AUDITORÍA – Estrategias para auditorías NIS2 que cumplen con el estándar.

INTRODUCCIÓN

La auditoría operativa se ha vuelto una herramienta clave para garantizar la conformidad y efectividad de los sistemas de gestión, especialmente en el contexto de la normativa ISO y el Reglamento General de Protección de Datos (RGPD). La auditoría ofrece a las organizaciones la oportunidad de detectar ineficiencias, resguardar datos sensibles y asegurar el cumplimiento normativo, protegiendo así la integridad de las operaciones y la información. En este artículo se explorarán aspectos concretos y prácticos para llevar a cabo una auditoría operativa efectiva, alineada con la norma ISO 27001 para la gestión de la seguridad de la información y RGPD en el ámbito de protección de datos.

SECCIÓN 1 – OBJETIVO DE LA AUDITORÍA SEGÚN LA NORMA

El objetivo principal de la auditoría operativa, conforme a la norma ISO 27001, es evaluar si el Sistema de Gestión de Seguridad de la Información (SGSI) se está gestionando adecuadamente y si se cumplen los requisitos establecidos en el capítulo 9, «Evaluación del desempeño». Según el Artículo 5 del RGPD, se debe demostrar la responsabilidad de las organizaciones en la protección de datos personales.

Requisitos a verificar:

• ISO 27001: Cumplimiento de los controles de seguridad definidos en el Anexo A.
• RGPD: Evaluar el cumplimiento de los principios de tratamiento de datos establecidos en el Artículo 5, así como la gestión de derechos de los interesados.
• ISO 9001: Criterios de calidad en la gestión de procesos definidos en la cláusula 9 sobre la evaluación del desempeño.

SECCIÓN 2 – PLANIFICACIÓN DE LA AUDITORÍA OPERATIVA

Definición del alcance

Definir el alcance de la auditoría es crucial. Deberá incluir los procesos, unidades de negocio y sistemas de información relevantes para la organización, así como las áreas de tratamiento de datos. También será clave determinar las limitaciones potenciales.

Recopilación de documentación

Es esencial compilar toda la documentación pertinente, que incluye:

• Políticas de seguridad de la información.
• Registros de actividades de tratamiento (RGPD).
• Informes de auditorías anteriores.
• Documentación sobre incidentes de seguridad y sus resoluciones.

Identificación de procesos críticos

Analizar y definir los procesos críticos relacionados con la seguridad de la información y la protección de datos asegura que se evalúen adecuadamente los puntos más sensibles de la organización.

Matriz de riesgos/controles

Desarrollar una matriz de riesgos y controles permitirá tener una visión clara de las amenazas y las medidas de seguridad implementadas, alineándolas con los requisitos del ISO 27001 y del RGPD.

SECCIÓN 3 – LISTA DE VERIFICACIÓN DE LA AUDITORÍA OPERATIVA

A continuación, se presenta una lista de verificación detallada que puede ser utilizada como base para la auditoría operativa.

• Identificación y clasificación de datos personales:

  • Comprobación de que los datos personales se identifiquen y clasifiquen adecuadamente.

• Consentimiento del interesado:

  • Verificación de que existe evidencia del consentimiento informado y explícito para el tratamiento de datos.

• Acceso a la información:

  • Examen de los controles de acceso a datos personales y su alineación con la política de seguridad.

• Procedimientos de notificación de brechas:

  • Análisis de la existencia y eficacia de los procedimientos para notificar incidencias de seguridad (Art. 33 RGPD).

• Evaluaciones de impacto:

  • Comprobación de que se realizan evaluaciones de impacto sobre la protección de datos (DPIA) cuando es necesario.

• Formación y concienciación:

  • Validación de que se proporciona formación a los empleados sobre seguridad de la información y protección de datos.

SECCIÓN 4 – NO CONFORMIDADES TÍPICAS ENCONTRADAS

Durante las auditorías operativas, es común encontrar ciertos tipos de no conformidades. Estas pueden incluir:

• Falta de documentación: Ausencia de políticas y procedimientos actualizados que regulen el tratamiento de datos personales.

• Inadecuada gestión del consentimiento: Falta de registros adecuados de consenso y dificulta en la demostración de su obtención.

• Control de accesos ineficiente: Políticas de control de acceso no adecuadamente definidas, permitiendo accesos no autorizados.

• Deficiencias en la notificación de brechas: Procedimientos de notificación inadecuados o inexistentes.

• Falta de capacitación: Ausencia de programas de formación que generen conciencia sobre la importancia de la protección de datos.

SECCIÓN 5 – CÓMO ESTRUCTURAR EL INFORME DE AUDITORÍA

La elaboración del informe de auditoría debe incluir al menos los siguientes elementos:

• Resumen ejecutivo: Resumen de los hallazgos más relevantes.

• Alcance de la auditoría: Detalle el alcance definido y las áreas auditadas.

• Metodología: Descripción de la metodología utilizada en la auditoría.

• Hallazgos:

  • Detallar las no conformidades y las áreas de mejora encontradas.
  • Incluir evidencias documentales que soporten los hallazgos.

• Recomendaciones: Sugerir acciones correctivas a implementar.

Instrucciones sobre cómo documentar hallazgos, observaciones y acciones correctivas

Cada hallazgo debe ser documentado con un número de referencia único, que debe incluir:

• Descripción de la no conformidad.
• Evidencia que respalde el hallazgo.
• Implicaciones o riesgos asociados.
• Recomendaciones de acciones correctivas y su fecha límite.

SECCIÓN 6 – SOPORTE OPERATIVO CON EL SOFTWARE AUDIT MANAGER

El uso de un software especializado como Audit Manager puede facilitar enormemente la gestión de auditorías. A través de esta herramienta, se pueden realizar las siguientes funciones:

• Planificación de auditorías: Permite programar actividades, asignar auditores y definir plazos.

• Gestión de listas de verificación: Ayuda a crear y gestionar listas de verificación personalizadas según los requisitos normativos.

• Registro de no conformidades: Facilita el registro, seguimiento y resolución de no conformidades detectadas.

• Seguimiento de acciones correctivas: Permite monitorear el progreso en la implementación de las acciones correctivas asignadas.

• Archivo de evidencias: Ofrece una plataforma para almacenar y acceder a la documentación y evidencias requeridas.

• Generación de informes estructurados: Facilita la elaboración de informes de auditoría que cumplen con los estándares requeridos.

Para más información, se puede acceder a la página del software Audit Manager a través del siguiente enlace: Audit Manager

CONCLUSIÓN

Realizar una auditoría operativa de manera estructurada y documentada es esencial para garantizar el cumplimiento normativo y la protección de datos en la organización. Un proceso bien definido y apoyado por herramientas adecuadas mejora la eficacia en la gestión de riesgos y asegura una respuesta adecuada ante cualquier eventualidad.