Procedimientos de auditoria informatica

Procedimiento de Auditoria informática aplicado al caso bajo estudio

El procedimiento general para realizar una auditoría informática está compuesto de las siguientes etapas:

1. Conocer la organización bajo estudio (misión, visión, organización)
2. Conocer el estado de gobernanza de la TIC´s.
3. Conocer en qué etapa del ciclo de vida  se encuentran las TIC´s de la organización en general y en qué etapa del ciclo de vida se encuentra cada una de las distintas componentes, capas o sistemas, subsistemas que integran las TIC´s, aplicando COBIT 4.0
4. Auditar cada una las distintas componentes, capas, sistemas, subsistemas que integran las TIC´s, mediante una lista de chequeo construido a partir del marco de referencia, norma, mejor práctica bajo análisis, utilizando el formato recomendado por la ISO31000.
5. Utilizando los conceptos de la ISO 31000, elaborar un Mapa de riesgo de las TIC´s, por cada capa o componente y agregarla a un mapa a nivel corporativo.
6. Una vez realizadas las auditorías a cada una de las capas o componentes y atendiendo el nivel de severidad de los riesgos a nivel corporativo, elaborar la estrategia de mitigación general y/o particular.
7. Elaborar el Informe Final y la presentación ejecutiva de la auditoria.

Etapas:

1. Conocer la organización bajo estudio (misión, visión, organización)

El primer paso es conocer la organización auditada, describiendo el contexto:

1. Misión de la organización bajo estudio (se recomienda usar el modelo de Derek Abell) – Qué necesidad resuelve; A Quién va dirigido; Cómo lo hace)
2. Análisis de la competencia, con quien y como compite (se recomienda usar el modelo de Océanos Azules, que Elimina, Reduce, Aumenta, Agrega, características del producto o servicio, para mejorar su oferta o diferenciarse de la competencia)
3. Organización, como está estructurada la organización en general (estructura organizacional u organigrama) y el Área de Informática en particular. Habitualmente la Organización o estructura para la prestación de los servicios de las TIC´s, da cuenta del tipo de políticas y/o estrategia o directrices dictadas por el directorio o los dueños respecto de la prestación de servicios de las TIC´s, por ejemplo externalizar todo o hacer con recursos propios, o combinaciones de estas modalidades, estos antecedentes permiten elaborar de una manera más asertiva las listas de chequeo que se indican más adelante.

1. El segundo paso es conocer la gobernanza informática de la organización usando como  material de referencia el Cobit 5.

1. Revisar las políticas de la organización que permiten al Gerente de Informática alinear las metas de TI  con las metas de la organización,  verificar el estado actual de la Gobernanza aplicando el Apéndice B Mapeo Detallado de las Metas de Empresa y las Metas Relacionadas con las TI, página 49 del Cobit 5.
2. Para realizar lo anterior, se construye una Lista de Chequeo verificando el estado actual de cada una de las metas instituciones de manera de determinar la severidad del riesgo emanadas de la Gobernanza de TI, se recomienda utilizar los conceptos de la ISO31000 de evaluación de riesgos, se sugiere el siguiente formato:

1. Elaborar el Mapa de Riesgo de la Gobernanza Institucional graficando la distribución de los niveles de severidad de riesgo que presenta cada una de las metas del negocio, [pic 1]

1. Establecer en qué etapa del ciclo de vida de las TIC´s se encuentra la organización en general y cada una de las capas o componentes.

Una vez determinados los niveles de severidad en cada una de las 17 metas corporativas, es necesario conocer en qué etapa del ciclo de vida se encuentran las distintas capas de la TICs, aplicando el modelo del COBIT (Planear y Organizar;  Adquirir e Implantar; Entregar y dar Soporte; Monitorear y evaluar), pagina 26, Cobit 4.0:

...