Cómo realizar una auditoría de ciberseguridad fiable

Las nuevas tecnologías permiten obtener de forma continua datos objetivos en tiempo real que amplían y completan los obtenidos con los métodos tradicionales utilizados en la auditoría de ciberseguridad y la hacen más fiable.

Una auditoría de ciberseguridad es un proceso de evaluación y análisis de los sistemas, redes y prácticas de seguridad de una organización. Su objetivo es identificar vulnerabilidades, riesgos y deficiencias en la estrategia de ciberseguridad corporativa, así como evaluar el cumplimiento con estándares y regulaciones. Las auditorías de ciberseguridad son fundamentales para garantizar la protección de los activos digitales, datos confidenciales y la continuidad del negocio.

Formas tradicionales de realizar una auditoría de ciberseguridad

Hasta la irrupción de las últimas tecnologías, para realizar una auditoría de ciberseguridad se utilizaba, principalmente, la Seguridad Ofensiva y la Due Diligence.

Seguridad Ofensiva y Pentesting

La Seguridad Ofensiva implica la aplicación de técnicas de hacking ético y pruebas de penetración para identificar y remediar vulnerabilidades en sistemas, redes y aplicaciones.
La prueba de penetración, comúnmente conocida como «pentesting», constituye el centro de la Seguridad Ofensiva. Se trata de un proceso controlado y autorizado que simula un ataque cibernético contra un sistema, red, aplicación o infraestructura. Su objetivo es identificar y corregir vulnerabilidades antes de que puedan ser explotadas.

El pentesting se lleva a cabo utilizando diversas técnicas, herramientas y metodologías, con el fin de evaluar la fortaleza de las defensas de un sistema desde la perspectiva de un atacante potencial. Los profesionales de la seguridad informática ejecutan estos ataques simulados de manera ética y legal, asegurándose de no causar daño ni interrupción en los sistemas evaluados.
El proceso de pentesting sigue, generalmente, las siguientes etapas:

Reconocimiento: Consiste en recopilar información sobre el objetivo del pentesting, incluyendo direcciones IP, nombres de dominio, tecnologías utilizadas, y posibles puntos de entrada.
Enumeración: Se lleva a cabo un análisis más profundo para identificar servicios activos, puertos abiertos, y posibles vulnerabilidades.
Explotación: En esta etapa, se intenta aprovechar las vulnerabilidades identificadas para obtener acceso no autorizado al sistema o red evaluados.
Post-explotación: Una vez que se ha logrado el acceso, se realiza un análisis adicional para determinar el alcance de la intrusión y posibles acciones posteriores que un atacante real podría llevar a cabo.
Informe: Finalmente, se documentan los hallazgos del pentesting en un informe detallado que incluye las vulnerabilidades identificadas, su impacto potencial, y recomendaciones para mitigar los riesgos.

Due Diligence

La Due Diligence o Diligencia Debida se refiere al proceso de evaluación exhaustiva de los sistemas, infraestructuras y prácticas de seguridad de una organización antes de realizar una transacción comercial, como una fusión, adquisición, inversión o alianza estratégica. Este proceso busca identificar y comprender los riesgos asociados con la empresa objetivo. También persigue evaluar su capacidad para proteger los activos digitales y datos confidenciales contra ciberamenazas.

Durante una Due Diligence de ciberseguridad, se examinan diversos aspectos relacionados con la postura de seguridad de la empresa, incluyendo:

Infraestructura tecnológica: Se evalúan los sistemas de información, redes, servidores, dispositivos de red, y cualquier otro componente de la infraestructura tecnológica corporativa. Se busca identificar vulnerabilidades, configuraciones inseguras, y posibles puntos de entrada para ataques cibernéticos.
Políticas y procedimientos de seguridad: Se revisan las políticas, procedimientos y prácticas de seguridad de la empresa, incluyendo políticas de acceso, gestión de contraseñas, cifrado de datos, monitorización de eventos, y respuesta a incidentes. Se busca identificar posibles deficiencias en la implementación y cumplimiento de las políticas de seguridad.
Gestión de riesgos: Se evalúa la capacidad de la empresa para identificar, evaluar y mitigar los riesgos. Se revisan los procesos de gestión de riesgos, evaluación de vulnerabilidades, análisis de impacto, y planes de continuidad del negocio en caso de incidentes de seguridad.
Cumplimiento normativo: Se verifica el cumplimiento de la empresa con las regulaciones y estándares de ciberseguridad aplicables, como GDPR, PCI, ISO 27001, entre otros. Se busca identificar posibles incumplimientos normativos que puedan resultar en sanciones legales o pérdida de confianza por parte de los clientes y socios comerciales.
Historial de incidentes de seguridad: Se revisan los registros de incidentes de seguridad anteriores, incluyendo ataques cibernéticos, brechas de datos, y otras violaciones de seguridad. Se busca comprender la frecuencia y gravedad de los incidentes pasados, así como la efectividad de la respuesta y recuperación de la empresa.

Una vez completada la Due Diligence de ciberseguridad, se elabora un informe detallado que resume los hallazgos, recomendaciones y posibles acciones correctivas necesarias. Este informe proporciona una visión de la estrategia de ciberseguridad de la empresa objetivo, que se utiliza para tomar decisiones informadas respecto a la transacción comercial en cuestión.

Limitaciones de las formas tradicionales de evaluación en la auditoría de ciberseguridad

Tanto el pentesting como la Due Diligence son herramientas valiosas para evaluar la ciberseguridad de una empresa y de terceros, pero tienen limitaciones inherentes. Estas limitaciones pueden afectar a la eficacia de estas prácticas en una auditoría de ciberseguridad.

Enfoque puntual y limitado: Suelen centrarse en un momento específico en el tiempo y en áreas específicas de la empresa o activo. Esto puede llevar a una visión incompleta del estado real de ciberseguridad, ya que los riesgos pueden cambiar con el tiempo y pueden existir vulnerabilidades que no sean detectadas durante el proceso de evaluación.
Dependencia de la información proporcionada: En el caso de la Due Diligence, se depende en gran medida de la información proporcionada por la empresa o terceros. Esto puede limitar la precisión de la evaluación si la información es incompleta, inexacta o deliberadamente manipulada para ocultar problemas de ciberseguridad.
Limitaciones técnicas y de recursos: El pentesting requiere recursos técnicos especializados y puede ser costoso y consume mucho tiempo. Por ello, las organizaciones pueden optar por realizar pentesting de manera limitada o no realizarlo con la frecuencia necesaria.
Falta de contexto empresarial: Pueden carecer de un alcance completo del contexto empresarial y de los riesgos específicos de cada organización. Esto puede conducir a resultados genéricas que no abordan los desafíos únicos que enfrenta la organización en su entorno operativo y comercial.
Falta de abordaje profundo de las amenazas fuera del perímetro interno: Se enfocan principalmente en las vulnerabilidades del perímetro interno de las organizaciones y pueden no identifican los riesgos de la superficie externa de ataque.
Falta de visibilidad en terceros y enésimos: En el caso de la Due Diligence, se depende de la información que proporcionen los propios terceros. En el caso del pentesting, es necesaria la autorización del tercero para poder llevarlo a cabo.

Nuevas herramientas para las auditorías de ciberseguridad

Estas limitaciones pueden hoy superarse gracias a nuevas tecnologías, como la Inteligencia Artificial, el Machine Learning o la automatización, que están mejorando las estrategias de ciberseguridad y, con ellas, la de las auditorías.

Gracias a ellas, han surgido innovadoras herramientas de Ciberinteligencia XTI que permiten a las organizaciones ampliar la superficie de ataque analizada más allá del perímetro interno. De esta forma, se obtienen datos objetivos y en tiempo real sobre el estado de ciberseguridad propio y de sus terceros.

Estas nuevas herramientas proporcionan capacidades de SRS ampliadas y recopilan datos en la Web, Deep Web y Dark Web a través de medios no intrusivos. Luego, proceden al análisis y evaluación de la situación de seguridad propia o del tercero, utilizando la IA y una metodología de puntuación concreta. Esta información sirve para ampliar, completar y ponderar la información obtenida por los métodos tradicionales de auditoría de riesgos de terceros.

Además, las herramientas de Ciberinteligencia XTI capacitan a la organización para la evaluación continua y en tiempo real de dichos riesgos. Este punto es muy importante respecto al riesgo de terceros, ya que permite la auditoría continua mientras dure la colaboración entre la organización y el tercero.

Son múltiples las ventajas que aporta esta forma de valoración del estado de ciberseguridad propio y de terceros, para complementar las tradicionales:

Es un método de valoración objetivo, ya que no precisa intervención humana.
Es un método no intrusivo, ya que no requiere autorización del tercero.
Proporciona una valoración basada en el análisis a través de Inteligencia Artificial de datos exactos sobre vulnerabilidades abiertas propias o de un tercero.
La monitorización y el análisis se realizan de forma continua y en tiempo real.
Se controla la existencia de información oculta.
El uso de Inteligencia Artificial y del Machine Learning permite incorporar el contexto empresarial específico en cada caso de uso.
Proporciona la capacidad de evaluar el estado de ciberseguridad incluso de las enésimas partes.

Con la ampliación y el complemento de las formas tradicionales de realizar las auditorías de ciberseguridad gracias a la suma de las nuevas soluciones de Ciberinteligencia XTI se consigue aumentar la fiabilidad de dichas auditorías.