Informe auditoria de sistemas

Informe de auditoría

Señor:

Carlos Alberto Sierra

Gerente general

Ferre Sur SA

Cra 12A SUR N.º 20A-45 B/Ricaurte

Ibagué, Tolima

Asunto: Informe de la auditoría realizada en los activos de información del departamento de contabilidad.

Mediante el presente documento queremos revelarle los resultados obtenidos de la auditoría a los activos de información que se realizó a la entidad Ferre Sur S.A., en el periodo de abril 30 hasta mayo 30 del año 2020 en el departamento de contabilidad de la sede Cra 12A SUR N.º 20A-45 B/Ricaurte.

En dicho periodo realizamos procedimientos tales como: solicitar documentos, pruebas de cumplimiento, otros mecanismos utilizados para comprobar el funcionamiento y actuación de los funcionarios para con la información. Los resultados identificados y las recomendaciones propuestas por el grupo auditor están mencionadas en el presente informe, las técnicas utilizadas dan cumplimento al plan de auditoria y conforme a las normas internacionales de auditoria.

El grupo auditor le agradece la colaboración brindada por los funcionarios de la entidad. Quedamos atentos ante cualquier inquietud para proporcionar una aclaración.

Objetivos de la auditoría

Proteger la información que se encuentra vinculada a los activos de información de la entidad FERRE SUR SA para el inadecuado manejo de datos, robos, accesos no restringidos, para así mitigar los riesgos que proporcionan las amenazas actuales y facilitar el desempeño de la entidad de acuerdo con los objetivos misionales.

• Obtener información del funcionamiento y riesgos presentes.
• Analizar incidentes de los activos de información presentados en la entidad.
• Proporcionar un manual a la entidad para la mejora y mitigación de riesgos.

Alcance de la auditoría

Auditar los activos de información de la empresa al 02 de abril del 2020, la auditoría se realizará al departamento de contabilidad en la zona de Ibagué - Tolima.

Procedimientos de la auditoría

• Realizar reunión de apertura con los integrantes de las áreas encargadas, presentando al equipo auditor y a la gerencia los objetivos y el alcance de esta.
• Solicitar permisos para acceder a la información que se encuentra restringida de divulgación con terceros.
• Solicitar manual de políticas en la seguridad de la información.
• Solicitar historial de los tratamientos realizados a la información en los servidores y manipulación física.
• Solicitar información frente a las licencias contables, antivirus.
• Solicitar manual de controles realizados a la información e identificar incidentes anteriores en el área.
• Solicitar manuales de inducción o capacitación al personal nuevo y antiguo.
• Solicitar a servidores los dispositivos donde guardan las respectivas copias de seguridad.
• Realizar a los empleados prueba de conocimiento acerca de la política de seguridad de la información.
• Realizar inspección de los ingresos al sistema contable por cada uno de los usuarios.
• Realizar proceso de ingreso a navegación y aplicaciones de los dispositivos.
• Realizar pruebas de funcionamiento para salvaguardar la información en copias de seguridad.
• Verificar actualización y correcta aplicación de la política de seguridad de la información.
• Verificar los compromisos firmados por los empleados frente a funciones asignadas y manipulación de la información.
• Verificar que los empleados no tengan conocimiento ni acceso a la contraseña de otro usuario.
• Verificar el funcionamiento de la política de accesos restringidos.
• Verificar el tratamiento que se tiene para con la información de la entidad.
• Verificar controles de mantenimientos equipos de cómputo y comunicación.

Resultados de la auditoría

• Cada empleado tiene su respectivo usuario, pero se prestan sus contraseñas para las transferencias de información entre ellos.
• se evidencio que no se cumple con los requisitos requeridos para acceder a la información
• El manual de controles no se encontraba bajo custodia del administrador, la información de incidentes cuenta con sus respectivos controles.
• No se tiene asignado un usuario y contraseña, para la autenticación en el sistema.
• Los procedimientos de respaldo de información no se efectúan con frecuencia
• Los permisos están autorizados por cargo, pero se observa que algunos funcionarios tienen claves   de compañeros por eventualidades
• La política de seguridad no se encuentra socializada, ni compartida con los empleados de la entidad.
• En el momento de requerir las políticas fueron presentadas de forma oportuna
• La empresa realiza los pertinentes mantenimientos preventivos en los equipos computo en los tiempos establecidos
• las licencias se encuentran debidamente actualizadas y son legales.
• Se están siguiendo las recomendaciones
• Se evidencia que las copias de seguridad no están ubicadas en sitios restringido.
• Los colaboradores de la entidad presentan comunicación por medios telefónicos externos a los corporativos.
• Se registra que los funcionarios de la entidad incumplen la norma impartida acerca de las distracciones que se presentan en la jornada laboral.
• Se evidencia que los empleados no pueden ingresar a las redes sociales desde sus servidores
• El personal no se encuentra debidamente capacitado.

Conclusiones de la auditoría

• Podemos afirmar que desempeñamos cada uno de los procedimientos en el tiempo propuesto para la auditoría e igualmente cumpliendo los objetivos estipulados allí.

• La entidad presenta una inadecuada capacitación a los funcionarios relacionados con los activos de información frente a políticas y normas.

• El departamento que maneja los equipos de cómputo y comunicación presenta debilidades frente al manejo de la seguridad de la información.
• La entidad carece de conocimientos en la mitigación de riesgos informáticos.
• los colaboradores incumplen las políticas impuestas por la entidad, no dan el manejo adecuado a los dispositivos de comunicación corporativos.
• Aunque se evidencia que la empresa cuenta con ciertas políticas de seguridad, es necesario que los empleados cuenten con la autorización justificadas para él envió de correo electrónico a personas.
• Se debe tener un mayor control en la creación de contraseñas con nivel de seguridad adecuado, estableciendo en los programas estas opciones de creación y tratamiento.
• El componente informático de la empresa presenta deficiencias sobre el debido cumplimiento de normas de seguridad.
• Hay escasez de personal debidamente capacitado, para dar respuesta ante una adversidad o problemas relacionados a los componentes informáticos de la empresa.

Recomendaciones del grupo auditor

• Se requiere que los empleados cumplan netamente sus funciones y limitaciones del manejo de la información. No obstante, que los empleados renueven contraseñas lo más pronto posible.
• se recomienda al área encargada seguir los protocolos establecidos con anterioridad
• Se requiere capacitar el colaborador encargado.
• Se recomienda garantizar que cada usuario se autentique para el acceso al sistema.
• Se deben realizar pruebas de los respaldos de información, teniendo en cuenta la periodicidad y el lugar de almacenamiento en que se encuentra la información de la entidad.
• Se hace pertinente que la entidad comparta sus políticas de la seguridad de la información con sus empleados.
• Realizar mayor uso de las políticas con el fin de tener mayor claridad acerca de las mismas
• La entidad ha cumplido su función frente a realizar los mantenimientos en los equipos computo.
• Realizar revisión semestral de la vigencia de las licencias
• Revisar la capacidad de almacenamiento de la nube
• Se sugiere a la entidad informar a los colaboradores acerca de los procesos permitidos.
• Se hace necesario que la entidad imparte capacitaciones acerca de los elementos permitidos en el desarrollo de su jornada laboral.
• Seguir realizando continuamente el control de accesos a redes sociales, emails no corporativos.
• Seguir implementando capacitaciones al personal.

[pic 1]                                                         [pic 2]

Harold Andres Marroquin                                             Maria Gisedt Reyes

Auditor                                                                           Auditor

[pic 3]                                                             [pic 4]

Lizeth Carolina Fara                                                      Monica Daniela Angarita

...