Al querer realizar una auditoría externa o interna sobre el Sistema de Gestión de Seguridad de la Información ISO 27001 de una organización, es preciso contar con la figura de un auditor ISO 27001 o auditora ISO 27001, quien debe ser una persona con ciertos conocimientos, experiencia y habilidades para desempeñar esta función.
Las auditorías de seguridad de la información son una herramienta que manejan las organizaciones para analizar la eficiencia de su Sistema de Gestión de Seguridad de la Información de acuerdo a la norma ISO 27001, esto con la finalidad de mejorar sus políticas y procedimientos, lo cual permite conseguir una protección apropiada de los activos de información de la organización.
Funciones del auditor ISO 27001
El auditor se encarga de revisar y verificar que los sistemas de seguridad que protegen la información interna de la organización cumplen con todos los requisitos que determina la norma ISO 27001. Adicionalmente, planifica el diseño de las estrategias de seguridad que se deben ejecutar, revisa el cumplimiento de la norma por parte de las y los colaboradores, realiza auditorías de seguimiento en las que comprueba el funcionamiento de los sistemas, entre otras funciones.
Competencias y habilidades de un auditor ISO 27001 o auditora ISO 27001
Las competencias y habilidades de un auditor o auditora deben ir alineadas al cumplimiento de la norma ISO 27001. Sus habilidades técnicas son un requisito fundamental a la hora de llevar a cabo exitosamente la auditoría dentro de una organización:
- Debe comprender los fundamentos y conceptos generales de la gestión de la seguridad de la información.
- Debe conocer detalladamente el contenido de la norma ISO 27001 sobre Gestión de la Seguridad de la Información.
- Debe saber cuáles son los componentes de un SGSI (Sistema de Gestión de Seguridad de la información).
- Debe saber aplicar sus conocimientos sobre auditorías de seguridad de la información en cualquier organización para verificar el cumplimiento de su sistema de gestión.
- La o el Auditor ISO 27001 debe conocer las directrices para la auditoría de sistemas de gestión establecidas por la norma y proporcionar recomendaciones para una adecuada prevención y evaluación continuas de las amenazas dentro de su organización.
- Debe poder asumir responsabilidades en cualquier etapa del proceso de auditoría.
- Debe saber cómo desempeñarse en auditorías de primera y segunda parte, así como en auditorías de certificación.
- Debe conocer el proceso de certificación ISO/IEC 27001:2013.
Además, las y los auditores ISO 27001 deben tener ciertas características específicas como:
1.Tener un pensamiento analítico
Cada vez más las organizaciones y profesionales de buscan auditores internos que brinden un valor agregado a su trabajo. Buscan auditores analíticos, con una visión estratégica, capaces de proporcionar información relevante para el negocio.
2. Diplomacia en la comunicación
El auditor interno de hoy día debe ser efectivo al poder comunicarse de forma transparente, concisa y directa con los miembros de la organización.
3. Tener integridad
Esta virtud es de gran importancia en cualquier entorno empresarial, sobre todo en auditorías internas. Las y los auditores deben ser personas capaces de infundir respeto y confianza ante los profesionales de la organización. Mantener su ética y firmeza durante el proceso de auditoría, ya que no debe negociar con el auditado sobre el ingreso, modificación o eliminación de data no conforme al resultado final.
Todo esto puede desvirtuar la eficiencia en el proceso de la auditoría y, en algunos casos, las decisiones pueden que no sean admitidas por la administración de la organización. Todo esto permite llegar al fondo de los reveces del sistema y su funcionamiento y, de esta forma, poder hallar las fallas y lograr su mejora.
4. Tener objetividad
El auditor interno debe ser una persona razonable para dictaminar y comunicar cualquier riesgo que comprometa la información de la organización. No es fácil, pero debe esforzarse por cultivar relaciones productivas, colaborativas y afianzadas donde trabaja. Además, debe ser capaz de tomar decisiones con determinación ante problemas complejos.
5. Ser investigador
Mantener el deseo de buscar e investigar continuamente. Un auditor debe estar actualizado sobre todos los aspectos que se relacionan con el Sistema de Gestión de Seguridad de la Información ISO 27001, ya que le permite realizar una evaluación más profunda al sistema. Las organizaciones buscan un auditor o auditora que tenga la capacidad de ser inquisitivo en ambientes que con frecuencia cambian.
6. Mantener compromiso
Estar comprometido con una organización implica tener la capacidad como profesional de sumergirse en el trabajo y la empresa para reconocer cuáles son las complejidades de esta.
Cada organización tiene su propio criterio en su funcionamiento, y también precisa el grado y cualidad del auditor interno. De ahí se parte que no se puede concretar un perfil único para ser un auditor eficiente.
ISO 27001 se ha convertido en la principal normativa a nivel mundial para la auditoría en seguridad de la información, por lo que es fundamental que todas las organizaciones cuenten con la figura de un auditor ISO 27001 certificado principalmente en Auditor Líder para desarrollar esta auditoría.
¿Te interesa convertirte en un(a) auditor ISO 27001 certificado? Conoce más detalles de esta formación profesional AQUÍ y conoce al organismo certificador PECB
