Archivo del Autor: Luis Cruz
La independencia del auditor de sistemas
Entre las muchas cualidades que un Auditor de Sistemas debe de poseer para mantener una calidad aceptable ante diversos estándares de auditoría es la independencia. El Auditor de Sistemas debe de ser y percibirse como un profesional independiente, que emitirá su opinión sobre las áreas que audite sin ninguna influencia.
El Auditor de Sistemas logra demostrar independencia desde el momento en que es colocado en un esquema organizativo y no tiene ningún vínculo que lo haga depender en alguna manera, por ejemplo, a través del pago de sus honorarios, o por tener una línea de reporte directo con las áreas que audita. Para ser concretos, un Auditor de Sistemas no puede depender de la Gerencia de Tecnologías de la Información, dado que no podría auditar objetivamente a su jefe y compañeros de trabajo. Si hablamos de Auditoría Interna, en el contexto de una organización grande, el Auditor de Sistemas aparecerá en el organigrama de Auditoría Interna, que, a su vez, no deberá tener ninguna dependencia de ninguna unidad organizativa de la empresa. Lo más frecuente es que la Unidad de Auditoría Interna reporte a un Auditor Corporativo o General, que a su vez reporta directamente a un Comité de Auditoría. Esto crea una estructura de auditoría paralela a la estructura organizativa que “de forma independiente” ayuda a la alta dirección a realizar verificaciones de áreas o procesos clave para el cumplimiento de objetivos.
El Auditor de Sistemas debe de seguir este principio de independencia y actuar de manera tal que las áreas auditadas no puedan “influenciar” las decisiones que toma. Es decir, el Auditor de Sistemas debe hacer valer su independencia en todo momento y no permitir que ningún tipo de influencia, interna o externa, afecte las decisiones que toma sobre su trabajo. Entre las influencias externas podemos dar como ejemplo, los proveedores del área de las Tecnologías de la Información. En general, los proveedores buscarán utilizar cualquier medio que este a su alcance para lograr concretar una oportunidad de negocio. Esto puede incluir seguir la estrategia de “invitar” al Auditor de Sistemas a eventos que promueven sus productos, para demostrar al Gerente de TI que el producto es avalado por el Auditor de Sistemas. Este es un comportamiento no ético de parte del vendedor, pero que dependerá de que el Auditor de Sistemas acepté las invitaciones que le hagan. La mejor conducta que puede seguir un Auditor de Sistemas es no aceptar invitaciones de ningún tipo de proveedores de Tecnologías de la Información. Las necesidades de capacitación del Auditor de Sistemas deben de ser cubiertas por fuentes que mantengan su independencia y que sean formales. Si se necesitan de cursos, estos deben de ser impartidos por entidades especializadas en capacitación, que no dependan de los proveedores, o por accesos a la documentación formal que la empresa ha adquirido. Todos estos recursos deberán de estar consignados en el presupuesto anual de operación del área de Auditoría de Sistemas. Estos mecanismos permitirán que el Auditor de Sistemas no se vea influenciado en sus decisiones por ninguna entidad.
De alguna manera, este principio de independencia implica que el Auditor de Sistemas trabajará con recursos independientes, que ningún auditado tendrá influencia sobre si el Auditor de Sistemas puede o no tener acceso a un recurso, ni mucho menos especificar los resultados del trabajo del Auditor de Sistemas. Es claro que los informes de auditoría serán firmados por el Auditor de Sistemas, por lo que al final, es el único responsable de su trabajo. El principio de independencia le ayuda a asegurar que nadie influencia el contenido de sus informes y de que son únicamente el resultado de su trabajo en el proceso de Auditoría.
UNIVERSO DE AUDITORIA DE TI, PARTE II
Priorizando las auditorías a realizar.
En el blog anterior, establecimos que el Auditor de Sistemas debe de realizar una investigación para conocer la empresa y la forma en la que las Tecnologías de la Información están soportando los objetivos del negocio. Es una investigación exhaustiva, que permita identificar todos los elementos auditables en la organización y generar una lista de elementos auditables que incluimos en una lista que denominaremos Universo de Auditoría.
Para tratar esa lista, el Auditor de Sistemas debe establecer criterios que le permitan establecer un orden que le indique qué se auditará primero y que se auditará después. Realmente, estamos hablando de que se incluirá en un Plan de Trabajo de la Auditoría de Sistemas, para un horizonte de planificación que normalmente será de un año. Posiblemente para cubrir un Universo de Auditoría de manera completa, se requiere un esfuerzo en horas auditor, que expanda varios años. Esto hace muy importante, que los elementos auditables de la lista del Universo de Auditoría se categoricen para auditar primero los temas de mayor relevancia para la organización, permitiendo al Auditor de Sistemas aportar recomendaciones de manera oportuna.
El primer criterio utilizado es el riesgo. El riesgo se refiere a prever o inferir la ocurrencia de eventos que puedan causar el impacto de que una organización pueda fallar en sus objetivos de negocio. Por contrapartida, el trabajo de soporte de la función de TI contribuye a mitigar estos riesgos, a través la ejecución de acciones que eviten que los eventos de riesgo ocurran o que limiten o mitiguen el efecto causado. Por esta razón, las actividades que desarrolla la función de TI tienden a verse como “controles” que mitigan riesgos en una organización. Si ponemos un ejemplo para clarificar estos conceptos, pensemos en el evento de riesgo que se podría dar cuando se daña un dispositivo que almacena información importante para la organización. El riesgo real, es que el negocio no pueda operar al ritmo esperado por no contar con la información almacenada en el activo informático en cuestión. Esto podría traer un impacto económico, como el retraso o la pérdida de ingresos, o un impacto reputacional, por no poder proporcionar el nivel de servicio esperado por el cliente. La Gerencia de TI, ante este riesgo, puede haber dispuesto varios controles o actividades para mitigarlo. Uno podría ser la ejecución de respaldos frecuentes que permitan contar con un medio de recuperación en casos de falla.
Aunque existen muchas técnicas para realizar una Evaluación de Riesgos, es importante seleccionar una que no demande demasiado esfuerzo de realización, que permita priorizar de manera efectiva, de tal manera que el Auditor de Sistemas pueda obtener una clasificación en un tiempo razonable. Aun así, dependiendo del tamaño de la organización y sus operaciones, este análisis requerirá de un esfuerzo de semanas o quizá meses, pero que resulta importante para lograr efectividad en el trabajo posterior del Auditor de Sistemas. Si la empresa ha madurado la función de Gestión de Riesgos y cuenta con una evaluación organizacional de riesgos muy sólida, esto facilita las cosas. Porque como Auditores de Sistemas, podemos confiar en el trabajo de otros profesionales para cumplir con nuestra función. También es conveniente notar, que el Auditor de Sistemas debe de utilizar su criterio profesional con toda la información que analiza, por lo que, si al analizar una evaluación de riesgos organizacional, existen valoraciones que no considere correctas, el Auditor de Sistemas deberá de realizar sus correcciones para contar con una evaluación de riesgos que satisfaga sus propios criterios. También el Auditor de Sistemas tendrá que relacionar cada elemento del Universo de Auditoría con los riesgos que mitiga. Esto es lo que permite la categorización de los elementos, asignando mayor prioridad a los que mitigan riesgos más críticos y dejando después a los que ataquen riesgos medios o bajos.
Si no existe una Evaluación de Riesgos organizacional, el Auditor de Sistemas deberá realizar su propia valoración de los riesgos existentes y ubicar la importancia que tiene cada elemento del Universo de Auditoría para prevenir, detectar o mitigar los riesgos. En todo caso, se determinará cuáles elementos de la lista resultan más importantes de auditar de acuerdo con los riesgos que ayudan a mitigar, comenzando con los de mayor riesgo.
Un segundo criterio utilizado por el Auditor de Sistemas son los requerimientos regulatorios. Si la organización está sometida a requerimientos de ley que especifican que las Tecnologías de la Información cumplan con ciertos requerimientos, o incluso sean específicas con respecto al trabajo del Auditor de Sistemas, estos pasan a tener una alta prioridad en la lista de elementos auditables. No cumplir con regulaciones de Ley trae impactos directos a la organización y estos deben de ser gestionados y resueltos oportunamente. A veces, dichas regulaciones implican la emisión de informes en momentos específicos, lo que da una pauta del momento en que tienen que ser realizados los trabajos de auditoría para cumplir con el requerimiento legal.
Finalmente, el Auditor de Sistemas deberá de utilizar sus conocimientos de la organización, para determinar la existencia de requerimientos que tienen que priorizarse para lograr efectividad y oportunidad. Aquí entra en juego, los requerimientos específicos de la contraparte directa del Auditor de Sistemas, iniciando por el Gerente de Auditoría, pero que también pueden ser peticiones específicas del Comité de Auditoría, la Junta Directiva o la Alta Administración. Por ejemplo, si la organización realizará inversiones en Tecnologías de la Información, el acompañamiento oportuno durante los proyectos podría ser prioritario. Si se determina que Auditorías previas, internas o externas, de sistemas o de otra índole, reportaron hallazgos relacionados con las Tecnologías de la Información, la revisión del cumplimiento y superación de los hallazgos se vuelve también otro criterio de priorización.
Siguiendo los criterios mencionados, el Auditor de Sistemas estará en capacidad de priorizar la lista de elementos auditables y establecer las prioridades claras sobre las auditorías que realizará. Es normal que un Universo de Auditoría se cubra de forma completa en dos o más años. También es normal, que existan elementos que no se auditen nunca. Lo importante es que el Auditor de Sistemas aportará valor a la organización, proporcionando recomendaciones relevantes, en los momentos que se necesitan.
Si gustan pueden comentar sobre otros criterios que han utilizado en su experiencia profesional para categorizar los elementos auditables de una organización.
UNIVERSO DE AUDITORÍA DE TI, PARTE I
La efectividad en la elección de qué auditar.
Los Auditores de Sistemas trabajamos con limitados recursos, especialmente de tiempo, para auditar un área que es muy importante, sino vital, para el logro de los objetivos del negocio. Esta situación nos lleva a priorizar qué auditar, teniendo forzosamente que dejar algunos temas para después. Sin embargo, es importante tener una idea clara del estado del uso de las Tecnologías de la Información en la organización a efecto de que la priorización no deje por fuera alcances transcendentes para el cumplimiento de la empresa. Aquí es dónde la tarea de crear el Universo de Auditoría ayuda a enfocar los recursos de Auditoría de la mejor manera.
Definición del Universo de Auditoría.
El Universo de Auditoría se refiere a todas las posibles auditorías que se pueden realizar en una organización. Cada evaluación de auditoría debe tener un alcance que permita al auditor dar a la organización resultados efectivos, esto es, informes que provean las recomendaciones necesarias de manera oportuna.
Previo a la creación del Universo de Auditoría, el Auditor de Sistemas tiene que realizar tareas que le permitan tomar decisiones bien informadas sobre que incluir y que no en el Universo de Auditoría, así como el tener la capacidad de evaluar de la manera más precisa posible los riesgos existentes.
En esta entrada del blog, vamos a tratar sobre la fase de generación de los elementos auditables de una organización, para posteriormente abordar el tema de cómo priorizar.
En la primera parte del proceso el Auditor de Sistemas debe asegurarse que entiende el funcionamiento del negocio, los procesos o actividades que son importantes para el logro de objetivos de la empresa y los principales riesgos que afronta en relación con su dependencia de las Tecnologías de la Información. Hay que recordar que las Tecnologías de la Información son cada vez más relevantes en todos los tipos de negocio, pudiendo llegar a ser un factor indispensable para las operaciones en muchas industrias, o un factor diferenciador en otras. Posteriormente, se debe de entender completamente como se están gestionando las Tecnologías de la Información. El Auditor de Sistemas debe entender porque las Tecnologías de la Información son importantes para la empresa, cómo están soportando los objetivos de negocio y los riesgos a la operación. También se debe conocer la forma en que el departamento de TI se ha organizado para responder a las necesidades de la organización, las Tecnologías actualmente implementadas y los planes para adoptar nuevas plataformas o mejorar/actualizar las actuales.
Estas dos actividades de recopilación de información permitirán crear una lista de elementos que podrán ser considerados dentro del Universo de Auditoría. Esta es una fase en la que interesa capturar todos los elementos posibles. Estos elementos incluyen cosas como: el esquema normativo o políticas vigentes, la organización, procesos de gestión de TI implementados y sus normas de referencia, Tecnologías específicas utilizadas, proyectos, e incluso actividades específicas, como los respaldos de datos, que por su importancia requieren de consideración especial. Esto es un paso crucial porque impacta en la forma en la que la organización identificará el trabajo del Auditor de Sistemas como valioso. Por ejemplo, si se decide evaluar la Gestión de la Continuidad como una sola auditoría, el estudio podría tomar mucho tiempo, incluso meses en ser ejecutado. Si en el transcurso de esos meses, falla un equipo crítico y se descubre que los respaldos no se habían gestionado bien y el tiempo de recuperación se expande por esta razón, la empresa se vería impactada en costos adicionales tanto por el mismo proceso de reparación, como por el hecho de trabajar con métodos alternativos mientras se termina la recuperación. Si se define como una actividad auditable los procedimientos de Gestión de Respaldos, este estudio se podría realizar antes que abordar todo el proceso de Gestión de la Continuidad y probablemente en dos semanas o un poco más, el Auditor de Sistemas tendría la información suficiente para detectar cualquier problema con la ejecución de los respaldos, alertar a la organización y coordinar planes de acción de manera oportuna.
Una regla general para considerar cada elemento a incluir en un Universo de Auditoría es que la ejecución de una auditoría para cada elemento pueda ser realizada en menos de un mes. Esto permitirá al Auditor proporcionar al menos mensualmente, resultados a la empresa que serán oportunos y eficaces.
Atendiendo las tendencias de la auditoría ágil, que busca dar resultados inmediatos, en lugar de la realización de evaluaciones largas que tomen demasiado tiempo, el auditor de sistemas debe evaluar cada proceso que entrará al universo de auditoría y si este debe examinarse en una sola auditoría o si por practicidad, debe de realizarse en varias auditorías con alcances más limitados.
Si por ejemplo tomamos el proceso de Gestión de la Seguridad, nos daremos cuenta de que hacer una evaluación única para el tema, representará un esfuerzo de muchas horas, que se podrían llegar a traducirse en meses. Este tipo de procesos es conveniente partirlos en varias secciones, como, por ejemplo, Estrategia de Seguridad, Seguridad en Servidores, (Qué incluso se puede subdividir por tipos de sistema operativo), Seguridad en la red, Gestión de Accesos en aplicaciones. Esto permitirá realizar una priorización más acertada de acuerdo con el nivel de riesgo percibido en cada área que se pueda auditar.
Un proceso que también tiene que subdividirse y darle prioridad, son las evaluaciones normativas, es decir, las que son mandadas por alguna norma o ley aplicable al área de negocios de la organización. El Auditor de Sistemas debe de identificar los requerimientos regulativos e incluirlos como un elemento auditable dentro del Universo de Auditoría.
Concluyendo, en la primera fase de la creación del Universo de Auditoría, el Auditor de Sistemas realizará una investigación sobre el funcionamiento de la empresa y su modelo de negocio, las Tecnologías de la información utilizadas para soportar el negocio y la forma en la que se gestionan, a efectos de ir creando una lista de todo lo que se pueda auditar. En la próxima entrada del blog veremos cómo se tratará esa lista para categorizarla de acuerdo con criterios de priorización. Mientras tanto, coméntenme si les parece útil contar con una lista guía de elementos auditables y si les gustaría verla en el sitio. Hasta pronto.
TIEMPOS DE CORONAVIRUS, probando la versatilidad y robustez de la gestión de TI
Marzo 20, 2020. La pandemia causada por el Coronavirus ha golpeado los planes de todas las empresas y todos están buscando opciones para mantenerse haciendo negocios y mitigar el impacto económico que la interrupción tendrá. Considero que es altamente probable, que el escenario que estamos viviendo no fuera previsto por los planes de continuidad de negocios. El escenario de una pandemia global, que obligue a que nuestro personal opere en condiciones limitadas y complejas protegiéndose de una bioamenaza, que considere que nuestros clientes reducen su volumen de negocios con nosotros porque su prioridad es sobrevivir la pandemia, y que incluya el mandato de una autoridad gubernamental de modificar, limitar y hasta suspender las operaciones del negocio por un tiempo determinado. Esto quiere decir, que la mayoría de las empresas en este punto, están operando con un plan de continuidad que tuvo que ser pensado sobre la marcha. Dura lección de aprender, pero esto nos enseña que independientemente de la preparación que la dirección de una empresa hace para planificar la continuidad de negocios, cuando un evento adverso se materializa, siempre se tiene que hacer un plan de continuidad de negocios. Es obvio, que al no pensar escenarios antes, el nivel de reacción es más lenta, menos eficiente, más costosa, dado que las fases de preparación y activación del plan tienen que hacerse mientras se desarrolla el evento. Esta forma crea más estrés, más trabajo, pero en este caso, es lo que ha pasado.
Pero no todo debe de estar perdido o verse de forma negativa. Es momento de mantenerse atento a las oportunidades, porque no habrá mucho margen de maniobra en el futuro para aprovechar oportunidades de negocios. Si un plan de continuidad ha sido delineado, la ejecución de las tareas establecidas debe realizarse de la mejor manera y el soporte de la función de TI es crítico. Enumero algunas áreas en las que pienso se debe de estar atento:
- Establecer un comité que discuta sobre las acciones que la empresa realizará para afrontar el evento. El comité de continuidad de negocios debería de estar definido previamente, pero si no lo está, es imperativo que se definan responsables de gestionar la crisis, de tomar decisiones, de implementarlas y de darles seguimiento a efectos de garantizar su efectividad. El comité deberá de estar atento a nuevos desarrollos y girar las comunicaciones que se consideren necesarias, con una frecuencia que permita a los colaboradores tener una guía de lo que se está haciendo y aclarando todas las dudas que se puedan generar durante la situación de crisis.
- Identificar que es crítico y darle prioridad. Por ejemplo, en las empresas en las que el teletrabajo es una opción, la función de TI debe garantizar que todos los componentes que soportan los servicios de conexión a la empresa, tales como enlaces de comunicación, VPN y plataformas de colaboración se encuentran funcionando adecuadamente. Si mi prioridad es comunicarme con los clientes por medios electrónicos, los usuarios que administran las redes sociales y sistemas que se soportan en redes sociales pasan a ser VIP, pues el ingreso pasará a depender de ellos. Se trata de soportar las operaciones de continuidad de la mejor manera. Si la empresa ha desarrollado una buena Gestión del Servicio, es necesario revisar los Acuerdos de Niveles de Servicio que resultan especialmente críticos en la coyuntura actual de la organización.
- Evaluar la capacidad para responder a la demanda actual y futura. En los casos en que el teletrabajo y las ventas en línea era una opción soportada, pero limitada, es imperante evaluar si la capacidad de cada componente va a ser suficiente para los nuevos requerimientos. La empresa deberá de establecer los requerimientos concretos para los servicios de TI de tal manera que la función de TI pueda definir planes de mejora para cumplir con el requerimiento. Como ejemplo, si los vendedores en línea van a duplicarse, es mejor asegurarnos que los nuevos vendedores podrán operar a niveles óptimos. Se trata de que TI proporcione soporte ahora y en el futuro cercano, de adelantarse a posibles interrupciones en el servicio por problemas de capacidad.
- Prepararse para una situación de operaciones normales “nueva”. En este caso estamos ante una interrupción de los negocios por un largo tiempo. En el caso de China fueron dos meses, pero en el caso de Estados Unidos se está hablando de cinco meses. Creo que de lo que yo recuerdo, estos tiempos exceden el máximo de tiempo para volver a la normalidad de los planes de continuidad de negocios. Si se consideran los tiempos previstos para tener una vacuna, volver a la normalidad podría tomar años. Por lo cual, si se tendrá que vivir con una nueva realidad. Probablemente estos escenarios lleven a que la nueva forma de operar será diferente, por lo que la revisión y actualización de los procesos de trabajo tendrá que ser considerada como parte de la reanudación de servicios.
- Gestionar el recurso humano. La fuerza laboral es crítica para el buen funcionamiento de una organización y la amenaza de un virus como el que se ha presentado impacta en la población enferma y en la población sana. De esta manera, las organizaciones tendrán personal que también sufre psicológicamente de la situación. Estos puntos deben de ser abordados por un plan que estimule la salud mental del trabajador. En este plan, proporcionar al trabajador la seguridad de que labora de la forma más segura para él ayudará a disminuir efectos adversos. Se deben de crear planes de comunicación que transmitan al trabajador toda la información necesaria para que se siga sintiendo parte de la empresa y se mantenga enfocado en las tareas que tiene que desarrollar para la empresa, así como las tareas que tiene que desarrollar para mantenerse sano. Es tiempo de ocuparse y no de preocuparse.
- Considerar el obtener retroalimentación. Ante una situación nueva, es conveniente que el desarrollo de nuevos planes vaya acompañado de una retroalimentación temprana sobre los resultados de las nuevas medidas. En este sentido, la realización de encuestas o consultas al personal, los proveedores, los clientes, ayudará a seguir optimizando las nuevas operaciones. Una retroalimentación debería tenerse antes de que pasen dos semanas en la nueva operación para poder tomar medidas de corrección oportunamente.
Definitivamente hay mucho trabajo que hacer. Espero que estos consejos les ayuden a mejorar su respuesta a la crisis y mejoren su capacidad de continuar haciendo negocios en tiempos del Coronavirus.
COBIT 2019: Midiendo el desempeño del Gobierno de TI
Estamos en agosto de 2019. Hace siete años escribía en este mismo blog sobre el lanzamiento de COBIT 5. Pues bien, el tiempo pasa y la siguiente evolución de este marco de gobierno ya se ha dado. De hecho, fue lanzado en noviembre de 2018, pero recibió el nombre de COBIT 2019. Escribo hasta ahora al respecto, porque creo que si tengo resistencia al cambio en el tema de los marcos de gobierno y normas de gestión de TI en general. Igual me pasó hace siete años, yo la pasaba muy bien con COBIT 4 y no le veía por qué tener una nueva versión. En siete años he tenido la oportunidad de ir asimilando, en las diferentes experiencias de trabajo que he afrontado, la razón por la que este marco de referencia tenía que evolucionar. Como siempre hablando desde la experiencia profesional en El Salvador, no tuve la oportunidad de ver una sola implementación de COBIT 5 en el área. ¡En siete años! Puede ser sorprendente, sin embargo, así es nuestro medio, va evolucionando poco a poco, tanto así que un ciclo de 7 años parece no afectar en el cambio de prácticas de gestión de TI. Sí debo decir que los que ya tenían COBIT 4 siguieron con su implementación y las diferencias no les obligaron a cambiar. Nuevamente, la resistencia al cambio se manifiesta.
Pero profundizando un poco en el porqué de una nueva versión, debo admitir que ha esta versión si le veo mucho sentido y espero que los Gerentes de TI y los responsables de la adopción de Tecnologías de la Información en las empresas también lo entiendan. Me parece que el principal cambio en esta versión radica en hacer énfasis en el desempeño. No es que desde antes no existiera, pero es importante recalcarlo porque muchos Gerentes de TI al momento de pensar en sus procesos de gestión de TI se olvidan de que el diseño es una fase, mientras que la ejecución es el día a día, constituyéndose en la forma de entregar valor a la organización. COBIT 2019 introduce el término COBIT Performance Management (CPM) y es importante porque el desempeño es importante para el logro de objetivos, en primera instancia, y para la mejora continua, en el mediano y largo plazo. El Gobierno y la Gestión de TI no terminan cuando el proyecto de implementación de COBIT termina, ahí recién comienza. Cumplir con métricas mes a mes es importante para garantizar que los procedimientos funcionan, que el alineamiento de TI con el negocio permanece funcionando de la manera adecuada. Aún desde COBIT 4, las mejores implementaciones que he visto han incluido un Cuadro de Mando que permite, de un vistazo, conocer el estado de la Gestión de las Tecnologías de la Información. CPM está soportado por un conjunto de principios muy consistentes con las mejores prácticas observadas a través de los años. Incluso, haciendo énfasis en la autoevaluación, además de la evaluación formal, aspecto que es representativo de un sistema de control interno maduro, muy desarrollado.
En conclusión, sí ha cambiado el contexto en el cual usamos las Tecnologías de la Información en siete años, por lo que tiene sentido que se actualice el marco de gobierno para considerar una mejora en sus características. Por un lado, TI nos puede proporcionar más beneficios, pero hay que gestionarla de manera eficiente, midiendo el desempeño. Pero por otro, las Tecnologías de la Información nos han llevado a escenarios de implementación más complejos, que a la par de las ventajas traen diferentes amenazas que tienen que ser controladas, también con un nivel de desempeño óptimo. Por lo que es importante que los interesados en mejorar el desempeño de la inversión que su empresa ha realizado en las Tecnologías de la Información recurran a COBIT 2019 para buscar la mejor manera de asegurar los beneficios del uso de las Tecnologías de la Información gestionando eficientemente los riesgos y la complejidad.
El Auditor de Sistemas como consultor en la organización
Una empresa exitosa no debería inventar cada procedimiento, proceso o práctica operativa que necesite para lograr sus objetivos. La industria en todas sus ramas ya se ha encargado de la definición de las mejores prácticas, definiéndolas a través de normas o estándares que facilitan su adopción. Sin embargo, los auditores siempre identificamos situaciones que denotan la falta de utilización de estos marcos de referencia en una operación. En general las empresas tienen problemas para adoptar marcos de referencia que les ayuden a lograr sus objetivos de una manera más efectiva. Esto está ligado a la escasa vinculación que la educación universitaria brinda a los profesionales de todas las áreas, incluidas las áreas de Tecnologías de la Información y de Auditoría Interna, con procesos de adopción de estándares y a veces con el conocimiento de los mismos. Esta es definitivamente una oportunidad para que los Auditores de Sistemas aportemos valor a las organizaciones.
Cuando se trata de las Tecnologías de la Información, los Auditores de Sistemas nos enfrentamos en muchas ocasiones con personal que no ha estado expuesto al conocimiento de normas de gestión de TI o de la identificación de mejores prácticas en la industria que son necesarias, sino indispensables para el uso efectivo de la inversión en tecnologías que la organización ha realizado o para minimizar riesgos de seguridad, especialmente en el entorno actual en el que siempre existen amenazas acechando la oportunidad de explotar vulnerabilidades en la infraestructura de TI. Por otro lado, los Auditores de Sistemas, interesados en cumplir con los códigos de ética que nos indican que tenemos que hacer nuestro trabajo con profesionalismo, siempre estamos buscando la actualización de los últimos estándares y ofertas de la industria
En este contexto, un Auditor de Sistemas puede diseñar su plan incluyendo actividades de consultoría en la aplicación de normas, estándares y mejores prácticas. Esto tiene mucho sentido porque si se ha identificado un riesgo, porque no orientar el esfuerzo de mitigación que la organización puede seguir. El trabajo de consultoría puede seguir la siguiente ruta:
- IDENTIFICACIÓN. Consiste en la identificación de principales riesgos que pueden ser cubiertos por la aplicación de una norma o estándar. Esta fase debería de aportar la información para priorizar la aplicación de normas. Es decir, la organización debe de realizarse un examen y definir sus prioridades en la implementación de estándares. Esto es importante porque no se puede empezar a implementar todos los estándares existentes, así que debe priorizarse que interesa más a la organización: gestión de TI, gobierno de TI, Seguridad de la Información, Gestión de riesgos, Calidad, etc.
- El Auditor de Sistemas puede compartir su conocimiento con el personal de TI para dar a conocer al personal de la organización el contenido de las normas aplicables. Esto ayudaría nivelar el conocimiento sobre las normas y posibles rutas de acción que motivarían la adopción de un marco de referencia.
- PRIORIZACIÓN DE ACCIONES. En esta fase, el Auditor de Sistemas debe facilitar un proceso para orientar un esfuerzo de decisión sobre las prioridades de implementación. Es importante establecer el rol de consultor, que implica el no decidir prioridades de implementación por los responsables de la gestión de TI, ni participar activamente en la implementación de las normas. El punto es colaborar en crear un Plan de Trabajo que posteriormente los responsables de la gestión de las TI pueden seguir.
Seguir este proceso ayudará a posicionar el valor de la Auditoría de Sistemas en la organización, especialmente si se cumple el plan de implementación de estándares y la organización materializa los beneficios.
Vinculación del Auditor de Sistemas con la Auditoría Interna
La Auditoría de Sistemas como actividad profesional está insertada dentro de la práctica de Auditoría, ya sea interna o externa. Por lo tanto, los Auditores de Sistemas deben tener fundamentos de Auditoría que le permitirán coordinar, desarrollar y presentar resultados en sintonía con las prácticas de Auditoría que se siguen en las empresas.
La Auditoría de Sistemas guiada por los estándares de ISACA y especialmente por COBIT 5, tiene una alineación natural con la Auditoría Interna, debido a que esta busca el fortalecimiento de los sistemas de control, gestión de riesgos y gobierno de las empresas. Debido a esta alineación, resulta lógico que los Auditores de Sistemas sean contratados en las empresas a través de los Auditores Internos, creándose una dependencia laboral entre estas dos profesiones. Un auditor de sistemas certificado (CISA) debe de conocer que en el ámbito de la Auditoría Interna existen normas y marcos de referencia que resulta necesario conocer para poder comunicarse eficientemente con los Auditores Internos y lograr sinergia en el trabajo. ISACA nos ha señalado por largo tiempo algunos marcos de referencia, normalmente orientados a las tecnologías de la información, tales como ISO 2000, ISO 27000, ITIL y similares, pero de igual manera se debe de considerar las Normas Internacionales para el ejercicio Profesional de la Auditoría Interna, emitidas por el Instituto de Auditores Internos (IIA, de sus siglas en inglés), cuya última versión entró en vigencia en enero de 2017. Este marco considera principios básicos para la práctica de la Auditoría Interna que son usados de referencia para la implementación y la operación de las Unidades de Auditoría Interna en las empresas.
Entre otras cosas, las normas del IIA establecen la relación existente entre las Unidades de Auditoría y la dirección de la organización. Un punto importante que establece es que debe existir un Director Ejecutivo de Auditoría (DEA), quién es el responsable de la planificación, organización, ejecución e informe de los resultados de la actividad de Auditoría Interna. Normalmente, un Auditor de Sistemas soportará al DEA en la parte del aseguramiento que corresponde a las Tecnologías de la Información, por lo que debe establecer un protocolo de trabajo cooperativo que permita apoyar eficientemente en cada fase del ciclo de ejecución de un Plan de Auditoría Interna, que normalmente tendrá un ciclo anual. Con el auge del uso de las Tecnologías de la Información en todos los ámbitos de las empresas, el rol del Auditor de Sistemas es vital para definir un alcance adecuado de un Plan de Auditoría Interna. En este sentido, el Auditor de Sistemas deberá de preocuparse por el conocimiento de la empresa y sus operaciones informáticas para apoyar al DEA en la definición de un Plan de Auditoría razonable para mitigar los principales riesgos.
Es importante recalcar que el éxito de la comunicación entre el Auditor de Sistemas y el Director Ejecutivo de Auditoría es crucial para garantizar la efectividad de la ejecución del Plan Anual de Auditoría. La comunicación es en ambas vías. El Director Ejecutivo de Auditoría debe alertar al Auditor de Sistemas sobre el análisis de situaciones que involucren las Tecnologías de la Información. El Auditor de Sistemas debe alertar al Director Ejecutivo de Auditoría sobre aspectos deficientes en la información de la organización y en el uso de Tecnologías de la Información que impactan negativamente en los resultados de la empresa. Es importante recalcar que riesgos como la interrupción de operaciones por fallas en Tecnología, o la materialización de fraudes por una gestión de accesos deficiente, si bien son temas que revisará el Auditor de Sistemas, muchas veces requieren de soluciones que van más allá de la Gestión de las Tecnologías e impactan en los procesos, políticas y la definición de responsabilidades de cada puesto.
Otros aspectos de la vinculación de la Auditoría de Sistemas con la Auditoría Interna serán tocados en publicaciones posteriores.
Programa de Auditoría de la Seguridad de la Información enfocada en la Cyberseguridad
En ocasión de celebrarse el IV Congreso de Auditoría Interna en El Salvador, realice la preparación de un Programa de Auditoría de la Seguridad de la Información enfocada en la Cyberseguridad. El objetivo es presentar a la comunidad de Auditores Internos un enfoque de Auditoría Interna a la revisión de la implementación de medidas de seguridad de la información, basadas en el Framework de Cyberseguridad de NIST (National Intitute of Standards and Technology). De este framework ya hemos hablado en el blog y los interesados en el tema pueden realizar una búsqueda y encontrar artículos sobre categorías específicas del framework, así como de la aplicación de normas en la Seguridad de la Información y de aspectos de Auditoría de Sistemas relacionados.
La presentación del Programa de Auditoría de la Seguridad de la Información enfocada en la Cyberseguridad ha sido el siguiente:
- Entender que es la Cyberseguridad. Este fenómeno del siglo XXI, que nos ataca de formas diferentes cada día y genera el riesgo de Cyberseguridad en las empresas.
- Discutir que riesgos de Cyberseguridad existen de manera genérica, para que cada persona pueda evaluar hacia su organización cuales son más relevantes en su contexto.
- Presentar el Framework de Cyberseguridad del NIST. Una iniciativa del Gobierno de los Estados Unidos, pero que ha tenido un impacto en la industria, especialmente en los proveedores y como se está compartiendo información sobre vulnerabilidades.
- Presentar el Programa de Auditoría de la Seguridad de la Información. Este es un programa basado en el programa de aseguramiento establecido por COBIT 5.
- Concluir sobre los aspectos relevantes que un Auditor Interno debe considerar respecto a la Seguridad de la Información. Estos son:
- Asegurar que existe un responsable de la Seguridad de la Información en la organización.
- Asegurar que existen los procesos, procedimientos y prácticas debidamente documentadas.
- Asegurar que existen las métricas que permitan opinar a un Auditor de Sistemas, sobre la eficiencia y eficacia de las medidas de control de la Cyberseguridad.
El programa puede ser descargado a través del siguiente link:
Seguridad de la Información Enfocada en Cyberseguridad
anexo1 Medidas de Seguridad Implementadas
Detección, una categoría importante para mejorar la seguridad
La detección de amenazas puede entenderse como el “santo grial” de la Seguridad de la Información. En general, afirmamos que la seguridad es buena cuando se previene un efecto negativo sobre nuestras operaciones. Si la función de seguridad se limita a pasar un informe de los ataques recibidos todas las acciones que se pueden realizar serán para reparar daños y volver a parámetros aceptables de confidencialidad, integridad o disponibilidad. Creo que por muchos años la Seguridad de la Información ha funcionado así, pero es el deseo de la industria que esto cambie a una postura más preventiva, que incluso genere capacidad de respuesta.
La categoría de Detección en el framework de Cyberseguridad refleja el énfasis que debe darse al desarrollo de actividades que proporcionen a una organización la capacidad de actuar antes de que daños mayores se materialicen. Debo recalcar que el framework especifica claramente “actividades”. Esto indica que el personal a cargo de la Seguridad de la Información debe tener una actitud activa respecto a los eventos de cyberseguridad. Esta categoría del framework en la actualidad está siendo soportada por la mayoría de herramientas de seguridad. Para poner un ejemplo, el software utilizado para realizar un análisis de vulnerabilidades, que tradicionalmente se ha desarrollado como una actividad puntual desarrollada cada cierto tiempo, 2 o 4 veces al año, ha migrado a un software que monitorea cambios en los equipos en tiempo real, a efectos de detectar si en cada cambio que se realiza a un equipo, o en cada nuevo descubrimiento de vulnerabilidades, se ha creado una brecha de seguridad que necesita ser mitigada. Por supuesto, la evolución proporcionada por el software pasaría a no tener relevancia, si no existe una persona que tenga la responsabilidad de entender la brecha detectada, evaluar el riesgo real para la organización, priorizarla respecto al universo de riesgos que se está atendiendo y proceder acorde con su evaluación.
Entre las herramientas que pueden soportar la categoría de detección, en los últimos años han tenido un desarrollo muy profundo, las que permiten realizar un análisis en tiempo real del comportamiento de los flujos de datos. Este tipo de herramientas necesitan implementarse de rigor si se quiere de verdad “detectar” amenazas, especialmente si el total de activos a monitorear es muy grande. Definitivamente es imposible para humanos, monitorear eventos de cyberseguridad sin contar con herramientas. Las herramientas necesarias podrían clasificarse en 3 tipos: las que actúan a nivel de la red de datos, las que actúan directamente sobre los activos y las que correlacionan eventos de diversos dispositivos. A nivel de la red de datos, podemos utilizar detectores de intrusos para monitorear el tráfico que viene de Internet, así como dispositivos que escuchan el tráfico de la red interna para identificar si en el medio están pasando tráfico que pueda contener amenazas. Entre las herramientas que actúan a nivel de los activos, están los buscadores de vulnerabilidades y software de protección de malware. Finalmente, los correlacionadores de eventos, o mejor conocidos como SIEM (Security Information and Event Management) permiten utilizar las bitácoras generados por diversos equipos, adicionando la característica de la correlación, ampliando la capacidad de detección de eventos que representen amenazas.
Esto nos indica que para lograr una implementación efectiva de la categoría de detección, se debe definir una organización responsable de la detección de amenazas, dotarla de herramientas idóneas para la detección de amenazas y gestionar la información proporcionada por las herramientas para mantener un universo actualizado de riesgos, priorizarlos y dar seguimiento al cumplimiento de las acciones de acuerdo con las prioridades. Bajo este mecanismo de funcionamiento se busca reducir las sorpresas, detectando eventos que puedan causar daños a la Seguridad de la Información, anulando o mitigando cualquier impacto negativo por las acciones de la amenaza.
Protección, la segunda categoría del framework de Cyberseguridad
Instintivamente, cuando pensamos en Seguridad, se piensa en la palabra protección. Cuando pensemos en Seguridad de la Información, es importante recordar que en el contexto del Framework de Cyberseguridad del NIST, este término ocupa la segunda categoría, por lo cual, es importante primero haber identificado todos los elementos que interesa asegurar, a través de la implementación de la categoría de Identidad. (Para más información ver Identificar, el primer paso de la Cyberseguridad).
La categoría de protección en el Framework de Cyberseguridad incluye las siguientes sub-categorías: control de accesos, concientización y entrenamiento, seguridad de los datos, procesos y procedimientos de protección a la información, mantenimiento y tecnologías de protección. Tradicionalmente, los presupuestos de seguridad de una organización han sido dirigidos a la última sub-categoría, bajo el supuesto de que la tecnología por si misma puede brindar protección. Sin embargo, no ha sido suficiente. Es importante entender que la tecnología de protección, tales como antivirus, firewalls y similares, son herramientas necesarias para ser efectivos en proporcionar seguridad a la información. Sin estas herramientas la seguridad no puede ser alcanzada, pero el adquirir las herramientas no proporciona seguridad, sino se siguen procedimientos adecuados, si el personal no está consciente a un nivel aceptable de las amenazas de seguridad y si el control de accesos no ha sido establecido para garantizar que sólo personal autorizado tiene acceso a la información.
Entre los casos que puedo comentar, es típico tener una solución de antivirus, que ha sido adquirida para el total de los equipos de la organización, sin embargo, no todos los equipos de la organización tienen instalado el software, o si lo tienen, este no está actualizado para proporcionar el máximo de protección posible. Cuando esto pasa es inefectivo para la organización, no sólo porque se ha invertido dinero en algo que no es bien utilizado, sino también porque el impacto de tener fallas en la seguridad de la información, acarreará costos adicionales a la organización. Esto deja bien claro, que aparte de la herramienta, se deben implementar procedimientos que optimicen la protección. Esto incluye procedimientos de auditoría de sistemas. Como un ejemplo, al realizar una auditoría de sistemas a la implementación de medidas de seguridad, encontré que no sólo la actualización de firmas fallaba, sino también la actualización del software de antivirus. En esa ocasión, aprendí que los administradores de las herramientas de seguridad tienden a confiar en lo que les informan consolas centrales, sin preocuparse por verificar la información, aunque sea muestralmente, como se hace en la auditoría de sistemas.
Para evitar el problema de ser juez y parte, se ha creado la función de Oficial de Seguridad de la Información. Este rol debe de establecer los procedimientos de seguridad mínimos que permitan que el Plan de Seguridad de la Información sea ejecutado de manera consistente. También debe de evaluar el nivel de cumplimiento de los procedimientos y su nivel de efectividad, que le permita identificar puntos de mejora. Esto es la teoría, en la práctica de las empresas del área centroamericana, este rol aun no es entendido por la alta dirección, que lo ven como una tarea adicional del Gerente de Sistemas o de alguien en informática. Si alguien de la Alta Dirección de una empresa lee esto, es importante que entienda que las amenazas informáticas evolucionan diariamente, por lo tanto la protección contra esas amenazas no puede ser pensada de manera estática y requiere de constante medición, evaluación y adecuación.
Gestión y Auditoría de TI 