Llega el aviso de una auditoría —de un cliente, de una certificación, de un regulador, o interna— y empieza el pánico: la carrera por juntar documentos que deberían existir y no existen. Aquí está la verdad incómoda que casi nadie dice: las auditorías de TI rara vez se reprueban por falta de seguridad; se reprueban por no poder demostrarla. La diferencia entre pasar y sufrir está en la evidencia, y esa se construye mucho antes de que llegue el auditor.
Los documentos que siempre faltan
Con una regularidad casi cómica, las auditorías tropiezan con la ausencia de las mismas cosas:
- Un inventario de activos: qué equipos, sistemas, datos y licencias tienes. Sorprende cuántas organizaciones no pueden listar con certeza lo que poseen —y no puedes proteger, ni auditar, lo que no sabes que tienes—.
- Políticas escritas: las reglas de seguridad, acceso y uso, documentadas —no "en la cabeza de todos"—.
- Registros de acceso: quién tiene acceso a qué, y por qué. La foto de los permisos, que casi siempre está desactualizada.
- Evidencia de que los controles se ejecutan: no basta con decir "hacemos respaldos" o "parchamos"; hay que probarlo —bitácoras, reportes de respaldos probados, historial de parches—.
- Un registro de decisiones y cambios: qué se cambió, cuándo y por qué —justo lo que un gobierno de TI ligero produce como subproducto—.
El ensayo antes del examen: audítate a ti mismo
La mejor preparación para una auditoría externa es una auditoría interna hecha por ti, con honestidad y antes de que llegue nadie. Recorre tu propia lista —¿tengo inventario?, ¿están las políticas escritas?, ¿puedo mostrar quién accede a qué?, ¿tengo evidencia de que los respaldos se prueban?— y anota los huecos sin maquillarlos. Ese ejercicio convierte las sorpresas desagradables del día del examen en pendientes que puedes cerrar con calma. Es la diferencia entre descubrir que falta un documento crítico frente al auditor, o descubrirlo tres meses antes con tiempo de arreglarlo. Auditar por dentro no es paranoia: es el ensayo que hace del examen un trámite.
La lección: "lo hacemos pero no lo documentamos" es un hallazgo
El malentendido más caro es creer que la auditoría mide si eres seguro. Mide si puedes demostrar que operas con control. "Sí hacemos respaldos, pero no llevamos registro de las pruebas" no es un aprobado con asterisco: para un auditor, un control que no se puede evidenciar es un control que —a efectos prácticos— no existe. La seguridad sin evidencia es invisible para quien te evalúa.
Cómo prepararse (no la noche antes)
La preparación real no es un maratón de última hora fabricando documentos —eso se nota y además es mentira operativa—. Es construir la evidencia como subproducto natural de operar bien: si documentas tus decisiones al tomarlas, registras los accesos al otorgarlos, guardas los reportes de respaldos al ejecutarlos, entonces cuando llega la auditoría solo recopilas lo que ya existe. La auditoría deja de ser una crisis y se vuelve una foto de una casa ya ordenada.
La idea que se queda
Las auditorías de TI se reprueban por no poder demostrar la seguridad, no por no tenerla, y los documentos que faltan son siempre los mismos: inventario, políticas, registros de acceso, evidencia de controles y bitácora de decisiones. "Lo hacemos pero no lo documentamos" es un hallazgo. La preparación de verdad es operar de modo que la evidencia se genere sola —parte del cumplimiento en cristiano—.