Evaluación de la seguridad

2.2 Evaluación de la Seguridad

Para realizar una evaluación de la Seguridad, es importante conocer cómo desarrollar y ejecutar la implantación de un Sistema de Seguridad.

Desarrollar un Sistema de Seguridad implica: planear, organizar, coordinar dirigir y controlar las actividades relacionadas a mantener y garantizar la integridad física de los recursos implicados en la función informática, así como el resguardo de los activos de la empresa.

2.2.1 Identificar los modelos de Seguridad

• Definir elementos administrativos
• Definir Políticas de Seguridad: A nivel departamental, a nivel institucional
• Organizar y dividir las responsabilidades
• Contemplar la Seguridad Física contra catástrofes (incendios, terremotos, inundaciones, etc.)
• Definir prácticas de Seguridad para el personal: Plan de emergencia, Plan de evacuación, Uso de recursos de emergencia (extinguidores, etc.)
• Definir el tipo de Pólizas de Seguros
• Definir elementos técnicos de procedimientos: Técnicas de aseguramiento del sistema
• Codificar la información: Criptografía
• Contraseñas difíciles de averiguar (letras mayúsculas, minúsculas, números y símbolos ) que deben ser cambiadas periódicamente
• Vigilancia de Red: Tecnologías repelentes o protectoras (Cortafuegos (firewalls), sistema de detección de intrusos, etc.)

2.2.2 Identificar las aéreas y fases que pueda cubrir la auditoria de la seguridad

• Anti-spyware, antivirus, llaves para protección de software, etc.
• Mantener los sistemas de información (sistemas operativos y programas) con las actualizaciones que más impacten en la Seguridad
• Definir las necesidades de Sistemas de Seguridad para hardware y software
• Flujo de energía
• Cableados locales y externos
• Aplicación de los Sistemas de Seguridad, incluyendo datos y archivos
• Planificación de los papeles de los Auditores internos y externos
• Planificación de programas de contingencia o recuperación de desastre y sus respectivas pruebas (Simulación)
• Planificación de Pruebas al Plan de Contingencia con carácter periódico
• Política de Destrucción de basura, copias, fotocopias, discos duros, etc.
• Dentro de las áreas generales, se establecen las siguientes divisiones de Auditoría Informática: de Explotación, de Sistemas, de Comunicaciones y de Desarrollo de Proyectos. Estas son las Areas Especificas de la Auditoría Informática más importantes.

2.2.3 Definir la auditoria de seguridad física lógica de los datos

La seguridad física garantiza la integridad de los activos humanos, lógicos y materiales.

La auditoría física no se debe limitar a comprobar la existencia de los medios físicos, sino también su funcionalidad, racionalidad y seguridad.

Existen tres tipos de seguridad:

• Seguridad lógica.
• Seguridad física.
• Seguridad de las comunicaciones.

EL PLAN DE CONTINGENCIA DE TENER LO SIGUIENTE:

Realizar un análisis de riesgos de los sistemas críticos.

• Establecer un periodo crítico de recuperación.
• Realizar un análisis de las aplicaciones críticas estableciendo periodos de proceso.
• Establecer prioridades de proceso por días del año de las aplicaciones y orden de los procesos.
• Establecer objetivos de recuperación que determine el periodo de tiempo entre la declaración del desastre y el momento en el que el centro alternativo puede procesar las aplicaciones críticas.
• Designar entre los distintos tipos existentes en un centro alternativo de proceso de datos.
• Asegurar la capacidad de las comunicaciones.
• Asegurar los servicios de bookup.

Técnicas:

• Observación de las instalaciones, sistemas, cumplimiento de Normas y Procedimientos.
• Revisión analítica de: documentación, políticas, normas, procedimientos de seguridad física y contratos de seguros.
• Entrevistas con directivos y personal.
• Consultas a técnicos y peritos.

Fases de la Auditoria:

• Alcance de la Auditoría
• Adquisición de Información General
• Administración y Planificación
• Plan de Auditoría
• Resultado de las Pruebas
• Conclusiones y Comentarios
• Borrador de Informe
• Discusión con los Responsables de Área
• Informe Final

Planeacion de la auditoria informatica

Para hacer una adecuada planeación de la auditoría en informática, hay que seguir una serie de pasos previos que permitirán dimensionar el tamaño y características de área dentro del organismo a auditar, sus sistemas, organización y equipo. En el caso de la auditoría en informática, la planeación es fundamental, pues habrá que hacerla desde el punto de vista de los dos objetivos:

• Evaluación de los sistemas y procedimientos.
• Evaluación de los equipos de cómputo.

2.1.1 Reconocer las normas y estándares relacionados con proyectos de TI

En esta fase el auditor debe de armarse de un conocimiento amplio del área que va a auditar, los objetivos que debe cumplir, tiempos , herramientas y conocimientos previos, así como de crear su equipo de auditores expertos en la materia con el fin de evitar tiempos muertos a la hora de iniciar la auditoria.

Los objetos de la fase detallada son los de obtener la información necesaria para que el auditor tenga un profundo entendimiento de los controles usados dentro del área de informática.

2.1.2 Identificar las fases de la auditoria Informática

El examen de los objetivos de la auditoría, sus normas, procedimientos y sus relaciones con el concepto de la existencia y evaluación, nos lleva a la conclusión de que el papel del computador afecta significativamente las técnicas a aplicar.

Mediante una revisión adecuada del sistema de procesamiento electrónico de datos del cliente, y el uso de formatos bien diseñados para su captura, el auditor puede lograr un mejor conocimiento de los procedimientos para control del cliente.

2.1.3 Definir los elementos de la planeación de la auditoria Informática

Una de las partes más importantes en la planeación de la auditoría en informática es el personal que deberá participar, ya que se debe contar con un equipo seleccionado y con ciertas características que puedan ayudar a llevar la auditoria de manera correcta y en el tiempo estimado.

2.1.4 Definir el concepto de la lista de Verificación

La Lista de Verificación, se usa para determinar con qué frecuencia ocurre un evento a lo largo de un período de tiempo determinado.

En la Lista de Verificación se pueden recoger informaciones de eventos que están sucediendo o aquellos que ya sucedieron.

A pesar de que la finalidad de la Lista de verificación es el registro de datos y no su análisis, frecuentemente indica cuál es el problema que muestra esa ocurrencia.

La lista de verificación permite observar, entre otros, los siguientes aspectos:

• Número de veces que sucede una cosa.
• Tiempo necesario para que alguna cosa suceda.
• Costo de una determinada operación, a lo largo de un cierto período de tiempo.
• Impacto de una actividad a lo largo de un período de tiempo.

Se usa para:

Registrar informaciones sobre el desempeño de un proceso.

¿Cómo usarla?

• Determine exactamente lo que debe ser observado.
• Defina el período durante el cual los datos serán recolectados.
• Construya un formulario simple y de fácil manejo para anotar los datos.
• Haga la recolección de datos, registrando la frecuencia de cada ítem que está siendo observado.
• Sume la frecuencia de cada ítem y regístrela en la columna Total.

Checklist:

El auditor profesional y experto es aquél que reelabora muchas veces sus cuestionarios en función de los escenarios auditados. Tiene claro lo que necesita saber, y por qué. Sus cuestionarios son vitales para el trabajo de análisis, cruzamiento y síntesis posterior, lo cual no quiere decir que haya de someter al auditado a unas preguntas estereotipadas que no conducen a nada. Muy por el contrario, el auditor conversará y hará preguntas "normales", que en realidad servirán para la complementación sistemática de sus Cuestionarios, de sus Checklists.

Hay opiniones que descalifican el uso de las Checklists, ya que consideran que leerle una pila de preguntas recitadas de memoria o leídas en voz alta descalifica al auditor informático. Pero esto no es usar Checklists, es una evidente falta de profesionalismo. El profesionalismo pasa por un procesamiento interno de información a fin de obtener respuestas coherentes que permitan una correcta descripción de puntos débiles y fuertes. El profesionalismo pasa por poseer preguntas muy estudiadas que han de formularse flexiblemente.

Algunas de las preguntas de las Checklists utilizadas para cada sector, deben ser repetidas. En efecto, bajo apariencia distinta, el auditor formulará preguntas equivalentes a las mismas o a distintas personas, en las mismas fechas, o en fechas diferentes. De este modo, se podrán descubrir con mayor facilidad los puntos contradictorios; el auditor deberá analizar los matices de las respuestas y reelaborar preguntas complementarias cuando hayan existido contradicciones, hasta conseguir la homogeneidad. El entrevistado no debe percibir un excesivo formalismo en las preguntas. El auditor, por su parte, tomará las notas imprescindibles en presencia del auditado, y nunca escribirá cruces ni marcará cuestionarios en su presencia.

Tema 1.6.2

1.6.2 Describir la metodología para el establecimiento de Controles

Metodologías más comunes

Entre las metodologías más comunes de evaluación de sistemas se encuentra:

Control interno informático. Sus métodos y procesamientos. Las herramientas de control

Función de Control

En la auditoria Informática; esta tiene función de vigilancia y evaluación mediante dictámenes, los auditores de tienen diferentes objetivos de los de cuentas, ellos evalúan eficiencia, costos y la seguridad con mayor visión, y realizan evaluaciones de tipo cualitativo.

Control interno informático; Cumplen funciones de control dual en los diferentes departamentos, que puede ser normativa, marco jurídico, la funciones del control interno es la siguientes determinar los propietarios y los perfiles según la clase de información, permitir a dos personas intervenir como medida de control, realizar planes de contingencias, dictar normas de seguridad informática, controla la calidad de software, los costos, los responsables de cada departamento, control de licencias, manejo de claves De cifrado, vigilan el cumplimiento de normas y de controles, es clara que esta medida permite la seguridad informática. Metodologías de clasificación de información y de obtención de procedimientos de control.

Es establecer cuáles son las entidades de información a proteger, dependiendo del grado de importancia de la información para el establecimiento de contramedidas.

Herramientas de control

Las herramientas de control, son de dos tipos lógicos y físicos , des del punto lógico son programas que brindar seguridad, las principales herramientas son las siguientes; seguridad lógica del sistema, seguridad lógica complementaria del sistema, seguridad lógica en entornos distribuidos, control de acceso físico, control de copias, gestión de soporte magnéticos, gestión de control de impresión y envío de listados por red, control de proyectos y versiones , gestión de independencia y control de cambios.

 

Referencias

Accounting, A. A. (02 de Septiembre de 2003). Obtenido de CONSTRUCCIÓN DE UN CONCEPTO UNIVERSAL DE AUDITORIA: http://fccea.unicauca.edu.co/old/tgarf/tgarfse1.html

Definicion.mx. (23 de Febrero de 2015). Definicion de Manual. Obtenido de Definicion de Manual: http://definicion.mx/manual/

Gestion.Org. (2015). Manual de Políticas de una Empresa. Obtenido de Gestion.Org: http://www.gestion.org/gestion-documental/45411/manual-de-politicas-de-una-empresa/

GIRALDO, J. (1990). Informática Jurídica Documental. Temis, 192.

Medina, M. (14 de Mayo de 2012). Política organizacional. Obtenido de Concepto y esquema en la empresa. : http://www.gestiopolis.com/politica-organizacional-concepto-y-esquema-en-la-empresa/

Ramirez, G. (1984). Derecho Procesal Penal. Mexico: Porrua.

Sistemas, G. d. (12 de Agosto de 2015). Gestion de Sistemas. Obtenido de Gestion de Sistemas: https://mdjesus.wordpress.com/2010/06/25/tipos-de-manuales-administrativos/

TÉLLEZ. (Julio de 1996). Derecho Informático. 2a. Edición. Derecho Informático. 2a. Edición, 283. Obtenido de Derecho Informático. 2a. Edición.

Valencia, J. R. (1998). Como utilizar y elaborar manuales administrativos. Manual de Políticas, 233.

Avilés, M. J. (21 de Marzo de 2009). Universidad Nacional de Ingenieria. Obtenido de Wordpress: https://jrvargas.files.wordpress.com/2009/03/conceptos-basicos-de-auditoria-informatica.pdf

Hernández, H. E., & Echenique, J. A. (2000, 2003). oocities. Obtenido de Auditoría Informática: Un Enfoque Metodológico: http://www.oocities.org/mx/acadentorno/aui3.pdf

MHEducation. (2014). La auditoría: Concepto, clases y evaluación. Obtenido de La auditoría: http://assets.mheducation.es/bcv/guide/capitulo/8448178971.pdf

Sosa, N. O. (s.f.). Javeriana. Obtenido de Pontificia Universidad JAVERIANA, Bogotá.: http://www.javeriana.edu.co/personales/hbermude/Audire/novs.pdf

http://www.soyculto.com/inteligencia-negocios/diagnostico-auditoria-negocios/

Tema 1.6

1.6 Control Interno

El control interno es de importancia para la estructura administrativa contable de una empresa. Esto asegura que tanto son confiables sus estados contables, frente a los fraudes y eficiencia y eficacia operativa.

1.6.1 Describir el concepto de control Interno, sus funciones y tipos de Control

El sistema de control interno comprende el plan de la organización y todos los métodos coordinados y medidas adoptadas dentro de una empresa con el fin de salvaguardar sus activos y verificara la confiabilidad de los datos contables.

Pero cuando tenemos empresas que tienen más de un dueño, muchos empleados, y muchas tareas delegadas. Por lo tanto los dueños pierden control y es necesario un mecanismo de control interno. Este sistema deberá ser sofisticado y complejo según se requiera en función de la complejidad de la organización.

Con la organización de tipo multinacional, los directivos imparten órdenes hacia sus filiales en distintos países, pero el cumplimiento de las mismas no puede ser controlado con su participación frecuente. Pero si así fuese su presencia no asegura que se eviten los fraudes.

Entonces cuanto más se alejan los propietarios de las operaciones mas es necesario se hace la existencia de un sistema de control interno estructurado.

Limitaciones de un sistema de control interno

Ningún sistema de control interno puede garantizar su cumplimiento de sus objetivos ampliamente, de acuerdo a esto, el control interno brinda una seguridad razonable en función de:

            Costo beneficio:

El control no puede superar el valor de lo que se quiere controlar.

            La mayoría de los controles hacia transacciones o tareas ordinarias.

Debe establecerse bajo las operaciones repetitivas y en cuanto a las extraordinarias, existe la posibilidad que el sistema no sepa responder

            El factor de error humano

            Posibilidad de conclusiones que pueda evadir los controles.

Polución de fraude por acuerdo entre dos o más personas. No hay sistema de control no vulnerable a estas circunstancias.

ü  Control interno administrativo y control interno contable

ü  Dos tipos de controles internos (administrativos y contables)

El control interno administrativo no está limitado al plan de la organización y procedimientos que se relaciona con el proceso de decisión que lleva a la autorización de intercambios

Entonces el control interno administrativo se relaciona con la eficiencia en las operaciones establecidas por el ente.

El control interno contable comprende el plan de la organización y los registros que conciernen a la salvaguarda de los activos y a la confiabilidad de los registros contables. Estos tipos de controles brindan seguridad razonable:

1. Los intercambios son ejecutados de acuerdo con autorizaciones generales o específicas de la gerencia

2. Se registran los cambios

3. Los activos registrados son comparados con las existencias.

Clasificación de los controles internos

Generales: No tienen un impacto sobre la calidad de las aseveraciones en los estados contables, dado que no se relacionan con la información Contable.

Específicos: Se relacionan con la información  Contable y por lo tanto con las aseveraciones de los saldos de los estados contables. Este tipo de controles están desde el origen de la información hasta los saldos finales.

Tipos de controles generales

Conciencia de control

La gerencia es responsable del establecimiento de una conciencia favorable de control interno de la organización. Es importante que la gerencia no viole los controles establecidos porque el sistema es ineficaz.

La Gerencia se podría motivar a violarlos por las siguientes causas:

ü  Cuando el ente está experimentando numerosos fracasos.

ü  Cuando le falte capacidad de capital de trabajo o crédito.

ü  Cuando la remuneración de los administradores este ligada al resultado.

ü  Cuando el ente se va a vender en base a sus ee.cc.

ü  Cuando se obtienen beneficios en exponer resultados más bajos.

Estructura organizacional

Establecida una adecuada estructura en cuanto al establecimiento de divisiones y departamentos funcionales y así como la asignación de responsabilidades y políticas de delegación de autoridad.

Esto incluye la existencia de un departamento de control interno que dependa del máximo nivel de la empresa.

Personal

Calidad e integridad del personal que está encargado de ejecutar los métodos y procedimientos prescriptos por la gerencia para el logro de los objetivos. Protección de los activos y registros

Políticas adoptadas para prevenir la destrucción o acceso no autorizado a los activos, a los medios de procesamiento de los datos electrónicos y a los datos generados. Además incluye medidas por el cual el sistema contable debe estar protegido ante la eventualidad de desastres (incendio, inundación, etc.)

Separación de funciones

La segregación de funciones incompatibles reduce el riesgo de que una persona esté en condiciones tanto de cometer o ocultar errores o fraudes en el transcurso normal de su trabajo. Lo que se debe evaluar para evitar la colusión de fraudes son: autorización, ejecución, registro, custodia de los bienes, realización de conciliaciones.

Control circundante en el procesamiento electrónico de datos

El funcionamiento de los controles generales dependía la eficacia del funcionamiento de los controles específicos. El mismo procedimiento debe ser aplicado a la empresa con procesamiento computarizado.

Los controles generales en el procesamiento electrónico de datos (PED)  tiene que ver con los siguientes aspectos.

Organización

El personal de PED (sistemas) no realice las siguientes tareas:

            Iniciar y autorizar intercambios que no sean para suministros y servicios propios del departamento.

            Registro de los intercambios

            Custodia de activos que no sean los del propio departamento

            Corrección de errores que no provengan de los originados por el propio dpto.

En cuanto a la organización dentro del mismo departamento, las siguientes funciones deben estar segregadas:

ü  Programación del sistema operativo

ü  Análisis, programación y mantenimiento

ü  Operación

ü  Ingreso de datos

ü  Control de datos de entrada / salida

ü  Archivos de programas y datos.

Desarrollo y mantenimiento de sistemas

Las técnicas de mantenimiento y programación operativos del sistema deben estar normalizadas y documentadas.

Operación y procedimientos

Deben existir controles que aseguren el procesamiento exacto y oportuno de la información contable.

            Instrucciones por escrito sobre procedimiento para preparar datos para su ingreso y procesamiento

            La función de control debe ser efectuada por un grupo específico e independiente.

            Instrucciones por escrito sobre la operación de los equipos.

            Solamente operadores de computador deben procesar los SIST OP.

Controles de equipos y programas del sistema

Controles de acceso

El acceso al PED debe estar restringido en todo momento. También debe controlarse:

            El acceso los equipos debe estar restringido a aquellos autorizados

            El acceso de la documentación solo aquellos autorizados

            El acceso a los archivos de datos y programas solo limitados a operadores

Tema 1.5

1.5 Diagnóstico de la situación actual

El diagnóstico de la situación actual es una fase dentro del proyecto del sistema que es necesario abarcar ya que éste obliga a narrar un planteamiento claro y más perceptible del problema que enfrenta actualmente la organización, es decir, describe la situación actual que se utilizará como punto de partida para considerar nuevas metas a las cuales aspira la empresa con el proyecto de análisis, diseño e implementación del nuevo sistema de información.

Estudio del sistema actual

El analista se enfrenta con decisiones del tipo ¿qué papel desempeña el sistema actual con respecto al nuevo sistema?, ¿se debe analizar el sistema actual? y si es así ¿qué módulos se deben analizar del sistema actual?. Con frecuencia se dedica gran cantidad de dinero y tiempo para analizar el sistema actual y en muchos casos esta inversión es sólo para determinar que realmente se tiene razón en solicitar uno nuevo. Sin embargo, muchos afirman que el primer paso en todos los análisis de sistemas es el análisis del sistema actual y éste como parte del diagnóstico de la situación actual.

Ventajas de analizar el sistema actual

·         Eficacia del sistema actual

·         Ideas de diseño

·         Reconocimiento de recursos

·         Conocimientos de conversión

·         Punto de partida común

Desventajas de analizar el sistema actual

·         Gastos innecesarios

·         Barreras innecesarias

Diagnóstico del negocio u organización

El proceso de diagnóstico y auditoría de negocio propone:

·         identificar las fuentes de informaciones críticas,

·         evaluar los procesos de recolección y almacenamiento de datos,

·         orientar en la optimización que dichos procesos,

·         mejorar los sistemas de recolección y

·         crear las condiciones para el tratamiento de los datos.

Tiene como objetivo la “toma de una fotografía” de la organización tanto interna como externa para orientar al gerente en la definición y puesta en funcionamiento de:

·         una estrategia,

·         una política,

·         una actividad,

·         un proceso,

·         una operación

El diagnóstico y la auditoría de negocio se nutren tanto de la información interna como de la información externa. Son las primeras 2 etapas en la construcción de un proceso de generación de inteligencia de negocio en la organización.