LAS FUNCIONES DE CONTROL INTERNO Y AUDITORÍA INFORMÁTICA CONTROL INTERNO INFORMÁTICA C.I.I.

LAS FUNCIONES DE CONTROL INTERNO Y AUDITORÍA INFORMÁTICA

CONTROL INTERNO INFORMÁTICA C.I.I.

Control Interno Informático C.I.I., controla diariamente que todas las actividades de sistemas de información sean realizadas cumpliendo los procedimientos, estándares y normas fijados por la Dirección de la Organización y/o Dirección de Informática, así como los requerimientos legales.

La misión de C.I.I. es asegurarse de que las medidas que se obtienen de los mecanismos implantados por cada responsable sean correctas y válidas.

La función se le asigna a una unidad orgánica perteneciente al staff de la Gerencia de Informática y debe estar dotada de las personas y medios materiales requeridos para el cumplimiento de su misión.

C.I.I. - PRINCIPALES OBJETIVOS

Controlar que todas las actividades se realicen cumpliendo los procedimientos y normas fijados, evaluar su bondad y asegurarse del cumplimiento de las normas legales.

Asesorar sobre el conocimiento de las normas.

Colaborar y apoyar el trabajo de Auditoria Informática, así como de las auditorias externas.

Definir , implantar y ejecutar mecanismos y controles para comprobar el logro de los grados adecuados del servicio informático

C.I.I. - PRINCIPALES FUNCIONES

Realizar en los diferentes sistemas (centrales, departamentales, redes locales, Peces, etc.) y entornos informáticos (producción, desarrollo o pruebas) el control de las diferentes actividades operativas sobre:

1. Cumplimiento de diferentes procedimientos, normas y controles dictados. Ejemplo. Control de cambios y versiones de software.

2. Controles sobre la producción diaria.

3. Controles sobre la calidad y eficiencia del desarrollo y mantenimiento del software y del servicio informático.

4. Controles en las redes de comunicaciones.

5. Controles sobre el software de base.

6. Controles en los sistemas microinformáticos.

7. La seguridad informática:

 Usuarios, responsables y perfiles de uso de archivos y bases de datos.

 Normas de seguridad. Control de información clasificada.

 Control dual de la seguridad informática.

8. Licencias.

9. Contratos con terceros.

10. Asesorar y transmitir cultura sobre el riesgo informático.

EL AUDITOR INFORMÁTICO (AI)

Evalúa y comprueba en determinados momentos del tiempo, los controles y procedimientos informáticos más complejos, desarrollando y aplicando técnicas mecanizadas de auditoria, incluyendo el uso de software.

En muchos casos ya no es posible verificar manualmente los procedimientos informatizados que resumen, calculan y clasifican datos, por lo que deberá emplear software de auditoría y otras técnicas asistidas por ordenador.

Es responsable de revisar e informar a la Dirección de la Empresa, sobre el diseño y funcionamiento de los controles implantados y sobre la fiabilidad de la información suministrada. ...

Tipos de Auditoría de Sistemas

Dentro de la auditoría informática destacan los siguientes tipos (entre otros):

• Auditoría de la gestión: la contratación de bienes y servicios, documentación de los programas, etc.

• Auditoría legal del Reglamento de Protección de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos.

• Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y análisis de los flujogramas.

• Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos.

• Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio.

• Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno.

• Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información.

• Auditoría de las comunicaciones. Se refiere a la auditoria de los procesos de autenticación en los sistemas de comunicación.

• Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.

Auditoria computarizada protección de los datos

Como muchos sabrán, la LOPD (ley 15/99, orgánica, de protección de datos de carácter personal) prevé la realización de una auditoría, bianual, bajo determinados requisitos y presupuestos. Vamos a verlos.

QUIÉN ESTÁ OBLIGADO A LA AUDITORÍA DE LA LOPD

Lo están todas aquellas organizaciones que, tratando datos de carácter personal - excluyendo de ello las que lo hagan con una finalidad exclusivamente doméstica - traten datos de alguno de los siguientes tipos: sobre infracciones o sanciones, administrativas o penales (multas de tráfico, sanciones de Hacienda, etc.); que permitan obtener una evaluación de la personalidad del individuo (los típicos tests o encuestas, según los casos); los referentes a la ideología, religión, creencias, origen racial, salud o vida sexual (el dato de afiliación sindical para la confección de la nómina; los partes de baja o de alta del trabajador por motivos de salud, los datos médicos, etc.).

Da igual que los datos de que se trate lo estén en papel o en otro tipo de soporte, como el digital o informático.

CADA CUÁNTO TIEMPO HAY QUE HACERLA

La LOPD indica que será una vez cada dos años, comenzándose a computar los mismos a partir de que se comenzaron a tratar dichos datos, con el matiz de que para los datos de salud, ideología, religión, creencias, origen racial y vida sexual hubo una prórroga del plazo, pero que la misma acabó, siendo totalmente obligatoria dicha auditoría ya desde enero de 2002, por lo que en enero de 2004 venció ya el plazo, estándose cometiendo la infracción ahora mismo si no se ha confeccionado aún la misma estando obligado a ello.

Controles en un ambiente de programa de estructura de datos:

La máxima autoridad del Area de Informática de una empresa o institución debe implantar los siguientes controles que se agruparan de la siguiente forma:

1.- Controles de Preinstalación

2.- Controles de Organización y Planificación

3.- Controles de Sistemas en Desarrollo y Producción

4.- Controles de Procesamiento

...