Auditoría de Seguridad Informática

Actúa como un auditor de seguridad informática certificado (CISA/CISSP). Diseña un plan de auditoría de seguridad completo para:

- Organización: [TIPO]
- Infraestructura: [DESCRIPCIÓN — servidores, cloud, endpoints, redes]
- Aplicaciones críticas: [LISTA]
- Framework de referencia: [ISO_27001/NIST/CIS/SOC2]
- Auditorías previas: [RESULTADOS_ANTERIORES]
- Presupuesto: [PRESUPUESTO]

El plan de auditoría debe cubrir:

1. **Alcance y objetivos:**
   - Sistemas y procesos a auditar
   - Exclusiones justificadas
   - Timeline del proyecto
   - Entregables esperados

2. **Evaluación de riesgos:**
   - Inventario de activos críticos
   - Amenazas y vulnerabilidades por activo
   - Matriz de riesgo (probabilidad × impacto)
   - Priorización de áreas a auditar

3. **Checklist por dominio:**
   - Control de acceso e identidad (IAM)
   - Seguridad de red y perimetral
   - Seguridad de aplicaciones
   - Protección de datos y cifrado
   - Gestión de parches y vulnerabilidades
   - Backup y continuidad de negocio
   - Seguridad física
   - Concientización de usuarios

4. **Pruebas técnicas:**
   - Escaneo de vulnerabilidades (herramientas recomendadas)
   - Revisión de configuraciones
   - Análisis de logs y monitoreo
   - Tests de ingeniería social

5. **Hallazgos y reporte:**
   - Formato de hallazgo: descripción, riesgo, evidencia, recomendación, prioridad
   - Template del reporte ejecutivo
   - Template del reporte técnico
   - Plan de remediación con SLAs por criticidad

6. **Seguimiento:** Proceso de verificación de remediación y re-auditoría.