SIC

– ¿Qué opina del estado actual de falta de reconocimiento oficial de la actividad de auditoría informática? ¿Está usted de acuerdo en que una consultora que haya ayudado a un cliente a adaptarse al Reglamento de medidas, pueda después auditarle?

– En Ernst & Young seguimos unas normas muy estrictas en este sentido, y las cumplimos a rajatabla: si implantamos o creamos procedimientos en una empresa, en ningún caso le hacemos la auditoría.
Hace un año y medio, hicimos en Ernst & Young una consulta a nuestro departamento de Risk Management, y llegamos a la conclusión de que consultoría y auditoría informáticas no son compatibles. Y no porque haya alguna norma que así lo indique, puesto que como bien dice, la auditoría informática no está regulada. Pero, ¿qué ocurriría si aparece un problema en este sentido? Pues que se acudiría a la legislación más análoga, que sería probablemente la de auditoría de cuentas, en la que se prohibe que la misma persona ejecute la contabilidad y luego la audite.
No obstante lo dicho, creo que la razón más poderosa para no hacer esto es que te creas un problema de independiencia complejo del que después resulta casi imposible salir. Nosotros tenemos clientes a quienes les habíamos realizado algún trabajo de desarrollo de procedimientos, y al pedirnos que les auditáramos, les contestamos que no podíamos ofrecerles este servicio por razones obvias.

– ¿Qué proyectos de seguridad y control en los que han participado en los últimos meses le parecen más interesantes?

– Lo más apasionante por novedoso en nuestros clientes ha sido el servicio de Attack & Penetration. Varios proyectos que hemos realizado en ese sentido muestran unos resultados espectaculares. El informático, que conoce los datos y sus sistemas, y los riesgos a los que están sometidos, se asombra de nuetros resultados, pero menos que un director general o un consejero, a quienes haces un mapping de su sistema de información y le presentas un gráfico en el cual, sin conocer nada de su informática, salvo una dirección IP (que es pública), aparacen servidores, cortafuegos, elementos de red y de sistemas vulnerables... La primera reacción es preguntar quién desde dentro ha facilitado la información. Inmediatamente se dan cuenta de lo vulnerables que son sus sistemas, de lo mal protegidos que están, y de que existen elementos y controles que pueden implantarse para ‘securizarlos’ debidamente.
El siguiente paso de nuestro trabajo es explotar esas vulnerabilidades teóricas encontradas con herramientas y profesionales para alcanzar mayor exactitud y profundidad en nuestro análisis. Los mayores usuarios de este servicio provienen del sector financiero. Hay otra línea de trabajo, ya mencionada y menos espectacular que la anterior, que es la de apoyo al trabajo de los auditores internos informáticos.

– ¿Han realizado trabajos de desarrollo e implantación de controles de seguridad?

– Implantamos controles de seguridad, y revisamos y asesoramos, pero siempre a clientes que no auditamos. En las labores de implantación, siempre hay determinado nivel en el que la propia empresa es quien conoce el detalle de ese control a implantar, y el último toque lo pone el cliente.

– ¿Ha venido la seguridad TIC para quedarse, o es un fenómeno pasajero?

– Ha venido para quedarse. Si me lo pregunta por España, le diré que el concepto de seguridad informática ya ha prendido, ya está instaurado. A ello ha contribuido notablemente la legislación sobre tratamiento automatizado de datos personales.

– ¿Valoran ustedes la certificación Cisa?

– Mucho. Para ser gerente de Ernst & Young hay que ser Cisa. Nos parece que tiene un valor importante: obtenerlo no es fácil y mantenerlo requiere una formación continuada; además, estar en posesión de este certificado te permite conocer los sistemas informáticos hasta un cierto nivel, así como los métodos de enfoques de proyectos y metodologías de revisión.