Gestión estratégica de seguridad en la empresa - Anetcom

entidad. Generalmente, se definirán distintas tipologías de usuarios y se seleccionará
una población de ellos para extrapolar posteriormente los resultados.
Existe un continuo debate sobre si las auditorías las debe realizar personal de
la propia entidad o se debe contratar a una empresa externa. Lo cierto, es que
las auditorías debieran ser lo más objetivas posible. Generalmente, una
empresa externa será “más objetiva”; sin embargo, no conocerá los recovecos
de la entidad auditada. Con la finalidad de ser objetivos, es conveniente
disponer de plantillas específicas para la realización de las auditorías. Considerando
el ejemplo anterior, un auditor interno evitará entrar en conflicto con
sus compañeros. En consecuencia, evitará ser exigente; sin embargo, si tiene
que rellenar una plantilla en la que deba especificar concretamente los resultados
de la misma, se estará responsabilizando de los resultados.
Por ejemplo, se pueden establecer las siguientes pruebas si la política de la
entidad establece que el antivirus se actualizará continuamente, que queda
prohibida la instalación de software que no sea corporativo y que no se
podrán almacenar ficheros de uso privado.
• Nombre de la estación de trabajo.
• Dispone el equipo de antivirus (S/N).
• Antivirus (producto y versión).
• Fecha de la actualización del antivirus (–/–/–)
• Listado de las aplicaciones instaladas (Instrucciones para listar la totalidad
de las aplicaciones instaladas en el equipo y guardarlo en un fichero
– posteriormente se deberá verificar cuáles son y cuáles no son corporativas).
• Listado de ficheros (instrucciones para realizar búsquedas de ficheros
mp3, jpg, etc.)
En otras ocasiones no es tan sencillo encontrar tal objetividad. Este es el caso
por ejemplo de la auditorías técnicas intrusivas (test de intrusión, hacking ético,
etc.). En esta tipología de auditorías hay que decidir entre buscar unos
resultados homogéneos y su nivel de profundidad o detalle.
En este sentido, hay quienes prefieren o buscan un grado de seguridad medio
para toda su organización y hay quienes prefieren buscar algo sencillo para la
totalidad y algo profundo para sus aspectos más críticos.
81