PRINCIPALES ÁREAS DE LA AUDITORIA INFORMÁTICA

PARTE I

ANDRES DIAZ SEXTO SISTEMAS ISTELAM

AREAS DE LA SEGURIDAD FISICA

Todas las áreas son importantes, pero en cuestión de seguridad las áreas más vulnerables son:

ORGANIGRAMA: Con el se conocen cada una de las dependencias.

AUDITORIA INTERNA: Esta es la encargada de guardar las normas, los procedimientos y planes de la seguridad física.

ADMINISTRACION DE LA SEGURIDAD: Deben existir algunas dependencias, cargos y responsabilidades como son; un director de seguridad integral e informático, un administrador de redes y base de datos, y un responsable de la seguridad pasiva y activa en el entorno físico.

CENTRO DE PROCESO DE DATOS: Son las instalaciones.

*EQUIPOS Y COMUNICACIONES: Son los elementos principales de computación como son; servidores, host, terminales, impresoras etc.

SEGURIDAD FISICA DEL PERSONAL: Entradas y salidas del personal

TECNICAS

*Observación de las instalaciones, sistemas, cumplimientos de normas.

*Revisión analítica de: Documentos de construcciones, seguridad física; políticas y normas; procedimientos de seguridad física; contratos de seguro y mantenimiento.

*Entrevistas con directivos y personal. Consultas con técnicos y auditores.

HERRAMIENTAS

*Cuaderno de campo/ grabadora de audio.

*Maquina fotográfica/ cámara de vídeo. Su uso debe ser discreto y siempre con el

consentimiento del personal.

AUDITORIA DE LA OFIMÁTICA

Partiendo de la definición realizada por SCHILL acerca de la ofimática, que dice que, como el sistema informatizado que genera, procesa, almacena, recupera, comunica y presenta datos relacionados con el funcionamiento de la oficina.

Las primeras aplicaciones de la ofimática se realizan o se desarrollaron sobre los ordenadores centrales de las organizaciones.

La evolución sufrida en el entorno microinformático ha condicionado el desarrollo de los sistemas ofimáticos actuales.  El aumento de la potencia de calculo, la alta calidad de los productos y la reducción de costos de los ordenadores personales y las estaciones de trabajo; ha desplazado el desarrollo de aplicaciones ofimáticas a plataformas microinformáticas y redes de área local.

CONTROLES DE AUDITORIA

En los problemas que se presentan diariamente en las oficinas de las organizaciones existen dos características:

La distribución de las aplicaciones por los diferentes departamentos de la organización en lugar de encontrarse en una única ubicación centralizada; y el traslado de responsabilidad sobre ciertos controles de los sistemas de información a usuarios finales no dedicados profesionalmente a la informática, que pueden no comprender de un modo adecuado la importancia de los mismos y la forma de realizarlos.

Como consecuencia de los dos factores enunciados, se ha generado una problemática propia en este tipo de entornos: adquisiciones poco planificadas; desarrollos eficaces e ineficientes, incluso en procesos críticos para el correcto funcionamiento de la organización; falta de conciencia de los usuarios acerca de la seguridad de la información; utilización de copias ilegales de aplicaciones; procedimientos de copias de seguridad deficientes; escasa formación del personal; ausencia de documentación suficientes; etc.

AUDITORIA DE LA DIRECCIÓN

Siempre en una organización se dice que esta es un reflejo de las características de su dirección, los modos y maneras de actuar de aquella están influenciadas por la filosofía y personalidad del director.Acciones de un Director• Planificar. (este acorde al plan estratégico (conocimiento a evaluar acciones a realizar)). - Lectura y análisis de actas, acuerdos, etc.- Lectura y análisis de informes gerenciales.- Entrevistas con el mismo director del departamento y con los directores de otras áreas.• Organizar. • Controlar. • Coordinar. 

Las enormes sumas que las empresas dedican a la tecnología de la información y de la dependencia de estás con los procesos de la organización hacen necesaria una evaluación independiente de la función que la gestiona (dirige).

AUDITORIA DE LA EXPLOTACION

La Explotación Informática se ocupa de producir resultados informáticos de todo tipo: listados impresos, ficheros soportados magnéticamente para otros informáticos, ordenes automatizadas para lanzar o modificar procesos industriales, etc. La explotación informática se puede considerar como una fabrica con ciertas peculiaridades que la distinguen de las reales. Para realizar la Explotación Informática se dispone de una materia prima, los Datos, que es necesario transformar, y que se someten previamente a controles de integridad y calidad. La transformación se realiza por medio del Proceso informático, el cual está gobernado por programas. Obtenido el producto final, los resultados son sometidos a varios controles de calidad y, finalmente, son distribuidos al cliente, al usuario.

Auditar Explotación consiste en auditar las secciones que la componen y sus interrelaciones. La Explotación Informática se divide en tres grandes áreas: Planificación, Producción y Soporte Técnico, en la que cada cual tiene varios grupos.

A) Control de Entrada de Datos Se analizará la captura de la información en soporte

compatible con los Sistemas, el cumplimiento de plazos y calendarios de tratamientos y entrega de datos; la correcta transmisión de datos entre entornos diferentes. Se verificará que los controles de integridad y calidad de datos se realizan de acuerdo a Norma.

B) Planificación y Recepción de Aplicaciones Se auditarán las normas de entrega de Aplicaciones por

parte de Desarrollo, verificando su cumplimiento y su calidad de interlocutor único. Deberán realizarse muestreos selectivos de la Documentación de las Aplicaciones explotadas. Se

 15inquirirá sobre la anticipación de contactos con Desarrollo para la planificación a medio y largo plazo.

C) Centro de Control y Seguimiento de Trabajos Se analizará cómo se prepara, se lanza y se sigue la

producción diaria. Básicamente, la explotación Informática ejecuta procesos por cadenas o lotes sucesivos (Batch*), o en tiempo real (Tiempo Real*). Mientras que las Aplicaciones de Teleproceso están permanentemente activas y la función de Explotación se limita a vigilar y recuperar incidencias, el trabajo Batch absorbe una buena parte de los efectivos de Explotación. En muchos Centros de Proceso de Datos, éste órgano recibe el nombre de Centro de Control de Batch. Este grupo determina el éxito de la explotación, en cuanto que es uno de los factores más importantes en el mantenimiento de la producción.

AUDITORIA DE DESARROLLO

La función de Desarrollo es una evolución del llamado Análisis y Programación de Sistemas y Aplicaciones. A su vez, engloba muchas áreas, tantas como sectores informatizadles tiene la empresa. Muy resumidamente, una Aplicación recorre las siguientes fases:

Pre-requisitos del Usuario y del entorno  Análisis funcional Diseño  Análisis orgánico (Pre-programación y Programación) Pruebas Entrega a Explotación y alta para el Proceso.

FASES AUDITORIA DE DESARROLLO

Estas fases deben estar sometidas a un exigente control interno, caso contrario, además del disparo de los costes, podrá producirse la insatisfacción del usuario. Finalmente, la auditoría deberá comprobar la seguridad de los programas en el sentido de g garantizar que los ejecutados por la maquina sean exactamente los previstos y no otros. Una auditoría de Aplicaciones pasa indefectiblemente por la observación y el análisis de cuatro consideraciones:1. 

Revisión de las metodologías utilizadas  Se analizaran éstas, de modo que se asegure la

modularidad de las posibles futuras ampliaciones de la Aplicación y el fácil mantenimiento de las mismas.

Control Interno de las Aplicaciones Se deberán revisar las mismas fases que presuntamente

han debido seguir el área correspondiente de Desarrollo: Estudio de Vialidad de la Aplicación. [Importante para Aplicaciones largas, complejas y caras] Definición Lógica de la Aplicación. [Se analizará que se han observado los postulados lógicos

de actuación, en función de la metodología elegida y la finalidad que persigue el proyecto

Estudio de Vialidad de la Aplicación.[Importante para Aplicaciones largas, complejas y caras]Definición Lógica de la Aplicación.[Se analizará que se han observado los postulados lógicos de

actuación, en función de la metodología elegida y la finalidad que persigue el proyecto.

Desarrollo Técnico de la Aplicación.[Se verificará que éste es ordenado y correcto. Las

herramientas técnicas utilizadas en los diversos programas deberán ser compatibles]

Diseño de Programas.[Deberán poseer la máxima sencillez, modularidad y

economía de recursos] Métodos de Pruebas.[Se realizarán de acuerdo a las Normas de la Instalación. Se

utilizarán juegos de ensayo de datos, sin que sea permisible el uso de datos reales] 

Documentación.[Cumplirá la Normativa establecida en la Instalación, tanto la

de Desarrollo como la de entrega de Aplicaciones a Explotación] 

Equipo de Programación. [Deben fijarse las tareas de análisis puro, de programación

y las intermedias. En Aplicaciones complejas se producirían variaciones en la composición del grupo, pero estos deberán estar previstos].