ANTOLOGIA: AUDITORIA INFORMATICA TEMARIO 1 Introducción a la auditoria informática. 1.1 Conceptos de auditoría y auditoria Informática. 1.2 Tipos de auditoría. 1.2.1 Auditoría interna y externa. 1.3 Campo de la auditoria informática. 1.4 Control interno. 1.5 Modelos de control utilizados en auditoria informática. 1.6 Principios aplicados a los auditores informáticos. 1.7 Responsabilidades de los administradores y del auditor. . 2 Planeación de la auditoria Informática. 2.1 Fases de la auditoria. 2.1.1 Planeación. 2.1.2 Revisión preliminar. 2.1.3 Revisión detallada. 2.1.4 Examen y evaluación de la información. 2.1.5 Pruebas de controles de usuario. 2.1.6 Pruebas sustantivas. 2.2 Evaluación de los sistemas de acuerdo al riesgo. 2.3 Investigación preliminar. 2.4 Personal participante. 3 Auditoria de la función informática. 3.1 Recopilación de la información organizacional. 3.2 Evaluación de los recursos humanos. 3.3 Entrevistas con el personal de informática. 3.4 Situación presupuestal y financiera. 3.4.1 Presupuestos. 3.4.2 Recursos financieros y materiales. 4 Evaluación de la seguridad. 4.1 Generalidades de la seguridad del área física. 4.2 Seguridad lógica y confidencial. 4.3 Seguridad personal. 4.4 Clasificación de los controles de seguridad. 4.5 Seguridad en los datos y software de aplicación. 4.6 Controles para evaluar software de aplicación. 4.7 Controles para prevenir crímenes y fraudes informáticos. 4.8 Plan de contingencia, seguros, procedimientos de recuperación de desastres. 4.9 Técnicas y herramientas relacionadas con la seguridad física y del personal. 4.10 Técnicas y herramientas relacionadas con la seguridad de los datos y software de aplicación. 5 Auditoria de la seguridad en la teleinformática. 5.1 Generalidades de la seguridad en el área de la teleinformática. 5.2 Objetivos y criterios de la auditoria en el área de la teleinformática. 5.3 Síntomas de riesgo. 5.4 Técnicas y herramientas de auditoría relacionadas con la seguridad en la teleinformática.
6 Informe de la auditoria informática. 6.1 Generalidades de la seguridad del área física. 6.2 Características del informe. 6.3 Estructura del informe. 6.4 Formato para el informe.
INTRODUCCION:
En la actualidad los temas relativos a la auditoría informática cobran cada vez más relevancia, tanto a nivel nacional como internacional, debido a que la información se ha convertido en el activo más importante de las empresas, representando su principal ventaja estratégica, por lo que éstas invierten enormes cantidades de dinero y tiempo en la creación de sistemas de información con el fin de obtener la mayor productividad y calidad posibles. Es de crucial importancia para un profesional del desarrollo de aplicaciones el pleno conocimiento de la auditoría informática, esto así, porque debe de seguir todos los procedimientos y generar toda la documentación y planeación del producto no sólo para salir exitosos en los procesos de auditorías externas, sino también para fines de asegurar la continuidad y la calidad del producto final. Esta asignatura proporciona a los estudiantes una panorámica actual y completa sobre la auditoría informática, combinando el rigor teórico con el enfoque práctico en el mundo de la auditoría informática.
UNIDAD IV. EVALUACION DE LA SEGURIDAD
GENERALIDADES DE LA SEGURIDAD DEL AREA FISICA
El objetivo es establecer políticas, procedimientos y practicas para evitar las interrupciones prolongadas del servicio de procesamiento de datos, información debido a contingencias como incendio, inundaciones, huelgas disturbios, sabotaje etc. y continuar e n un medio de emergencias hasta que sea reestructurado el servicio completo.
PRECAUCIONES QUE SE DEBEN TENER EN CUENTA
Los ductos del aire acondicionado deben estar limpios ya que son una de las principales causas del polvo y se habrá de contar con detectores de humo que indiquen la posible presencia de fuego. En las instalaciones de alto riesgo se debe tener equipo de fuente no interrumpible, tanto en la computadora como en la red y en los equipos de teleproceso En cuanto a los extintores, se debe revisar en numero de estos, su capacidad, fácil acceso peso y tipo de producto que utilizan. Otro de Ios, problemas es la utilización de los extintores inadecuados que pueden provocar mayor perjuicio a las maquinas (extintores líquidos) o que provocan gases tóxicos También se debe ver que el personal sepa usar los equipos contra incendio y si ha habido practica en cuanto a su uso. Se debe verificar que existan deferentes salidas de emergencia y que estén debidamente controladas para evitar robos por medio de estas salidas. Los materiales mas peligrosos son las cintas magnéticas que, al quemarse, producen gases tóxicos y el papel carbón es altamente inflamable.
SEGURIDAD LOGICA y CONFIDENCIAL
Las computadoras son un instrumento que estructura gran cantidad de información, la cual puede ser confidencial para individuos, empresas e instituciones y puede ser mal utilizada o divulgada a personas que hagan mal uso de estas.
Durante mucho tiempo se considero que los procedimientos de auditoria y seguridad eran responsabilidad de la persona que elabora los sistemas sin considerar que son responsabilidad del usuario y del departamento de auditoria i nterna. Al auditar los sistemas, se debe tener cuidado que no se tengan copias piratas o bien que al conectarnos a la red con otros computadoras, no exista la posibilidad de transmisión del virus. El crecimiento de los fraudes por computadora han hecho patente que la potenciabilidad de los crímenes crece en forma mas rápida que en los sistemas de seguridad.
Se considera que hay cuatro factores que han permitido el incremento en los crímenes por computadora: 1. El aumento del numero de personas que se encuentra estudiando computación
2. EI aumento al numero de empleados que tienen acceso a los equipos 3. La facilidad en el uso de los equipos de computo 4. EI incremento en la concentración del número de aplicaciones y, consecuentemente de la información. A aumento de los fraudes hechos a los sistemas computarizados se han perfeccionado los sistemas de seguridad tanto física como lógica.
Un método eficaz para proteger sistemas de computación es el software de control de acceso.
Uno de los puntos que se pueden auditar con mas detalla es el de tener las cifras de control y el medio adecuado que nos permita en el momento que se produce un cambio o fraude en el sistema.
SEGURIDAD EN EL PERSONAL
Un buen centro de cómputo depende, de la integridad, estabilidad y lealtad de personal, por lo que al momento de reclutarlo es conveniente hacerle exámenes psicológicos, médicos y tener en cuenta sus antecedentes de trabajo.
También se deben tener políticas de rotación de personal que disminuyan la posibilidad de fraude, ya que un empleado puede estar haciendo otra actividad en un mes y seria muy arriesgado cometer un fraude.
El programador honesto en ocasiones elabora programas que ponen en peligro la seguridad de la empresa, ya que no se consideran procedimientos de auditoria dentro de los programas tales que excluyan las posibilidades de fraudes
CLASIFICACION DE LOS CONTROLES DE SEGURIDAD
Dentro de los aspectos fundamentales que se deben contemplar en el diseño de cualquier centro de informática, se encuentran la seguridad de los recursos informáticos, del personal, de la información, de sus programas, etc.
A continuación se muestra los principales controles de seguridad:
Clasificación de los controles de seguridad
Seguridad física Seguridad lógica Seguridad de las bases de datos Seguridad en la operación Seguridad del personal de informática Seguridad de las telecomunicaciones Seguridad en las redes
SEGURIDAD EN LOS DATOS Y SOFTWARE DE APLlCACION
Es el control que se establece en el sistema en forma administrativa; esto significa que por medio de procedimientos, claves y niveles de acceso, se permite el uso del sistema, de sus archivos y de su información a los usuarios y al personal autorizado; dichos procedimientos van desde el registro de los usuarios y la asignación de equipos y terminales, hasta el establecimiento de privilegios, limites y monitoreo de uso de sistemas, programas e información. En todos los casos de acuerdo con el nivel del usuario, o a su importancia para el sistema y a las políticas de la empresa y del área de sistemas.
Es la protección especifica de la información que se maneja en las áreas de sistemas de la empresa, ya sea a través de las medidas de seguridad y control que limiten el acceso y uso de esa información, o mediante sus respaldos periódicos con el fin de mantener su confidencialidad y prevenir las alteraciones descuidos y otros actos delictivos que afecten su manejo.
El fraude es el delito mas creativo: requiere de las mentes más agudas y podemos decir que es prácticamente imposible de evitar. En el momento en que se descubre el remedio, alguien inventa algo nuevo Esta norma define el fraude y el error e indica que la responsabilidad de la prevención de los mismos radica en la administración.
El auditor deberá planear la auditoria de modo de que exista una expectativa razonable de detectar anomalías importantes resultantes del fraude y el error. Se sugieren procedimientos que deben considerarse cuando el auditor tiene motivos para creer que existe fraude o error.
Controles para prevenir amenazas y fraudes informáticos
Responsabilidad de la Gerencia: La responsabilidad por la prevención y detección de fraude y error descansa en la gerencia que debe implementar y mantener sistemas de contabilidad adecuados.
Responsabilidad del Auditor: El auditor no es y no puede ser responsable de la prevención del fraude o error, sin embargo, el hecho de que se lleve a cabo una auditoria anual, puede servir para contrarrestar fraudes o errores,
Controles para prevenir amenazas y fraudes informáticos
Para prevenir el acceso no autorizado, los usuarios deben usar un sistema de contraseñas robusto y activar el protector de pantalla manualmente cada vez que se ausente de su oficina. Los datos confidenciales que aparezcan en la pantalla deben protegerse de ser vistos por otras personas mediante disposición apropiada del mobiliario de la oficina y protector de pantalla. Cuando ya no se necesiten o no sean de utilidad, los datos confidenciales s e deben borrar Debe implantarse un sistema de autorización y control de acceso con el fin de restringir la posibilidad de los usuarios para leer, escribir, modificar, crear, o borrar datos importantes. No esta permitido llevar al sitio de trabajo computadoras portátiles (Iaptops) y en caso de ser necesario se requiere solicitar la autorización correspondiente. No debe borrarse la información original no cifrada hasta que se haya comprobado que se puede recuperar desde los archivos encriptados mediante el proceso de descifrado. No deben salirse las impresoras desatendidas, sobre todo si se está imprimiendo (o se va a imprimir) información confidencial de la Compañía. El personal que utiliza un computador portátil que contenga información confidencial de la Compañía, no debe dejarla desatendida, sobre todo cuando esté de viaje, y además esa información debe estar cifrada.
Reenvío de mensajes
Tomando en cuenta que cierta información esta dirigida a personas específicas y puede no ser apta para otros, dentro y fuera de la Compañía, se debe ejercer cierta cautela al remitir los mensajes. En todo caso no debe remitirse información confidencial de la Compañía sin la debida aprobación.
Borrado de mensajes
Los mensajes que ya no se necesitan deben ser eliminados periódicamente de su área de almacenamiento. Con esto se reducen los riesgos de que otros puedan acceder a esa información y además se libera espacio en disco.
Cuentas de los usuarios
No debe concederse una cuenta a personas que no sean empleados de la Compañía a menos que estén debidamente autorizados, en cuyo caso la cuenta debe expirar automáticamente al cabo de un lapso de 30 días.
Privilegios especiales, tal como la posibilidad de modificar o borrar los archivos de otros usuarios, sólo deben otorgarse a aquellos directamente responsable de la administración o de la seguridad de los sistemas. Toda cuenta queda automáticamente suspendida después de un cierto periodo de inactividad. El periodo recomendado es de 30 días. Cuando un empleado es despedido o renuncia a la Compañía, debe desactivarse su cuenta antes de que deje el cargo.
Contraseñas v el control de acceso
El usuario no debe guardar su contraseña en una forma legible en archivos en disco, y tampoco debe escribirla en papel y dejarla en sitios donde pueda ser encontrada. Si hay razón para creer que una contraseña ha sido comprometida, debe cambiarla inmediatamente.
No deben usarse contraseñas que son idénticas o substancialmente similares a contraseñas previamente empleadas.
Siempre que sea posible, debe impedirse que los usuarios vuelvan a usar contraseñas anteriores.
Nunca debe compartirse la contraseña o revelarla a otros. El hacerlo expone al usuario a las consecuencias por las acciones que los otros hagan con esa contraseña.
Controles para evaluar el software de aplicación
Revisar la seguridad del software sobre ficheros de datos y programas
Revisar las librerías utilizadas por los programadores
Examinar que los programas realizan lo que realmente se espera de ellos.
Revisar el inventario de software.
Comprobar la seguridad de datos y ficheros
Examinar los controles sobre los datos
Planes de Contingencia
Toda empresa debe contar que son los Planes de Contingencia.
Así independientemente de que las estrategias se formulen, implanten y evalúen con gran cuidado, hay circunstancias imprevistas como huelgas, boicots, desastres naturales, presencia de competidores extranjeros y acciones gubernamentales que pueden hacer qu e la estrategia quede obsoleta. Para reducir al mínimo el impacto de las amenazas en potencia, las organizaciones deben desarrollar planes de contingencia como parte de su proceso para evaluar estrategias. Los planes de contingencia se pueden definir como planes alternativos que se pueden poner en práctica cuando ciertos hechos clave no ocurren como se esperaba. Sólo las áreas que tienen
verdadera prioridad requieren la seguridad de planes de contingencia. Los estrategas no pueden ni deben tratar de cubrir todas las bases, haciendo planes para todas las contingencias posibles.
Cuando las actividades para evaluar estrategias revelan rápidamente la necesidad de un cambio mayor, el plan de contingencia adecuado se puede ejecutar en forma oportuna. Los planes de contingencia pueden mejorar la capacidad del estratega para responder velozmente a los cambios clave operados en las bases internas y externas de la estrategia presente de la organización. Por ejemplo, si los supuestos básicos acerca de la economía resultan equivocados y existen planes de contingencia ya preparados, en tal caso los g erentes pueden hacer los cambios adecuados con oportunidad.
SEGUROS
Los seguros de los equipos en algunas ocasiones se dejan en segundo término aunque son de gran importancia. Existe un gran problema en la obtención de los seguros ya que a veces el agente de los seguros es una persona que conoce mucho de seguros; riesgos comerciales, riesgos de vida, etc. Pero muy poco sobre computadoras, y el personal de informática conoce mucho sobre computación y muy poco sobre seguros.
Se deben verificar las fechas de vencimiento de las pólizas, pues puede suceder que se obtenga la póliza adecuada pero vencida, y que se encuentre actualizada con los nuevos eq uipos. El seguro debe cubrir todo el equipo y su instalación, por lo que es probable que una sola póli za no pueda cubrir todo el equipo con las diferentes características por lo cual convenga tener dos o mas pólizas por separado, cada una con las especificaciones necesarias. El seguro debe cubrir tantos daños causados p or factores externos (terremotos, inundaciones, etc.)Como factores internos (daños ocasionados por negligencia de los operadores, daños debidos al aire acondicionado).
PROCEDIMIENTOS DE RECUPERACIÓN DE DESASTRES
Se debe establecer en cada dirección de informática un plan de emergencia el cual ha de ser aprobado por la dirección de informática y contener tanto procedimientos como información para ayudar a la recuperación de interrupciones en la operación del sistema de cómputo. Algunas compañías se resisten a tener un pla n para caso de desastres o emergencia, considerado que esto es imposible.
El sistema debe ser probado y utilizado en condiciones anormales, para que en caso de usarse en situaciones de emergencia se tenga la seguridad que funcione.
Las revisiones al plan se deben realizar cuando se halla efectuado algún cambio en la configuración del equipo o bien en periodos semestrales. Una de las principales objeciones al plan de emergencia es su costo. El plan de emergencia, una vez aprobado, se distribuyen entre personal responsable de su operación, por precaución es conveniente tener una copia fuera de la direcciones de informática. La virtud de la información que contiene el plan de emergencia se considera como confidencial o de acceso restringido. La Elaboración del plan y los componentes pueden hacerse en forma independiente de acuerdo con los requerimientos de emergencia. La estructura del plan d ebe ser tal que facilite su actualización.
Los desastres que pueden suceder se pueden clasificar de la siguiente manera:
Completa destrucción del centro de computo Destrucción parcial del centro de computo Destrucción o mal funcionamiento de los equipos auxiliares del centro de computo (electricidad, aire acondicionado, etc.) Destrucción parcial o total de los equipos descentralizados Perdida total o parcial de información, manuales o documentación Perdida del personal clave Huelga problemas laborales
El plan en caso de desastre debe incluir:
La documentación de programación y de operación de los equipos El equipo completo El ambiente de los equipos Datos y archivos Papelería y equipo accesorio Sistemas (sistemas operativos, base de datos, programas de utilería, programas).
Cuando el plan sea requerido debido a una emergencia, el grupo deberá:
Asegurar que todos los miembros sean notificados Informar al director de informática Cuantificar el daño o perdida del equipo, archivos y documentos para definir que parte del plan debe ser activada Determinar el estado de todos los sistemas en proceso Notificar a los proveedores del equipo cual fue el daño
Es conveniente incluir en el acuerdo de soporte reciproco los siguientes puntos:
Configuración del equipo Configuración de equipo de captación de datos Sistemas operativos Configuración de equipos periféricos
Finalmente se deberá estudiar que se tenga una lista de los requerimientos mínimos que deben tener para un efectivo plan de recuperaciones caso de desastre.
TÉCNICAS Y HERRAMIENTAS RELACIONADAS CON LA SEGURIDAD FÍSICA Y DEL PERSONAL
Seguridad física
El objetivos establecer políticas, procedimientos y practicas para evitar las interrupciones prolongadas del servicio de procesamientos de datos, información debido a contingencias como incendios, inundaciones, huelgas, disturbios, sabotaje, etc. Y continuar en un medio de emergencia asta que sea restaurado el servicio por completo. Pensemos que una persona que desea perjudicar a la organización querrá dañar su cerebro o centro de información, por lo que en la actualidad se considera extremamente peligroso tener el centro de cómputo en las áreas de alto grafico de personas o bien en la calle o con un alto numero de invitados. Entre las precauciones que se deben revisar están:
Los ductos del aire acondicionado deben de estar limpios, se habrá contar con detectores de humo que indiquen la posible presencia del fuego. En las instalaciones de alto riesgo se debe tener equipo de fuente no interrumpible, tanto en la computadora como en la red y los equipos de teleproceso. En cuanto a los extinguidotes, se debe de revisar el numero de estos, su capacidad, fácil acceso, peso y tipo de producto que se utiliza. También se debe ver si el personal sabe usar los equipos contra incendios y si a habido practicas en cuanto su uso Existan suficientes salidas de emergencia y que estén debidamente controladas para evitar robos
Seguridad en el personal
Un buen centro de cómputo depende, en gran medida, de la integridad, estabilidad y lealtad de personal por lo que el momento de reclutarlo es conveniente hacerle exámenes psicológicos, médicos y tener muy en cuenta sus antecedentes de trabajo. Se debe considerar los valores sociales, en general, su estabilidad ya que normalmente son personas que trabajan bajo presión y con mucho estrés, por lo que importan mucho su actitud y su comportamiento. Se deben verificar que existan adecuadas políticas de vacaciones (lo cual nos permite evaluar la dependencia con algunas personas y evitar esa dependencia) y de reemplazo. La adecuada política de reemplazo en caso de renuncia alguna persona permitirá que en caso necesario, se pueda cambiar a una persona sin arriesgar el funcionamiento de la organización. También se deben tener políticas de rotación del personal que desminuyan la posibilidad de fraude, ya que un empleado puede estar haciendo otra actividad en un mes y será muy allegado
cometer un fraude, sabiendo que la nueva persona que este en su lugar puede detectarlo fácilmente. Eso se debe hacer principalmente en funciones de alto nivel de confianza, aunque implique un alto costo. Se deberá también evaluar la motivación del personal ya que un empleado motivado normalmente tiene un alto grado de lealtad y disminuirá la posibilidad de ataques intencionados a la organización.
UNIDAD 5: AUDITORIA DE LA SEGURIDAD TELEINFORMATICA 5.1 Generalidades de la seguridad en el área de la teleinformática. En la actualidad tiene una gran trascendencia tanto técnica como social, lo que se denomina teleinformática: la unión de la informática y las telecomunicaciones. Tanto en la vida profesional como en las actividades cotidianas, es habitual el uso de expresiones y conceptos relacionados con la teleinformática.
Este trabajo se basa en conceptos fundamentales expresados de la manera más simple posible, pero a su vez siendo precisos. Comenzamos por introducir la historia y evolución de la teleinformática y de la manera en que fue desarrollándose, y a su vez, proporcionando un panorama general del tema. Luego mencionamos de forma genérica los elementos que integran un sistema teleinformático, desde un simple terminal hasta una red. Continuamos explicando las técnicas fundamentales de transmisión de datos, para comprender cómo viaja la información de un sistema a otro a través de los circuitos de telecomunicación. Las técnicas de comunicación se estructuran en niveles: físico, enlace de datos, red, transporte, sesión, presentación y aplicación. También, mencionamos las redes de área local ya que son muy importantes en lo que a la teleinformática respecta. Hicimos encapié en la red Internet y su protocolo TCP/IP, y en los conceptos básicos sobre Programas de Comunicación y Gestión de R ed. Analizamos los servicios de valor añadido como el Videotex, Ibercom o La Telefonía Móvil. Además, establecimos los últimos desarrollos y las tendencias de la teleinformática, desde las redes digitales hasta el proceso distribuido. Por último, manifestamos la importancia de la relación que existe entre la teleinformática y la sociedad, en lo que respecta a la educación, la sanidad y la empresa. Explicaremos claramente la importancia de la teleinformática y su desarrollo a través de la historia desde el comienzo ya que es uno de los factores que ha constituido y constituye un elemento fundamental para la evolución de la humanidad: la comunicación. En una comunicación se transmite información desde una persona a otra e intervienen
tres elementos: el emisor, que da origen a la información, el medio, que permite la transmisión, y el receptor, que recibe la información. La primera comunicación que existió entre los hombres fue a base de signos o gestos que expresaban intuitivamente determinadas manifestaciones con sentido propio. Estos gestos iban acompañados de sonidos. Posteriormente, comenzó la comunicación hablada a través de un determinado lenguaje, en el cuál cada palabra significaba algo y cada frase tenía un contenido informativo. Más tarde, el hombre tuvo necesidad de realizar comunicaciones a distancia como por ejemplo, entre personas de dos aldeas situadas a cierta distancia pero con visibilidad entre ambas, o bien entre un barco y la costa. Es aquí donde aparecen las señales de humo, destellos con espejos entre innumerables métodos de comunicación. Con el paso del tiempo y la evolución tecnológica, la comunicación a distancia comenzó a ser cada vez más importante. La primera técnica utilizada surgió con la aparición del telégrafo y el código morse que permitieron comunicaciones a través de cables a unas distancias considerables. Posteriormente se desarrolló la técnica que dio origen al teléfono para la comunicación directa de la voz a larga distancia. Más tarde la radio y la transmisión de imágenes a través de la televisión habilitaron un gran número de técnicas y métodos que luego fueron muy importantes a lo que respecta a la comunicación. 5.1 Objetivos y criterios de la auditoria en el área de teleinformática. Así ante la continua aparición de nuevas herramientas de gestión, la auditoría interna se ve compelida a velar entre otras cosas por la aplicación y buen uso de las mismas. Ello ciertamente implica un muy fuerte compromiso. Dijimos antes que la auditoría debía velar no sólo por los activos de la empresa sino además por su capacidad competitiva. Cuidar de esto último significa difundir, apoyar y controlar las nuevas y buenas prácticas. Así, haciendo uso del benchmarking puede verificar y promover las mejores prácticas para el mantenimiento de la más alta competitividad. Ser competitivo es continuar en la lucha por la subsistencia o continuidad de la empresa. Como brillantemente lo expresa Fernando Gaziano (Deloitte Chile), "los auditores y los astrónomos compartimos plenamente una idea: el universo se expande. Así como después del "big bang" un universo de planetas y estrellas comenzó y continúa expandiéndose, de la misma forma el mundo del Auditor Interno es cada vez más amplio. Como nunca, probablemente hoy se enfrenta a uno de los cambios más importantes en su profesión, debiendo abordar aspectos relacionados con el Gobierno Corporativo y los nuevos riesgos a los que se enfrentan las organizaciones. 5.3 Síntomas de riesgos teleinformática.
Síntomas de Riesgo Teleinformática Los sistemas teleinformáticos o también llamados “sistemas funcionales de comunicación de datos” son formas de trabajo que en general responden a necesidad es concretas de los usuarios informáticos que trabajan en la modalidad “fuera de planta o remota”.
Los principales objetivos que tiene que satisfacer un sistema teleinformático son los siguientes: • Reducir tiempo y esfuerzo.
• Capturar datos en su propia
fuente.
• Centralizar el control. • Aumentar la velocidad de entrega de la información. • Reducir costos de operación y de captura de datos. • Aumentar la capacidad de las organizaciones, a un costo incremental razonable. • Aumentar la calidad y la cantida d de la información. • Mejorar el sistema administrativo.
Casos en que los sistemas informáticos, son especialmente aptos para que utilicen técnicas teleinformáticas: • Cuando se desea reducir un elevado volumen de correo, de llamadas telefónicas o de
servicios de mensajería.
• En los casos en que se efectúen muy a menudo operaciones repetitivas, tales como crear o
copiar a ser procesados o directamente duplicar información ya procesada.
• Cuando sea necesario aumentar la velocidad de envío de la informació n,
funciones administrativas.
mejorando las
• En la ejecución de operaciones descentralizadas. • Para mejorar el control, descentralizando la captura de datos y centralizando su
procesamiento.
• En los casos en que es necesario disminuir riesgos en el
debido a problemas técnicos del hardware.
procesamiento de la información,
• Cuando sea menester mejorar la actividad de planificación en la organización.
5.4 Técnicas y herramientas de auditoría relacionadas con la seguridad en la teleinformática.
Introducir al estudiante en los aspectos técnicos, funcionales y organizacionales que componen la problemática de seguridad en las redes teleinformáticas, ilustrando las operaciones, técnicas y herramientas más usuales para garantizar privacidad, autenticación y seguridad. Introducción General a la Seguridad en Redes
Definiciones Generalidades Intrusos Amenazas Ataques
Planeación de la Seguridad:
Análisis del sistema actual Análisis de riesgos Definición de políticas de seguridad Implantación de la seguridad
Servicios de Seguridad o o
Modelo OSI para arquitecturas de Seguridad Modelo TCP/IP
http://wwwwdetodounpoco-ernesto.blogspot.com/2010/07/unidad-5-auditoria-de-la-seguridad.html
UNIDAD 6 INFORME DE AUDITORIA
El Informe de Auditoría es la comunicación de auditor informático al cliente, de manera formal, tanto del alcance de la auditoría; (objetivos, período de cobertura, naturaleza, y extensión del trabajo realizado) como de resultados y conclusiones. Previo a la redacción del informe, el auditor distingue lo significativo de lo que no lo es evaluándolos de manera adecuada de acuerdo a su importancia y a la vinculación con el factor riesgo. Aunque no existe un formato oficial, si existen esquemas recomendados con los requisitos mínimos aconsejables respecto a la estructura y contenido. En cuanto a la redacción el informe deberá ser claro, adecuado, suficiente y comprensible. La presentación de las conclusiones podrá hacerse de la siguiente forma: 1. Una breve descripción de la situación actual en la cual se reflejan los puntos más importantes. 2. una descripción detallada que comprende: a. Los problemas detectados. b. Posibles causas, problemas y fallas que originaron la situación presentada. c. Repercusiones que pueden tener los problemas detectados. d. Alternativas de solución. e. Comentario y observaciones de la Dirección de Informática y de los usuarios sobre las soluciones propuestas. f. Si se opta por una alternativa de solución, cuáles son sus repercusiones, ventajas y desventajas, y tiempo estimado para efectuar el cambio. 3. Debe hacerse hincapié en cómo se corregirá el problema o se mejorará una determinada situación, se obtendrán los beneficios, en cuanto tiempo y cuales son los puntos débiles. 4. Se debe romper la resistencia a la lectura que tienen algunos ejecutivos por medio de conclusiones concretas (tratar de que se entiendan los términos técnicos, de ser posible utilizar técnicas audiovisuales) Los puntos esenciales genéricos y mínimos del Informe de Auditoría son:
1. Identificación del informe: un nombre que lo identifique de otros informes. Ejemplo: Auditoria de DD de la aplicación School 2. Identificación del cliente: destinatarios y personas que solicitan la auditoría. Ejemplo: DHC Marcelo Martínez. Profesor titular efectivo UNLaR 3. Identificación de la entidad auditada: organización/entidad/área objeto de la auditoria informática. Ejemplo: Aplicación School. Cátedra de Auditoria de sistemas. UNLaR – ciclo 2008 4. Objetivos de la auditoria informática: identificar el propósito de la auditoria. Ejemplo: Inspección del diccionario de datos de la aplicación School. 5. Normativa aplicada: identificar las normas legales y profesionales. Ejemplo: Normas profesionales – Normas legales – Modelo de Boyce Codd. 6. Alcance de la auditoria: Naturaleza y extensión del trabajo, a saber: a. Área de la organización: Ejemplo: Catedra de AS b. Periodo de la auditoria: Ejemplo: 01/10/08 al 8/10/08 c. Sistemas/áreas a auditar: Ejemplo: Aplicación School - DD d. Herramientas utilizadas: Ejemplo: Aplicación School – Data Modeler e. Limitaciones al alcance: Ejemplo: No se audita el contenido de las tablas, sino su diseño y estructura en cuanto a la normalización de datos según el modelo de Boyce Codd. f. Restricciones del objeto auditado: Ejemplo: No existen. Se provee todo el sistema en su versión de fuentes, ejecutables, ayudas y accesorios.7. Informe corto – Resultados – Dictamen – Opiniones – Párrafos de salvedades y énfasis de ser necesarios. a. Opinión favorable: opinión calificada sin salvedades, limpia, clara y precisa. No tiene limitaciones de alcance y sin incertidumbre. Están acordes con la normativa legal y profesional.- Deben ser expresadas en lenguaje coloquial, sin ambigüedades y medible en todos sus términos. Ejemplos: Las tablas del SGBD (Sistema Gestor de Base de Datos) están normalizadas y respetan el modelo de Boyce Codd. // El código fuente del sistema de cuentas corrientes de clientes, respeta los principios de automatismo y determinismo. b. Opinión con salvedades: opiniones favorables, pero que se afectan por las siguientes circunstancias: i. Limitaciones al alcance del trabajo realizado, restricciones por parte del área auditada, por ejemplo. ii. Incertidumbre que no permite una previsión razonable. iii. Irregularidades significativas iv. Incumplimiento de la normativa legal y profesional. Ejemplos: Las tablas del SGBD están normalizadas y respetan el modelo de 3era FN (Forma Normal). No obstante, en el manual de diseño de bases de datos del sistema, se exige el modelado de los datos según el modelo de 5ta forma normal de Boyce Codd. // El código fuente del sistema de cuentas corrientes de clientes respeta el principio de automatismo, mas no asi el de determinismo. En un 20% el sistema no se comporto determinísticamente ante un mismo lote de prueba.Consideraciones: Este tipo de opinión puede generar para cada caso una o más recomendaciones del auditor informático.Como serian las recomendaciones de las opiniones con salvedades arriba informadas? c. Opinión desfavorable: Esta opinión se aplica en casos de: i. Identificación de irregularidades ii. Incumplimiento de la normativa legal que afectan significativamente los objetivos de la auditoria informática. Deben tener una reseña detallada en el informe largo. iii. Incumplimiento de la normativa profesional: que afectan significativamente los objetivos de la auditoria informática. Deben tener una reseña detallada en el informe largo.
Ejemplo: El motor de bases de datos identificado como Informix V2.0 no posee licencias habilitantes. // Los profesionales de sistemas de la organización no poseen títulos habilitantes ni matricula profesional.Consideraciones: Este tipo de opinión puede generar para cada caso una o más recomendaciones del auditor informático.Como serian las recomendaciones de las opiniones con salvedades arriba informadas? d. i. ii. iii. iv.
Opinión denegada: Tienen su origen por: Limitaciones al alcance Incertidumbres significativas que no permiten al auditor formar una opinión Irregularidades Incumplimiento de normativa legal y profesional
Ejemplo: No se audito la normalización de tablas según el modelo de Boyce Codd, debido a que fue denegado el acceso al diccionario de datos del sistema. // No se audito el perfil profesional de los especialistas de sistemas por negativa de entrevistas y pruebas de aptitud profesional y desempeño.Consideraciones: Este tipo de opinión puede generar para cada caso una o más recomendaciones del auditor informático.Como serian las recomendaciones de las opiniones con salvedades arriba informadas? 8. Resultados: Informe largo e informes anexos: Es una ampliación de todas y cada una de las opiniones del punto anterior.- Los usuarios, no hay duda, desean saber mas y quieren transparencia como valor añadido. El limite lo determinan los papeles de trabajo o documentación del a auditoria informática, pero deben considerarse los siguientes aspectos: a. Secreto de la organización b. Secreto profesional …entre otros…. Algunas organizaciones públicas-gubernamentales y privadas solicitan informes adicionales. Ej. Bancos, Bolsa de comercio, etc. 9. Informes previos: Considerando que el informe de auditoria informática es parte de un informe de conjunto o bien ya existen otros informes de auditoria que resultan significativos al informe actual.La detección de irregularidades significativas (fraudes por ejemplo) requiere de una actuación inmediata según las normas legales y profesionales. Recordar la responsabilidad civil del auditor informático.10. Fecha del informe: muy importante, ya que permite la cuantificación de los honorarios, cumplimiento de los tiempos con el cliente y la magnitud del trabajo y sus aplicaciones. Debe considerarse: a. Fecha de inicio b. Fecha de finalización c. Fecha de cierre del ejercicio económico ( en caso de organizaciones que lo requieren como obligatorio) Nota: estas fechas deben ser concordantes con el pl an de trabajo propuesto antes de realizar la auditoria.11. Identificación y firma del auditor: Aspecto formal y esencial del informe. Tanto de ser individual como grupal (socios legalmente comprometidos) 12. Distribución del informe: Hace referencia a quien o quienes podrán hacer uso del informe, los usos concretos que tendrá, ya que los honorarios deben tener relación con la responsabilidad civil. 13. Anexo: Documentación y otros papeles de trabajo a. Contrato cliente/auditor b. Propuesta del auditor c. Identificación del auditor. Presentación y CV de ser requerido d. Declaraciones de la dirección e. Otros contratos que afecten al sistema de información
f. g. h. i.
Asesoría jurídica del cliente Informes sobre terceros vinculados Conocimiento de la actividad del cliente Evidencia i. Relevante ii. Fiable iii. Suficiente iv. Adecuada Ejemplo: Código fuente, modelo de datos, diccionario de datos, pantallas del sistema, entre otros.. Como ejemplo de formato de presentación de conclusiones de Auditoria en Informática consideraremos el presentado por J. A. Echenique (analizarlo para ver con que puntos de los recomendados cumple). Es conveniente también revisar el formato de seguimiento propuesto por el mismo autor.
