Seguridad

Asignatura Auditoría y justificación administrativas

Datos del alumno

Fecha

Apellidos: Niño Cendales 21-11-2014 Nombre: Alex Orlando

Acc t i v i d a d e s A Práctica: Deiniciones Además de las lect!ras " visionados recomendados en las secciones previas se propon proponen en reali reali#ar$ #ar$ como activi actividad dad eval!ati eval!ativa$ va$ !n traba% traba%o$ o$ &!e pro!ndi pro!ndice ce en las dei deini nici cion ones es de a!di a!dito tor' r'aa ino inorm rmát átic ica$ a$ cont contro roll inte intern rnoo " (obi (obier erno no corp corpor orat ativ ivoo pro!ndi#ando en las relaciones entre estos conceptos e il!strando todo ello !n caso est!dio )icticio o real* +l traba%o tendrá !na extensi,n m'nima de  pá(inas de las &!e al menos 2 deberán dedicarse al caso est!dio.

/ol!ci,n AUDITORIA DE ITE!A ITE!A a a!ditor'a en inormática es la revisi,n " la eval!aci,n de los controles$ sistemas$ procedimientos de inormática de los e&!ipos de c,mp!to$ s! !tili#aci,n$ eiciencia " se(!ridad$ de la or(ani#aci,n &!e participan en el procesamiento de la inormaci,n$ a in de &!e por medio del señalamiento de c!rsos alternativos se lo(re !na !tili#aci,n más eiciente " se(!ra de la inormaci,n &!e servirá para !na adec!ada toma de decisiones. a a!ditor'a en inormática deberá comprender no s,lo la eval!aci,n de los e&!ipos de c,mp!to$ de !n sistema o procedimiento espec'ico$ sino &!e además abrá de eval!ar los sistemas de inormaci,n en (eneral desde s!s entradas$ procedimientos$ controles$ arcivos$ se(!ridad " obtenci,n de inormaci,n. a a!ditor'a en inormática es de vital importancia para el b!en desempeño de los sistemas de inormaci,n$ "a &!e proporciona los controles necesarios para &!e los sistemas sean coniables " con !n b!en nivel de se(!ridad. Además debe eval!ar todo )inormática$ or(ani#aci,n de centros de inormaci,n$ ard3are " sot3are).

TE!A " # Actividades


Datos del alumno

Fecha


$%A&EA'I(& DE %A AUDITOR)A E& I&FOR!*TI'A Para acer !na adec!ada planeaci,n de la a!ditor'a en inormática$ a" &!e se(!ir !na serie de pasos previos &!e permitirán dimensionar el tamaño " caracter'sticas de área dentro del or(anismo a a!ditar$ s!s sistemas$ or(ani#aci,n " e&!ipo. +n el caso de la a!ditor'a en inormática$ la planeaci,n es !ndamental$ p!es abrá &!e acerla desde el p!nto de vista de los dos ob%etivos: •

+val!aci,n de los sistemas " procedimientos.

•

+val!aci,n de los e&!ipos de c,mp!to.

Para acer !na planeaci,n eica#$ lo primero &!e se re&!iere es obtener inormaci,n (eneral sobre la or(ani#aci,n " sobre la !nci,n de inormática a eval!ar. Para ello es preciso acer !na investi(aci,n preliminar " al(!nas entrevistas previas$ con base en esto planear el pro(rama de traba%o$ el c!al deberá incl!ir tiempo$ costo$ personal necesario " doc!mentos a!xiliares a solicitar o orm!lar d!rante el desarrollo de la misma. $ERO&A% $ARTI'I$A&TE na de las partes más importantes dentro de la planeaci,n de la a!ditor'a en inormática es el personal &!e deberá participar " s!s caracter'sticas. no de los es&!emas (eneralmente aceptados para tener !n adec!ado control es &!e el personal &!e interven(an est5 debidamente capacitado$ con alto sentido de moralidad$ al c!al se le exi%a la optimi#aci,n de rec!rsos )eiciencia* " se le retrib!"a o compense %!stamente por s! traba%o. Con estas bases se debe considerar las caracter'sticas de conocimientos$ práctica proesional " capacitaci,n &!e debe tener el personal &!e intervendrá en la a!ditor'a. +n primer l!(ar se debe pensar &!e a" personal asi(nado por la or(ani#aci,n$ con el s!iciente nivel para poder coordinar el desarrollo de la a!ditor'a$ proporcionar toda la inormaci,n &!e se solicite " pro(ramar las re!niones " entrevistas re&!eridas.



Datos del alumno

Fecha


6ste es !n p!nto m!" importante "a &!e$ de no tener el apo"o de la alta direcci,n$ ni contar con !n (r!po m!ltidisciplinario en el c!al est5n presentes !na o varias personas del área a a!ditar$ ser'a casi imposible obtener inormaci,n en el momento " con las caracter'sticas deseadas. E+A%UA'I(& DE% DEARRO%%O DE% ITE!A +n esta etapa del sistema se deberán a!ditar los pro(ramas$ s! diseño$ el len(!a%e !tili#ado$ interconexi,n entre los pro(ramas " caracter'sticas del ard3are empleado )total o parcial* para el desarrollo del sistema. Al eval!ar !n sistema de inormaci,n se tendrá presente &!e todo sistema debe proporcionar inormaci,n para planear$ or(ani#ar " controlar de manera eica# " oport!na$ para red!cir la d!plicidad de datos " de reportes " obtener !na ma"or se(!ridad en la orma más econ,mica posible. De ese modo contará con los me%ores elementos para !na adec!ada toma de decisiones. Al tener !n proceso distrib!ido$ es preciso considerar la se(!ridad del movimiento de la inormaci,n entre nodos. +l proceso de planeaci,n de sistemas debe deinir la red ,ptima de com!nicaciones$ los tipos de mensa%es re&!eridos$ el tráico esperado en las l'neas de com!nicaci,n " otros actores &!e aectan el diseño. +s importante considerar las variables &!e aectan a !n sistema: !bicaci,n en los niveles de la or(ani#aci,n$ el tamaño " los rec!rsos &!e !tili#a. 'O&TRO% DE $RO,E'TO Debido a las caracter'sticas propias del análisis " la pro(ramaci,n$ es m!" rec!ente &!e la implantaci,n de los sistemas se retrase " se lle(!e a s!ceder &!e !na persona lleva traba%ando varios años dentro de !n sistema o bien &!e se presenten irre(!laridades en las &!e los pro(ramadores se ponen a reali#ar actividades a%enas a la direcci,n de inormática. Para poder controlar el avance de los sistemas$ "a &!e 5sta es !na actividad de di'cil eval!aci,n$ se recomienda &!e se !tilice la t5cnica de administraci,n por pro"ectos para s! adec!ado control. Para tener !na b!ena administraci,n por pro"ectos se re&!iere &!e el analista o el pro(ramador " s! %ee inmediato elaboren !n plan de traba%o en el c!al se especii&!en actividades$ metas$ personal participante " tiempos. +ste plan debe ser revisado



Datos del alumno

Fecha


peri,dicamente )semanal$ mens!al$ etc.* para eval!ar el avance respecto a lo pro(ramado. a estr!ct!ra estándar de la planeaci,n de pro"ectos deberá incl!ir la acilidad de asi(nar ecas predeinidas de terminaci,n de cada tarea. Dentro de estas ecas debe estar el calendario de re!niones de revisi,n$ las c!ales tendrán dierentes niveles de detalle. TI$O DE AUDITOR)A +xisten al(!nos tipos de a!ditor'a entre las &!e la A!ditor'a de /istemas inte(ra !n m!ndo paralelo pero dierente " pec!liar resaltando s! eno&!e a la !nci,n inormática. +s necesario recalcar como análisis de este c!adro &!e A!ditor'a de /istemas no es lo mismo &!e A!ditor'a 7inanciera. +ntre los principales eno&!es de A!ditor'a tenemos los si(!ientes: 7inanciera •

•

8eracidad de estados inancieros Preparaci,n de inormes de ac!erdo a principios contables

Operacional •

+icacia

•

+conom'a

/istemas •

/e preoc!pa de la !nci,n inormática

7iscal •

/e dedica a observar el c!mplimiento de las le"es iscales

Administrativa •

Anali#a: o(ros de los ob%etivos de la Administraci,n Desempeño de !nciones

administrativas Calidad •

+val9a: 5todos ediciones Controles de los bienes " servicios



Datos del alumno

Fecha


/ocial •

;evisa la contrib!ci,n a la sociedad as' como la participaci,n en actividades socialmente orientadas

E-E!$%O AUDITOR)A Metodología para la Auditoría Informática de la Seguridad de la Intranet de un Sistema.

Introducción Para entender la necesidad de la reali#aci,n de a!ditor'as inormáticas es necesario comprender el papel destacado " creciente de las tecnolo('as de inormaci,n en n!estra sociedad. Con esta ma"or importancia a ido incrementándose tambi5n la soisticaci,n de los sistemas &!e les dan apo"o. a comple%idad " dimensiones &!e an ad&!irido estos sistemas an eco &!e sea cr'tica la implantaci,n de normas " procedimientos para s! !tili#aci,n$ desarrollo$ implantaci,n " mantenimiento. El .lan auditor inform/tico +l plan a!ditor inormático es el doc!mento en &!e se deine esta !nci,n " el traba%o &!e reali#a dentro de la entidad en &!e se enc!adra. /! contenido debe estar orientado con la estrate(ia or(ani#ativa " con el resto de los planes a!ditores. +n !n plan a!ditor dierenciamos: <

7!nciones: bicaci,n de la a!ditor'a inormática dentro de la empresa$ s!s

!nciones$ estr!ct!ra del departamento " rec!rsos &!e a(l!tina. < Procedimientos: anera en &!e se reali#arán las distintas tareas de las a!ditor'as. < =ipos de a!ditor'as &!e se reali#an. < /istema de eval!aci,n " los aspectos &!e eval9a. < ista de distrib!ci,n de inormes.



< <

Datos del alumno

Fecha


/e(!imiento de las acciones correctoras. Planes de traba%o " s! periodicidad.

+l plan a!ditor inormático se concreta en la práctica$ entre otros aspectos$ en !na metodolo('a de traba%o &!e determina los itos desde el inicio de la a!ditor'a inormática$ "a sea por a!ditor interno o externo$ asta la entre(a del inorme inal " la manera de alcan#arlos. !etodología a a!ditor'a inormática debe respaldarse en !n proceso ormal &!e ase(!re s! previo entendimiento por cada !no de los responsables de llevar a la práctica dico proceso en la empresa. Al i(!al &!e otras !nciones en el ne(ocio$ la a!ditor'a inormática eect9a s!s tareas " actividades mediante !na metodolo('a. No es recomendable omentar la dependencia en el desempeño de esta importante !nci,n s,lo con base en la experiencia$ abilidades$ criterios " conocimientos sin !na reerencia metodol,(ica. Contar con !n m5todo (aranti#a &!e las c!alidades de cada a!ditor sean orientadas a traba%ar en e&!ipo para la obtenci,n de res!ltados de alta calidad " de ac!erdo a estándares predeterminados. a !nci,n de a!ditor'a inormática a de contar tambi5n con !n desarrollo de actividades basado en !n m5todo de traba%o ormal$ &!e sea entendido por los a!ditores " complementado con t5cnicas " erramientas propias de la !nci,n. +l ob%etivo es brindar a los responsables de dicas áreas !n camino estr!ct!rado por el &!e obten(an los res!ltados esperados por la empresa$ si(!iendo !n plan. +l !so de !n proceso de traba%o metodol,(ico " estándar en la !nci,n de a!ditor'a inormática (enera las si(!ientes venta%as: os rec!rsos orientan s!s es!er#os a la obtenci,n de prod!ctos " servicios de calidad$ con caracter'sticas " re&!isitos com!nes para todos los responsables.



Datos del alumno

Fecha


as tareas " prod!ctos terminados de los pro"ectos se enc!entran deinidos " ormali#ados en !n doc!mento al alcance de los a!ditores inormáticos. -

/e acilita en alto (rado la administraci,n " se(!imiento de los pro"ectos$ p!es

la metodolo('a obli(a a la planiicaci,n detallada de cada pro"ecto ba%o criterios estándares. 7acilita la s!peraci,n proesional " !mana de los individ!os$ "a &!e orienta los es!er#os acia la especiali#aci,n$ responsabilidad$ estr!ct!raci,n " dep!raci,n de las !nciones del a!ditor. -

+l proceso de capacitaci,n o act!ali#aci,n en el !so de !n proceso metodol,(ico

es más á(il " eiciente$ dado &!e se traba%a sobre tareas " pa!tas perectamente deinidas. Para obtener toda la inormaci,n posible sobre el dia(n,stico del ne(ocio " de inormática$ el a!ditor se apo"ara sobre c!estionarios detallados. Debemos anali#ar las áreas si(!ientes: eguridad física0 Al examinar la se(!ridad 'sica el a!ditor deberá estar preoc!pado por la locali#aci,n 'sica del sistema " desde d,nde se p!ede acceder al mismo. Para la ma"or'a de los sistemas$ tiene sentido instalar el servidor de datos " servidor 3eb en !na abitaci,n con aire acondicionado &!e no ten(a ventanas " sea de di'cil acceso )preeriblemente con acceso controlado por al(9n lector de tar%etas de se(!ridad o sistema de claves de se(!ridad*. Para sistemas más cr'ticos$ p!ede ser tambi5n importante limitar los poseedores de esas tar%etas " cambiar el c,di(o de acceso a la abitaci,n de los servidores de manera re(!lar.



Datos del alumno

Fecha


+n !nci,n del nivel de se(!ridad re&!erido$ p!de ser necesario comprobar &!e los (!ardias de se(!ridad están ormados para la deensa contra intr!sos. $rocedimientos1 roles y res.onsa2ilidades0 +s !ndamental ase(!rar &!e las pol'ticas p!estas en práctica en la >ntranet para ase(!rar la a!ditor'a " tra#abilidad se !san de manera eectiva. Al(!nos sistemas re&!erirán$ por motivos le(ales ! operacionales$ !n re(istro de transacciones ma"or &!e otros$ pero todos deberán re(istrar los intentos de acceso a la red allidos " s! procedencia )>P ! otro identiicador*. ?+xisten procedimientos implantados para ase(!rar &!e los @a!dit. lo(s o re(istros de a!ditor'a de la actividad del sistema se revisen en b!sca de indicios de actividades maliciosasB ?!i5n los lleva a caboB ?Con &!5 rec!enciaB ?/on eectivosB ?+xisten normas &!e eviten &!e las contraseñas de acceso p!edan ser desc!biertas ácilmenteB Por e%emplo$ ?es obli(atorio &!e las claves de acceso ten(an oco caracteres &!e combinen letras " n9merosB ?7!er#a el sistema a cambiar las claves de acceso re(!larmenteB +s importante &!e el a!ditor contraste &!e los procedimientos no s,lo están escritos en !n doc!mento " olvidados$ sino &!e existe !n conocimiento aceptable por parte de los responsables de s! e%ec!ci,n. Identificación1 autenticación y acceso0 n a!ditor debe vi(ilar no s,lo las r!tas 'sicas al sistema )ard3are*$ sino tambi5n las l,(icas$ esto es$ desde &!5 redes se p!ede acceder al sistema " de &!5 manera. ?+xiste !na red privada virt!al &!e permita el acceso al área local )AN* desde !era del ediicio 'sicoB ?/e permite el acceso al sistema desde sitios 3ebB ?P!ede el personal acceder a la >ntranet desde s!s o(aresB



Datos del alumno

Fecha


Para cada p!nto de acceso l,(ico el a!ditor debe comprobar &!e existen medios eectivos de identiicar " a!tenticar los (r!pos de !s!arios a los &!e se permite acceder desde el mismo. Dependiendo del nivel de se(!ridad re&!erido esto p!ede implicar simplemente !sar !s!arios " claves de acceso$ emisi,n de pass3ords de !n solo !so$ !so de claves de encriptaci,n // almacenadas en s!s PCc o !sar claves /+= residentes en !na tar%eta le'da por !n lector especial. Re3uerimientos de la ar3uitectura t4cnica0 +l a!ditor debe (aranti#ar &!e la ar&!itect!ra t5cnica p!ede soportar el nivel de se(!ridad re&!erido. a ar&!itect!ra t5cnica de !na intranet se diseña para permitir el acceso s,lo a !s!arios internos a sistemas " datos internos. Con este escenario$ !n ire3all o servidor prox" p!ede acilitar la p!erta de acceso a trav5s de la c!al los empleados p!edan acceder a >nternet$ pero nadie p!eda acceder al sistema interno desde >nternet. +l ire3all se p!ede !tili#ar tambi5n para restrin(ir los tipos de contenidos a los &!e p!eden acceder en >nternet los !s!arios internos. os empleados con conexiones m,viles (eneralmente !sarán !na red privada virt!al para el acceso. +s importante &!e el a!ditor compr!ebe todas las r!tas de acceso " salida de la intranet$ para ase(!rar &!e s,lo p!edan acceder !s!arios a!tori#ados. Debe comprobarse &!e no existan p!ertas alsas o @bac doors a la intranet desde la extranet )si existe* a trav5s de las c!ales !n acer p!eda acceder a los sistemas internos. na de las bac doors más com!nes en este escenario es no aber desabilitado 7=P en el servidor 3eb de la extranet. Presentaci,n del inorme inal: a !nci,n de la a!ditor'a se materiali#a excl!sivamente por escrito. Por lo tanto la elaboraci,n del inorme inal es el exponente de s! calidad. ;es!lta evidente la necesidad de redactar borradores e inormes parciales previos al inorme inal$ los &!e



Datos del alumno

Fecha


son elementos de contraste entre opini,n entre a!ditor " a!ditado " &!e p!eden desc!brir allos de apreciaci,n en el a!ditor. Estructura del informe final +l inorme comien#a con la eca de comien#o de la a!ditor'a " la eca de redacci,n del mismo. /e incl!"en los nombres del e&!ipo a!ditor " los nombres de todas las personas entrevistadas$ con indicaci,n de la %eat!ra$ responsabilidad " p!esto de traba%o &!e ostente. /e incorporarán los inormes parciales &!e a"an sido entre(ados. A contin!aci,n se especiicará el ámbito " ob%etivos de la a!ditor'a. /e relacionarán !na por !na las áreas anali#adas: s! sit!aci,n$ s!s debilidades$ las amena#as &!e implican " s!s oport!nidades. 7inalmente se relacionan las recomendaciones$ s! plan de implantaci,n$ se(!imiento " control. +l inorme tiene especial importancia por&!e en 5l a de res!mirse la a!ditor'a reali#ada. /e destina excl!sivamente al responsable máximo de la empresa$ o a la persona concreta &!e encar(o o contrato la a!ditor'a. As' como p!eden existir tantas copias del inorme inal como solicite el cliente$ la a!ditor'a no ará copias del citado inorme.


Seguridad

Recommend Documents