AS_Contenido auditoría de sistemas.pdf

Ing. Humberto Humberto Arteaga Arteaga - CURSO DE AUDITORIA DE SISTEMAS

1

Sobre derecho de autor Los autores tienen formas de ser más explícitos en sus derechos para que no queden dudas al quien quiera efectuar una copia. Aunque no es requisito hacer nada en un documento para decir que tiene derechos de autor, se recomienda que sea explícito incluyendo la (c) (la letra c en un circulo) o la palabra "Copyright" o ambas, el año (normalmente el de creación o publicación) y el nombre del dueño de los derechos. Aunque no es crítico el lugar donde coloque el aviso, hágalo visible a quien lo esté buscando.

TEMATICA SESIÓN-1 - Introducción de la Auditoria de Sistemas - Entorno y Áreas de Aplicación SESIÓN-2 - Tipos y Clases de Auditoria - Ubicación dentro de la estructura estructura organizacional. organizacional. SESIÓN- 3 - Metodología para el desarrollo e implantación de la auditoria en informática - Proceso de Planeación de la auditoria - Técnicas y Herramientas de auditoria SESIÓN- 4 - Papel y responsabilidades del Auditor de Sistemas - Relaciones entre el Auditor y el Personal de Proceso de Datos - Conocimientos técnicos requeridos SESIÓN- 5 - Auditoria en un centro de tecnología de información. o Gestión, Normas, Políticas, Procedimientos o Plan de contingencia o Plan de seguridad SESIÓN- 6 - Auditoria en un centro de tecnología de información o Gestión del Hardware o Plan de contingencia o Plan de seguridad SESIÓN- 7 - Sustentación de trabajos

Ing. Humberto Humberto Arteaga Arteaga - CURSO DE AUDITORIA DE SISTEMAS

SESIÓN- 8 Evaluación SESIÓN- 9 - Auditoria en un centro de tecnología de información o Gestión del Software o Plan de contingencia o Plan de seguridad SESIÓN- 10 - Auditoria a Proyectos computacionales: Controles, estándares, otros SESIÓN- 11 - Auditorias a las aplicaciones (Procesos administrativos, financieros sistematizados)

SESIÓN- 12 -

Soporte a la auditoria financiera Software de Auditoria

SESIÓN- 13 - Planes de contingencia contingencia preventiva preventiva y correctiva correctiva - Caso estudio - Aspectos Legales SESIÓN- 14 y 15 - Sustentación de trabajo final SESIÓN- 16 Evaluación final

2

3

Ing. Humberto Arteaga - CURSO DE AUDITORIA DE SISTEMAS

CONTENIDO TEMATICO SESIÓN-1 1.1 Introducción de la Auditoria de Sistemas Los departamentos de Sistemas e Informática y Proceso de Datos realizan muchas de las funciones de control que están incorporadas en los sistemas automatizados. Lo más importante para los auditores es la bondad del proceso, la exactitud de los datos grabados, la adecuación de los procedimientos de control y el cumplimiento del aspecto técnico y legal en la gestión. Por lo tanto el auditor de sistemas debe tener los conocimientos necesarios para llevar a cabo la evaluación de la gestión realizado en un determinado centro de tecnología de información (Proyectos, Aplicativos, seguridad, calidad, etc).

ADMINISTRATIVA

SISTEMAS

FINANCIERA

OTROS ...

AREAS DONDE SE HACE GESTION

<>

1.2 Entorno y Áreas de Aplicación La aplicación de “auditoria” se da en todas las áreas de la organización con los especialistas que corresponda. En los últimos años con el desarrollo vertiginoso de la tecnología de información, se está dando énfasis la “auditoria de sistemas” aplicada al área de sistemas e informática, para lo cual los auditores deben ser necesariamente especialistas en el área. A diferencia de otras épocas en la cual un contador estaba involucrado en la “auditoria de sistemas”, hoy en día esta labor es manejada por el ingeniero de sistemas o informático,

debido a que la informática en las organizaciones involucra conocimientos especializados en la gestión, cuyos riesgos no pueden ser percibidos por un profesional de otra especialidad. El profesional en sistemas además apoya a la auditoria financiera en el análisis de datos de las aplicaciones automatizadas, convirtiéndose en este caso en un soporte fundamental. << La auditoria es otra forma de asegurar la calidad de la información que contiene el sistema. Con una definición amplia, la auditoria implica contar con un experto que no se encuentre involucrado con la operación del sistema, para examinar la información, con el fin de identificar el problema >>


4

<< Es un proceso formal que se orienta a la verificación y aseguramiento de que “Las políticas y procedimientos establecidos para el manejo y uso adecuado de las tecnologías de información en la empresa” se lleven a cabo en forma oportuna y eficiente >>

Las áreas de aplicación para la Auditoria de Sistemas, están dirigidas a aquellas actividades cuya gestión u operación involucran de una u otra manera el manejo de la información. Para aquellas actividades en la que se aprecia a la información involucrado a la Tecnología de información podemos distinguir lo siguiente: Auditoria a los centros de tecnología de información Auditoria especializada a los proyectos de sistemas informáticos u otros Auditoria de Aplicaciones Auditoria especializada a la seguridad de la información Apoyo y soporte a la auditoria de los sistemas financieros     

SESIÓN-2 2.1 Tipos y Clases de Auditoria

TIPOS DE AUDITORIA

Auditoria de Gestión Auditoria Financiera Auditoria (examen) Especial

¿¿¿ AUDITORIA DE SISTEMAS ???

CLASES DE AUDITORIA

A. INTERNA

A. EXTERNA

5


Los tipos de Auditoria reconocidas legalmente en el Perú son: Auditoria de Gestión, Auditoria Financiera y Auditoria Especial La auditoria puede ser: INTERNA, cuando las actividades de control son realizadas por el personal especializado que opera a través de una Oficina de Control Interno (O.C.I), cuya dependencia funcional varía entre el sector público y privado. En las entidades del sector público (Perú); el Jefe de esta oficina depende de la Contraloría General de la República. En el caso de las empresas privadas toda el área de control dependen de la misma empresa. EXTERNA, cuando las actividades son realizadas por el personal especializado, cuya organización no dependen de la empresa auditada. Tanto en la auditoria “Interna” como “Externa” participa el ingeniero de sistemas, ya sea si se trata de realizar una “auditoria de sistemas” ó como soporte a la auditoria financiera,

mediante el análisis de datos de las aplicaciones automatizadas. Debe hacerse auditoria externa, al menos una vez al año; sea como parte del programa anual de auditoria o en casos especiales; cuando algo fuera de lo ordinario esta ocurriendo, que llegara a involucrar a los empleados de la compañía tal como la sospecha de fraude en materia de computación o de peculado. 2.2 Ubicación de la Auditoria de Sistemas en la estructura organizacional G.G O.C.I

G.T.I

G.A

G.F

Otras

El auditor de Sistemas pertenece, a la Oficina de Control Interno o su equivalente, quienes constituyen la Auditoria interna. Para los casos de auditoria externa, se cuenta con todas las especialidades requeridas para la auditoria.

6


SESIÓN- 3 3.1 Metodología para el desarrollo e implantación de la auditoria en informática Preliminar (diagnostico) - Negocio - Informática

Justificación - Áreas a auditar - Plan propuesto

Revisión informal

Adecuación - Método - Técnicas - Herramient.

Formalización - Aprobación - Arranque

Revisión formal

Desarrollo - Entrevistas - Observaciones Recomendaciones

Aprobación formal

Implantación - Acciones correctivas y preventivas - Seguimiento

El modelo representa un a estrategia para implantar un proceso metodológico de auditoria en informática (Bib. “Auditoria en informática”, Enrique Hernández Hernández, pag. 72)

Productos finales a obtenerse en cada etapa: Etapa preliminar: un diagnostico de negocio o de informática Etapa Justificación: Una matriz de riesgos, plan de auditoria en informática Etapa Adecuación: Un plan y metodología de acuerdo con el cliente Etapa Formalización: Un plan aprobado, programa de auditoria, compromiso ejecutivo Etapa Desarrollo: Auditar áreas seleccionadas, informe de auditoria en informática Etapa Implantación: Recomendaciones

7


Metodologías para el desarrollo de la Auditoria de Sistemas: << Algunas metodología de auditoria sugieren como “Tipos de preguntas” que el auditor debe tener presente, las „Preguntas abiertas: libertad de respuesta al entrevistado‟, y las „Preguntas cerradas: cuando las respuestas son presentadas como alternativas‟. Lo que se aplica en la

realidad es una mixtura de ambas.>> Una vez que la entrevista ha concluido, el entrevistador debe redactar un informe que enumere los principales puntos planteados, así como las opiniones de las que se trato. Es de suma importancia documentar la información una vez que esta ha concluido utilizando el formato que corresponda en forma adecuada y que cumpla con lo establecido por ley. <>.

3.2 Proceso de Planeación de la Auditoria ACTIVIDAD

RESPONSABLE EJECUCIÓN

RESPONSABLE SEGUIMIENTO

COMENTARIOS

Determinación De las áreas por Auditar

Supervisor de auditoria en informática

Gerente de auditoria en informática

Se efectúa una evaluación del área de informática Con el fin de detectar Áreas de riesgo.

Elaboración del Plan de auditoria En informática



Los alcances y fechas en que se auditan las áreas depende dela Alta dirección.

Presentación del Plan a la alta Dirección


Alta dirección de la empresa

Se efectúa con la autorización de la alta dirección.

Ejecución del Plan de auditoria En informática



Puede efectuarse como auditoria interna o externa.

8


3.3 técnicas y herramientas de Auditoria

Técnicas El desarrollo exitoso de la auditoria en sistemas depende de un conjunto de factores interrelacionados. Dominio de los conceptos técnicos y administrativos relacionados con la gestión informática. Habilidades inherentes a la auditoria en informática Entendimiento de los aspectos legales asociados a la gestión que se audita Información de buenas prácticas    

N° 01

EVALUACION DE UNA ACTIVIDAD EN TIC Actividades a controlar ¿Cómo evaluar? ¿Herramientas? (Ejemplo) Evaluar los accesos a la - Verificar si varios - Observación red usuarios utilizan la - Pruebas misma clave manuales - Probar accesos - Documentación permitidos con claves procedimientos falsas - Fecha de caducidad de clave, etc

Comentario Debe existir procedimiento de accesos. No se debe permitir acceso no autorizados

CONSIDERACIONES PARA EVALUAR UNA ACTIVIDAD AUDITABLE

? o d t a e n m l e p I m ¿

d ? a d i a l ¿ C

t e ? s i x ¿ E

Ninguna …. Debilidad

No tiene …. Debilidad

No existe …. Debilidad


9

Herramientas Las herramientas necesarias para auditar las áreas seleccionadas en el proceso de planeación de la auditoria en sistemas lo encontramos en: o Software adecuados para la evaluación de datos o Un enfoque metodológico o Técnicas de documentación adecuada o Instrumentos legales asociado a la actividad auditada (normas, leyes, directivas, etc) o Otros “En la medida que el auditor tenga la formación profesional, la experiencia y conocimiento del rubro que se audita, los resultados serán exitosos ”.

SESIÓN- 4 4.1 Papel y responsabilidades del Auditor de Sistemas La “auditoria de sistemas” puede llevarse a cabo como parte integrante de la “auditoria general” o en forma independiente a ella. El auditor de sistemas o informático es responsable

de dirigir y controlar la acción de la auditoria sobre todas las actividades de información asociadas con tecnología informática; manteniendo la debida objetividad e independencia, así mismo emitir los informes finales. Podemos citar algunos de ellos: Organización: Un análisis de la gestión y controles operativos que realiza el departamento informático. Contempla la gestión de todas las áreas técnicas: Redes, proyectos informáticos, aplicaciones y seguridad de datos, etc. Proyecto informático: Una evaluación especializada, que implica una revisión de todas las fases del proyecto, así mismo los riesgos involucrados y la orientación de la calidad del producto final. Datos: Un análisis de la seguridad de los datos para las aplicaciones en funcionamiento. 





Responsabilidad del Auditor Deben emitir recomendación sobre las debilidades o daños ocultos encontrados en las actividades de información asociadas con tecnología informática que se audita. Si durante la ejecución de Auditoria, los Auditores perciben debilidades en la gestión dichas actividades, deberá reflejar sus opiniones a través del informe de Auditoria. Si el profesional no esta debidamente preparado para identificar las “debilidades” cometidas entonces corre el riesgo de ser asociado al delito de “colusión” u “ocultamiento de información”.

Tar eas pri ncipales de la auditor ia: 



Estudiar y actualizar permanentemente las áreas susceptibles de revisión. Apegarse a las tareas que desempeñan las normas, políticas, procedimientos y técnicas de auditoria establecidos por los organismos generalmente aceptados a nivel nacional e internacional.


10

Evaluación y verificación de las áreas técnicas requeridas por la alta dirección o responsables directos de la organización. Elaboración del informe de auditoria (Si la auditoria es para el sector público, el informe se basa en la estructura del NAGU 4.40. Si la auditoria es para el sector privado, el informe es propio de cada entidad. En ambos casos debe reflejarse las debilidades y recomendaciones bajo sus propias estructuras). Otras







Probl emas dur ante la entr evista: 











Percibir que el auto estima del entrevistado de encuentra amenazada. Reacciones emotivas a temas conflictivos. Mal entendido respecto a la sucesión de los acontecimientos. Equívocos al inferir sobre lo observado. Olvido de hechos importantes. Mentir para ocultar hechos importantes.

Preparación de la D ocumentación

Una vez que la entrevista ha concluido, el entrevistador debe redactar un informe que enumere los principales puntos planteados, así como las opiniones de las que se trato. Es de suma importancia documentar la información una vez que esta ha concluido utilizando el formato que corresponda en forma adecuada y que cumpla con lo establecido por ley. << Algunas metodología de auditoria sugieren como “Tipos de preguntas” que el auditor debe tener presente, las „Preguntas abiertas: libertad de respuesta al entrevistado‟, y las „Preguntas cerradas: cuando las respuestas son presentadas como alternativas‟. Lo que se aplica en la

realidad es una mixtura de ambas.>> 4.2 Relaciones entre el Auditor y el Personal de Proceso de Datos Los auditores de sistemas deben tener un conocimiento general del entorno informático: Gestión tecnológica (Políticas, control, proyectos informáticos, metodología, entre otros). De tal manera que puedan hablar en el mismo “idioma” con el equipo técnico del área de sistemas. Normalmente la presencia del Auditor, puede resultar incómodo en el personal que maneja los procesos informáticos, siendo necesario mucha cautela de los especialistas para superar este inconveniente.

11


S O T N E I M I R E U Q E R

EQUIPO DE AUDITORIA

PERSONAL DEL AREA AUDITADA

D I R E C T I V A S

Document.

EJECUTIVOS DE LA ORGANIZAC.

ALCANC ES

Requer.

Alcances

1  Normas y políticas de la empresa 2  Alcances del estudio de Auditoria 3  Interactúan en el estudio de auditoria 4  Informe final de auditoria, correctivos 5  Canalizan los correctivos

Para los caso s de que el auditor de Sistemas participe como “Soporte a la Auditoria de los Sistemas Financieros”, la relación generalmente es la siguiente: PERSONAL DEL AREA AUDITADA

S O T N E I M I R E U E Q R

Document.

AUD ITOR IA FINAN CIERA

Sis tema

Financiera

ALCANC ES

D I R E C T I V A S

EJECUTIVOS DE LA ORGANIZAC. Alcances

Uno de los requerimientos frecuentemente solicitados a los auditores financieros es la “Estratificación” de datos. Estratificar la demanda de alumnos que usan el laboratorio, por ciclo, usar rangos de 3. Ciclo Alumnos <0 <4 <8

3] 7] más

30 100 70 --------


12

200 4.4 Conocimientos técnicos requeridos El ambiente de un área auditada para una organización cualquiera, esta asociado con muchas variables técnicas; como por ejemplo, procesos del negocios que requieren el uso de tecnológico, personal especializado en informática, software base, software aplicativo, proyectos, hardware, comunicaciones, etc los cuales influirán en el cumplimiento de los objetivos institucionales, entre otros. Estas variables exigen del Auditor de sistemas o informático amplia experiencia en el tema a examinar, objetividad, honestidad, reserva de la información recibida, transparencia, autonomía, independencia con el área auditada, con la finalidad mostrar todas las debilidades que pongan en riesgo pérdidas en la institución, las cuales deben ser objetivas, completas y exactas. Por ello, en la actualidad se habla de la auditoria a medida con el propósito de hacer más eficiente, eficaz y económico el trabajo del auditor frente a los retos de complejidad de las organizaciones, de los avances vertiginosos de la informática, del volumen de operaciones, etc. Para el caso que la auditoria informática requiera análisis de Bases de datos, existen muchos software con el cual se pueden evaluar dicha información, por lo que su elección depende del auditor.

SESIÓN- 5 Controles: ORGANIZACION

PROCESO

CONTROL

A

B

C

D

A: Se definen los alcances de la auditoria B: Se definen las actividades de control: Documentos de gestión, normas, directivas, procedimientos, etc. requeridos en A. C: Se hace una evaluación de las debilidades encontrados por cada actividad señalado en “B”.

D: Resultados de la evaluación incluyendo la recomendación respectiva.


13

5.1 Auditoria a un centro de tecnología de información: Aspecto de Recursos Humanos, organización, procedimientos, etc. Se trata de asegurar una adecuada gestión del responsable del área técnica: Control interno, separación de funciones, seguridad y fiabilidad del sistema, apoyo a la continuidad de negocios, etc. Se analizará las debilidades de gestión, de tal manera que permita hacerse los correctivos necesarios para contribuir a lograr los objetivos de la Institución. Controles: Podemos señalar para este caso, algunos aspectos básicos del control como: La existencias de documentos, su contenido e implementación, relacionados con la actividad auditada (procedimientos, directivas, manuales técnicos, etc) Debida segregación de funciones en el área Metodologías o uso de buenas prácticas sobre aspectos técnicos del área Medidas para mantener la calidad de los productos tecnológicos Medidas adoptadas para la seguridad de la información Transparencia en la gestión Cumplimiento de disposiciones Contribución al desempeño de la organización 

      

Orientados a lograr:  Que el control interno sea adecuadamente diseñado  Niveles de autorización adecuadas y a quien corresponda  Estándares que cubran los objetivos  Seguridad y protección de datos plenamente garantizados  Las rotaciones de personal no debe generar vacíos de control.  Etc.

5.2 Plan de contingencia Orientado a establecer los respectivos planes de contingencia preventiva y correctiva que requiera el área, previo estudio de los procesos críticos en cada área asociados a esta actividad. Ejm: Contingencia preventiva: El manejo de contratos de MANTENIMIENTO PREVENTIVO de equipos, frente a posibles daños naturales. Es preventiva porque permite evitar que el daño ocurra. Contingencia correctiva: El manejo de contratos de MANTENIMIENTO CORRECTIVO de equipos, que permita hacer frente a posibles daños ocasionados a los equipos. Es correctiva porque permite disminuir los daños iniciados u ocasionados. 5.3 Plan de seguridad Orientado a establecer las medidas adecuadas que permitan garantizar la continuidad del negocio de la institución, asociados con la aplicación de la tecnología de la información o con el manejo de los sistemas de información.


14

SESIÓN- 6 6.1 Auditoria en un centro de tecnología de información: Recursos de Hardware Controles: Podemos señalar para este caso, algunos aspectos básicos del control como: La existencias de documentos, su contenido e implementación, relacionados con el buen manejo de la actividad (procedimientos, inventarios, manuales técnicos, etc) Metodologías o uso de buenas prácticas sobre aspectos técnicos del área Medidas para mantener la calidad de los productos tecnológicos Evaluación de desempeño Medidas adoptadas para la seguridad de la información Transparencia en la gestión Estándares de trabajo Etc. 

      

6.2 Plan de contingencia Orientado a establecer los respectivos planes de contingencia preventivo y correctivo que requiera el área, previo estudio de las áreas o actividades más importantes asociados a esta actividad. Ejm: Contingencia preventiva: El uso de un UPS para proteger la red del sistema, frente a caídas de tensión. Es preventiva porque permite evitar que el daño ocurra. Contingencia correctiva: El uso de un EXTINGUIDOR para proteger la instalación de los equipos de la institución, en caso de incendios. Es correctiva porque permite disminuir los daños iniciados u ocasionados. 6.3 Plan de seguridad Orientado a establecer las medidas adecuadas que permitan garantizar la continuidad de las actividades en la empresa. Ejemplo, prever un ambiente adecuado para el funcionamiento de los equipos.

Nota: Ver anexo : Auditoria del Hardware (Bib. “Auditoria en informática”, Enrique Hernández Hernández, pag. 267)

SESIÓN- 7 Sustentación de trabajo


15

SESIÓN- 8 Evaluación SESIÓN- 9 9.1 Auditoria en un centro de tecnología de información: Recursos de Software Controles: Podemos señalar para este caso, algunos aspectos básicos del control como: La existencias de documentos, su contenido e implementación, relacionados con el buen manejo de la actividad (procedimientos, directivas, manuales técnicos, etc) Metodologías o uso de buenas prácticas sobre aspectos técnicos del área Medidas para mantener la calidad de los productos tecnológicos Evaluación de desempeño Medidas adoptadas para el control de la información 

   

Seguridad de los Programas Se debe comprobar aspectos como:  Existen copias de seguridad de los programas  Existe un control de la manipulación de programas  El almacenamiento de los programas fuentes, objetos y otros obedecen a las normas y procedimientos establecidos. 9.2 Plan de contingencia Orientado a establecer los respectivos planes de contingencia preventivo y correctivo que requiera el área, previo estudio de las áreas o actividades más importantes asociados a esta actividad. Ejm: Contingencia preventiva: El uso de un ANTIVIRUS EN LINEA instalado en el sistema de red, frente a archivos infectados del virus. Es preventiva porque permite evitar que el daño ocurra. Contingencia correctiva: El uso de un ANTIVIRUS NO EN LINEA que permita desinfectar los archivos atacados por el virus. Es correctiva porque permite disminuir los daños iniciados u ocasionados. 9.3 Plan de seguridad Orientado a establecer las medidas adecuadas que permitan garantizar la continuidad de los procesos sistematizados de la empresa. Ejemplo disponer del funcionamiento de software con licencias.

Nota: Ver anexo: Auditoria del Software (Bib. “Auditoria en informática”, Enrique Hernández Hernández, pag. 277)


16

SESIÓN- 10 10.1 Auditoria a Proyectos computacionales: Controles, estándares, otros. Controles: En el caso de la auditoria de sistemas debemos controlar aspectos como: La existencias de documentos, su contenido e implementación, relacionados con el buen manejo de la actividad (procedimientos, directivas, manuales técnicos, etc) Debida segregación de funciones en el proyecto Metodologías o uso de buenas prácticas sobre aspectos técnicos del área Medidas adoptadas para mantener la calidad de los productos tecnológicos Evaluación de desempeño Medidas adoptadas para el control de la información Transparencia en la gestión 

     

Estándares Los estándares en los sistemas aplicativos se elaboran según los criterios de cada organización, sin embargo todos ellos tienen como objetivo lograr mantener una uniformidad de criterios operativos y de documentación que permita facilitar la gestión del usuario. El Auditor debe comprobar si estos estándares son adecuados, fiables y practicables. Debe evaluarse la estructura organizativa y las distintas áreas de responsabilidad, incluyendo descripciones de puestos de trabajo de tal manera que permita al auditor conocer como funciona la unidad. Auditoria de la Propuesta de automatización Al inicio del proyecto debe tenerse en cuenta:  ¿Si existen los controles de gestión adecuados en las etapas del desarrollo?    

¿El equipo de dirección posee autoridad suficiente, para supervisar el proyecto? ¿Se han programado adecuadamente los tiempos de cada fase? ¿Existen bases adecuadas, que determinen los alcances con claridad? ¿Los estándares y procedimientos están claramente especificados?

Las propuestas para los sistemas grandes son complejas y difíciles de evaluar, siendo necesario adoptar un enfoque sistemático en la siguiente secuencia:  Identificación de los objetivos  Identificación de los procesos a desarrollar (alcances del sistema)  Entregables  Seguridad y continuidad de los sistemas  Etc.


17

Aspectos críticos del Proyecto Esta orientado a la evaluación de los métodos y procedimientos usados para el procesamiento de datos. No existe un momento oportuno para llevar a cabo la auditoria de Proyectos de sistemas, este puede hacerse durante el desarrollo (en cualquier ciclo de vida de un sistema) con la finalidad de lograr una calidad, consistencia y dinamismo del sistema. La auditoria busca lo siguiente:  Si se ha planificado correctamente, cumpliendo las necesidades de los usuarios  Si el control de proyectos es adecuado  Si los controles de requerimientos son adecuados como los solicita el usuario  Si las pruebas y verificaciones son adecuadas  Si los manuales son suficientes  Si cuentan con los estándares necesarios  Si se han previsto planes para la implantación      

¿Cómo se establecen las bases o alcances del estudio? ¿Cómo se preparan los plazos de desarrollo? ¿Cómo se maneja la fase de desarrollo vs. la fase de producción? ¿Los controles establecidos son los más adecuados? ¿Los controles de pruebas funcionales son adecuados? ¿Existen pistas de auditoría en los diseños?



La auditoria de desarrollo se lleva a cabo básicamente sobre cada fase del ciclo de desarrollo del sistema. Los procesos o ciclos para la auditoria pueden clasificarse en: a) Operativos  Control de datos, según las mínimas necesidades de control, deben especificar las pistas de auditoría, integridad de datos, etc.  Registro de procedimientos con normas y pautas para todos los sistemas.  Los procedimientos y controles de seguridad de SW y HW, las autorizaciones para el acceso de datos, etc.  Evaluación general de las necesidades que hay que satisfacer. b) Implantación Los estándares de desarrollo afectan a las etapas de análisis y diseño del sistema, los estándares de implantación deben apoyarse en procedimientos y documentación adecuada.  Pruebas y verificación de datos. Niveles de responsabilidad, etc.  Debe contener recomendaciones de normas y procedimientos de control  Mantenimiento Pos implantación. Es necesario que el sistema este adecuadamente integrado para iniciar el proceso de pruebas, la cual debe verificar la integridad de datos en todos los procesos. Debe contemplarse lo siguiente:  Una evaluación con todo tipo de datos que permita simular el ciclo completo de operación del sistema.  Recolectar y preparar los posibles resultados que debería arrojar el sistema.

Ing. Humberto Arteaga - CURSO DE AUDITORIA DE SISTEMAS 

18

El auditor debe verificar los datos de prueba y la simulación completa.

c) Documentación La documentación representa un espejo del esquema funcional del sistema, incluyendo los estándares, etc. Auditoria de la Documentación Normalmente la documentación del desarrollo de un sistema se va elaborando en forma paralela al desarrollo de esta, sin embargo se considera completa; cuando esta contemple todos los ajustes realizados; por lo que siempre se concluye después que el sistema haya pasado la fase de pruebas. Se debe verificar los estándares utilizados y que concuerden con el sistema en funcionamiento. Análisis de los manuales del Usuario Se deben preparar los manuales orientado a los usuarios que usaran el sistema, entre los manuales más importantes tenemos: Manual del sistema, de usuario y de operación.

SESIÓN- 11 11.1 Auditoria a las Aplicaciones: Calidad del producto implementado Controles: En el caso de la auditoria de sistemas debemos controlar aspectos como: La existencias de documentos, su contenido e implementación, relacionados con el buen manejo de la actividad (procedimientos, directivas, manuales técnicos, etc) Medidas para mantener la calidad de los productos tecnológicos Evaluación de desempeño Medidas adoptadas para el control de la información Evaluación de la funcionalidad 

   

       

Seguridad de acceso a los datos Los estándares de desarrollo ó programación, además de sus controles Se establecen procedimientos que permitan incorporar programas modificados a las aplicaciones en prueba. ¿Se encuentre separado el área de desarrollo y el operativo? Entre otros. ¿ Cómo se llevan a cabo los correctivos? ¿ Los manuales están actualizados? ¿ Se han establecido planes de contingencia adecuados?

Plan de contingencia Orientado a establecer la seguridad de información, previo estudio de los procesos más importantes asociados a esta actividad. NOTA: Ver anexo: Auditoria Durante el ciclo de desarrollo e implantación de sistemas de información (Bib. “Auditoria en informática”, Enrique Hernández Hernández, pag. 211)

19


Impacto de los Sistemas Mecanizados Una de las ventajas más importantes que tienen los sistemas integrados en una organización, es la realización automática de muchas actividades del proceso: Actualiza stock, actualiza estados, actualiza precios, actualiza indicadores de acción para un usuario, etc. Si el control del sistema es eficiente, la aplicación automatizada puede ser mucho más eficiente que un trabajo manual; de lo contrario existe la probabilidad de riesgos económicos muy altos. R EQU ERIMIEN TOS

PROCESO FUNCIONAL

Document. funcional

R ESU LTAD O

PROCESO AUTOMATIZ.

ACCESO USUARIO

Base de datos

Document. automatiz.

Flujograma, tablas de decisión y especificaciones de Sistema. Es importante que se refleje a través de un flujograma de procedimientos el flujo de acción tomado sobre los procesos más importantes. En el presente ejemplo se muestra el flujo de integración entre las ventas y la cta.cte. de clientes:

INICIO Le e Pend-cobr. Le e Fact-cobr.

N

Existe ?

S Selecciona registro Le e Fact-cobr. actualiza

Le e Cta-Cte Clientes y actualiza


SESIÓN- 12 12.1 Soporte a la auditoria financiera

@ STATISTICS ON UNCST TO SCREEN NUMBER 5 Field : UNCST Number Total Average Positive : 149 2,642.35 17.73 Zeros : 0 Negative : 3 -16.88 -5.63 Totals : 152 2,625.47 17.27 Abs Value: 2,659.23 Range : 388.07 Highest : 381.20 173.80 155.80 137.80 87.40 Lowest : -6.87 -6.80 -3.21 0.01 0.03

20


21

12.2 Software de Actualidad usados en la Auditoria de Sistemas para evaluar DATOS Actualmente una de las herramientas de Software más usado en el ambiente de la auditoria de Sistemas es el ACL (Lenguaje de comandos de auditoria), el cual permite realizar cálculos matemáticos y financieros que facilitan el análisis de datos de los sistemas automatizados. Existen otros software´s como el Focus Group, etc. Hardware básico requerido El hardware que se requiera depende del software a ser instalado: Si se tiene un ACL para Mainframe, el requerimiento de disco es mayor que si se instala un ACL para PC. Control de los datos El objetivo es garantizar que sean exactos, que sean los que corresponda y que estén completos. Normalmente las empresas llevan a cabo este control a través del área de auditoria interna o externa de sistemas o en el área de producción a través de los Analistas Funcionales.

SESIÓN- 13 13.1 Políticas de seguridad de datos La implantación de procedimientos de seguridad, reduce los riesgos pero no los elimina totalmente. La organización debe contar con un plan de emergencia (medidas de contingencia) práctico y documentado que pueda responder ante cualquier riesgo que se presente. Una de las medidas que toda empresa debe tener presen te es el “Seguro contra riesgo”, cuya cobertura debe ser la más amplia posible.

Los datos constituyen uno de los recursos más importantes que existe en una organización, por lo tanto se debe verificar que:  Existan estándares, procedimientos y políticas de Backup definidos.  Existen controles adecuados para evitar la manipulación de los datos  Los almacenamientos de datos están codificados para su identificación  Etc. NOTA: ver anexo de Auditoria de seguridad (Bib. “Auditoria en informática”, Enrique Hernán dez Hernández, pag. 285)

22


13.2 Aspectos legales El auditor debe actuar con prudencia y cautela de tal manera de no levantar sospechas de los implicados en el caso, para luego comunicar a quien corresponda, la presencia del asesor jurídico o de la policía es importante. Los documentos que forman parte de la evidencia deben estar custodiados. Actualmente la disposición legal sobre fraude informático es escasa e imprecisa. Lo que los abogados y la policía tratarán de ahondar en las evidencias y pruebas para evaluar si procede la acusación La auditoria en nuestro país esta normada por: Contraloría general de la República, cuyos informes están estipulados en el NAGU La Superintendencia de Banca y Seguros, para el sector Financiero. Existen otras normas como el NAGA (Normas de auditoria generalmente aceptadas) y el NIA (Normas de auditoria internacional)  

Interno

Externo

Buenas Practicas

PUBLICO Las disposiciones que se emitan al interior de la Institución: Resoluciones internas, Directivas internas, procedimientos, etc - NAGU, estructura 4.40 NCI 500 (1-8) NCI 320 Decreto Supremo circular SBS G-105-2002 (Financiero) ISO 17799 DS N° 013-2003-PCM (Legalidad del SW) D.L N° 822 (Derecho de autor) Otros INFORME COSO COBIT, PM Book otros

SESIÓN- 14, 15 Sustentación de los trabajos SESIÓN- 16 Evaluación final

PRIVADO Las disposiciones que se emitan al interior de la Empresa: Directivas, procedimientos, disposiciones, memorándum, Manual de funciones, etc circular SBS G-105-2002 (Financiero) DS N° 013-2003-PCM (Legalidad del SW) D.L N° 822 (Derecho de autor)

INFORME COSO COBIT, PM Book Otros

AS_Contenido auditoría de sistemas.pdf

Recommend Documents