Informe Auditoría Empresa Jetblack Ltda
Enviado por olimpiaparra • 9 de Mayo de 2022 • Trabajo • 5.748 Palabras (23 Páginas) • 493 Visitas
[pic 1]
[pic 2][pic 3]
Contenido
Introducción 3
Objetivo 3
Desarrollo 4
Identificación y enumeración de Activos de la Organización 5
Impacto por Categoría 10
Riesgos o Ataques Presentas de la Empresa 11
Identificación de los riesgos de los Activos a los cuales se expone 11
Construir el vector de ataque, ruta o camino que utiliza un atacante para tener acceso al activo objetivo de ataque 15
Construcción de Matriz de Riego 19
Realizar el análisis de impacto de negocio 27
Realizar el plan de recuperación ante desastre 28
Conclusiones 31
Referencias bibliográficas 32
Introducción
A continuación, analizaremos el caso de la empresa JETBLACK Limitada, que es una empresa dedicada a diversos rubros, entre ellos, Servicio Generales Contables, Asesoría jurídica, Área Tecnológica, Construcción y Edificación. Esta empresa tiene más de 15 años de trayectoria y su casa matriz se encuentra ubicada en la región Metropolitana sin embargo cuenta con 4 sucursales en otras regiones del país. Su personal es dividido por tres tipos de contrato, que son contrato indefinido, renovable y a plazo fijo. Además, cuentan con 300 funcionarios con una rotación flotante de 100 funcionarios por año. Entre sus departamentos más importantes de acuerdo con su manejo de información, se pueden mencionar el departamento jurídico, departamento de contabilidad y finanzas y también el departamento TI.
Las áreas más importantes de la organización son el área jurídica que presta asesoría en aspectos centrales de la aplicación de la Ley, el área contable que se encarga de instrumentar y operar las políticas, normas, sistemas y procedimientos necesarios para el correcto funcionamiento de la empresa y por último el área tecnológica que es el pilar fundamental de la organización ya que es la encargada de sistematizar los servicios, además de velar por la continuidad operativa y funcional de la organización.
Luego de analizar la empresa se dará inicio trabajar en una solución a las problemáticas actuales, entre las cuales están la perdida de información, robo y venta de información de la empresa, además de la eliminación de información de funcionarios que fueron desvinculados el Presente año.
Objetivo
El objetivo general es darles solución a los requerimientos de la empresa por el énfasis del siguiente trabajo se centrará en identificar los riesgos, crear un plan de ataque y por último el plan de recuperación ante un desastre, que evitará la perdida de información, entre otras problemáticas actuales.
Objetivos específicos se proseguirá a construir una matriz de riesgo, en donde se van a identificar los riesgos, los tipos de ataque, elaborar la de matriz de Riesgo basada en cada activo expuesto o vulnerable, Construir el vector de ataque, ruta o camino que utiliza un atacante para tener acceso al activo objetivo de ataque, análisis de impacto, plan de recuperación ante un desastre y continuidad del negocio.
Desarrollo
¿Qué se Sabe? | ¿Qué no se Sabe? |
El departamento del área jurídica mantiene su documentación en un servidor | ¿Cómo se maneja el control de acceso al servidor? |
Se tomaron medidas de protección de datos al crear la unidad de metodologías y estándares. | ¿Qué sistema operativo se ocupa en el hardware descrito? |
La información de la empresa está siendo vulnerada. | ¿Qué malwares usan para robar la información? |
la organización tiene la gran responsabilidad de resguardar la información tanto digital como documental (Papel), | ¿Cómo resguardan la información? |
Cuáles son las principales funciones del área jurídica, contable y tecnológica | ¿Cómo realizan sus funciones las distintas áreas? ¿Qué herramientas tecnológicas y no tecnológicas utilizan para esto? |
El área tecnológica se encuentra conformado por tres áreas: unidad de desarrollo, unidad de sistemas y unidad de soporte. Además, sabemos que función desempeña cada una de estas unidades. | ¿Cómo realizan sus funciones las unidades de pertenecientes al área tecnológica y que herramientas utilizan para esto? |
Existen diferentes tipos de servidores (Documental de jurídico, de sistema SAP, de dominio, de intranet y de correo) | ¿Cuál es la capacidad de almacenamiento de los servidores? ¿Qué características tienen? |
Tipo de trabajador y cantidad de trabajadores pertenecientes a la empresa. | ¿Cuáles son los criterios para la contratación del personal? ¿Rinden test psicológicos y/o evaluación de competencias? |
La información es respaldada por la unidad de sistemas. | ¿Cómo y cada cuanto tiempo se respalda esta información? |
La unidad de soporte asegura el mantenimiento preventivo y correctivo del hardware y software. | ¿Cuáles son las características técnicas del hardware y software? |
Se crea una nueva unidad (Metodologías y estándares) a fin de enfrentar los problemas presentados. | ¿Existe un plan de obsolescencia tecnológica? |
Perdida de información por mala manipulación de algunos funcionarios, robo y venta de esta | ¿Existen políticas de protección de datos, encriptación de la información y protección perimetral de sistemas? |
Infección del servidor Windows Server 2008 | ¿Se ejecutaban actualizaciones y/o parches? ¿Es segura la conexión de este servidor? |
...