01Auditorías técnicas vs. auditorías de cumplimiento
Las auditorías de cumplimiento verifican si un sistema de gestión satisface requisitos definidos – por ejemplo, las auditorías internas según ISO/IEC 27001 (capítulo 9.2) o las auditorías de certificación y seguimiento realizadas por organismos acreditados. Las auditorías de seguridad técnicas actúan un nivel más abajo: miden el estado real de sistemas concretos – configuraciones, permisos, conjuntos de reglas – frente a una referencia técnica como un CIS Benchmark o un módulo IT-Grundschutz. Ambas perspectivas se complementan: la auditoría de cumplimiento acredita un proceso que funciona; la auditoría técnica, el grado real de bastionado. Por tanto, un certificado por sí solo dice poco sobre la calidad de configuración de los sistemas individuales – y viceversa.
02Formatos habituales: AD, M365, firewall, arquitectura
En la práctica se han consolidado formatos focalizados. Una auditoría de seguridad de Active Directory examina las estructuras de permisos y delegación, las cuentas y grupos privilegiados, las relaciones de confianza y el bastionado de los controladores de dominio – como sistema central de identidades, el AD es un objetivo de ataque preferente. Una auditoría de configuración de M365/cloud evalúa la configuración del tenant, las políticas de identidad y acceso, el registro de eventos y los recursos compartidos externos frente a catálogos como el CIS Microsoft 365 Foundations Benchmark. La revisión del conjunto de reglas del firewall analiza la base de reglas en busca de aperturas demasiado amplias y de reglas huérfanas y redundantes, así como el proceso de cambios; una revisión de arquitectura evalúa de forma transversal la segmentación de red, los conceptos de zonas y las vías de acceso administrativas.
03Referencias I: CIS Benchmarks y baselines de fabricantes
Los CIS Benchmarks del Center for Internet Security son directrices de configuración basadas en consenso y neutrales respecto a los fabricantes – más de 100 guías para más de 25 familias de productos, desde sistemas operativos y plataformas cloud hasta componentes de red. Cada recomendación indica el valor objetivo seguro junto con los pasos de verificación e implementación; la mayoría de los benchmarks se estructuran en dos perfiles: Level 1 para una protección básica con bajo impacto operativo, Level 2 para necesidades de protección elevadas. Además, los fabricantes mantienen sus propias baselines: Microsoft publica Security Baselines actualizadas de forma continua para Windows, Windows Server y otros productos, que pueden compararse con las directivas de grupo existentes mediante el Security Compliance Toolkit. Para las auditorías rige una regla: la referencia, la versión y el perfil deben figurar explícitamente en el informe – de lo contrario, los resultados no son reproducibles.
04Referencias II: módulos del BSI IT-Grundschutz
El compendio IT-Grundschutz del BSI (Edition 2023) contiene 111 módulos distribuidos en diez capas y formula, para cada módulo, requisitos básicos y estándar, así como requisitos para necesidades de protección elevadas. Para las auditorías técnicas resultan especialmente relevantes los módulos próximos a los sistemas, como APP.2.2 Active Directory Domain Services – revisado por completo para la edición 2023 – o NET.3.2 Firewall. Frente a las especificaciones de configuración detalladas de los CIS Benchmarks, los módulos IT-Grundschutz son más abstractos, pero cubren también aspectos organizativos y operativos y pueden vincularse directamente a un SGSI según los estándares del BSI o ISO/IEC 27001. El BSI está transformando actualmente el IT-Grundschutz en un cuerpo normativo digital plenamente orientado a procesos, cuyas reglas podrán evaluarse también de forma automatizada; según el BSI, el compendio seguirá siendo aplicable durante el periodo de transición de varios años.
05Metodología e informes
Metodológicamente, las auditorías de seguridad se orientan por ISO 19011, las directrices para la auditoría de sistemas de gestión: objetivos y criterios de auditoría definidos, un programa de auditoría planificado y hallazgos basados en evidencias. El desarrollo típico: definición del alcance (sistemas, referencia, necesidades de protección), recopilación de datos mediante exportaciones de configuración, accesos de solo lectura con herramientas, entrevistas y revisión documental; a continuación, la comparación con la referencia y la valoración de cada desviación en su contexto – no toda desviación constituye un riesgo si existen controles compensatorios. El informe separa un resumen ejecutivo con la visión global y los principales riesgos de la parte técnica, en la que cada hallazgo se documenta con evidencia, valoración del riesgo y una recomendación concreta. Lo decisivo es priorizar según el riesgo real y no según el mero grado de cumplimiento de una lista de verificación.
06Una periodicidad razonable
No existe un ritmo de auditoría universalmente vinculante para las auditorías técnicas – la periodicidad debe definirse en función del riesgo. Una práctica consolidada es auditar anualmente los sistemas críticos como Active Directory, los firewalls centrales y los tenants cloud, y además tras cambios significativos (migraciones, nuevas plataformas, fusiones empresariales). En el plano del cumplimiento, ISO/IEC 27001 exige auditorías internas a intervalos planificados (capítulo 9.2); los certificados siguen un ciclo de tres años con auditorías de seguimiento anuales. Dado que los CIS Benchmarks y las baselines de los fabricantes se actualizan continuamente y las configuraciones derivan durante la operación, muchas organizaciones complementan las auditorías puntuales con una supervisión continua de configuraciones apoyada en herramientas.
