A mesura que més empreses es bolquen a la digitalització de les operacions, més necessari es torna a mantenir les xarxes informàtiques segures. Una auditoria de seguretat és un estudi detallat de tots els components dels sistemes informàtics d’una empresa, que es realitza per tal de trobar els errors, les debilitats i les vulnerabilitats que puguin, potencialment, posar en risc la integritat d’aquests sistemes, funcionament i de la informació que contenen.
D’aquesta manera, s’entén que les auditories de seguretat són especialment importants en el cas de les empreses que treballen amb xarxes informàtiques, ja que aquestes, en cas de comptar amb vulnerabilitats, són punts d’accés potencials per a diferents tipus de ciberatacs, com ara ransomware, o segrest de dades, que és un dels més comuns (només l’any 2020 hi va haver més de 300 milions d’atacs d’aquest tipus al món) 1 https://www.statista.com/statistics/494947/ransomware-attacks-per-year-worldwide/), on l’intrús restringeix l’accés a seccions o fitxers dins d’una xarxa i demana un rescat monetari a canvi de retirar les restriccions.
A l’hora de realitzar una auditoria de seguretat, els aspectes més rellevants a controlar són les polítiques de seguretat informàtica de l’empresa i el compliment correcte per part del personal; l’eficiència dels sistemes informàtics (servidors, routers, dispositius, etcètera), tant pel que fa a maquinari com a programari; els protocols de seguretat informàtica existents: programaris antivirus i antimalware, regles de tallafocs, actualitzacions de firmwares; i el compliment de les normatives vigents, sobretot pel que fa al tractament de dades de tercers.
Alhora, hi ha diversos tipus d’auditories de seguretat, a tenir en compte:
- Auditoria de xarxes: és l’estudi de les vulnerabilitats de tots els dispositius connectats a la xarxa informàtica de l’empresa, també anomenats nodes de xarxa.
- Auditoria forense: es duu a terme després d’haver patit un incident de seguretat i té com a objectiu trobar la causa de la intrusió, és a dir, la vulnerabilitat del sistema que va ser explotada per l’intrús.
- Auditoria web: es tracta de l’estudi de les vulnerabilitats potencials existents a les aplicacions web que es fan servir dins de la xarxa informàtica de l’empresa.
- Auditoria de codi: és una anàlisi en profunditat a nivell de codi font dels programaris utilitzats dins del sistema informàtic, a la recerca de possibles vulnerabilitats o errors.
- Hacking ètic: també anomenat test d’intrusió, és una simulació en què s’ataca el sistema com ho faria un intrús (un hacker), per detectar els possibles punts d’accés o vulnerabilitats.
