener un certificado y una intrusión el mismo año.

Una auditoría de cumplimiento comprueba, contra una norma externa, que un control existe y está documentado. Sirve para evidenciar y no prueba que el control aguante.

Un test de intrusión usa técnicas de atacante contra un alcance acordado y demuestra cada hallazgo explotándolo. Responde a qué podría hacer alguien de verdad, y su valor está en la prueba: si no se demostró, no se probó.

El escaneo de vulnerabilidades es la parte automatizada. Encuentra lo conocido y catalogado, y no encuentra los fallos de lógica ni los de autorización, que son la mayoría de los hallazgos serios de una aplicación moderna.

Un retest es la segunda pasada, acotada a la lista de hallazgos, que convierte un informe en evidencia de que aquello se corrigió. Sin él nadie sabe si el arreglo funcionó.

La frase que separa las dos primeras conviene tenerla delante al comparar presupuestos: un sistema puede pasar una auditoría y seguir siendo explotable. Esa distancia es exactamente lo que mide una evaluación ofensiva, y es la razón por la que varias normas piden evidencia de que los controles son eficaces y no solo de que están.

Dónde leer más

NIST SP 800-53, Security and privacy controls: el catálogo de controles contra el que está escrita buena parte de la práctica de auditoría.

OWASP Application Security Verification Standard: un estándar de verificación para aplicaciones web, utilizable como referencia para la parte de aplicaciones de una auditoría.

ISACA: recursos profesionales y certificación en auditoría y control de sistemas de información.