¿Qué es una auditoría interna?
La auditoría interna es un sistema de control interno de la empresa y consiste en el conjunto de medidas, políticas y procedimientos establecidos en una organización concreta para proteger su activo, minimizar riesgos, incrementar la eficacia de los procesos operativos y optimizar y rentabilizar, en definitiva, el negocio.
Será necesario iniciar una auditoría interna con el objetivo de determinar con exactitud y en el menor tiempo posible lo siguiente:
- Determinar la cantidad (tamaño en disco, número de registros, etc.) de información que ha podido ser sustraída.
- Establecer el tipo de datos que contiene la información que ha podido ser sustraída. Debe prestarse especial atención si se han filtrado datos de carácter personal y de qué nivel, ya que esto podrá accionar una serie de actuaciones específicas, de conformidad con la normativa sobre protección de datos.
- Determinar si la información pertenece a la propia organización o es externa, es decir, si se trata de información exclusivamente interna o que hace referencia o afecta a organizaciones o personas terceras de fuera de la organización, con especial consideración a los datos de nuestros clientes.
- Establecer y acotar la causa principal de la filtración, en el sentido de determinar si tiene un origen técnico o humano. Si el origen es técnico, hay que identificar los sistemas que están afectados o en los cuales se ha producido la brecha. Si es de origen humano, deberá iniciarse el proceso para identificar cómo y cuándo se ha producido la fuga y quiénes han sido los responsables de esa fuga de información.
Además de la auditoría interna, también es necesario realizar una auditoría externa. El objetivo de ésta será conocer el tamaño, gravedad y nivel de difusión de la filtración en el exterior de la organización. Hay que distinguir entre aquella información que haya sido sustraída de la información que se ha hecho pública, ya que no son necesariamente lo mismo. Al menos es necesario:
- Determinar el alcance de la publicación de la información sustraída (dónde se ha publicado, cuántos potenciales accesos ha podido tener, etc.). Este punto es crítico para poder cerrar la brecha de seguridad y mitigar la difusión de la información sustraída.
- Establecer qué información se ha hecho pública y determinar la cantidad (tamaño en disco, número de registros, etc.) de la información filtrada en el exterior de la organización.
- Recoger las noticias y otros contenidos que hayan aparecido en los medios de comunicación, así como en otros medios en Internet sobre el incidente.
- Conocer las reacciones que se están produciendo en relación con el incidente.