La metodologia utilitzada per Internet Security Auditors té com objectiu permetre la revisió exhaustiva dels aspectes de seguretat de tots els components dins dels Sistemes d'Informació de l'empresa, que tractin els següents aspectes:

• Seguretat de la Xarxa: Anàlisi de l'estructura de la xarxa, revisió dels dispositius encarregats de controlar el flux de dades, de la configuració i estat dels dispositius d'accéss remot i sense fils i dels dispositius de protecció, filtrat, i detecció de intrusions així com la detecció de punts públics no securitzats.

• Seguretat de Servidors i Serveis de Xarxa Interns: Detecció de servidors i serveis amb versions no actualitzades, de configuracions inadecuades de Sistemes Operatius i Serveis de Xarxa i de requeriments de seguretat (actualitzacions i patches, refinaments de configuracions de seguretat o processos complets de securització).

• Sistemes de Gestió de Disponibilitat de Sistemes i Dades: Detecció de deficiències en la Política de Backup o la seva aplicació, en els Sistemes de Monitorització o Gestió Remota i en els Plans de Contingències i Continuïtat o la seva aplicació; detecció de dispositius i sistemes de criticitat elevada per a la continuïtat del negoci; i comprovació de les mesures de tolerància a errors aplicats.

• Sistemes de Gestió: Revisió de la Seguretat dels Sistemes de Contenció i Filtrat de Continguts, detecció d'anomalies en el funcionament dels sistemes de protecció a nivell d'aplicació (Antivirus, Antispam i Filtrat de Continguts -Web, FTP, P2P...-), identificació de requeriments de seguretat (necessitat d'actualització o aplicació de patches, deficiències de configuració de Seguretat i àmbit d'actuació) i possibilitat de compromís legal o danys a la imatge.

• Seguretat dels Ordinadors d'Usuari: Determinar la capacitat d'un usuari de realitzar accions sense control per part dels administradors de la xarxa o des de la seva màquina (comprometre un sistema, accedir o compartir dades o recursos e instalar o desinstalar el software), i detecció de màquines no actualitzades i amb sistemes de seguretat deshabilitats o desconfigurats (antivirus dels clients, firewalls personals, eines de monitorització o gestió remota...).

Com a resultat de tot el treball d'Anàlisi dels Sistemes i el posterior Anàlisis de Resultats i Documentació, en el informe s'expossaran els resultats obtinguts a l'Auditoria de Seguretat juntament amb les recomanacions, en cas necessari (d'arquitectura de xarxa, de sistemes...).

Alguns dels resultats, que dependrán de les característiques propies de cada cas, son els següents:

• Resum executiu.
• Resultat obtingut en cada u dels punts analitzats.
• Vulnerabilitats detectades i catalogades segons el seu nivell de perillositat, així com les recomanacions per a la seva eliminació.
• Canvis de configuració recomanats en els sistemes per a millorar la seguretat.
• Canvis recomanats en les polítiques de autenticació, control d'accéss, contrasenyes...
• Recomanacions sobre noves aplicacions i serveis que ajudin a augmentar el nivell de seguretat.
• Mapa de xarxa actual.
• Recomanacions de canvis per a millorar la topologia de la xarxa actual.
• Canvis recomanats en les regles dels Sistemes de Protecció Perimental (routers, firewalls, IDS...).
• Identificació de punts critics on es recomanable millorar la disponibilitat.
• Canvis recomanats en els diferents accessos a la red.
• Recomanacions per a millorar l'autenticació d'usuaris i punts d'accés a la red sense fils.
• Canvis recomants en els sistemes antivirus, la seva distribució i configuració.
• Millores en els sistemes de seguretat reactiva.
• Recomanacions, salvetats i accions correctives dels aspectes técnics definits per la ISO-17799.