Lo que 20 años en ciberseguridad me enseñaron sobre auditorías

Llevo veinte años en ciberseguridad, y buena parte de ese tiempo la he dedicado a auditorías: preparándolas, participando en ellas, discutiendo los hallazgos y corrigiendo lo que revelaron. Los marcos han cambiado muchas veces. Estas lecciones, no.

1. La evidencia vence al relato

El hallazgo de auditoría más común no es un control ausente. Es un control que se ejecutó pero que no se puede demostrar. La revisión de accesos se hizo, pero nadie guardó el listado. El cambio se aprobó en un hilo de chat que después se eliminó. Los auditores solo pueden fiarse de lo que ven. Diseñe controles que dejen evidencia como efecto colateral de ejecutarlos, y la mayoría de los hallazgos desaparecerá.

2. El alcance lo decide todo

La mayor parte de los problemas en auditoría se remontan al alcance: definido demasiado amplio, de modo que todos los sistemas deben cumplir todos los controles; definido demasiado estrecho, de modo que la certificación no responde a la pregunta del cliente; o definido de forma vaga, de modo que nadie sabe qué sistemas cuentan. Decídalo deliberadamente, documéntelo y defiéndalo. Nuestra entrada sobre cómo delimitar un primer informe SOC 2 se aplica a casi cualquier auditoría.

3. Los controles que fallan son los que nadie tiene a su cargo

Cuando un control tiene un responsable designado que lo ejecuta como parte de su trabajo, funciona. Cuando pertenece a «TI» o al «equipo de seguridad» en general, se degrada hasta la semana previa a la auditoría. La asignación de responsables es la mejora de control más barata que existe.

4. Los documentos deben describir la realidad

Las políticas genéricas que describen una empresa que usted no es son peores que las breves que describen la empresa que sí es. Los auditores comprueban lo que usted ha escrito. Cada brecha entre el documento y la práctica se convierte en un hallazgo, y a menudo en un problema de credibilidad para todo lo demás que les muestre.

5. Los auditores son más útiles como aliados que como adversarios

Las auditorías que mejor salen son aquellas en las que el equipo trata al auditor como un par de ojos adicional y no como un oponente. Pregunte pronto cómo van a probar un control. Comunique las debilidades conocidas junto con un plan. Un hallazgo que usted mismo planteó, con una corrección en curso, se percibe de forma muy distinta a uno que tuvieron que descubrir.

6. El segundo marco debería ser barato

Las organizaciones que mantienen un programa por cada marco pagan cada auditoría por completo. Las que construyen un único conjunto de controles, correlacionado con todos los marcos a los que responden, pagan casi todo una sola vez. El trabajo de correspondencia es tedioso, pero se acumula. Es una gran parte de la razón por la que creé ControlMapping.

7. Marcos distintos, las mismas preguntas

Tras suficientes auditorías, los marcos empiezan a confundirse entre sí. Los auditores de ISO, los auditores de SOC 2, los evaluadores de PCI y los reguladores usan palabras distintas, pero plantean el mismo puñado de preguntas: qué está en el alcance, quién es responsable, cómo sabe que funciona y qué ocurre cuando no funciona. Una organización que puede responder a esas cuatro preguntas con claridad y con evidencia obtiene buenos resultados en casi cualquier auditoría. La matriz de cobertura es un buen ejemplo: en once marcos, los mismos temas centrales aparecen una y otra vez.

Puntos clave

• Diseñe controles que dejen evidencia como efecto colateral.
• Defina el alcance deliberadamente y asigne a cada control un responsable designado.
• Trate las auditorías como un subproducto de gestionar bien la seguridad.

8. Aprobar no es el objetivo

Una auditoría limpia significa que los controles en alcance funcionaron en las muestras analizadas. No significa que la organización sea segura; el cumplimiento normativo no es seguridad. Los mejores equipos que he conocido tratan las auditorías como un subproducto de gestionar bien la seguridad, no como su propósito.

Si se lleva una sola cosa de esto: decida qué hace, hágalo de forma coherente y deje que la evidencia se acumule por sí sola. El análisis de brechas es un buen lugar para ver hasta dónde llegan ya sus controles actuales.

Preguntas

¿Cuál es el motivo más común de los hallazgos de auditoría?

En mi experiencia, falta o está incompleta la evidencia de controles que sí se ejecutaron: revisiones realizadas pero no registradas, cambios aprobados verbalmente, poblaciones que no coinciden.

¿Cómo debe prepararse para una auditoría de seguridad?

Ejecute los controles de forma continua y conserve su evidencia a medida que avanza, compruebe que los documentos coinciden con la práctica y revise usted mismo una muestra antes de que lo haga el auditor.

¿Debemos informar al auditor de las debilidades que ya conocemos?

Por lo general, sí. Una debilidad que usted ha identificado, con un responsable y un plan de remediación, se percibe como un entorno de controles en funcionamiento. Una que descubre el auditor se percibe como una brecha en la supervisión.