Gestión estratégica de seguridad en la empresa - Anetcom

82
Si lo deseado es un resultado homogéneo, la entidad puede basar la auditoría
en la utilización de herramientas automatizadas o metodologías abiertas. En
ambos casos, se sabe qué pruebas se están realizando y salvo cambios de
versión, se obtendrán siempre los mismos tipos de resultados.
Por el contrario, en auditorías especializadas los resultados de la auditoría
serán tan buenos como la experiencia y el conocimiento del auditor. De
hecho, ocasionalmente identificar problemas es cuestión de experiencia e
incluso intuición.
Otro aspecto de consideración, a la hora de planificar la auditorías es la
periodicidad con la que se deben realizar. De hecho lo ideal es auditar con
cierta frecuencia para verificar que el trabajo se está realizando correctamente.
Sin embargo, es importante seleccionar y temporizar adecuadamente lo
que se va a revisar. La periodicidad debería estar asociada a la capacidad y a
los recursos disponibles para solucionar los problemas e incumplimiento
detectados en la auditoría anterior. Salvo casos específicos, ¿para qué se querría
analizar algo que sabemos que se encuentra exactamente en el mismo
estado que la auditoría anterior?
En determinados casos, los aspectos a auditar y su frecuencia vienen determinados
por elementos ajenos a una organización. Este caso, puede ser el que
viene impuesto por la LOPD que determina que las auditorías se deberán realizar
sobre un determinado tipo de ficheros y con una frecuencia bienal.
Otros de los aspectos que puede incrementar considerablemente la frecuencia
en la realización de auditorías son los cambios. Estos cambios son muy
comunes en determinados sectores en los cuales los cambios tecnológicos u
organizativos están a la orden del día.
Finalmente, los resultados de las auditorías son otro factor importante. De
poco sirve realizar un buen trabajo, en este sentido, si los resultados caen en
saco roto. Una vez obtenidos los resultados de cualquier tipo de auditoría de
seguridad se deberá realizar un plan de acción. Por un lado, se deberán priorizar
las no conformidades y/o debilidades. Por otro lado, se deberá estimar el
esfuerzo para solucionarlas. Se deberán asignar los responsables de solucionarlas,
establecer fechas límite y canales de soporte y, sobre todo, articular los
mecanismos apropiados para que no se reproduzcan.