• Articles
• admin

Las empresas a menudo ven la auditoría de seguridad de datos como un proceso estresante e intrusivo. El auditor anda distrayendo a todos e interfiriendo en las operaciones regulares de la compañía. La utilidad de realizar auditorías también es un tema de debate: ¿no es suficiente la evaluación de riesgos regular para formar una estrategia de seguridad y mantener sus datos protegidos? Y si está sujeto a regulaciones de cumplimiento con respecto a la seguridad de los datos privados, tarde o temprano se enfrentará a una auditoría oficial de todos modos. ¿No sería mejor prepararse para eso que hacer una auditoría de seguridad de TI por su cuenta?

Sin embargo, en realidad, las autoauditorías son muy útiles, ya que cumplen con un conjunto de objetivos específicos. Auto-auditorías permiten:

• Establecer una línea de base de seguridad – los resultados de múltiples autoauditorías a lo largo de los años sirven como una línea de base increíblemente confiable para evaluar su rendimiento de seguridad
• Ayudar a hacer cumplir las regulaciones y prácticas de seguridad-las auditorías le permiten asegurarse de que todas las medidas de ciberseguridad implementadas en su empresa se apliquen y sigan a fondo
• Determinar el estado real de su seguridad y formular la estrategia para el futuro – la evaluación de riesgos nunca podría. No solo resalta las cosas que faltan, sino que también tiene en cuenta los procesos existentes y muestra por qué y cómo deben mejorarse.

En general, la autoauditación es una herramienta increíblemente útil cuando necesita evaluar su seguridad cibernética o asegurarse de que está listo para una auditoría de cumplimiento real en el futuro. Es una buena práctica realizar autoauditorías con bastante frecuencia, idealmente, varias veces al año.

Pero, ¿cómo realizar una auditoría de seguridad cibernética?

Hay una variedad de formas de recopilar los datos necesarios, como la administración de acceso, el monitoreo de la acción del usuario y el software de seguimiento de empleados, lo que le permite producir informes centralizados para una evaluación de seguridad exhaustiva. Sin embargo, no sería justo decir que las autoauditorías carecen de su parte justa de inconvenientes, y las abordaremos más abajo a medida que discutimos la autoauditación con más detalle.

Pero primero, analicemos los pros y los contras de cada una de las dos formas en que puede realizar una autoauditación:

Auditoría externa vs interna

Al decidir hacer una autoauditación, puede hacerlo internamente con sus propios recursos o contratar a un auditor externo. Y la elección entre los dos no es tan corta y seca como uno pensaría.

Los auditores externos son excelentes en lo que hacen. Utilizan un conjunto de software de auditoría de seguridad cibernética, como escáneres de vulnerabilidades, y aportan su propia y vasta experiencia para examinar su seguridad y encontrar agujeros en ella. Sin embargo, el gran inconveniente para ellos es que no son baratos, y encontrar a la persona con la cualificación y experiencia necesarias entre el mar de ofertas puede ser muy difícil.

Además, el éxito de dicha auditoría dependerá en gran medida de la calidad de la comunicación establecida entre su empresa y un auditor. Si un auditor no puede obtener los datos correctos o llegar tarde, la auditoría puede prolongarse, producir resultados poco fiables o aumentar el costo.

Todo esto hace de las auditorías externas un lujo, en lugar de una solución permanente. Son excelentes para hacer una vez al año (si tiene el tiempo y el dinero para ello), o como una forma de preparar a su empresa para una auditoría de cumplimiento real, pero hacerlas cada trimestre puede ser prohibitivo.

Las auditorías internas, por otro lado, son fáciles de hacer y pueden ser muy efectivas como una evaluación trimestral, lo que le ayuda a recopilar datos para su línea de base de seguridad y verificar si las políticas actuales son efectivas o no. Sin embargo, el inconveniente es que los auditores internos a menudo carecen de la experiencia y los instrumentos necesarios para igualar la calidad de una auditoría externa profesional. Sin embargo, esto en sí mismo no es algo que no se pueda resolver simplemente contratando a las personas adecuadas y capacitándolas para el trabajo.

Al mismo tiempo, las auditorías internas no solo son baratas, sino también eficientes en términos de proceso. Es mucho más fácil para un empleado o departamento interno recopilar todos los datos necesarios sin el arduo proceso de establecer una comunicación efectiva y sin perturbar el flujo de trabajo existente dentro de la empresa.

Y aunque las auditorías internas pueden parecer complicadas en teoría, en realidad, todo lo que necesita hacer es completar una serie de pasos simples y obtener los entregables que desea. A continuación, analizaremos esos pasos con más detalle.

4 Pasos sencillos para la autoauditación

1. Definir el alcance de una auditoría

Lo primero que debe hacer es establecer el alcance de su auditoría. Ya sea que verifique el estado general de la seguridad en su organización o realice una auditoría de seguridad de red específica, una auditoría de seguridad de terceros o cualquier otra, necesita saber qué debe mirar y qué debe omitir.

Para hacer esto, debe dibujar un perímetro de seguridad, un límite alrededor de todos sus activos valiosos. Este límite debe ser lo más pequeño posible e incluir todos los activos valiosos que tenga y que requieran protección. Tendrá que auditar todo lo que esté dentro de este límite y no tocará nada fuera de él.

La mejor manera de definir el perímetro de seguridad es crear una lista de todos los activos valiosos que tiene su empresa. Esto puede ser bastante complicado, porque las empresas a menudo omiten cosas como la documentación puramente interna, detallando, por ejemplo, varias políticas y procedimientos corporativos, porque parece no tener ningún valor para el posible perpetrador. Sin embargo, dicha información es valiosa para la propia empresa, porque en caso de que esos documentos se pierdan o destruyan (por ejemplo, debido a fallas de hardware o errores de los empleados), tomará algún tiempo y dinero recrearlos. Por lo tanto, también deben incluirse en su lista maestra de todos los activos que requieren protección.

Defina las amenazas a las que se enfrentan sus datos

Una vez que defina su perímetro de seguridad, debe crear una lista de las amenazas a las que se enfrentan sus datos. La parte más difícil es lograr un equilibrio adecuado entre cuán remota es una amenaza y cuánto impacto tendría en sus resultados si alguna vez sucede. Por ejemplo, si un desastre natural, como un huracán, es relativamente raro, pero puede ser devastador en términos de finanzas; todavía puede estar incluido en la lista.

Todas y todas, las amenazas más comunes, que probablemente debería considerar incluir, son las siguientes:

• Desastres naturales y brechas físicas: como se mencionó anteriormente, aunque esto es algo que sucede rara vez, las consecuencias de tal amenaza pueden ser devastadoras, por lo tanto, probablemente necesite tener controles establecidos por si acaso.
• Malware y ataques de hacking: los ataques de hacking externos son una de las mayores amenazas a la seguridad de los datos que existen y siempre deben considerarse.
• Ransomware: este tipo de malware ha ganado popularidad en los últimos años. Si trabajas en el sector de la salud, la educación o las finanzas, probablemente deberías estar atento a ello.
• Ataques de denegación de servicio: el aumento de los dispositivos IoT vio un aumento dramático en las redes de bots. Los ataques de denegación de servicio están ahora más extendidos y son más peligrosos que nunca. Si su negocio depende de un servicio de red ininterrumpido, definitivamente debe considerar incluirlos.
• Informantes maliciosos: esta es una amenaza que no todas las empresas tienen en cuenta, pero a la que se enfrentan todas las empresas. Tanto sus propios empleados como los proveedores externos con acceso a sus datos pueden filtrarlos o hacer un uso indebido de ellos fácilmente, y usted no podría detectarlos. Por lo tanto, es mejor estar listo e incluirlo en su propia lista de amenazas. Pero antes, le sugerimos que revise la comparación de soluciones de monitoreo de amenazas.
• Insiders inadvertidos: no todos los ataques de insider se realizan con intención maliciosa. El empleado que comete un error honesto y filtra sus datos accidentalmente es algo que se volvió demasiado común en nuestro mundo conectado. Definitivamente una amenaza a considerar.
• Phishing e ingeniería social: la mayoría de las veces, un hacker intentará obtener acceso a su red dirigiéndose a sus empleados con técnicas de ingeniería social, prácticamente haciéndoles renunciar a sus credenciales voluntariamente. Esto es definitivamente algo para lo que deberías estar preparado.

3. Calcule los riesgos

Una vez que haya establecido la lista de amenazas potenciales a las que pueden enfrentarse sus datos, debe evaluar el riesgo de que se disparen cada una de esas amenazas. Dicha evaluación de riesgos le ayudará a poner un precio a cada amenaza y priorizar correctamente cuando se trata de implementar nuevos controles de seguridad. Para hacer esto, debe mirar las siguientes cosas:

• Su experiencia pasada, ya sea que haya encontrado una amenaza específica o no, puede afectar la probabilidad de que la encuentre en el futuro. Si su empresa fue blanco de ataques de piratería o denegación de servicio, es muy probable que vuelva a ocurrir.
• Panorama general de la ciberseguridad: observe las tendencias actuales de la ciberseguridad. ¿Qué amenazas son cada vez más populares y frecuentes? ¿Cuáles son las amenazas nuevas y emergentes? ¿Qué soluciones de seguridad son cada vez más populares?
• Estado de la industria: observe la experiencia de su competencia directa, así como las amenazas a las que se enfrenta su industria. Por ejemplo, si trabaja en el sector de la salud o la educación, se enfrentará con más frecuencia a ataques internos, ataques de phishing y ransomware, mientras que el comercio minorista puede enfrentar ataques de denegación de servicio y otro malware con más frecuencia.

Dispositivo los controles necesarios

Una vez que haya establecido los riesgos asociados con cada amenaza, estará listo para el paso final: crear una lista de verificación de auditoría de seguridad de TI de los controles que debe implementar. Examinar los controles existentes e idear una manera de mejorarlos, o implementar los procesos que faltan.

Las medidas de seguridad más comunes que puede considerar, incluyen:

• Seguridad del servidor físico: si posee sus propios servidores, definitivamente debe asegurar un acceso físico a ellos. Por supuesto, esto no es un problema si simplemente alquila espacio de servidor de un centro de datos. Al mismo tiempo, cualquier dispositivo IoT en uso en su empresa debe tener todas sus contraseñas predeterminadas cambiadas y el acceso físico a ellas completamente asegurado para evitar cualquier intento de piratería.
• Copia de seguridad de datos regular: la copia de seguridad de datos es muy efectiva en caso de desastre natural o ataque de malware que lo corrompe o lo bloquea de sus datos (ransomware). Asegúrese de que todas sus copias de seguridad se realicen con la mayor frecuencia posible y establezca un procedimiento adecuado para restaurar sus datos.
• Cortafuegos y antivirus: esto es seguridad cibernética 101, pero debe proteger su red con cortafuegos correctamente configurados y sus computadoras con antivirus. Puede obtener más información e investigar el software antivirus disponible en Antivirus.mejor.
• Filtro antispam: el filtro antispam correctamente configurado puede ser una gran ayuda para combatir los ataques de phishing y el malware enviado por correo. Si bien es posible que tus empleados sepan que no deben hacer clic en ningún enlace de un correo electrónico, siempre es mejor estar seguros que lamentarlo.
• Control de acceso: hay varias formas de controlar el acceso y sería mejor colocarlas todas en su lugar. En primer lugar, debe asegurarse de controlar el nivel de privilegios que tienen los usuarios y de utilizar el principio de privilegios mínimos al crear cuentas nuevas. Aparte de eso, la autenticación de dos factores es una necesidad, ya que aumenta en gran medida la seguridad del procedimiento de inicio de sesión y le permite saber quién accedió exactamente a sus datos y cuándo.
• Monitoreo de la acción del usuario: el software realiza una grabación de video de todo lo que el usuario hace durante la sesión, lo que le permite revisar cada incidente en su contexto adecuado. Esto no solo es muy efectivo cuando se trata de detectar amenazas internas, sino que también es una gran herramienta para investigar cualquier violación y fuga, así como una gran respuesta a una pregunta sobre cómo realizar una auditoría de cumplimiento de seguridad de TI, ya que le permite producir los datos necesarios para dicha auditoría.
• Conciencia de seguridad de los empleados – para proteger a sus empleados de ataques de phishing e ingeniería social, así como para reducir la frecuencia de errores involuntarios y asegurarse de que se siguen todos los procedimientos de seguridad, es mejor educarlos sobre la mejor seguridad cibernética. Enseñe a sus empleados sobre las amenazas a las que se enfrentan tanto ellos como su empresa, así como las medidas que aplique para combatir esas amenazas. Aumentar la conciencia de los empleados es una excelente manera de transformarlos de un pasivo a un activo útil cuando se trata de seguridad cibernética.

Conclusión

Los 4 sencillos pasos mencionados anteriormente, – definir el alcance de una auditoría, definir las amenazas, evaluar los riesgos asociados con cada amenaza individual, así como evaluar los controles de seguridad existentes y diseñar los nuevos controles y medidas a implementar, – es todo lo que necesita hacer para realizar una auditoría de seguridad.

Sus entregables deben constituir una evaluación exhaustiva del estado actual de su seguridad, así como recomendaciones específicas sobre cómo mejorar las cosas. Los datos de dicha autoauditación se utilizan para contribuir a establecer una línea de base de seguridad, así como para formular la estrategia de seguridad de su empresa.

La ciberseguridad es un proceso continuo, y las autoauditorías deben ser sus grandes hitos regulares en este camino para proteger sus datos.