La semana antes de la auditoría
Es un clásico: la auditoría es dentro de diez días y el equipo se pone a buscar pruebas. Capturas de pantalla de configuraciones, listados de usuarios, actas de revisiones que quizá nunca se hicieron. Se encuentra algo para casi todo, y lo que no aparece se "regulariza" deprisa.
El problema no es la auditoría. Es que los controles se diseñaron sin pensar en cómo se iban a demostrar.
La ficha de un control
Cada control del catálogo se escribe con seis campos:
- Qué exige, en una frase comprobable.
- Dueño: la persona responsable de que funcione (un entregable más del mapa de responsabilidades).
- Cómo se comprueba: automáticamente, por muestreo o por revisión manual.
- Con qué frecuencia: continua, mensual, trimestral.
- Qué evidencia produce: un informe, un registro, un acta, siempre con fecha.
- Resultado de la última comprobación, y qué se hizo si falló.
Tres tipos de comprobación
Automática y continua. La mejor opción siempre que se pueda: una regla comprueba la configuración real y registra el resultado (cifrado activado, segundo factor exigido, puertos cerrados). Es la idea de las políticas que se heredan, vista como evidencia.
Por muestreo. Para lo que no se puede comprobar del todo de forma automática: se revisa una muestra representativa con cierta frecuencia (por ejemplo, diez cambios al azar del último mes para ver si pasaron por revisión).
Revisión manual con acta. Para lo que requiere criterio: la revisión trimestral de accesos, el análisis de riesgos anual. El acta, firmada y fechada, es la evidencia.
Cuando un control falla
Una comprobación que falla no se esconde: se registra, tiene una acción correctora con dueño y fecha, y la siguiente comprobación dice si se resolvió. Un historial con algunos fallos corregidos es mucho más creíble ante un auditor que uno perfecto.
Llevar todo esto a mano sigue siendo mucho trabajo. La pregunta natural es cuánta de esta evidencia se puede recoger sola.
Cómo lo aplicamos: Ciberseguridad.