Auditorías de seguridad TI con una referencia clara

Las auditorías de cumplimiento verifican si un sistema de gestión satisface requisitos definidos – por ejemplo, las auditorías internas según ISO/IEC 27001 (capítulo 9.2) o las auditorías de certificación y seguimiento realizadas por organismos acreditados. Las auditorías de seguridad técnicas actúan un nivel más abajo: miden el estado real de sistemas concretos – configuraciones, permisos, conjuntos de reglas – frente a una referencia técnica como un CIS Benchmark o un módulo IT-Grundschutz. Ambas perspectivas se complementan: la auditoría de cumplimiento acredita un proceso que funciona; la auditoría técnica, el grado real de bastionado. Por tanto, un certificado por sí solo dice poco sobre la calidad de configuración de los sistemas individuales – y viceversa.

En la práctica se han consolidado formatos focalizados. Una auditoría de seguridad de Active Directory examina las estructuras de permisos y delegación, las cuentas y grupos privilegiados, las relaciones de confianza y el bastionado de los controladores de dominio – como sistema central de identidades, el AD es un objetivo de ataque preferente. Una auditoría de configuración de M365/cloud evalúa la configuración del tenant, las políticas de identidad y acceso, el registro de eventos y los recursos compartidos externos frente a catálogos como el CIS Microsoft 365 Foundations Benchmark. La revisión del conjunto de reglas del firewall analiza la base de reglas en busca de aperturas demasiado amplias y de reglas huérfanas y redundantes, así como el proceso de cambios; una revisión de arquitectura evalúa de forma transversal la segmentación de red, los conceptos de zonas y las vías de acceso administrativas.

Los CIS Benchmarks del Center for Internet Security son directrices de configuración basadas en consenso y neutrales respecto a los fabricantes – más de 100 guías para más de 25 familias de productos, desde sistemas operativos y plataformas cloud hasta componentes de red. Cada recomendación indica el valor objetivo seguro junto con los pasos de verificación e implementación; la mayoría de los benchmarks se estructuran en dos perfiles: Level 1 para una protección básica con bajo impacto operativo, Level 2 para necesidades de protección elevadas. Además, los fabricantes mantienen sus propias baselines: Microsoft publica Security Baselines actualizadas de forma continua para Windows, Windows Server y otros productos, que pueden compararse con las directivas de grupo existentes mediante el Security Compliance Toolkit. Para las auditorías rige una regla: la referencia, la versión y el perfil deben figurar explícitamente en el informe – de lo contrario, los resultados no son reproducibles.

El compendio IT-Grundschutz del BSI (Edition 2023) contiene 111 módulos distribuidos en diez capas y formula, para cada módulo, requisitos básicos y estándar, así como requisitos para necesidades de protección elevadas. Para las auditorías técnicas resultan especialmente relevantes los módulos próximos a los sistemas, como APP.2.2 Active Directory Domain Services – revisado por completo para la edición 2023 – o NET.3.2 Firewall. Frente a las especificaciones de configuración detalladas de los CIS Benchmarks, los módulos IT-Grundschutz son más abstractos, pero cubren también aspectos organizativos y operativos y pueden vincularse directamente a un SGSI según los estándares del BSI o ISO/IEC 27001. El BSI está transformando actualmente el IT-Grundschutz en un cuerpo normativo digital plenamente orientado a procesos, cuyas reglas podrán evaluarse también de forma automatizada; según el BSI, el compendio seguirá siendo aplicable durante el periodo de transición de varios años.

Metodológicamente, las auditorías de seguridad se orientan por ISO 19011, las directrices para la auditoría de sistemas de gestión: objetivos y criterios de auditoría definidos, un programa de auditoría planificado y hallazgos basados en evidencias. El desarrollo típico: definición del alcance (sistemas, referencia, necesidades de protección), recopilación de datos mediante exportaciones de configuración, accesos de solo lectura con herramientas, entrevistas y revisión documental; a continuación, la comparación con la referencia y la valoración de cada desviación en su contexto – no toda desviación constituye un riesgo si existen controles compensatorios. El informe separa un resumen ejecutivo con la visión global y los principales riesgos de la parte técnica, en la que cada hallazgo se documenta con evidencia, valoración del riesgo y una recomendación concreta. Lo decisivo es priorizar según el riesgo real y no según el mero grado de cumplimiento de una lista de verificación.

No existe un ritmo de auditoría universalmente vinculante para las auditorías técnicas – la periodicidad debe definirse en función del riesgo. Una práctica consolidada es auditar anualmente los sistemas críticos como Active Directory, los firewalls centrales y los tenants cloud, y además tras cambios significativos (migraciones, nuevas plataformas, fusiones empresariales). En el plano del cumplimiento, ISO/IEC 27001 exige auditorías internas a intervalos planificados (capítulo 9.2); los certificados siguen un ciclo de tres años con auditorías de seguimiento anuales. Dado que los CIS Benchmarks y las baselines de los fabricantes se actualizan continuamente y las configuraciones derivan durante la operación, muchas organizaciones complementan las auditorías puntuales con una supervisión continua de configuraciones apoyada en herramientas.