Prepararse para una auditoría de cumplimiento normativo en materia de TI lleva tiempo cuando las pruebas están dispersas entre distintos sistemas, carpetas y bandejas de entrada. Tu equipo tiene que recopilar políticas, registros de acceso y registros de incidentes sin dejar de lado el trabajo diario.
Entonces, ¿qué esperan ver los auditores? La mayor parte de las pruebas de auditoría se clasifican en cinco tipos: políticas y procedimientos documentados; un registro actualizado de dónde se almacenan los datos regulados; registros de acceso y de actividad de los usuarios; registros de incidentes que muestren cómo respondió su equipo; y pruebas de que sus controles siguen funcionando entre una auditoría y otra.
Para los responsables que dan el visto bueno al cumplimiento normativo, esos cinco tipos son donde se hace patente la rendición de cuentas. Esta guía explica en qué consiste cada uno, dónde aparece en las normas de la HIPAA, el RGPD y la SEC, y cómo tenerlo todo preparado.
Los auditores evalúan si los controles cumplen los requisitos en cuanto a su alcance y si funcionan según lo previsto. Las políticas escritas explican cómo debe funcionar un control. Los registros de actividad, los registros de revisión y otras pruebas ayudan a demostrar si su equipo sigue dichas políticas.
El RGPD lo deja claro. El artículo 5, apartado 2, establece que la organización es responsable de cumplir con la normativa y de poder demostrar dicho cumplimiento. La carga de la prueba recae sobre usted, no sobre el auditor.
El alcance determina los detalles. Una auditoría de cumplimiento de seguridad se centra en medidas de protección técnicas, como el acceso, el registro de actividades y la gestión de incidentes. Una auditoría de cumplimiento más amplia abarca también las obligaciones legales y de procesos. Ambas dependen de lo mismo: las pruebas que su equipo pueda aportar.
Relacionado: Software de cumplimiento normativo: cómo el DLP simplifica el RGPD y la HIPAA
Los requisitos específicos dependen del alcance de la auditoría. Estas cinco categorías sirven de punto de partida para organizar tus pruebas.
Las políticas son la base, ya que indican al auditor lo que su organización afirma que hace. Sin ellas, no hay nada con lo que comparar.
La HIPAA es muy específica en este aspecto. La Norma de Seguridad exige políticas y procedimientos por escrito. Debe conservarlos durante seis años a partir de su creación o de la fecha en que estuvieron vigentes por última vez. También exige una revisión periódica, con actualizaciones cuando cambien las operaciones.
Mantenga las políticas actualizadas, con historiales de versiones y fechas de revisión que indiquen cuándo se actualizaron y aprobaron.
Los auditores quieren saber qué datos sensibles posees y dónde se encuentran. Si no puedes localizarlos, no podrás demostrar que están protegidos.
El artículo 30 del RGPD exige un registro de las actividades de tratamiento, incluida una descripción general de las medidas de seguridad siempre que sea posible. En EE. UU., la HIPAA exige una evaluación exhaustiva de los riesgos de los datos sanitarios que posee una organización, lo que comienza por saber dónde se encuentran.
Actualiza tu inventario a medida que los datos sensibles se trasladen a nuevas aplicaciones en la nube, unidades compartidas y otras ubicaciones. Registra estos cambios entre auditorías para que tu equipo pueda dar cuenta de dónde se almacenan los datos.
Aquí es donde los auditores comprueban que las normas de acceso funcionan en la práctica. ¿Quién puede acceder a los datos regulados? ¿Quién lo hizo realmente y cuándo?
La HIPAA, por ejemplo, exige a las organizaciones que revisen periódicamente los registros de actividad del sistema, como los registros de auditoría y los informes de acceso. Esos registros demuestran que las políticas de acceso se cumplen en el día a día.
Estos registros también son importantes más allá de la auditoría. Un archivo compartido con la persona equivocada o una exportación a un dispositivo personal rara vez parece un riesgo en el momento. Un registro claro de la actividad permite a su equipo detectar esos patrones a medida que se producen, y no meses después.
Relacionado: Software contra amenazas internas: lo que deben buscar los equipos de las medianas empresas
Mantén registros de cómo tu equipo ha gestionado los incidentes, incluyendo la cronología, las decisiones de respuesta, las medidas adoptadas y el resultado.
La HIPAA exige a las organizaciones que identifiquen y respondan a los incidentes de seguridad, y que documenten cada incidente y su resultado. Las empresas cotizadas de EE. UU. también tienen obligaciones de divulgación de incidentes ante la SEC. Por lo general, un incidente de ciberseguridad significativo debe divulgarse en un plazo de cuatro días hábiles desde que se determine su importancia. Mantén registros de los incidentes desde el principio para respaldar la investigación, la respuesta y cualquier divulgación necesaria.
Este tipo de prueba es la más difícil de presentar con poca antelación. Una captura de pantalla demuestra que una configuración existía una tarde concreta, pero no demuestra que el control haya estado activo durante los últimos 12 meses.
La HIPAA exige una evaluación periódica del grado en que las políticas y procedimientos de seguridad cumplen sus normas. Los auditores buscan una tendencia a lo largo del tiempo, no una instantánea.
Una prueba sólida en este caso son los informes programados, las firmas de revisión y los datos de tendencias que abarquen todo el período de auditoría.
|
Tipo de prueba |
Lo que pide el auditor |
Dónde aparece |
Deficiencia habitual |
|
Políticas y procedimientos |
Muéstrame la política por escrito y su historial de revisiones |
Norma de seguridad de la HIPAA |
Política desactualizada, sin historial de versiones |
|
Registro de datos regulados |
¿Dónde se almacenan los datos sensibles y quién los trata? |
RGPD; Norma de Seguridad de la HIPAA |
Inventario que ya no se corresponde con la realidad |
|
Registros de acceso y actividad de los usuarios |
¿Quién ha accedido a los datos regulados y se ha hecho con autorización? |
Norma de seguridad de la HIPAA |
Registros dispersos en distintos sistemas |
|
Registros de incidentes |
¿Qué ocurrió, qué medidas se tomaron y qué cambios se produjeron? |
Norma de seguridad de la HIPAA; normas de divulgación en materia de ciberseguridad de la SEC |
Un plan del que no hay constancia de que se haya puesto en práctica |
|
Pruebas a lo largo del tiempo |
Demostrar que el control se aplicó durante todo el período de auditoría |
Norma de seguridad de la HIPAA |
Capturas de pantalla puntuales |
Muchos equipos tratan las auditorías como una temporada: recopilan pruebas a toda prisa, cierran la auditoría y dejan que el registro quede obsoleto hasta que llega la siguiente. Ese ciclo cuesta más que horas, porque cada deficiencia que encuentra el auditor se convierte en un proyecto con un plazo de entrega, y al año siguiente vuelve a empezar el mismo ajetreo.
Nada de esto significa que el equipo haya hecho nada mal. Es el proceso, no las personas, lo que genera las prisas.
Estar preparado durante todo el año invierte ese orden. Cuando las pruebas se van acumulando como parte de las operaciones normales, ya están disponibles en el momento en que alguien las solicita, y la auditoría se convierte en una revisión de los registros que ya se mantienen de todos modos.
Ese cambio es especialmente importante en los niveles directivos. En EE. UU., la SEC exige ahora a las empresas que cotizan en bolsa que describan cómo supervisa su consejo de administración los riesgos de ciberseguridad y qué papel desempeña la dirección. Los registros actuales facilitan el respaldo de esa explicación.
No es necesario que realices tú mismo la auditoría. Lo que sí debes saber es si tu equipo puede responder rápidamente al auditor. Utiliza estas preguntas antes de tu próxima auditoría de cumplimiento de TI.
Si varias respuestas empiezan por «tendríamos que comprobarlo», recopila esa evidencia ahora, antes de que el auditor la solicite.
En una auditoría suelen participar tres grupos. Los equipos de TI y seguridad aportan pruebas técnicas, como registros de acceso y registros de incidentes. Los equipos jurídicos o de cumplimiento normativo relacionan esas pruebas con los requisitos de cada normativa. Un alto directivo aprueba los resultados y se encarga del seguimiento. Definir estas funciones desde el principio evita que las solicitudes vayan de un equipo a otro.
Una auditoría de TI evalúa el funcionamiento de sus sistemas y controles en relación con los objetivos internos o las mejores prácticas. Una auditoría de cumplimiento mide ese mismo entorno en relación con un requisito externo específico, como una normativa o una norma. La primera se pregunta si los controles son eficaces. La segunda se pregunta si cumplen con una obligación definida.
Depende del marco normativo, ya que los plazos de conservación varían de una normativa a otra. Identifica la norma correspondiente a cada marco que te sea aplicable y utiliza el plazo más largo como referencia. De este modo, tu equipo seguirá una única política de conservación en lugar de varias que puedan entrar en conflicto.
Los auditores no piden nada fuera de lo común. Los cinco tipos de pruebas que se recogen en esta guía son aquellos a los que recurre una auditoría de cumplimiento de TI, sea cual sea el marco normativo. En Safetica, esa es la idea que subyace a la «Seguridad Inteligente de Datos»: informes listos para la auditoría en todos los estados de los datos, de modo que el cumplimiento se integre en el trabajo, en lugar de superponerse a él.
Un buen punto de partida es la lista de verificación anterior. Elige la cuestión que más dificultades plantee a tu equipo y preséntala en tu próxima reunión de cumplimiento normativo. Para profundizar más, descubre cómo aborda Safetica el cumplimiento normativo.