ISMS Forum -International Information Security Community- bajo el paraguas del Capítulo Español de Cloud Security Alliance, lanza el Estudio Cloud Audit & Forensics, enfocado en la “Supervisión de riesgos tecnológicos en organizaciones que hacen uso de servicios Cloud basada en procesos de Auditoría y Monitorización Continua (CA&CM)”. 

El modelo de relación de las organizaciones con la tecnología ha ido evolucionando con el paso de los años, partiendo de una visión inicial en la que la tecnología era un bien más en el que invertir, pero sin mucho peso dentro de la organización; hasta llegar a una visión en la que la tecnología ya no solo es un recurso que aporte valor a negocio, sino que incluso ayuda a desarrollarlo, mediante la definición de nuevos modelos de negocio basados en la tecnología.

Otro componente fundamental para entender la evolución de la tecnología en la organización es el modo en el que ambas se relacionan. La adopción de un modelo que no se base en el despliegue de recursos tecnológicos dentro de los límites físicos de la organización es relativamente reciente. Sin embargo, en la actualidad, existen diversos modelos de gestión tecnológica que se extienden más allá de los límites de la organización, entre los que se encuentra la computación en la nube.

El presente documento aborda la problemática surgida de la necesidad de supervisión de los riesgos tecnológicos introducidos en las organizaciones como resultado de la adopción de servicios cloud, utilizando para ello un modelo de supervisión que se adapte a las necesidades y características de los servicios en la nube.

El enfoque utilizado para plantear la solución a dicha problemática se basa en tres pilares fundamentales:

• El desarrollo de recursos suficientes y apropiados para que la organización pueda ejercer su responsabilidad en lo que respecta a la supervisión del riesgo tecnológico, independientemente de sobre qué recurso tecnológico se materialice.

• El uso de una estrategia de supervisión que resulte eficiente tanto a la hora de supervisar recursos tecnológicos desplegados usando un modelo de computación en la nube como para supervisar otras tipologías de ecosistemas tecnológicos.

• La integración de los procesos de aseguramiento sobre todos estos recursos para ofrecer una visión unificada que permita una priorización y tratamiento consistente de los riesgos tecnológicos en la organización.

El primer pilar, consistente en la dotación de recursos, parte de la función de auditoría interna de TI, como responsable de la supervisión de los riesgos tecnológicos de la organización, y se desarrolla a través de la asignación y definición de roles que asocien los principales perfiles a cargo de la función de auditoría interna de TI con las principales actividades que resultará necesario ejecutar para ofrecer aseguramiento tanto sobre los servicios cloud contratados, como sobre el resto de la tecnología. Junto con dichas responsabilidades, también se identifican todas las herramientas y elementos clave de supervisión necesarios para ofrecer aseguramiento.

El segundo pilar, que se centra en la estrategia de supervisión, se ha desarrollado a partir de los procesos tradicionales de auditoría y monitorización continua (CA&CM). A su vez, CA&CM se descompone en procesos de aseguramiento continuo de controles (CDA), monitorización continua de controles (CCM), y monitorización y evaluación continua de riesgos (CRMA). Cada uno de ellos descrito con un enfoque doble de supervisión de recursos internos y de supervisión de recursos cloud, siendo extensible el enfoque cloud a cualquier recurso externalizado en la medida en la que se adapten los elementos clave de supervisión a las características de dicho recurso.

El tercer y último pilar, que asegura la consolidación de reportes, permite ofrecer aseguramiento sobre los riesgos tecnológicos de la organización con un enfoque centrado en el riesgo y ofreciendo abstracción sobre los recursos, para garantizar que los riesgos son evaluados y tratados de forma consistente. Para ello, se ha diseñado un modelo de supervisión que ofrece abstracción de los riesgos sobre los recursos sin que se produzca pérdida de trazabilidad entre ellos, para favorecer un tratamiento eficiente de éstos.A lo largo de los capítulos, se desarrolla el modelo de auditoría y monitorización continua para organizaciones que hagan uso de servicios cloud, sin limitar la supervisión a los servicios cloud exclusivamente, para que puedan cubrirse todos los riesgos tecnológicos a los que los recursos TI de la organización se ven expuestos.

A lo largo de los siguientes capítulos, se desarrollará el modelo de auditoría y monitorización continua para organizaciones que hagan uso de servicios cloud, sin limitar la supervisión a los servicios cloud exclusivamente, para que puedan cubrirse todos los riesgos tecnológicos a los que los recursos TI de la organización se ven expuestos.

Descarga el documento aquí.