Principales áreas de la auditoría informática. Lorenzo Melendez Lillo Auditoria Informatica Instituto IACC 29/10/2017
En una empresa dedicada al desarrollo de software existen tres áreas bien definidas para el ciclo de desarrollo de aplicaciones, estas son: desarrollo, certificación y producción. Por normativas de seguridad no deben existir conexiones entre las distintas áreas. El ciclo de desarrollo se compone de lo siguiente: Desarrollo: diseña y programa una aplicación. Certificación: toma el diseño y realiza pruebas funcionales (que la aplicación haga lo que se supone debe hacer). Producción: en esta área se disponibiliza la aplicación para ser utilizada con fines productivos y por lo tanto está expuesta a usuarios y/o internet. Usted debe auditar las tres áreas, por ello, se le solicita que prepare un documento que incluya: Un cuadro en el que se incorporen las pruebas de auditoría que es posible realizar en cada área. Considere una descripción breve de todas las pruebas seleccionadas. Una justificación sobre si corresponde o no auditar el uso de buenas prácticas SSL/TSL, vulnerabilidades de servidor, autenticación, etc. Desarrollo Auditoria en Desarrollo: Acá es importante el visualizar los comandos necesarios para la correcta auditoría en los procesos de desarrollo y programación de una aplicación. Los datos se pueden revisar según la norma SQL, y así obtener datos de seguridad y modificarlos entre sí. El proceso de auditoría que se aplicará en esta sección será el revisar los códigos o los permisos de seguridad, en lo cual se procederá a realizar una completa revisión de las conexiones y las viabilidades de la aplicación o del software en cuestión. Para el desarrollo de un software es preciso el mencionar que se necesitan criterios o requerimientos, y con esto poder diseñar una plataforma que sea adapte a lo solicitado por el cliente o el usuario final, y las pruebas de auditoría serán en base a esto.
Finalmente lo que se busca con esta auditoría es recabar la información que contiene errores y poder corregirlos. Certificación: En esta área lo primordial es hacer pruebas constantes que arrojen si la aplicación o software da buen funcionamiento. En este punto también es necesario el hacer una prueba de integración, lo cual nos arrojara errores que mediante combinaciones darán resultado, en otras palabras en visualizar si las interfaces son correctas y se complementan.
Producción: Acá la preocupación son los usuarios, y es ahí en donde se realizarán las pruebas pertinentes, las cuales serán las siguientes: - Prueba del sistema: esto quiere decir que se busca la apropiada navegación dentro del sistema, el ingreso de datos, el procesamiento y la recuperación. - También se medirá la usabilidad de la aplicación (software).
En este tipo de auditorías si corresponde el auditar el uso de buenas prácticas SSL/TSL, vulnerabilidad de servidor, autenticación, y también la accesibilidad del usuario, midiendo la seguridad de este. Todo software debe ser complejamente accesible al usuario, y es la labor del
auditor de sistemas el descifrar la usabilidad de estos programas, entonces dicho lo anterior siempre es recomendable el auditar las buenas prácticas de los procesos de auditoría o revisión de mecanismos o accesibilidad del desarrollo de los software.
En adelante expongo algunas de las herramientas más comunes en la auditoría de una aplicación “X”. Herramientas de uso más común en la auditoría de una aplicación. - Entrevistas: son de larga utilización a lo largo de toda la auditoría. - Encuestas: pueden ser de utilidad tanto para determinar el alcance y objetivos de la auditoría, como para la materialización de los objetivos relacionados con el nivel de satisfacción de los usuarios. - Observación del trabajo realizado por los usuarios: es necesario observar cómo trabajan los usuarios: Puede ayudar a detectar que el trabajo final sea bueno y por lo tanto los controles establecidos sean efectivos. - Pruebas de conformidad: son actuaciones orientadas específicamente a comprobar que determinados procedimientos, normas o controles internos, se cumplen o funcionan de acuerdo a lo previsto o esperado. - Pruebas sustantivas o de validación: orientadas a detectar la presencia o ausencia de errores o irregularidades en procesos, controles o actividades internos integrados en ellos. - Uso de ordenador: es el uso de las aplicaciones software que se pueden utilizar para realizar la auditoría, los cuales son de gran ayuda para facilitar el trabajo.
Bibliografía
IACC SEMANA 7 2017 Principales áreas de la auditoría informática. Parte I
http://spi1.nisu.org/recop/al01/thyric/index.html
