No obstante el punto #8 que mencionas es fundamental. Sin eso, el trabajo de un pen-tester se queda en nada. O bueno, en nada bueno… jeje :-)

Mencionas de refilón el concepto de hacking ético, quizás ahí si entre mejor el pen-tester, aunque es mucho más amplio que eso. No tengo claro si sería cracking porque analizar cómo entrar no tiene porque comportar romper nada.

Saludos. :)

Sergio, tríncate una plaza y nos vemos por allí. Cuesta pasta. Alrededor de unos 300 Euros más o menos.

El post donde dije lo del itSMF es del día 25 de julio y también lo vi, al margen de http://www.itsmf.es, es el blog del amigo Antonio Valle por aquellos días conforme digo en el post.

Enlace a la noticia en blog Jose Manuel

Enlace al site de itSMF España

Solo añadiría una puntualización: para mi el auditor comprueba y evidencia el cumplimiento de normativas, politicas, procedimientos, procesos, etc… es decir, su trabajo es comprobar y demostrar que se hace lo que se dice que se hace, además de comprobar que los controles establecidos son adecuados y suficientes y, desde una perspectiva colaborativa y proactiva, proponer mejoras en función de los descubrimientos que realice y las conclusiones a las que llegue.

Sí, efectivamente. La verificación del cumplimiento de las obligaciones que establecen los reguladores es una misión claramente imputable al auditor. Es, para los distintos ámbitos existentes, un fedatario que además, como bien dices, en algunas ocasiones también debe proponer mejoras :)

Javier,

¡ No es pasar un cuestionario!

Cómo se nota que estás en la brega diaria del que quiere hacer las cosas bien y vé como otros se limitan a eso, a pasar checklists que de nada sirven. Vender tener el documento, documento que pasa después a lo alto de un estante a coger polvo.

No sabes en cuántas pseudoconformidades de esas me he visto envuelto :)

El otro tema sin resolver es ¿quién es el perfil adecuado para ser auditor de sistemas de información? ¿Qué requisitos debe satisfacer?

Para mí son dos requisitos: por un lado estar formado en “las artes de la auditoría”, es decir, conocer las prácticas, las metodologías y los modos de actuar con el cliente. Por otro, debe tener especialidad en el tipo de sistemas que está auditando. Si no has tocado un CRM, a duras penas podrás auditarlo. Ya no te digo nada si te cae una Sybase, o un TRU64.

Requisitos generales y requisitos específicos. Algo como los códigos tipo que se idearon para los IRCA de Calidad (sí, esos que al final se han pasado por la piedra, ya que calidad audita hasta un mono con libreta últimamente)

EAM,

Por supuesto. La ingeniería social es otro método de extracción de información. Las contemplo dentro de las deficiencias, pero si no ha quedado claro te lo confirmo: es una fuente de información válida :)

B.sword!?,

A mandar :)

Hildebrando,

La mejor manera de entender la diferencia entre un oficial de seguridad y un auditor, es entender qué es un auditor certificado y qué es un gestor certificado. El oficial debería ser CISM, y el auditor, CISA. Por supuesto, valen las certificaciones equivalentes :)

Sobre SOX puedo contarte, y algo de experiencia me avala, que más que un auditor, es preciso un equipo de auditoría. Sólo hay tres fracciones que un auditor de sistemas puede hacer en SOX: infraestructura, ciclo de vida de aplicaciones y explotación. Para la parte de operativa crítica que no esté comprendida en estos tres dominios, y para el resto que no es operativa crítica, ha de contarse con auditoría financiera INEXORABLEMENTE :)

Jose Manuel,

Quizás por el background en auditorías de todo tipo, tiendo a aplicar ISO 19011 en lo que al procedimiento de auditoría en sí respecta

Excelente marco. Hacía falta que Q y MA se unieran en cuanto a auditoría se refiere. Sin embargo, la veo algo coja para afrontar otro tipo de auditorías que no están regladas claramente por normativa y metodología. De todos modos es un texto muy sensato.

Si has hablado de itSMF pásanos el enlace, que me ponga al día :P

Sobre Basilea II,

He leido algo sobre Basel II y creo que solo aplica a entidades financieras.

Has leído bien, puedo dar fé de ello :P

Gracias a todos por los comentarios :)

Respecto de la Auditoría de LOPD lo del cuestionario es bastante más habitual de lo que pudiera parecer, desgraciadamente (como indicaba Javier Cao).

Yo particularmente, cuando hacemos alguna, me la tomo como una auditoría de un ‘mini-SGSI’ para entendernos. Quizás por el background en auditorías de todo tipo, tiendo a aplicar ISO 19011 en lo que al procedimiento de auditoría en sí respecta. Como guía de actuación está bastante bien. Cuando el cliente recibe el informe de auditoría lo primero que espeta es un ‘joder, ni que fuésemos la ONU’, pero debe ser así sin ningún género de dudas.

Respecto al Sr. Valle, al cual creo que tengo posibilidades de ver en el congreso de itSMF, al cual asistiré, pues lleva razón en la puntualización. Básicamente es eso: comprobar prácticas, procedimientos, … En definitiva, auditar que el sistema establecido cumple con los requisitos previamente definidos.

Tiene pinta de estar bien el congreso itSMF. Por lo menos las ponencias parecen muy interesantes para captar más información si cabe sobre ITIL e ISO 20000.

He leido algo sobre Basel II y creo que solo aplica a entidades financieras. Desde luego que va a cambiar las cosas pero más en tema de continuidad de negocio para la gestión del riesgo de operación. Por desgracia como ya he comentado solo aplica a entidades financieras.

Ojalá en ciertos organismos e instituciones fuera obligatorio al menos un SGSI.

A lo que dice EAM sobre la ingenieria social , nosotros la incluimos en los servicios de test de intrusion como una de las vias de ataque mas.. y no veas como disfruta el que lo hace y como flipa el cliente cuando le muestras lo que has encontrado…

Antonio

Excelente el artículo, muy bueno
Gracias Sergio, enhorabuena.

Semejante problemática se plantea entorno a la auditoría bienal que aparece en el nivel medio del R.D. 994/1999 de la LOPD. Una auditoría debe probar con evidencias el cumplimiento o no cumplimiento de los controles.

¡ No es pasar un cuestionario!

Evidentemente los controles no técnicos de la ley habrá que evaluarlos de diferentes maneras pero saber si los procedimientos se están ejecutando obliga a mirar los registros que dichos procedimientos deben generar. La idea con la que creo fue elaborado el R.D. 994/1999 es forzar a las empresas a que exista una documentación mínima sobre los sistemas de información donde se realiza el tratamiento, sus “activos de información” y una serie de procedimientos a cumplir. De esa manera, es muy facil auditar para un tercero (el inspector de la Agencia de turno) si se CUMPLE lo que el documento de seguridad pone. El control no es en sí mismo la tenencia del documento sino el cumplimiento del contenido.

Desgraciadamente muchas empresas de asesoramiento LOPD venden que el problema es la tenencia del documento, olvidando así el verdadero objetivo de dicho documento.

Imagino que el tiempo irá poniendo a la auditoría de sistemas de información en su sitio, como ya ocurre con la auditoría contable. El otro tema sin resolver es ¿quién es el perfil adecuado para ser auditor de sistemas de información? ¿Qué requisitos debe satisfacer?