Auditoría del Borrado Seguro y Certificado en el Esquema de Seguridad Español

El Esquema Nacional de Seguridad (ENS), establecido por el Real Decreto 311/2022, define las medidas de seguridad que deben adoptarse en la Administración Electrónica española para proteger la información y los sistemas de información. Entre estas medidas se encuentra el borrado seguro de los datos, que es el proceso de eliminar la información de forma que no pueda ser recuperada por ningún medio.

El borrado seguro es especialmente importante para los datos clasificados como confidenciales o de alto impacto, ya que su pérdida o divulgación no autorizada podría tener graves consecuencias para la organización. La auditoría del borrado seguro y certificado es una herramienta fundamental para garantizar la seguridad de la información en las organizaciones que están sujetas al ENS. La auditoría permite verificar que el proceso de borrado de datos se está realizando de forma eficaz y que se ajusta a los requisitos del ENS

Objetivos de la Auditoría

La auditoría del borrado seguro y certificado tiene como objetivo verificar que el proceso de borrado de datos se ajusta a los requisitos del ENS y que se está realizando de forma eficaz.

Los objetivos específicos de la auditoría son:

• Verificar que se está utilizando un método de borrado seguro adecuado para el tipo de datos que se está eliminando.
• Comprobar que el proceso de borrado seguro está documentado y que se está siguiendo correctamente.
• Verificar que se están realizando las pruebas necesarias para garantizar que los datos se han eliminado de forma segura.
• Evaluar la eficacia del proceso de borrado seguro y recomendar mejoras, si es necesario.

Metodología de la auditoría

La auditoría se realizará de acuerdo con la siguiente metodología:

• Revisión documental: Se revisará la documentación relativa al proceso de borrado seguro, incluyendo las políticas, procedimientos, normas técnicas y registros de actividad.
• Entrevistas: Se entrevistará al personal responsable del proceso de borrado seguro para obtener información sobre su funcionamiento y para identificar posibles riesgos.
• Pruebas: Se realizarán pruebas para verificar que el proceso de borrado seguro está funcionando correctamente.

Conclusiones 

Al final de la auditoría, se elaborará un informe que incluirá las siguientes conclusiones:

• Conclusiones sobre el cumplimiento del ENS: Se indicará si el proceso de borrado seguro cumple con los requisitos del ENS.
• Conclusiones sobre la eficacia del proceso: Se evaluará la eficacia del proceso de borrado seguro y se recomendarán mejoras, si es necesario.

Recomendaciones

Las recomendaciones que se pueden incluir en el informe de auditoría son las siguientes:

• Utilizar un método de borrado seguro adecuado para el tipo de datos que se está eliminando.
• Documentar el proceso de borrado seguro y asegurarse de que se está siguiendo correctamente.
• Realizar las pruebas necesarias para garantizar que los datos se han eliminado de forma segura.
• Formar al personal responsable del proceso de borrado seguro.
• Implementar un sistema de control de acceso para restringir el acceso a los datos sensibles.
• Realizar auditorías periódicas del proceso de borrado seguro.

Beneficios de la Auditoría

La auditoría del borrado seguro y certificado ofrece los siguientes beneficios:

• Garantía de que los datos se están eliminando de forma segura.
• Mejora de la seguridad de la información.
• Reducción del riesgo de pérdida o divulgación no autorizada de datos.
• Cumplimiento de los requisitos del ENS.
• Mayor confianza en los sistemas de información.

La Auditoría de Certificación del ENS es aportar la confianza de que el sistema de información ha sido auditado por un tercero independiente, imparcial y capacitado. De otra parte, la finalidad de la auditoría interna realizada por miembros de la propia organización, o bien realizada por auditores externos en modalidad de prestación de servicios, es la mejora del sistema, ya que se busca confirmar la eficacia del sistema de gestión u obtener información que permita alcanzarla.

Pese a que el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad no prescribe explícitamente la realización obligatoria de auditorías internas, denominadas en algunos casos auditorías de primera parte, el artículo 27 de dicho cuerpo legal exige la aplicación de los criterios y métodos reconocidos en la práctica nacional e internacional relativos a la gestión de la seguridad de las tecnologías de la información; exigencia que, trayendo causa del objeto del ENS, expresado en su artículo 1, se concreta igualmente en la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información, cuando se hace referencia al grado de confianza en las revisiones de la Dirección y en las auditorías internas del auditado.

Síguenos en nuestras Redes Sociales