Indice
1.
Introducción
2. Evaluación de la
Seguridad
3. Ciclo de Seguridad
4. Conclusión
5. Bibliografía
La naturaleza
especializada de la auditoría de los sistemas de
información y las habilidades necesarias para llevar a
cabo este tipo de auditorías, requieren el desarrollo y
la promulgación de Normas Generales
para la Auditoría de los Sistemas de
Información.
La auditoría de los sistemas de
información se define como cualquier auditoría
que abarca la revisión y evaluación
de todos los aspectos (o de cualquier porción de ellos) de
los sistemas
automáticos de procesamiento de la información, incluidos los procedimientos no
automáticos relacionados con ellos y las interfaces
correspondientes.
Para hacer una adecuada planeación
de la auditoría en informática, hay que seguir una serie de
pasos previos que permitirán dimensionar el tamaño
y características de área dentro del
organismo a auditar, sus sistemas, organización y equipo.
A continuación, la descripción de los dos principales objetivos de
una auditoría de
sistemas, que son, las evaluaciones de los procesos de
datos y de los
equipos de cómputo, con controles, tipos y seguridad.
En el caso de la auditoría en informática, la planeación
es fundamental, pues habrá que hacerla desde el punto de
vista de los dos objetivos:
- Evaluación de los sistemas y procedimientos.
- Evaluación de los equipos de
cómputo.
Para hacer una planeación eficaz, lo primero que
se requiere es obtener información general sobre la
organización y sobre la función de
informática a evaluar. Para ello es preciso hacer una
investigación preliminar y algunas entrevistas
previas, con base en esto planear el programa de
trabajo, el cual deberá incluir tiempo, costo, personal
necesario y documentos
auxiliares a solicitar o formular durante el desarrollo de
la misma.
Consta de:
1.- Evaluación
de los Sistemas
- Evaluación de los diferentes sistemas en
operación (flujo de información, procedimientos,
documentación, redundancia, organización de archivos,
estándares de programación, controles,
utilización de los sistemas). - Evaluación del avance de los sistemas en
desarrollo y congruencia con el diseño general - Evaluación de prioridades y recursos
asignados (humanos y equipos de cómputo) - Seguridad física y lógica de los sistemas, su
confidencialidad y respaldos
2.- Evaluación de los equipos
- Capacidades
- Utilización
- Nuevos Proyectos
- Seguridad física y lógica
- Evaluación física y
lógica
Controles administrativos en un ambiente de
Procesamiento de Datos
La máxima autoridad del
Àrea de Informática de una empresa o
institución debe implantar los siguientes controles que se
agruparan de la siguiente forma:
1.- Controles de Preinstalación
2.- Controles de Organización y Planificación
3.- Controles de Sistemas en Desarrollo y Producción
4.- Controles de Procesamiento
5.- Controles de Operación
6.- Controles de uso de Microcomputadores
1.- Controles de
Preinstalación
Hacen referencia a procesos y
actividades previas a la adquisición e instalación
de un equipo de computación y obviamente a la automatización de los sistemas
existentes.
Objetivos:
- Garantizar que el hardware y
software se
adquieran siempre y cuando tengan la seguridad de
que los sistemas computarizados proporcionaran mayores
beneficios que cualquier otra alternativa. - Garantizar la selección adecuada de equipos y sistemas
de computación - Asegurar la elaboración de un plan de
actividades previo a la instalación
Acciones a seguir:
- Elaboración de un informe
técnico en el que se justifique la adquisición
del equipo, software y
servicios
de computación, incluyendo un estudio costo-beneficio. - Formación de un comité que coordine y
se responsabilice de todo el proceso de
adquisición e instalación - Elaborar un plan de
instalación de equipo y software (fechas, actividades,
responsables) el mismo que debe contar con la
aprobación de los proveedores del equipo. - Elaborar un instructivo con procedimientos a seguir
para la selección y adquisición de
equipos, programas y
servicios
computacionales. Este proceso
debe enmarcarse en normas y
disposiciones legales. - Efectuar las acciones
necesarias para una mayor participación de proveedores. - Asegurar respaldo de mantenimiento y asistencia
técnica.
2.- Controles de
organización y Planificación
Se refiere a la definición clara de funciones,
línea de autoridad y
responsabilidad de las diferentes unidades del
área PAD, en labores tales como:
- Diseñar un sistema
- Elaborar los programas
- Operar el sistema
- Control de calidad
Se debe evitar que una misma persona tenga el
control de toda
una operación.
Acciones a
seguir
- La unidad informática debe estar al mas alto
nivel de la pirámide administrativa de manera que
cumpla con sus objetivos, cuente con el apoyo necesario y la
dirección efectiva. - Las funciones de
operación, programación y diseño de
sistemas deben estar claramente delimitadas. - Deben existir mecanismos necesarios a fin de
asegurar que los programadores y analistas no tengan acceso a
la operación del computador
y los operadores a su vez no conozcan la documentación de programas y
sistemas. - Debe existir una unidad de control de
calidad, tanto de datos de
entrada como de los resultados del procesamiento. - El manejo y custodia de dispositivos y archivos
magnéticos deben estar expresamente definidos por
escrito. - Las actividades del PAD deben obedecer a
planificaciones a corto, mediano y largo plazo sujetos a
evaluación y ajustes periódicos "Plan Maestro
de Informática" - Debe existir una participación efectiva de
directivos, usuarios y personal del
PAD en la planificación y evaluación del
cumplimiento del plan. - Las instrucciones deben impartirse por
escrito.
3.- Controles de Sistema en
Desarrollo y Producción
Se debe justificar que los sistemas han sido la mejor
opción para la empresa, bajo
una relación costo-beneficio que proporcionen oportuna y
efectiva información, que los sistemas se han desarrollado
bajo un proceso planificado y se encuentren debidamente
documentados.
Acciones a seguir:
Los usuarios deben participar en el diseño
e implantación de los sistemas pues aportan conocimiento y
experiencia de su área y esta actividad facilita el
proceso de cambio
- El personal de auditoría interna/control
debe formar parte del grupo de
diseño para sugerir y solicitar la implantación
de rutinas de control - El desarrollo, diseño y mantenimiento de sistemas obedece a planes
específicos, metodologías estándares,
procedimientos y en general a normatividad escrita y
aprobada. - Cada fase concluida debe ser aprobada
documentadamente por los usuarios mediante actas u otros
mecanismos a fin de evitar reclamos posteriores. - Los programas antes de pasar a Producción deben ser probados con datos
que agoten todas las excepciones posibles. - Todos los sistemas deben estar debidamente
documentados y actualizados. La documentación
deberá contener:
– Informe de
factibilidad
– Diagrama de
bloque
– Diagrama de
lógica del programa
– Objetivos del programa
– Listado original del programa y
versiones que incluyan los cambios efectuados con antecedentes de
pedido y aprobación de modificaciones
– Formatos de salida
– Resultados de pruebas
realizadas
- Implantar procedimientos de solicitud,
aprobación y ejecución de cambios a programas,
formatos de los sistemas en desarrollo. - El sistema concluido será entregado al
usuario previo entrenamiento
y elaboración de los manuales de
operación respectivos
4.- Controles de
Procesamiento
Los controles de procesamiento se refieren al ciclo que sigue la
información desde la entrada hasta la salida de la
información, lo que conlleva al establecimiento de una
serie de seguridades para:
- Asegurar que todos los datos sean
procesados. - Garantizar la exactitud de los datos
procesados. - Garantizar que se grabe un archivo para
uso de la gerencia y
con fines de auditoría - Asegurar que los resultados sean entregados a los
usuarios en forma oportuna y en las mejores
condiciones.
Acciones a seguir:
- Validación de datos de entrada previo
procesamiento debe ser realizada en forma automática:
clave, dígito autoverificador, totales de lotes,
etc. - Preparación de datos de entrada debe ser
responsabilidad de usuarios y consecuentemente
su corrección. - Recepción de datos de entrada y distribución de información de
salida debe obedecer a un horario elaborado en coordinación con el usuario, realizando
un debido control de
calidad. - Adoptar acciones necesaria para correcciones de
errores. - Analizar conveniencia costo-beneficio de
estandarización de formularios,
fuente para agilitar la captura de datos y minimizar
errores. - Los procesos interactivos deben garantizar una
adecuada interrelación entre usuario y
sistema. - Planificar el mantenimiento del hardware y
software, tomando todas las seguridades para garantizar la
integridad de la información y el buen servicio a
usuarios.
5.- Controles de
Operación
Abarcan todo el ambiente de la
operación del equipo central de computación y
dispositivos de
almacenamiento, la
administración de la cintoteca y la operación
de terminales y equipos de comunicación por parte de los usuarios de
sistemas on line.
Los controles tienen como fin:
- Prevenir o detectar errores accidentales que puedan
ocurrir en el Centro de
Cómputo durante un proceso - Evitar o detectar el manejo de datos con fines
fraudulentos por parte de funcionarios del PAD - Garantizar la integridad de los recursos
informáticos. - Asegurar la utilización adecuada de equipos
acorde a planes y objetivos.
Acciones a seguir:
- El acceso al centro de computo debe contar con las
seguridades necesarias para reservar el ingreso al personal
autorizado - Implantar claves o password para garantizar
operación de consola y equipo central (mainframe), a
personal autorizado. - Formular políticas respecto a seguridad,
privacidad y protección de las facilidades de
procesamiento ante eventos como:
incendio, vandalismo, robo y uso indebido, intentos de
violación y como responder ante esos eventos. - Mantener un registro
permanente (bitácora) de todos los procesos
realizados, dejando constancia de suspensiones o
cancelaciones de procesos. - Los operadores del equipo central deben estar
entrenados para recuperar o restaurar información en
caso de destrucción de archivos. - Los backups no deben ser menores de dos (padres e
hijos) y deben guardarse en lugares seguros y
adecuados, preferentemente en bóvedas de bancos. - Se deben implantar calendarios de operación
a fin de establecer prioridades de proceso. - Todas las actividades del Centro de Computo deben
normarse mediante manuales,
instructivos, normas, reglamentos, etc. - El proveedor de hardware y software deberá
proporcionar lo siguiente:
– Manual de
operación de equipos
– Manual de
lenguaje de
programación
– Manual de utilitarios disponibles
– Manual de Sistemas operativos
- Las instalaciones deben contar con sistema de
alarma por presencia de fuego, humo, asi como extintores de
incendio, conexiones eléctricas seguras, entre
otras. - Instalar equipos que protejan la información
y los dispositivos en caso de variación de voltaje
como: reguladores de voltaje, supresores pico, UPS,
generadores de energía. - Contratar pólizas de seguros para
proteger la información, equipos, personal y todo
riesgo que se
produzca por casos fortuitos o mala
operación.
6.- Controles en el uso del
Microcomputador
Es la tarea màs difícil pues son equipos mas
vulnerables, de fácil acceso, de fácil
explotación pero los controles que se implanten ayudaran a
garantizar la integridad y confidencialidad de la
información.
Acciones a seguir:
- Adquisición de equipos de protección
como supresores de pico, reguladores de voltaje y de ser
posible UPS previo a la adquisición del
equipo - Vencida la garantía de mantenimiento del
proveedor se debe contratar mantenimiento
preventivo y correctivo. - Establecer procedimientos para obtención de
backups de paquetes y de archivos de datos. - Revisión periódica y sorpresiva del
contenido del disco para verificar la instalación de
aplicaciones no relacionadas a la gestión de la empresa. - Mantener programas y procedimientos de
detección e inmunización de virus en
copias no autorizadas o datos procesados en otros
equipos. - Propender a la estandarización del Sistema
Operativo, software utilizado como procesadores de palabras, hojas
electrónicas, manejadores de base de datos
y mantener actualizadas las versiones y la capacitación sobre modificaciones
incluidas.
Revisión de Centros de Cómputo
Consiste en revisar los controles en las operaciones del
centro de procesamiento de información en los siguientes
aspectos:
1.- Revisión de controles en el equipo
Se hace para verificar si existen formas adecuadas de detectar
errores de procesamiento, prevenir accesos no autorizados y
mantener un registro
detallado de todas las actividades del computador que
debe ser analizado periódicamente.
2.- Revisión de programas de operación
Se verifica que el cronograma de actividades para procesar la
información asegure la utilización efectiva del
computador.
3.- Revisión de controles ambientales
Se hace
para verificar si los equipos tienen un cuidado adecuado, es
decir si se cuenta con deshumidificadores, aire
acondicionado, fuentes de
energía continua, extintores de incendios,
etc.
4.- Revisión del plan de mantenimiento
Aquí se verifica que todos los equipos principales tengan
un adecuado mantenimiento que garantice su funcionamiento
continuo.
5.- Revisión del sistema de administración de archivos
Se hace para verificar que existan formas adecuadas de organizar
los archivos en el computador, que estén respaldados,
así como asegurar que el uso que le dan es el
autorizado.
6.- Revisión del plan de contingencias
Aquí se verifica si es adecuado el plan de recupero en
caso de desastre, el cual se detalla mas adelante.
La computadora es
un instrumento que estructura
gran cantidad de información, la cual puede ser
confidencial para individuos, empresas o
instituciones,
y puede ser mal utilizada o divulgada a personas que hagan mal
uso de esta. También pueden ocurrir robos, fraudes o
sabotajes que provoquen la destrucción total o parcial de
la actividad computacional. Esta información puede ser de
suma importancia, y el no tenerla en el momento preciso puede
provocar retrasos sumamente costosos.
En la actualidad y principalmente en las computadoras
personales, se ha dado otro factor que hay que considerar: el
llamado "virus" de las
computadoras,
el cual, aunque tiene diferentes intenciones, se encuentra
principalmente para paquetes que son copiados sin
autorización ("piratas") y borra toda la
información que se tiene en un disco.
Al auditar los sistemas se debe tener cuidado que no se tengan
copias "piratas" o bien que, al conectarnos en red con otras computadoras,
no exista la posibilidad de transmisión del virus. El uso
inadecuado de la computadora
comienza desde la utilización de tiempo de
máquina para usos ajenos de la
organización, la copia de programas para fines de
comercialización sin reportar los derechos de
autor hasta el acceso por vía telefónica a
bases de datos
a fin de modificar la información con propósitos
fraudulentos.
La seguridad en la informática abarca los conceptos de
seguridad física y seguridad lógica:
- La seguridad física, se refiere a la
protección del Hardware y de los soportes de datos,
así como a la de los edificios e instalaciones que los
albergan. Contempla las situaciones de incendios,
sabotajes, robos, catástrofes naturales,
etc. - La seguridad lógica, se refiere a la
seguridad de uso del software, a la protección de los
datos, procesos y programas, así como la del ordenado
y autorizado acceso de los usuarios a la
información.
Un método
eficaz para proteger sistemas de computación es el
software de control de acceso.
Dicho simplemente, los paquetes de control de acceso protegen
contra el acceso no autorizado, pues piden del usuario una
contraseña antes de permitirle el acceso a
información confidencial.
Dichos paquetes han sido populares desde hace muchos años
en el mundo de las computadoras grandes, y los principales
proveedores ponen a disposición de clientes algunos
de estos paquetes.
Causas de realización de una Auditoría de
Seguridad
Esta constituye la FASE 0 de la auditoría y el orden 0 de
actividades de la misma.
El equipo auditor debe conocer las razones por las cuales el
cliente desea
realizar el Ciclo de Seguridad.
Puede haber muchas causas:
- Reglas internas del cliente,
- incrementos no previstos de costes,
- obligaciones legales,
- situación de ineficiencia global notoria,
etc.
De esta manera el auditor conocerá el entorno
inicial. Así, el equipo auditor elaborará el Plan
de Trabajo.
El objetivo de la
auditoría de seguridad es revisar la situación y
las cuotas de eficiencia de la
misma en los órganos más importantes de la estructura
informática.
Para ello, se fijan los supuestos de partida:
- El área auditada es la Seguridad.
- El área a auditar se divide en:
Segmentos. - Los segmentos se dividen en: Secciones.
- Las secciones se dividen en:
Subsecciones.
De este modo la auditoría se realizara en 3
niveles.
Los segmentos a auditar, son:
- Segmento 1: Seguridad de cumplimiento de normas y
estándares. - Segmento 2: Seguridad de Sistema
Operativo. - Segmento 3: Seguridad de Software.
- Segmento 4: Seguridad de Comunicaciones.
- Segmento 5: Seguridad de Base de
Datos. - Segmento 6: Seguridad de Proceso.
- Segmento 7: Seguridad de Aplicaciones.
- Segmento 8: Seguridad Física.
Conceptualmente la auditoria informática en
general y la de Seguridad en particular, ha de desarrollarse en
seis fases bien diferenciadas:
- Fase 0. Causas de la realización del ciclo de
seguridad. - Fase 1. Estrategia y
logística del ciclo de
seguridad. - Fase 2. Ponderación de sectores del ciclo de
seguridad. - Fase 3. Operativa del ciclo de seguridad.
- Fase 4. Cálculos y resultados del ciclo de
seguridad. - Fase 5. Confección del informe del ciclo de
seguridad.
A su vez, las actividades auditoras se realizan en el
orden siguiente:
- Comienzo del proyecto de
Auditoría
Informática. - Asignación del equipo auditor.
- Asignación del equipo interlocutor del
cliente. - Cumplimentación de formularios
globales y parciales por parte del cliente. - Asignación de pesos técnicos por parte
del equipo auditor. - Asignación de pesos políticos por parte
del cliente. - Asignación de pesos finales a segmentos y
secciones. - Preparación y confirmación de entrevistas.
- Entrevistas, confrontaciones y análisis y repaso de
documentación. - Càlculo y ponderación de subsecciones,
secciones y segmentos. - Identificación de áreas
mejorables. - Elección de las áreas de
actuación prioritaria. - Preparación de recomendaciones y borrador de
informe - Discusión de borrador con cliente.
- Entrega del informe.
La auditoría en informática es la
revisión y la evaluación de los controles,
sistemas, procedimientos de informática; de los equipos de
cómputo, su utilización, eficiencia y
seguridad, de la organización que participan en el
procesamiento de la información, a fin de que por medio
del señalamiento de cursos
alternativos se logre una utilización más eficiente
y segura de la información que servirá para una
adecuada toma de
decisiones.
La auditoría en informática deberá
comprender no sólo la evaluación de los equipos de
cómputo, de un sistema o procedimiento
específico, sino que además habrá de evaluar
los sistemas de información en general desde sus entradas,
procedimientos, controles, archivos, seguridad y obtención
de información.
La auditoría en informática es de vital importancia
para el buen desempeño de los sistemas de
información, ya que proporciona los controles necesarios
para que los sistemas sean confiables y con un buen nivel de
seguridad. Además debe evaluar todo (informática,
organización de centros de información, hardware y
software).
http://www.geocities.com/lsialer/NotasInteresantes.htm
http://www.monografias.com/trabajos/auditoinfo/auditoinfo
http://www.monografias.com/trabajos/maudisist/maudisist
Autor:
Carmen D'Sousa