Introduccion
En el contexto actual de las organizaciones modernas, donde los sistemas
de información son fundamentales para la operatividad, la auditoría
informática se convierte en una herramienta esencial para garantizar la
integridad, disponibilidad y confidencialidad de los activos tecnológicos.
En un entorno corporativo cada vez más digitalizado, las empresas
dependen de infraestructuras tecnológicas robustas y seguras para operar
con eficiencia y continuidad. Sin embargo, esta dependencia ha expuesto a
las organizaciones a una serie de amenazas informáticas que comprometen
la confidencialidad, integridad y disponibilidad de la información.
Amenazas como ataques cibernéticos, fugas de información, accesos no
autorizados y vulnerabilidades en sistemas críticos exigen una gestión
rigurosa de la seguridad informática.
(nombre de la empresa) dedicada al desarrollo de soluciones tecnológicas,
ha identificado la necesidad de evaluar de forma integral la eficacia de sus
mecanismos de seguridad informática. Aunque la organización ha adoptado
diversas herramientas y políticas de protección, persisten incertidumbres
respecto a su cumplimiento, actualización y alineación con las mejores
prácticas del sector.
Ante esta situación, se plantea la necesidad de realizar una auditoría de
seguridad informática que permita diagnosticar las condiciones actuales,
detectar brechas en los controles, verificar el nivel de cumplimiento de las
políticas establecidas y proponer medidas correctivas.
La metodología COBIT 5 ofrece un marco de referencia adecuado para
estructurar la auditoría, al enfocarse en la gobernanza y gestión de procesos
tecnológicos desde una perspectiva alineada con los objetivos del negocio.
Empresa
Nombre: Technoversa S.A.
Rubro: Desarrollo de software empresarial y soluciones tecnológicas
personalizadas
Ubicación: Bogotá, Colombia
Tamaño: Mediana empresa (120 empleados)
Infraestructura tecnológica:
Servidores físicos y virtuales
Plataforma de correo electrónico empresarial
Aplicaciones en la nube (CRM, ERP)
Red interna con acceso segmentado
Políticas básicas de ciberseguridad
Problemática detectada:
A pesar de contar con ciertas políticas de seguridad, la empresa no ha
realizado auditorías formales, lo que genera vacíos de control, falta de
documentación en los protocolos de respuesta ante incidentes y posibles
riesgos de intrusión, pérdida de datos o interrupción del servicio.
Tipo de Auditoría Seleccionado
Auditoría de Seguridad Informática
Esta auditoría tiene como objetivo evaluar la protección de los sistemas,
redes, equipos y datos de la organización, con un enfoque en la prevención,
detección y respuesta ante amenazas. La auditoría examina políticas,
prácticas, mecanismos de autenticación, sistemas de monitoreo, planes de
contingencia y niveles de concienciación del personal.
Metodología Seleccionada: COBIT 5
Se utilizará el marco de referencia COBIT 5, dado su enfoque en gobierno y
gestión alineados con los objetivos de negocio.
COBIT 5 es un marco de referencia integral que permite alinear el gobierno y
la gestión de los recursos tecnológicos con los objetivos estratégicos de una
organización. Su enfoque basado en procesos, principios y facilitadores
permite estructurar una auditoría profunda, sistemática y orientada a la
mejora continua.
Principios de COBIT 5:
Satisfacer las necesidades de las partes interesadas: Alinear los objetivos de
seguridad con las expectativas de interés.
Cubrir la empresa de extremo a extremo: Integrar la seguridad en todos los
niveles y funciones de la organización.
Aplicar un marco único e integrado: Unificar las prácticas de seguridad bajo
un marco coherente.
Habilitar un enfoque holístico: Considerar todos los factores que afectan la
seguridad, incluyendo procesos, personas y tecnología.
Separar la gobernanza de la gestión: Definir claramente las
responsabilidades de supervisión y ejecución en materia de seguridad.
Fases de la Metodología cobit 5
Evaluación del Entorno y Contexto
Identificación de los objetivos estratégicos del negocio
Determinación de las áreas críticas para la operación
Análisis de riesgos internos y externos
Priorización de activos digitales y procesos clave
Identificación de Procesos Relevantes
APO13: Gestionar la seguridad.
DSS05: Gestionar los servicios de seguridad.
MEA02: Monitorear, evaluar y valorar el sistema de control interno
Establecimiento de Objetivos de Control
Asegurar la integridad, confidencialidad y disponibilidad de la información
Prevenir accesos no autorizados
Garantizar la continuidad del servicio
Evaluar la efectividad de las políticas de seguridad existentes
Recolección de Evidencia
Revisión documental (políticas, manuales, planes de contingencia)
Entrevistas a personal clave
Pruebas técnicas de penetración (simuladas)
Evaluación de registros de acceso y monitoreo
Análisis de Resultados
Comparación contra estándares y buenas prácticas
Identificación de desviaciones, brechas y no conformidades
Evaluación del impacto y probabilidad de cada hallazgo
Elaboración de Recomendaciones
Diseño de controles faltantes
Refuerzo de mecanismos existentes
Propuesta de acciones de mejora
Cronograma de implementación
Objetivos de la auditoria
Verificar el nivel de protección frente a amenazas internas y externas
Evaluar el cumplimiento de políticas de seguridad informática
Identificar riesgos de seguridad que puedan afectar la continuidad del
negocio.
Proponer soluciones prácticas que reduzcan riesgos
Fortalecer la gobernanza de los recursos tecnológicos
Verificar los controles de acceso físico y lógico a la infraestructura.
Revisar la política de respaldo y recuperación.
Alcance de la Auditoría
Áreas auditadas:
Infraestructura de red
Control de accesos
Dispositivos de almacenamiento
Sistemas de autenticación
Políticas de uso de información
Exclusiones:
Procesos financieros
Auditoría del código fuente de software propio
Duración estimada: 4 semanas
Equipo auditor: 3 especialistas en seguridad informática
Lista de Verificación de Controles (Checklist)
gráfico adicional
