Auditoría Interna y los hackers

Evaluar controles técnicos y estrategias de IT, compras, etcétera. A priori, este es el más obvio de todos porque todo aquel que contrata quiere evaluar controles técnicos. Pero los resultados de los informes, reflejan eso? Por lo general: NO. Solo reflejan agujeros de seguridad. Si el área de auditoria toma un informe de estos difícilmente entienda algo, pero si las áreas interesadas se reúnen, el resultado podría aportar información a la empresa sobre gestión, como por ejemplo: ¿Qué equipos o servicios se han comprado durante el año en el área ( IT/Seguridad/Infraestructura/Comunicaciones/Operaciones/etcétera)? En caso de poder hacer una comparación, esas compras o contrataciones ¿han permitido reducir brechas respecto a años anteriores? En caso de no poder hacer esa comparación, esas compras o contrataciones ¿han permitido mitigar de alguna manera la aparición de nuevas debilidades? En un informe técnico el nivel de detalle es importante para ir corrigiendo las pequeñas cosas que pueden causar grandes problemas. En un informe ejecutivo de auditoría, los detalles no importan, lo que importa es lo que se quiere medir más allá de un control determinado, como por ejemplo si la empresa invirtió bien o no.

Evaluar procesos y procedimientos. Un informe técnico de un test de intrusión entrega resultados del tipo: “Hemos detectado la vulnerabilidad conocida como MS08-067 por la cual hemos podido tomar control remoto del equipo tras su ejecución…”. El informe ejecutivo realizado por un técnico diría algo como: “se ha detectado la falta de parches de seguridad y/o actualización de algunos de los sistemas…” Pero si nos alejamos un poco y miramos el proceso macro, podríamos diferenciar e identificar si éste es un problema de un solo parche en un equipo, o si la ausencia de actualizaciones en varios de ellos y con un tiempo excesivo desde que fue desarrollado nos está indicando que no existe, o es ineficiente, un procedimiento adecuado para el monitoreo e implementación de parches dentro de la compañía (o en un sector de ella).

Evaluar campañas de concientización, métricas. Siempre se discute si las campañas de concientización son efectivas o no, si son un gasto necesario o si son un gasto absurdo, si los usuarios pueden cambiar sus hábitos o si es una mentira de las consultoras.  Lo importante no es solo armar campañas dando charlas, videos y demás, sino medir su efectividad.
En un test de ingeniería social esto se puede lograr, pero de nuevo, el área ejecutora difícilmente sea auditoría, sin embargo sería positivo que pueda evaluar como se diseño, quienes participaron en el diseño, si se tuvieron en cuenta las edades del publico objetivo como también sus usos y costumbres, la estructura organizacional, la forma en que se midió, etcétera.