2.+El+proceso+y+las+fases+de+la+auditoria

Auditoria de Seguridad Carlos Manuel Fernández. MBA, CISA, CISM Boris Delgado. CISA, CISM

El proceso y las fases de la auditoria de Sistemas de Información

Contenido de la Unidad •

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática. – – – –

–

•

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría. – – – – –

•

Metodologías de Auditoria Informática EDR Genérico: evaluación de Riesgos – (ROA – Risk Oriented Approach) EDR Simplificado : basado en Cuestionarios o Checklist EDR Avanzado: de Productos Informáticos Metodologías de Análisis Análisis de Riesgos (ver tema 5 – ISO 27001-SGSI)

Conceptos previos ISACA Preparación de la Auditoría Realización de la Auditoría Redacción del Informe de auditoría Emisión y Distribución del Informe

Habilidades fundamentales del auditor de sistemas de información.

Introducción a la Auditoría Informática – EDR y otras Evaluación de Riesgos Metodologías de Auditoría Informática Concepto de Auditoría Informática •

: (1988). La auditoria informática es el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informático salvaguarda los activos, mantiene la integridad de los datos, lleva a cabo los fines de la organización y utiliza eficientemente los recursos Ron Weber

Introducción a la Auditoría Informática – EDR y otras Evaluación de Riesgos Metodologías de Auditoría Informática Concepto de Auditoría Informática •

Carlos M. Fernández (2015). CISA (Certified Information System Auditor). Titulo profesional

para auditores de Sistemas de Información por ISACA. Es CISA (Chief Information System Auditor) como auditor interno ó externo dentro de las organizaciones. (A veces no calificado profesionalmente por ISACA). CISM (Certified Information Security Manager) Titulo profesional para responsables de seguridad de información por ISACA . Es CISO (Chief Information Security Officer) como responsable

interno de seguridad dentro de las organizaciones. (A veces no calificado profesionalmente por ISACA).

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Metodologías de Auditoria Informática El término metodología (del griego μέθοδος ) hace referencia al conjunto de procedimientos racionales utilizados para alcanzar un objetivo

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática

Metodologías de Auditoria Informática Podríamos decir que una metodología es un conjunto de métodos que se siguen de forma sistemática y disciplinada para la realización de un fin


Metodologías de Auditoria Informática Realizar auditorías informáticas con metodologías nos permite, entre otras cosas: 







Rigor , Rapidez, uniformidad, consistencia. Objetividad en los criterios. Sistematicidad. Independencia de quién lo realiza

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Metodologías de Auditoria Informática Cada organización que ofrezca servicios de auditoría (Deloitte, Ernst&Young, etc.) o cada empresa puede desarrollar una metodología propia. La mas difundida y que veremos a continuación es la basada en Evaluación de Riesgos ó EDR – ROA, recomendada por ISACA y creada por Arthur Andersen Se recomienda al alumno consultar bibliografía referente a Ron Weber "EDP Auditing: Conceptual Foundations and Practice". Ed. Mc Graw Hill . 1988

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Metodologías de Auditoria Informática A continuación se presentan los enfoques de auditoría que desarrollaremos: –

EDR Genérico: evaluación de Riesgos – (ROA – Risk

Oriented Approach) –

EDR

Simplificado:

basado en Cuestionarios o

Checklist –

EDR Avanzado: de Productos Informáticos

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática EDR Genérico: evaluación de Riesgos – (ROA – Risk

Oriented Approach) •

El auditor interno realiza una evaluación del riesgo potencial existente sobre el Sistema de Información de la Organización. Como consecuencia de la ausencia de controles o bien por ser un sistema deficiente, estos riesgos ri esgos deben ser cuantificados y valorados de tal forma que permita determinar el nivel de fiabilidad que brinda el sistema Sobre la exactitud, integridad y procesamiento de la información

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática EDR Genérico: evaluación de Riesgos (ROA –

Risk Oriented Approach) – Elementos principales Objetivos de control

El objetivo de todo control es la reducción del riesgo . La cuantificación de los riesgos potenciales, conocidos o no, es la base para establecer detalladamente los objetivos de control. Los objetivos de control pueden estar definidos previamente por el equipo de auditoría o bien establecerse durante la planificación de la auditoría

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática EDR Genérico: evaluación de Riesgos (ROA – Risk

Oriented Approach) – Elementos principales Técnicas de control ó controles (*)

Por cada objetivo de control / riesgo potencial, se debe identificar las técnicas de control existentes que deben minimizar el riesgo, logrando cumplir así, el objetivo de control. Por ejemplo, en relación a Seguridad de la Información encontramos una guía de controles en la norma ISO/IEC 27002 (*) Para mayor claridad utilizaremos controles en vez de Técnicas de control


Risk Oriented Approach) – Elementos principales Pruebas (definición)

Permiten obtener evidencias y verificar la consistencia de los controles existentes y también medir el riesgo por deficiencia de estos o por ausencia. Toda opinión o evaluación de un auditor debe estar basada en pruebas realizadas y en la evidencia obtenida de acuerdo a una normativa profesional.


Oriented Approach) – Elementos principales Pruebas (tipos)

Distinguiremos dos tipos de pruebas: • •

Prueba de cumplimiento Prueba sustantiva

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática EDR Genérico: evaluación de Riesgos (ROA – Risk Oriented

Approach) – Elementos principales Pruebas de cumplimiento

1. Se utilizan para probar y verificar el cumplimiento de una técnica de control / controles. 2. Reúne evidencias de auditoria para indicar si un control existe, funciona de forma efectiva y logra sus objetivos . Ejemplos: Examen de la evidencia disponible Observación/entrevistas Análisis de documentos e información


Risk Oriented Approach) – Elementos principales Pruebas de cumplimiento

3. El diseño de las pruebas de cumplimiento, cuyo fin es el de reunir evidencias de un funcionamiento efectivo de los controles internos, ha de tener en cuenta si: • ¿Se ejecutaron los procedimientos previstos? • ¿Se ejecutaron adecuadamente? • ¿Fueron ejecutados por alguien que cumple con los requisitos de segregación de funciones?

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática EDR Genérico: evaluación de Riesgos

(ROA – Risk Oriented Approach) – Elementos principales Pruebas de cumplimiento - Ejemplos

–

Examen de la evidencia disponible

–

Observación/entrevistas

–

Análisis de documentos e información


Risk Oriented Approach) – Elementos principales Pruebas sustantivas • • •

SOLO se utilizan cuando las pruebas de cumplimiento no han satisfecho los objetivos del auditor. Su realización requiere un mayor consumo de recursos Permiten profundizar para comprobar la fiabilidad y consistencia de los controles existentes e identificar la magnitud y el impacto de errores e incidencias


Risk Oriented Approach) – Elementos principales Flujo del EDR Genérico

A continuación se presenta el flujo del EDR genérico. Es importante destacar que únicamente se realizarán las pruebas sustantivas cuando: • El control no existe, o • El control existe pero no supera la prueba de cumplimiento


Risk Oriented Approach) – EDR Genérico Ejemplo de EDR Riesgo

Acceso indebido a sistemas de Información Objetivo de Control

El Departamento de Sistemas de Información debiera establecer normativas de acceso a sus datos y sistemas informáticos


Risk Oriented Approach) – EDR Genérico Ejemplo de EDR Control

Los procedimientos de acceso lógico a los datos incluyen la revisión y aprobación de perfiles de usuario


Oriented Approach) – EDR Genérico Ejemplo de EDR Prueba de cumplimiento Realizar pruebas procedimiento

para

verificar

el

cumplimiento

del

Prueba: comprobar que se ha implantado un

procedimiento por escrito para someter a todos los perfiles de acceso a un proceso de aprobaciones, y que ha sido comunicado a todas las áreas involucradas o interesadas


Risk Oriented Approach) – EDR Genérico Ejemplo de EDR Prueba sustantiva

Seleccionar una muestra de perfiles e identificar aquellos que no se hayan revisado y aprobado adecuadamente, evaluando el impacto/riesgo de las incidencias detectadas.


Risk Oriented Approach) – EDR Simplificado Podríamos decir que el EDR Simplificado es el que esta basado en un checklist (no sigue un modelo prueba de cumplimiento/ prueba sustantiva) sino que evalúa el riesgo a partir de formularios o checklist)

A continuación se presentan las características del EDR simplificado


EDR Genérico: evaluación de Riesgos (ROA – Risk

Oriented Approach) – EDR Simplificado Características

El auditor revisa los controles con la ayuda de una lista de control (checklist) que consta de una serie de preguntas o cuestiones a verificar. La evaluación consiste en identificar la existencia de unos controles establecidos o estandarizados. Suelen utilizarse por auditores con poca experiencia, como guía de referencia, para asegurar que se han revisado todos los controles.


EDR Genérico: evaluación de Riesgos (ROA – Risk

Oriented Approach) – EDR Simplificado Características

El auditor revisa los controles con la ayuda de una lista de control (checklist) que consta de una serie de preguntas o cuestiones a verificar. La evaluación consiste en identificar la existencia de unos controles establecidos o estandarizados. Suelen utilizarse por auditores con poca experiencia, como guía de referencia, para asegurar que se han revisado todos los controles.


Approach) – EDR Avanzado Motivación

A la vista de la cantidad de productos Software / aplicaciones existentes en el mercado, es razonable pensar en realizar las auditorías con un método (propio o diseñado por la propia empresa fabricante del producto). Definición

El EDR Avanzado o de productos informáticos es un EDR específico para una tecnología o producto concreto


Approach) – EDR Avanzado Características

Un EDR Avanzado o de productos informáticos, además de los elementos principales de un EDR genérico, se basa en: •

Audit tools :

son programas de utilidad que tiene el propio producto que vamos a

auditar. • •

programas o scripts desarrollados al efecto de obtener información del producto que sea de utilidad para la auditoría. A u d i t t r a il s : son habitualmente los logs. Contienen evidencias de lo que sucede en el interior del sistema. Tienen como desventaja que consumen mayor tiempo de procesador, pues por cada operación se anota en el registro Audit

retrievals:


(ROA – Risk Oriented Approach) – EDR Avanzado Formato

El formato de la metodología, de forma general: •

Descripción

Se explica la herramienta, su finalidad, ámbito, entorno de funcionamiento.




Riesgos específicos del producto

Se explican los riesgos específicos del producto en determinadas situaciones o escenarios, incluso al interactuar con otras aplicaciones. “Que es lo que puede suceder si …



El formato de la metodología, de forma general: Controles que minimizan los riesgos Una vez determinados los riesgos específicos se han debido implantar controles que reduzcan el riesgo. Recordemos Riesgo vs. control. Vd. Coste •


Risk Oriented Approach) – EDR Avanzado Formato


Pruebas de sustantivas)

los

controles

(cumplimiento

y

Se realizan las pruebas de cumplimiento y, en su caso, las sustantivas, sirviéndose de: – – –

Audit Tools Audit Trails Audit Retrievals

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Metodologías de evaluación de riesgos – ISO 27001SGSI (incluido en tema 5) Estas metodologías de análisis de riesgos se verán en el tema 5, pues son para ISO 27001 – SGSI Es importante diferenciar la metodología de auditoría EDRROA del análisis de riesgos de la ISO 27001-SGSI que se estudiará en el tema 5

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Elementos principales del análisis de riesgos (incluido en tema 5 – ISO 27001-SGSI) A continuación se presentan los elementos principales que comprende tradicionalmente una metodología de Análisis de Riesgos

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Elementos principales Análisis de los Riesgos: Proceso sistemático para identificar y estimar la magnitud del riesgo •

–

Análisis de riesgos cualitativo. Análisis de riesgos en el que se usa una escala de puntuaciones para situar la gravedad del impacto.

–

Análisis de riesgos cuantitativo. Análisis de riesgos en función de las pérdidas financieras y económicas que causaría el impacto.

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Elementos principales

Gestión de los Riesgos : Selección e implantación de salvaguardas / controles para conocer, prevenir, impedir, reducir, controlar o transferir los riesgos identificados. •

Siempre se manejan los conceptos de Activos, Amenazas, Vulnerabilidades, Riesgos y Salvaguardas / Controles

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Metodologías más extendidas (para ISO 27001-SGSI) Las metodologías mas extendidas actualmente son: Análisis y GEstión de RIesgos Tecnológico, desarrollada por la Administración Pública Española. MAGERIT

v2 – Metodología

ISO/IEC 27005:2011 Information technology — Security techniques —

Information security risk management UNE-ISO 31000:2010 Gestión del riesgo. Principios y directrices

Evaluación de Riesgos – EDR y otras Metodologías de Auditoría Informática Metodologías más extendidas (para ISO 27001-SGSI) OCTAVE, Operationally Critical Threat, Asset, and Vulnerability

Evaluation, desarrollada por la Carnegie-Mellon en Estados Unidos. EBIOS, desarrollada por la Administración Francesa en 1995. NIST SP800-30. Guía de gestión de riesgos publicada por el

gobierno Norteamericano

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Los apartados que desarrollaremos a continuación son:     

Conceptos previos ISACA Preparación de la Auditoría Realización de la Auditoría Redacción del Informe de auditoría Emisión y Distribución del Informe

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Conceptos Previos ISACA 





La auditoria basada en riesgos permite mejorar el proceso continuo de auditoria y concentrar los esfuerzos en zonas de alto riesgo (eficiencia de la auditoría). Los riesgos de negocio son aquellos pueden impactar en la viabilidad del mismo.

Relevancia. No todos los errores tienen la misma importancia.


Riesgo potencial / inherente: es el riesgo de que existan errores o fallos relevantes en ausencia de un adecuado sistema de controles. Está vinculado a cada negocio. Es el utilizado en EDR.






Riesgo de control: es el riesgo de que el sistema de controles no evite un error o fallo. Riesgo de detección: es el riesgo de que el auditor concluya que no existen errores relevantes cuando si que existen. Riesgo general de auditoría: combinación de las anteriores.

es la

Resumen de las fases de auditoría 0. CARTA DE APERTURA O MEMORANDO 1.

DEFINICIÓN DEL ALCANCE

2.

RECURSOS Y TIEMPO

3.

RECOPILACIÓN DE INFORMACIÓN BÁSICA

4.

PROGRAMA DE TRABAJO Y PLAN DE COMUNICACION

5.

IDENTIFICACIÓN DE RIESGOS POTENCIALES

6.

IDENTIFICACIÓN DE CONTROLES DEBILES Y FUERTES

7.

PRUEBAS Y TÉCNICAS A UTILIZAR

8.

IDENTIFICACIÓN DE CONTROLES ALTERNATIVOS

9.

REALIZACIÓN DE PRUEBAS Y OBTENCIÓN DE RESULTADOS

10.

CONCLUSIONES Y COMENTARIOS

11.

REVISIONES Y CIERRE DE PAPELES DE TRABAJO

12.

BORRADOR DEL INFORME

13.

EMISIÓN Y DISTRIBUCIÓN DEL INFORME

EDR

Evaluación de Riesgos – EDR. Flujograma de EDR (findings/no conformidades/observaciones)

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Preparación de la auditoría

1. Definición del alcance Es la definición de lo que se va a revisar. Identificar la unidad de la organización a revisar o los sistemas específicos. Por ej. Área de desarrollo, seguridad lógica, seguridad física, etc. Se deberá evaluar el dimensionamiento del área o sistema a auditar


2. Recursos y tiempo Consiste en asignar auditores (recursos) y el tiempo para la auditoría. La asignación será jornadas/hombre, incluyendo mas o menos jornadas en función del alcance definido y de la experiencia de los auditores (junior/senior), así como del dimensionamiento del área o sistema a auditar


3. Recopilación de información básica Identificar las fuentes de información para revisarlas como organigramas funcionales, descripción de las instalaciones, breve descripción de los sistemas existentes, políticas, estándares, procedimientos Revisión de documentación adicional como datos sobre la organización, informes previos de auditoría interna/externa. Hay que identificar una lista de personas a entrevistar


3. Recopilación de información básica Si la auditoría es sorpresiva, la recopilación se realiza in-situ. Si la auditoría no es sorpresiva previamente se envía una carta de apertura o memorandum donde se indica lo que se necesita


4. Programa de trabajo Con la información básica, se realiza la asignación de cada auditor al trabajo que va a realizar


5. Plan de comunicación Acuerdo del cómo/cuando y a quien se comunican los resultados de la auditoría

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Realización de la Auditoría Se realiza la aplicación de la Metodología. En este caso aplicamos EDR y seguimos el esquema que recomienda ISACA. Normalmente el auditor tiene un EDR genérico, que en función de la organización, adaptará.

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Realización de la Auditoría 1. Identificación de riesgos potenciales Consiste en detectar los posibles riesgos en ausencia de controles relacionados. 2. Identificación de controles fuertes y débiles

El auditor detecta controles adecuadamente implantados y eficaces (fuertes) y otros parcialmente implantados o que no funcionan (débiles). Por cada control débil el auditor hace un comentario.

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Realización de la Auditoría 3. Selección de las Pruebas y técnicas a utilizar El auditor decide que tipo de pruebas en base a los riesgos va a diseñar. – – –

Pruebas de cumplimiento Pruebas sustantivas Técnicas de Audit trail, retrieval, tools

Ejecución de una Auditoría de Sistemas deRealización Información. Fases de Auditoría de la Auditoría 4. Realización de pruebas y obtención de resultados El auditor realizará tantas pruebas (de cumplimiento, sustantivas, etc.) como haya estimado. En ocasiones se utilizan herramientas de apoyo al auditor (CAAT). Se verán en detalle en próximos módulos. Las pruebas realizadas se anotan, así como el resultado obtenido (evidencia) que permitirá demostrar una conclusión sobre la prueba realizada. Se pueden realizar pruebas adicionales sobre aspectos que no han quedado claros.

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Realización de la Auditoría 5. Conclusiones y comentarios Los resultados de cada prueba deben valorarse, obtener una conclusión, siempre teniendo en cuenta los objetivos y el alcance de la auditoría. Se realizan comentarios acerca de lo analizado (riesgos, incidencias, etc.) que irá al informa final. Pueden existir comentarios con importancia mayor o menor.

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Realización de la Auditoría 6. Revisiones y cierre de papeles de trabajo Las evidencias deben suficientes y fehacientes.

ser

pertinentes,

El auditor debe guardar correctamente todas las notas recogidas (cuaderno del auditor).

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Redacción del Informe de Auditoría Habitualmente se elabora un informe preliminar que incluya: – – – – – –

Alcance y Objetivo de la auditoría Metodología utilizada. Posibles Limitaciones. Resumen de auditoría. Conclusiones en base a los resultados obtenidos. Discusión con los auditados.

Es recomendable distribuir dicho borrador al área auditada /cliente /organización y obtener una contestación en la que puede aceptar lo indicado en el informe y/o presentar alegaciones.

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Redacción del Informe de Auditoría •

Consideraciones importantes

El vocabulario debe ser preciso, objetivo, cuidadoso y respetuoso.

No debe incluir juicios de valor, nombres propios, abreviaturas o iniciales de productos. Afirmaciones con contenido y breves. El informe final se distribuirá al Comité de Dirección de la organización


Formato del informe de auditoría

El formato del informe puede ser el siguiente: –

Antecedentes: reflejan brevemente lo que

se ha auditado. Sirve para situar a la persona que lo recibe como están las cosas. –

Alcance: aquí se redacta el alcance real, es

decir, lo que realmente hemos hecho. –

Resumen de la Auditoria : se resumen las

etapas de la auditoría realizada


Formato del informe de auditoría

–

Conclusiones:

–

Anexo y Comentarios : se ponen los

son un resumen de comentarios (de los que pone el auditor). En esta fase se discute el informe con las personas auditadas.

comentarios habitualmente en un anexo. Es decir, las conclusiones presentan de forma ejecutiva el resultado de la auditoría y en el anexo se detallan los comentarios que sustentan dichas conclusiones.

Ejecución de una Auditoría de Sistemas de Información. Fases de Auditoría Emisión y distribución del Informe de Auditoría

–

El informe deberá ser leído y entendido por los destinatarios. Habitualmente es la Dirección de la Organización o del departamento/área auditada.

–

El informe final se distribuirá al Comité de Dirección de la organización

Habilidades fundamentales del auditor de sistemas de información Un auditor en informática debería tener las siguientes habilidades terminales: •

Capacidad para revisar y evaluar el control interno del medio ambiente en que se desarrollan los sistemas de información.

•

Capacidad para revisar, evaluar y diseñar los controles necesarios en el desarrollo de los sistemas de información.

Habilidades fundamentales del auditor de sistemas de información Un auditor en informática debería tener las siguientes habilidades terminales: •

Capacidad para revisar y evaluar los controles en sistemas de información que estén produciendo información

•

Capacidad para diseñar procedimientos y técnicas de auditoría con el computador.

2.+El+proceso+y+las+fases+de+la+auditoria

Recommend Documents