Las auditorías de ciberseguridad pasaron de ser una tarea técnica a un componente de la gestión del riesgo, el cumplimiento y la continuidad del negocio.
Una auditoría de ciberseguridad es la evaluación sistemática de los controles, sistemas y procesos de seguridad de una organización, realizada por especialistas que identifican vulnerabilidades antes de que un atacante las explote. Su relevancia responde a un patrón que se repite en organizaciones de distintos sectores. Muchos de los incidentes de mayor impacto están asociados a vulnerabilidades que una evaluación preventiva habría permitido identificar con anticipación, por una fracción del costo.
En Colombia, la presión ya no viene solo de los atacantes. La Superintendencia de Industria y Comercio, autoridad de protección de datos, tiene facultades sancionatorias frente a las organizaciones que no demuestren controles verificables sobre la información personal que administran bajo la Ley 1581, y la Superintendencia Financiera exige a sus entidades vigiladas una gestión formal del riesgo de ciberseguridad. A esto se suma un factor comercial. Cada vez más contratos, especialmente con clientes internacionales y del sector financiero, exigen evidencia de auditorías de seguridad antes de firmar.
El costo de no hacer una auditoría de ciberseguridad
Durante años, la auditoría de ciberseguridad se trató como un trámite del área de tecnología. Esa lectura quedó atrás. Hoy es una variable de gestión del riesgo que puede reducir la probabilidad y el impacto de un incidente, además de disminuir costos asociados a la recuperación de sistemas, consultorías de emergencia y paradas de operación.
Según una estimación realizada por TI Rescue, para una empresa mediana de 40 empleados una sola interrupción de operaciones durante cuatro horas puede representar cerca de 24,5 millones de pesos entre pérdida de productividad, lucro cesante y costos de recuperación. La misma metodología estima ahorros anuales cercanos a los 32 millones de pesos cuando la organización audita y corrige de forma preventiva, gracias a la reducción de fallos técnicos, menores gastos por urgencias externas y una menor exposición legal.
“La pregunta que le hacemos a las gerencias no es cuánto cuesta una auditoría, sino cuánto cuesta el incidente que no se detectó a tiempo. Cuando el riesgo se traduce a pesos, la decisión deja de ser técnica y se vuelve obvia”, señala Farzad Hassanshahi, CEO y fundador de TI Rescue.
¿Cuándo hacer una auditoría de ciberseguridad?
Hay cinco momentos que, en la práctica, suelen justificar una auditoría. Cuando un cliente o socio comercial la exige como condición contractual; cuando un regulador solicita evidencia de controles; después de un incidente o intento de intrusión; tras cambios significativos de infraestructura, como migraciones a la nube, nuevas aplicaciones o fusiones; y como práctica periódica, al menos una vez al año, para organizaciones que manejan datos sensibles.
Como criterio práctico, varios especialistas coinciden en que si una organización no recuerda cuándo realizó su última auditoría, probablemente ya acumula un rezago.
¿Qué incluye una auditoría de ciberseguridad? Tres niveles
No todas las auditorías son iguales, y esa diferencia explica por qué algunas empresas auditadas siguen siendo vulnerables. Las evaluaciones más completas suelen desarrollarse en tres niveles.
Cumplimiento. Evalúa el sistema de gestión de seguridad de la información frente a estándares internacionales como ISO 27001. Incluye infraestructura, control de accesos, seguridad en la nube y gestión de riesgos. Es el nivel que con mayor frecuencia exigen reguladores y clientes corporativos.
Aplicaciones. Analiza el software expuesto a internet, como aplicaciones web, APIs y portales de clientes, frente a vulnerabilidades ampliamente conocidas según estándares como OWASP, entre ellas inyección de código, fallos de autenticación y configuraciones inseguras.
Simulación de ataque real (Red Team). Es el nivel más avanzado. Especialistas en seguridad ofensiva replican las tácticas de un atacante para medir la capacidad de detección y respuesta de la organización. Más que revisar políticas y documentación, este tipo de ejercicios pone a prueba la respuesta real de la empresa frente a un incidente.
El orden también importa. Una organización puede cumplir con la norma y, aun así, no haber validado cómo respondería frente a un ataque real.
Qué exigirle a una empresa de auditoría de ciberseguridad
En un mercado donde abundan proveedores con distintos niveles de experiencia, un criterio básico consiste en verificar las certificaciones y capacidades técnicas del auditor. Es decir, exigirle al auditor lo mismo que él va a exigir.
TI Rescue opera bajo cuatro certificaciones ISO auditadas por ICONTEC, entre ellas ISO 27001 para seguridad de la información, ISO 9001 para gestión de calidad, ISO 20000-1 para servicios de TI e ISO 22301 para continuidad del negocio. Su equipo especializado en seguridad ofensiva cuenta además con certificaciones internacionales como CRTP, PNPT, CEH Master y los laboratorios profesionales de Hack The Box.
La compañía, fundada en Medellín en 2015, presta servicios a organizaciones de sectores como el financiero, salud, gobierno y manufactura.
Auditoría de inteligencia artificial, la disciplina que comienza a tomar forma
El alcance de las auditorías también evoluciona con la inteligencia artificial. Por un lado, los atacantes utilizan IA para automatizar campañas de phishing, generar suplantaciones de voz e imagen y acelerar la identificación de vulnerabilidades. Por otro lado, las propias herramientas de IA adoptadas por las empresas representan una nueva superficie de riesgo.
De ahí surge la auditoría de inteligencia artificial, una disciplina orientada a evaluar los modelos, agentes e integraciones de IA que utiliza una organización. El análisis revisa qué datos consumen estos sistemas, cómo circula la información confidencial, qué permisos tienen, qué procesos automatizan y qué mecanismos de trazabilidad existen.
Se trata de un campo todavía emergente, aunque cada vez más organizaciones incorporan inteligencia artificial en procesos críticos. Algunas firmas especializadas en ciberseguridad ya incluyen estas evaluaciones dentro del alcance de sus auditorías, entre ellas TI Rescue.
Por esa razón, las auditorías dejaron de ser un ejercicio anual para convertirse en un proceso continuo que evoluciona al mismo ritmo que las tecnologías implementadas por las organizaciones.
La auditoría como parte de la gestión del riesgo
Las organizaciones que evalúan de forma preventiva sus sistemas de seguridad suelen detectar y contener incidentes con mayor rapidez, menores costos y un impacto reputacional más controlado que aquellas que reaccionan únicamente después de un ataque.
Para muchas empresas latinoamericanas, las auditorías de ciberseguridad dejaron de ser una tarea exclusiva del área de TI. Hoy forman parte de la gestión del riesgo, el cumplimiento regulatorio y la continuidad del negocio, especialmente en un entorno donde la adopción de inteligencia artificial amplía la superficie de exposición.
Conozca más sobre cómo realizar una auditoría de ciberseguridad de forma correcta.