SEGURIDAD EN LOS SISTEMAS DE INFORMACION (CAPITULO 9)
Dada la creciente dependencia de las organizaciones hacia la
tecnologa informtica, se hace cada vez ms imprescindible la
necesidad de disponer de controles, de auditoras, normas y
estndares de trabajo que garanticen la calidad y seguridad de los
sistemas de informacin. RIESGOS Y CONTROLES: El ataque a la
seguridad de un sistema de computacin puede provenir de una amplia
variedad de personas: intrusos, usuarios, ingenieros de sistemas,
programadores del sistema, personal de compaas telefnicas,
operadores, encargados de respaldos, administradores de redes o
bases de datos, jefes de centro de cmputos. La informacin es un
capital valioso que se debe preservar. Las empresas de desarrollo
de software muchas veces hacen pruebas con datos reales del
cliente. Si los procedimientos de organizacin interna que tienden a
segregar funciones a fin de proteger el sistema estn vigentes, la
nica posibilidad de que potenciales delincuentes informticos logren
su propsito es que se asocien. Un programador de aplicaciones con
un usuario, un jefe de centro de cmputos con un administrador de
redes. Muchas veces la asociacin para delinquir debe componerse de
varias personas para sortear los procedimientos de control
establecidos. Una regla bsica del control interno indica que ningn
funcionario debe manejar todas las etapas o estados de las
transacciones procesadas, sino que las mismas deben ser realizadas
por diferentes personas. En una empresa de venta de artculos
varios, se debe separar el personal de computacin del personal que
maneja directamente los artculos, por ejemplo. Los archivos de
datos de respaldo deben ser cuidadosamente controlados. Cuando los
sistemas manejan aplicaciones crticas, todos los medios magnticos
deben ser cuidadosamente manipulados y retornados a la biblioteca
de respaldo luego de ser usados en rutinas preestablecidas.
Respaldo, slo accede personal autorizado. Un factor que ayuda a
impedir ataques exitosos, es la complejidad de los sistemas.
Similar al concepto de seguridad, basado en la necesidad de
conocer, sera deseable que ninguna persona tuviera todos los
conocimientos que se requieren para trampear al sistema. Si alguien
planea robar un banco, debe saber donde est y cmo funciona la
alarma, claves de acceso, etc. La misma dificultad debe existir a
nivel de un sistema de computacin respecto del conocimiento de
contraseas para acceder al sistema, de procedimientos de
autorizacin, de acceso a respaldos de datos, etc. AUDITORIA Y
CONTROL DE APLICACIONES CONCEPTO DE AUDITORIA Es el proceso
realizado por un sujeto independiente de un objeto examinado y
sobre el que se busca emitir opinin. Existen dos tipos de
auditoria, interna y externa. El uso de auditoria informtica es
cada vez ms frecuente en las organizaciones. Muchas consultoras
ofrecen este servicio: TEA, KPMG, Price Waterhouse, etctera. Son
importantes las definiciones de restriccin de niveles de acceso con
claves de usuarios para determinadas opciones del programa, como
tambin el nivel de administrador, quien accede a todas las opciones
con su clave. Existen restricciones por objeto (opciones de men,
programas), restriccin por usuario a opciones de men, restricciones
por clave de acceso a determinadas opciones (ejemplo: ajustes de
stock, eliminacin de facturas). Los controles de aplicaciones se
refieren a funciones de entrada, procesamiento y salida. Asimismo
incluyen mtodos para asegurarse de que se ingresa y actualiza datos
completos, exactos y vlidos; el procesamiento realiza la tarea
correcta, los resultados del procesamiento cumplen las expectativas
y que se mantienen los datos correctos y actualizados. Estos
controles consisten en pruebas de validacin,
totales, conciliaciones, identificacin y generacin de informes
sobre datos incorrectos, faltantes o de excepcin. Los controles
interactivos tambin requieren controles sobre el ingreso y envo de
datos (ejemplo, locales y casa central se envan datos va diskette,
correos, comunicacin por lnea directa) y entonces es importante que
existan programas de CHEQUEO de informacin que asegure que los
datos que salen de un lugar entren en otro y viceversa. Ejemplo:
log de eventos, quin hizo qu cosa, cundo y a qu hora...
CONCLUSIONES - La seguridad en el rea informtica es sumamente
trascendente en virtud de que cada vez ms los
sistemas de informacin son vitales para las organizaciones. - En
nuestro pas, la realidad muestra que a pesar de avances en la
materia, existe un desfasaje creciente
entre las medidas necesarias a implementar y lo efectivamente
concretado. - Como egresados de esta facultad tenemos la
responsabilidad de administrar, supervisar, asesorar,
controlar y auditar los patrimonios pblicos y privados, los que
estn cada vez ms expuestos a contingencias que pueden afectar la
propia existencia de la empresa u organizacin, en tanto no se
adopten las medidas correctas.
