01Código Deontológico de la Función de Auditoría
El código deontológico es la brújula ética que guía al auditor informático en su trabajo. Establece cómo debe comportarse para garantizar la integridad, objetividad y confidencialidad en todas sus actuaciones.
Principios clave
Integridad
El auditor debe ser honesto, transparente y actuar con rectitud en todo momento, sin ocultar información relevante.
Objetividad
Trabajo imparcial, sin dejarse influir por intereses personales, prejuicios ni presiones externas de ningún tipo.
Confidencialidad
Proteger la información que maneja durante la auditoría, evitando su divulgación no autorizada o uso para beneficio propio.
Competencia Profesional
Mantener conocimientos actualizados y realizar el trabajo con diligencia y rigor técnico continuado.
Independencia
Evitar cualquier situación que pueda comprometer la independencia de juicio. Sin conflictos de interés.
Responsabilidad
Asumir las consecuencias de sus acciones y decisiones. Informar a las autoridades ante actividades ilegales detectadas.
Legalidad
Cumplir con todas las leyes y regulaciones aplicables en cada jurisdicción y contexto de la auditoría.
Importancia del código deontológico
- Genera confianza – En los clientes y en la sociedad sobre la calidad e imparcialidad del trabajo
- Garantiza la calidad – Asegura que las auditorías se realicen con profesionalismo y rigor metodológico
- Protege la información – Salvaguarda la confidencialidad de los datos sensibles manejados
- Evita conflictos de interés – Previene situaciones que puedan comprometer la objetividad del auditor
Organismos de referencia
02Tipos de Auditoría en el Marco de los Sistemas de Información
Los distintos tipos de auditoría informática son evaluaciones especializadas que se centran en diferentes aspectos de los sistemas de información. Todos están interrelacionados y trabajan juntos para garantizar la salud del sistema.
Auditoría de Seguridad
Detecta amenazas y vulnerabilidades. Evalúa la eficacia de controles (firewalls, antivirus, IDS). Busca debilidades explotables por atacantes.
Auditoría de Cumplimiento
Verifica que los sistemas cumplan con regulaciones (RGPD, ISO 27001). Asegura el cumplimiento de obligaciones legales y normativas.
Auditoría de Rendimiento
Evalúa eficiencia y eficacia: velocidad de procesamiento, capacidad, disponibilidad. Busca cuellos de botella y áreas de mejora.
Auditoría de Gestión de Proyectos
Revisa metodología, tiempos y costes de proyectos TI. Identifica fallos en la planificación y gestión de proyectos informáticos.
Auditoría de Sistemas (Técnica)
Evalúa componentes técnicos: hardware, software, bases de datos y seguridad de redes. Verifica que la infraestructura funciona de forma segura.
Interrelación entre tipos de auditoría
- Una auditoría de seguridad puede revelar problemas de cumplimiento normativo o de rendimiento
- Una auditoría de cumplimiento puede requerir la implementación de controles de seguridad adicionales
- Un fallo detectado en una categoría habitualmente impacta en las demás de forma encadenada
03Criterios para la Composición del Equipo Auditor
El equipo auditor es un grupo multidisciplinar de profesionales que se complementan para evaluar la seguridad y el funcionamiento de los sistemas de información.
Criterios clave de composición
🧠 Conocimientos y habilidades
- Profesionales con conocimientos en diferentes áreas: seguridad, cumplimiento, rendimiento, gestión
- Experiencia en las tecnologías y sistemas específicos que se van a auditar
- Habilidades de comunicación y trabajo en equipo como factor crítico de éxito
⚖️ Independencia y objetividad
- El equipo debe ser independiente de las áreas auditadas para garantizar la imparcialidad
- Evitar conflictos de interés y situaciones que puedan comprometer la objetividad
📐 Tamaño y especialización
- Tamaño adecuado al alcance y complejidad de la auditoría
- Especialistas según el tipo: seguridad de redes, bases de datos, pruebas de penetración…
- Auditorías grandes requieren mayor diversidad de habilidades y más recursos
👑 Liderazgo y formación continua
- Líder con experiencia en gestión de auditorías y habilidades de coordinación
- Formación continua para mantener conocimientos actualizados ante nuevas amenazas
Roles dentro del equipo auditor
Líder de Equipo
Planificación, ejecución y seguimiento global de la auditoría. Asigna tareas y asegura la calidad del trabajo.
Auditores
Realizan las pruebas y evaluaciones necesarias para cumplir con los objetivos definidos en el plan de auditoría.
Especialistas
Aportan conocimientos técnicos específicos: pentesting, análisis forense, cumplimiento normativo, bases de datos…
04Pruebas Sustantivas y Pruebas de Cumplimiento
En una auditoría informática, necesitamos dos grandes categorías de pruebas que se complementan para obtener una visión completa de la salud de los sistemas.
| Pruebas de Cumplimiento | Pruebas Sustantivas | |
|---|---|---|
| ¿Qué evalúan? | Los controles internos: normas, políticas y procedimientos | Los datos y transacciones: validez y exactitud de la información |
| ¿Qué buscan? | Que los controles están diseñados, implementados y funcionan efectivamente | Detectar errores, fraudes o irregularidades en los datos procesados |
| Ejemplos | Permisos de acceso correctos, copias de seguridad, cumplimiento RGPD | Exactitud de saldos bancarios, transacciones sospechosas, integridad de BBDD |
| Resultado | Evidencia de que los controles son adecuados y están operativos | Evidencia de que la información generada es precisa y confiable |
Relación entre ambos tipos
Un fallo en una prueba de cumplimiento normalmente desencadena la realización de pruebas sustantivas para comprobar si ese fallo ha tenido consecuencias reales en la integridad o exactitud de los datos procesados.
05Tipos de Muestreo en el Proceso de Auditoría
En auditoría, a menudo es imposible revisar todos los datos. El muestreo permite seleccionar una parte representativa de la población para obtener evidencia sobre la totalidad.
Muestreo Aleatorio
Cada elemento tiene la misma probabilidad de ser seleccionado. Garantiza representatividad. Ideal para poblaciones homogéneas.
Muestreo Estratificado
La población se divide en subgrupos con características similares. Se selecciona una muestra de cada estrato. Para poblaciones heterogéneas.
Muestreo Sistemático
Se selecciona un elemento inicial y luego a intervalos regulares. Fácil de aplicar si la población está ordenada aleatoriamente.
Muestreo por Unidades Monetarias (MUM)
Cada unidad monetaria tiene igual probabilidad de selección. Focalizado en transacciones de mayor valor económico.
Muestreo de Descubrimiento
Busca un tipo específico de error o fraude. Muestra lo suficientemente grande para tener alta probabilidad de encontrarlo si existe.
Muestreo No Estadístico (Juicio)
El auditor selecciona la muestra basándose en su experiencia y criterio. Requiere documentar claramente los criterios de selección.
Factores para elegir el tipo de muestreo
- Objetivo de la auditoría – ¿Qué se quiere demostrar o detectar?
- Tamaño y heterogeneidad de la población – ¿Cuántos elementos hay y cómo varían?
- Riesgo de auditoría – ¿Cuál es el riesgo de que la muestra no sea representativa?
- Recursos disponibles – Tiempo y presupuesto asignados a la auditoría
06Herramientas CAAT (Computer Assisted Audit Tools)
Las CAAT son programas informáticos que permiten automatizar tareas repetitivas, analizar grandes volúmenes de datos y obtener información valiosa de forma rápida y precisa, transformando la eficacia de las auditorías.
¿Para qué se utilizan?
Análisis de datos
Análisis de grandes volúmenes para identificar patrones, tendencias y anomalías imposibles de detectar manualmente.
Pruebas de cumplimiento
Automatizan la revisión de controles internos y verifican el cumplimiento de normas y procedimientos.
Muestreo
Selección aleatoria y objetiva de muestras representativas de la población a auditar.
Detección de fraudes
Identifican patrones de comportamiento sospechosos y analizan transacciones para detectar irregularidades.
Evaluación de riesgos
Evalúan riesgos en los sistemas e identifican áreas de alto riesgo que requieren mayor atención.
Tipos de herramientas CAAT
🔧 Software de Auditoría Generalizado (GAS)
- Propósito general: análisis de datos, muestreo y pruebas de cumplimiento
- Ejemplos: ACL Analytics, IDEA
🔄 Herramientas ETL (Extracción, Transformación y Carga)
- Extraen datos de diferentes fuentes y los integran para análisis unificado
- Permiten obtener una visión completa cruzando datos de múltiples sistemas
📈 Herramientas de Visualización de Datos
- Presentan datos gráficamente para facilitar la comprensión e identificación de patrones
- Revelan tendencias que no son evidentes en los datos brutos
🎯 Herramientas de Pruebas de Penetración
- Simulan ataques informáticos para evaluar la seguridad de los sistemas
- Identifican vulnerabilidades y debilidades antes de que lo hagan atacantes reales
Beneficios de las CAAT
07Requerimientos de los Hallazgos de Auditoría
Los hallazgos de auditoría son las observaciones y conclusiones del auditor sobre debilidades, riesgos o incumplimientos detectados. Para ser útiles y creíbles, deben cumplir requisitos específicos.
Requisitos clave de un hallazgo
📎 Evidencia suficiente y apropiada
- Respaldado por evidencia sólida y verificable: documental, testimonial, física o analítica
- Suficiente para respaldar las conclusiones y apropiada para el tipo de hallazgo
✍️ Claridad y concisión
- Redacción clara, concisa y comprensible para cualquier lector
- Sin tecnicismos innecesarios ni lenguaje ambiguo
⚖️ Objetividad e imparcialidad
- Basados en hechos, no en opiniones o juicios personales
- Presentar tanto evidencia positiva como negativa
🎯 Relevancia y materialidad
- Relevantes para los objetivos de la auditoría y materiales para la organización
- Centrados en debilidades con impacto significativo. Sin hallazgos triviales
⏱️ Oportunidad
- Comunicados a la dirección tan pronto como sea posible tras su detección
- Permite tomar medidas correctivas de forma rápida y eficaz
Atributos de un hallazgo (los 5 elementos)
08Categorización de Hallazgos: Observaciones y No Conformidades
Durante una auditoría, el auditor identifica situaciones que deben clasificarse correctamente según su gravedad e impacto para priorizar las acciones correctivas.
| Criterio | Observación | No Conformidad |
|---|---|---|
| Definición | Área de mejora o recomendación. No implica incumplimiento directo. | Incumplimiento claro y verificable de normas, políticas o procedimientos. |
| Impacto | Potencial leve o moderado | Real o potencial significativo |
| Riesgo | Potencial o bajo | Real o alto |
| Frecuencia | Situación aislada o esporádica | Situación recurrente o sistemática |
| Evidencia | Limitada o indicativa | Sólida y verificable |
| Ejemplo | "Algunos usuarios usan contraseñas débiles" (aumenta el riesgo pero no incumple directamente) | "El sistema de copias de seguridad no funciona correctamente" (incumple la política y pone en riesgo la información) |
Importancia de la correcta categorización
- Permite a la dirección priorizar las acciones correctivas según criticidad
- Ayuda a enfocar los recursos disponibles en las áreas de mayor riesgo real
- Facilita el seguimiento y la evaluación de la eficacia de las acciones implementadas
09Normativas y Metodologías de Auditoría de Sistemas de Información
Las normativas y metodologías establecen los estándares y mejores prácticas que garantizan auditorías rigurosas, consistentes y reconocidas internacionalmente.
COBIT
Marco para la gobernanza y gestión de TI. Proporciona objetivos de control y métricas. Alinea TI con los objetivos de negocio.
ISO 27001
Norma internacional para implementar un Sistema de Gestión de Seguridad de la Información (SGSI). Referencia mundial.
ISO 27002
Directrices para la implementación de controles de seguridad. Complementa a la ISO 27001 con recomendaciones prácticas.
NIST
Marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología de EE.UU. Ampliamente adoptado a nivel mundial.
ITIL
Buenas prácticas para la gestión de servicios TI. Planificación, entrega y soporte. Mejora eficiencia y eficacia de servicios.
PCI DSS
Estándar de seguridad para organizaciones que procesan pagos con tarjeta. Protección de información de titulares de tarjeta.
ISACA
Asociación que desarrolla estándares (CISA, CISM) y certificaciones para auditores de sistemas de información.
RGPD
Normativa europea que regula la protección de datos personales. Requisitos para recopilación, almacenamiento y procesamiento.
10Principios Generales de Protección de Datos de Carácter Personal
El RGPD establece los principios fundamentales que rigen el tratamiento de datos personales. Su cumplimiento es obligatorio para todas las organizaciones que traten datos de ciudadanos de la UE.
Licitud, Lealtad y Transparencia
Tratamiento legal, justo y transparente. Los interesados deben estar informados sobre cómo se usan sus datos.
Limitación de la Finalidad
Datos recogidos con fines específicos, explícitos y legítimos. No pueden usarse para fines incompatibles con los iniciales.
Minimización de Datos
Solo los datos estrictamente necesarios para la finalidad perseguida. Sin datos excesivos o innecesarios.
Exactitud
Datos exactos y actualizados. Los inexactos deben ser rectificados o suprimidos sin dilación.
Limitación del Plazo de Conservación
Conservar solo el tiempo necesario. Eliminar o anonimizar cuando ya no sean necesarios para la finalidad.
Integridad y Confidencialidad
Tratamiento seguro con medidas técnicas y organizativas adecuadas. Protección contra accesos no autorizados y pérdidas.
Responsabilidad Proactiva
El responsable debe demostrar activamente el cumplimiento. Accountability como principio transversal del RGPD.
11Normativa Europea: Directiva 95/46/CE
La Directiva 95/46/CE, adoptada en 1995, fue la primera normativa europea integral sobre protección de datos personales, sentando las bases para toda la legislación posterior incluyendo el RGPD.
Objetivos y principios
🎯 Objetivos principales
- Armonizar la protección de datos estableciendo un nivel mínimo en todos los Estados miembros
- Garantizar la libre circulación de datos entre países, facilitando el comercio europeo
- Proteger los derechos fundamentales de las personas en relación con sus datos personales
📜 Principios clave (precursores del RGPD)
- Licitud del tratamiento con base legal válida (consentimiento u obligación legal)
- Calidad de los datos: exactos, pertinentes y no excesivos
- Transparencia: los interesados deben ser informados
- Seguridad: medidas adecuadas para proteger los datos
- Derechos de acceso, rectificación y oposición al tratamiento
Limitaciones y evolución hacia el RGPD
- Era una directiva, no un reglamento, lo que generó diferencias en su aplicación entre países miembros
- Con el avance de la tecnología e Internet, quedó obsoleta para los nuevos retos digitales
- El RGPD la derogó en 2018 para unificar la norma en toda la UE y adaptarla a la era digital
- A pesar de sus limitaciones, fue un hito histórico fundamental en la protección de datos europeos
12Normativa Nacional Española de Protección de Datos
España ha desarrollado una trayectoria normativa evolutiva en protección de datos, adaptándose progresivamente a los cambios tecnológicos y a las exigencias europeas.
LORTAD — Ley Orgánica para el Tratamiento Automatizado de Datos
Primera ley española específica sobre protección de datos. Regulaba solo el tratamiento automatizado. Principios de consentimiento informado, calidad de datos y derechos de acceso, rectificación y cancelación.
LOPD — Ley Orgánica de Protección de Datos
Adaptó la legislación española a la Directiva 95/46/CE. Amplió la protección a todo tipo de tratamiento (no solo automatizado). Creó la Agencia Española de Protección de Datos (AEPD) como autoridad de control.
RD 1720/2007 — Reglamento de Desarrollo de la LOPD
Desarrolló y concretó la LOPD. Estableció medidas de seguridad en tres niveles (básico, medio y alto). Reguló ficheros y procedimientos para ejercer derechos. Derogado en gran medida por el RGPD y la LO 3/2018.
LO 3/2018 — LOPDGDD (vigente)
Adapta el ordenamiento español al RGPD. Garantiza derechos digitales: intimidad en dispositivos, desconexión laboral digital, testamento digital. Norma vigente que complementa y especifica el RGPD en España.
Código Penal
Protege penalmente los datos personales con delitos de acceso no autorizado, revelación de secretos y alteración de datos. Establece sanciones penales para quienes vulneren la confidencialidad e integridad de los datos personales.
13Identificación y Registro de Ficheros con Datos Personales
El RGPD y la LO 3/2018 exigen que las organizaciones lleven un Registro de Actividades de Tratamiento, que incluye la identificación de todos los ficheros con datos de carácter personal.
¿Por qué es obligatorio?
Cumplimiento normativo
El RGPD exige explícitamente un registro de actividades de tratamiento actualizado y disponible para la AEPD.
Transparencia
Permite a los interesados conocer qué datos se tratan, con qué finalidad y quién es el responsable.
Gestión de riesgos
Facilita la identificación de riesgos y la implementación de medidas de seguridad adecuadas y proporcionales.
Pasos para la identificación y registro
- Inventario de datos. Identificar todos los datos personales recogidos, almacenados y utilizados. Clasificar por categorías: clientes, empleados, proveedores. Determinar la finalidad de cada tratamiento.
- Identificación de ficheros. Agrupar los datos en ficheros según estructura y finalidad. Asignar nombre, descripción y tipo de soporte (electrónico o papel) a cada fichero.
- Registro de actividades de tratamiento. Documentar: responsable del tratamiento, categorías de datos, finalidades, destinatarios, plazos de conservación, medidas de seguridad y transferencias internacionales.
- Actualización periódica. Revisar el registro regularmente para reflejar cambios. Documentar incidencias y brechas de seguridad relacionadas.
Consideraciones especiales
- Datos sensibles – Categorías especiales (salud, religión, orientación sexual) requieren medidas de seguridad adicionales
- EIPD – Puede ser necesaria una Evaluación de Impacto de Protección de Datos para tratamientos de alto riesgo
- Herramientas – Guías y plantillas de la AEPD, software de gestión de privacidad, consultores especializados
14Medidas de Seguridad del RD 1720/2007
El Real Decreto 1720/2007 estableció tres niveles de seguridad proporcionales al riesgo del tratamiento. Aunque parcialmente derogado por el RGPD, sigue siendo referencia histórica y metodológica relevante.
🟢 Nivel Básico
- Documento de seguridad con medidas implementadas
- Control de acceso a locales con ficheros
- Registro de incidencias de seguridad
- Copias de seguridad periódicas
🟡 Nivel Medio
- Todas las medidas del nivel básico, más:
- Control de acceso con identificadores y contraseñas
- Registro de accesos a los datos
- Auditorías periódicas de cumplimiento
🔴 Nivel Alto
- Todas las medidas de los niveles básico y medio, más:
- Cifrado de los datos almacenados y transmitidos
- Control de acceso físico y lógico reforzado
- Registro completo de todas las operaciones
- Auditorías periódicas más frecuentes
Medidas de seguridad transversales
15Guía de Auditoría de Protección de Datos (RGPD y LOPDGDD)
La auditoría bienal obligatoria de la antigua LOPD ya no existe, pero el RGPD y la LOPDGDD recomiendan auditorías periódicas para garantizar el cumplimiento y demostrar la responsabilidad proactiva.
Objetivos de la auditoría de protección de datos
- Evaluar el cumplimiento del RGPD y la LOPDGDD en todos los tratamientos
- Identificar riesgos y debilidades en el tratamiento de datos personales
- Proponer medidas correctivas y preventivas basadas en evidencias
- Demostrar la responsabilidad proactiva (accountability) de la organización
Proceso de realización de la auditoría
- Planificación. Definir alcance y objetivos. Designar equipo auditor interno o externo. Elaborar cronograma y plan de auditoría con recursos necesarios.
- Recopilación de información. Revisar documentación: políticas de privacidad, registros de tratamiento, EIPDs. Entrevistas con personal. Análisis de sistemas y aplicaciones que traten datos personales.
- Evaluación de cumplimiento. Verificar los 7 principios del RGPD. Evaluar eficacia de medidas de seguridad. Comprobar derechos de los interesados (acceso, rectificación, supresión, oposición). Revisar cumplimiento de la LOPDGDD.
- Identificación de hallazgos. Documentar observaciones y no conformidades. Clasificar por gravedad e impacto. Recopilar evidencia suficiente y apropiada.
- Elaboración del informe. Resumen ejecutivo, alcance, objetivos, hallazgos y recomendaciones. Presentación clara, concisa y objetiva. Medidas correctivas y preventivas propuestas.
- Seguimiento y acciones correctivas. Plan de acción con responsabilidades y plazos. Seguimiento periódico de la eficacia de las medidas implementadas.
Aspectos clave a auditar
Registro de Actividades
Verificar que el registro de tratamientos esté completo, actualizado y disponible para la AEPD.
EIPDs
Comprobar que se han realizado Evaluaciones de Impacto de Protección de Datos cuando eran obligatorias.
Medidas de Seguridad
Evaluar su eficacia, adecuación a los riesgos y proporcionalidad según la categoría de datos tratados.
Gestión de Brechas
Revisar procedimientos y registros de gestión de brechas de seguridad y notificaciones a la AEPD.
Derechos de los Interesados
Verificar la eficacia de los procedimientos para atender solicitudes de acceso, rectificación y supresión.
Transferencias Internacionales
Comprobar que las transferencias a terceros países se realizan con las garantías adecuadas del RGPD.