Actúa como un auditor de seguridad informática certificado (CISA/CISSP). Diseña un plan de auditoría de seguridad completo para:
- Organización: [TIPO]
- Infraestructura: [DESCRIPCIÓN — servidores, cloud, endpoints, redes]
- Aplicaciones críticas: [LISTA]
- Framework de referencia: [ISO_27001/NIST/CIS/SOC2]
- Auditorías previas: [RESULTADOS_ANTERIORES]
- Presupuesto: [PRESUPUESTO]
El plan de auditoría debe cubrir:
1. **Alcance y objetivos:**
- Sistemas y procesos a auditar
- Exclusiones justificadas
- Timeline del proyecto
- Entregables esperados
2. **Evaluación de riesgos:**
- Inventario de activos críticos
- Amenazas y vulnerabilidades por activo
- Matriz de riesgo (probabilidad × impacto)
- Priorización de áreas a auditar
3. **Checklist por dominio:**
- Control de acceso e identidad (IAM)
- Seguridad de red y perimetral
- Seguridad de aplicaciones
- Protección de datos y cifrado
- Gestión de parches y vulnerabilidades
- Backup y continuidad de negocio
- Seguridad física
- Concientización de usuarios
4. **Pruebas técnicas:**
- Escaneo de vulnerabilidades (herramientas recomendadas)
- Revisión de configuraciones
- Análisis de logs y monitoreo
- Tests de ingeniería social
5. **Hallazgos y reporte:**
- Formato de hallazgo: descripción, riesgo, evidencia, recomendación, prioridad
- Template del reporte ejecutivo
- Template del reporte técnico
- Plan de remediación con SLAs por criticidad
6. **Seguimiento:** Proceso de verificación de remediación y re-auditoría.