View
127
Download
0
Category
Preview:
Citation preview
UNIVERSIDAD CENTRAL DEL ECUADOR
FACULTAD DE CIENCIAS ADMINISTRATIVAS
ESCUELA DE CONTABILIDAD Y AUDITORIA
PRESENTACIÓN DEL DOMINIO: ADQUISICIÓN E
IMPLEMENTACION
VALERIA PEREIRA BRAVO
CA 9-4
AÑO LECTIVO
2012-2012
AI ADQUISICIÓN E IMPLEMENTACION -
DOMINIOP
RO
CE
SO
S
AI1 Identificación de soluciones automatizadas
AI2 Adquisición y mantenimiento del software apropiado
AI3 Adquisición y mantenimiento de la infraestructura tecnológica
AI4 Desarrollo y mantenimiento de Procesos
AI5 Instalación y aceptación de los sistemas
AI6 Administración de los Cambios
AI 1 IDENTIFICAR SOLUCIONES AUTOMATIZADAS
Permite a las organizaciones minimizar el
costo para Adquirir e Implementar
soluciones, mientras que al mismo tiempo
facilitan el logro de los objetivos del
negocio.
La definición de las necesidades
Considera las fuentes alternativas
Realiza una revisión de la factibilidad
tecnológica y económica
Ejecuta un análisis de riesgo
Ejecuta un análisis de costo-beneficio
Concluye con una decisión final de
“desarrollar” o “comprar”
AI 1.1 Definición de requerimientos de
información
Para aprobar el proyecto de desarrollo
AI 1.2 Estudio de factibilidad
Desarrollar estudios de factibilidad que examine la
posibilidad de implementar los requerimientos.
AI 1.3 Arquitectura de la información
Identificar, dar prioridad, especificar y acordar los requerimientos del negocio funcionales y técnicos que cubran el
alcance completo de todas las iniciativas requeridas para lograr los resultados
esperados de los programas de inversión de TI.
AI 1.4 Seguridad con relación costo-beneficio
Controlar que los costos de inversión no superen a los
beneficios
AI 1.5 Pistas de auditoria
Proteger a los datos del usuario como pueden se su identificación o
evitar que se creen campos adicionales en su registro.
AI 1.6 Contratación de terceros
Busca adquirir productos en buen estado y de calidad
AI 1.7 Aceptación de instalaciones y tecnologías
El patrocinador del negocio tiene la decisión final con respecto a la
elección de la solución y al enfoque de adquisición.
Para llevar a cabo un examen, revisión o
auditoría, se hace necesario, para poder
emitir una opinión sobre el trabajo
realizado, recopilar la evidencia
suficiente y apropiada que sirva e base
para sustentar las conclusiones,
opiniones y recomendaciones..
AI 5.2 PISTAS DE AUDITORIA-OBJETIVOS DE PROTECCION
Objetivos de protección y Seguridad
Responsabilidad Individual
Seguimiento de las acciones del usuario
Reconstrucción de eventos
Identificar acciones anormales realizadas y a sus autores
Detección de Instrucciones
Realizar un examen en tiempo real o por tramos.
Identificación de Problemas
Para detectar problemas adicionales en el sistema
Pistas de auditoria - Evidencia
Identificador del Usuario
Debe proporcionarse en cada evento
Cuando a ocurrido el evento
Registrado por fecha y hora
Identificador de host
El registro informa de las conexiones realizadas a la red
Tipo de evento
Registrar las acciones realizadas a niveles de capas ya se en
el sistema o en las aplicaciones
Este tipo de prueba tiene una función
relevante, que permita tener un mejor
criterio a la hora de determinar y
esclarecer ciertos hallazgos. Lo que se
pretende es dar un nuevo enfoque al uso
y aplicación de este tipo de instrumento.
• PrevenciónRiesgo
• DetecciónIncidente Error
• RepresiónRepresión
• CorrecciónCorrección
• EvaluaciónRecuperación
AI5.3 PISTAS DE AUDITORIA- EVOLUCIÓN DEL RIESGO-ERRORES
POTENCIALES EN TECNOLOGIAS INFORMATICAS
•Datos Blancos
•Datos Ilegibles
•Problemas de Transcripción
•Error de Cálculos en medidas indirectas
•Registro de Valores Imposibles
•Negligencias
•Falta de aleatoriedad
•Violentar la secuencia para recolección
Errores Potenciales
Prevención
Detección - Síntomas
Diagnostico
Corrección
Evaluación
AI5.4 PISTA DE AUDITORIA-EVOLUCIÓN Y ADMINISTRACION
DEL RIESGO
Predicción - Actuar sobre la causa
- Técnicas y políticas de control involucrados
- Empoderar a los actores
- Crear valores y actitudes
Existen tres tipos de conexiones
que se deben definir estas son
LAN(red de área local),
WAN(Red de área amplia),
Plataformas de internet.
AI5.6 PISTAS DE AUDITOIA – POLITICAS DE SEGURIDAD PARA
SISTEMAS DISTRIBUIDOS-PROCESO
Políticas para sistemas
distribuidos
AI 5.6.1 No Discrecional
AI 5.6.2 Disponibilidad
AI 5.6.3 Administración y control de acceso
AI 5.6.4 Criptográfica
AI 5.6.5 Integridad y
confidencialidad de datos
AI5.6.6 Dependientes y
por defecto
Cifrado de la información
Se emplea un código que se ilegible encaso de un ataque y solo es deconocimiento del emisor y receptor típicaen aplicaciones cliente servidor, peroactualmente muy utilizada en sistemasdistribuidos para otorgar permisos deacceso.
AI5.6.2.1 Técnicas de cifrado de la información
AI5.6.2.3.1 Técnicas de integridad y confidencialidad
Integridad
Verificar integridad de la información
En entornos de red lo mas común es utilizar un passwordpara ingresar a una aplicación determinada.
Controles de acceso mas sofisticados pueden incluiridentificadores físicos, biológicos o de otra índole.
En los bancos es común una identificación de lacuenta y el usuario por medio de tarjetas decrédito
AI 5.6.2.3.2 Técnicas de autenticación
AI2 ADQUIRIR Y MANTENER SOFTWARE APLICATIVO
Permite a las organizaciones apoyar la operatividad del
negocio de forma apropiada con las aplicaciones automatizadas
correctas.
Este proceso cubre el diseño de las aplicaciones
La inclusión apropiada de controles aplicativos y requerimientos de seguridad
El desarrollo y configuración de acuerdo a los estándares
AI3 ADQUISICIONY MANTENIMIENTO DE LA
INFRAESTRUCTURA TECNOLOGICA - PROCESO
Las organizaciones deben
contar con procesos para
adquirir, implementar y
actualizar la infraestructura
tecnológica
Esto requiere de un enfoque
planeado para adquirir,
mantener y proteger la
infraestructura de acuerdo con
las estrategias tecnológicas
convenidas y la disposición del
ambiente de desarrollo y
pruebas.
Esto garantiza que exista un
soporte tecnológico
continuo para las
aplicaciones del negocio.
AI3.1 Evaluación de Tecnología
Para identificar como afectara el nuevo hardware y software sobre el sistema en general. Evaluar los costos de complejidad y viabilidad
comercial del proveedor y producto al añadir nueva capacidad técnica.
AI3.2 Mantenimiento preventivo
Desarrollar una estrategia y un plan de mantenimiento de la infraestructura y garantizar que se controlan los cambios, de acuerdo
con el procedimiento de administración de cambios de la organización.
AI 3.3 Seguridad del software de sistemas
Implementar medidas de control interno, seguridad y auditabilidaddurante la configuración, integración y mantenimiento del hardware y
software para proteger los recursos y garantizar su disponibilidad e integridad.
AI4.1 Manuales de procedimiento de usuarios y controles
• Transferencia de conocimiento y habilidad para permitir que los usuarios finales utilicen con
efectividad y eficiencia el sistema de aplicación como apoyo a los procesos del negocio.
AI4.2 Manuales de entrenamiento
• Para que el usuario se familiarice con el uso diario del sistema
AI4 DESARROLLO Y MANTENIMIENTO DE PROCESOS-PROCESO
Este proceso requiere la generación de documentación y manuales para usuarios y para TI, y proporciona
entrenamiento para garantizar el uso y la operación correctos de las aplicaciones y la infraestructura.
AI4.3 Manuales de Operaciones y controles
AI 3 Manuales de operaciones y controles
• Transferir el conocimiento y las habilidades para permitir al personal de soporte técnico y de operaciones que entregue, apoyen y mantenga la aplicación y la infraestructura asociada de manera efectiva y eficiente de acuerdo a los
niveles de servicio requeridos.
AI4 Levantamiento de proceso
• Desarrollar un plan para identificar y documentar todos los aspectos técnicos, la
capacidad de operación y los niveles de servicio requeridos, de manera que todos los interesados puedan tomar la responsabilidad oportunamente
por la producción de procedimientos de administración, de usuario y operativos, como resultado de la introducción o actualización de
sistemas automatizados o de infraestructura
AI 5 INSTALACION Y ACEPTACION DE LOS SISTEMAS
- PROCESO
Los nuevos sistemas necesitan estar funcionales una vez que su desarrollo se
completa. Esto requiere pruebas adecuadas en un ambiente dedicado con datos de
prueba relevantes, definir la transición e instrucciones de migración, planear la
liberación y la transición en si al ambiente de producción, y revisar la post-
implantación. Esto garantiza que los sistemas operativos estén en línea con las
expectativas convenidas y con los resultados.
AI 5.1 Capacitación del personal
Entrenar ala personal de los departamentos de usuario afectados y al grupo de operaciones de la función de TI de acuerdo con el plan definido de entrenamiento e implantación y a los materiales
asociados, como parte de cada proyecto de sistemas de la información de desarrollo,
implementación o modificación.
AI 5.2 Conversión /Carga de datos
Plan de conversión de datos y migración de infraestructura como parte de los métodos de
desarrollo de la organización, incluyendo pistas de auditoria, respaldo y vuelta atrás.
AI 5.3 Pruebas Especificas
Remediar los errores significativos identificaciones en el proceso de pruebas,
habiendo completado el conjunto de pruebas identificadas en el plan de pruebas y cualquier
prueba de regresión necesaria. Siguiendo la evaluación, aprobación promoción a producción.
AI 5.4 Validación y acreditación
Seguimiento a pruebas, controlar la entrega de los sistemas cambiados a operaciones, manteniéndolo en línea con el plan de
implantación. Obtener la aprobación de los interesados clave, tales como usuarios, dueño de
sistemas y gerente de operaciones
AI 5.5 Revisión Posterior a la implantación
Establecer procedimientos en línea con los estándares de gestión de cambios organizacionales para requerir
una revisión posterior a la implantación como conjunto de salida en el plan de implementación.
Todos los cambios, incluyendo el mantenimiento de
emergencia y parches, relacionados con la
infraestructura y las aplicaciones dentro del ambiente
de producción, deben administrarse formalmente y
controladamente. Los cambios (incluyendo
procedimientos, procesos, sistemas y parámetros del
servicio) se deben registrar, evaluar y autorizar
previo a la implantación y revisar contra los
resultados planteados después de la implantación.
Esto garantiza la reducción de riesgos que impactan
negativamente la estabilidad o integridad del
ambiente de producción.
AI 6 ADMINISTRACION DE CAMBIOS- PROCESO
AI 6.1 Identificación de Cambio
• Establecer procedimientos de administración de cambio formales para manejar de manera estándar todas las solicitudes (incluyendo mantenimiento y
parches) para cambios a aplicaciones, procedimientos, procesos, parámetros de sistemas
y servicios, y las plataformas fundamentales.
AI6.2 Procedimientos
• . Esta evaluación deberá incluir categorización y priorización de los
cambios.
AI6.3 Evaluación del impacto que provocaran
los cambios
• Garantizar que todas las solicitudes de cambio se
evalúen de una estructurada manera en cuanto a impactos en
el sistema operacional y su funcionalidad.
AI 6.4 Autorización de Cambios
• Previo a la migración hacia producción, los interesados
correspondientes autorizan los cambios.
AI 6.5 Manejo de Liberación
• Se siguen procedimientos formales que garanticen la
aprobación de liberación de software
AI 6.6 Distribución de Software
• Siempre que se implantan cambios al sistema, actualizar el sistema asociado y la
documentación de usuario y procedimientos correspondientes.
Establecer un proceso de revisión para garantizar la implantación completa de los
cambios.
Recommended