AUDITORIA INFORMATICA

INTRODUCCIÓN

A lo largo de los años por la necesidad de las organizaciones se ha desarrollado la auditoria informática, para un buen control y desarrollo de las actividades llevadas por el equipo informático. Cada auditoría genera cambio y cada cambio genera una toma de decisiones; cuando las organizaciones deciden hacerle auditoría a un proceso independientemente, cualquiera que sea el tipo de auditoría que se haga, lo hacen con el objetivo de mejorar u optimizar sus procesos y recursos.

No hay que pensar que este proceso cambiará la cultura organizacional de la noche a la mañana, los métodos de trabajo, la mala calidad ni la improductividad en las áreas relacionadas con la informática; es un elemento estratégico directo que apoya la eliminación de cada una de las debilidades mencionadas. Sin embargo ha de coexistir con personal responsable y profesional, así como con directores y accionistas comprometidos con la productividad, calidad y otros factores recomendados para ser empresas de clase mundial.

Tipos de Auditoría de Auditoria Informática

Dentro de la auditoría informática destacan los siguientes tipos (entre otros):

Auditoría de la gestión: la contratación de bienes y servicios, documentación de los programas, etc.

Auditoría legal del Reglamento de Protección de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos.

Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y análisis del flujogramas.

Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos.

Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio.

Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno.

Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información.

Auditoría de las comunicaciones. Se refiere a la auditoria de los procesos de autenticación en los sistemas de comunicación.

Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.

¿Qué es y que no es la auditoria informática?

La Auditoría Informática es el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informatizado salvaguarda los activos, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organización y utiliza eficientemente los recursos. De este modo la auditoría informática sustenta y confirma la consecución de los objetivos tradicionales de la auditoría:

• Objetivos de protección de activos e integridad de datos.

• Objetivos de gestión que abarcan, no solamente los de protección de activos, sino también los de eficacia y eficiencia.

Metodología de la Auditoria Informática.

Fase I: Conocimientos del Sistema

Aspectos Legales y Políticas Internas: Sobre estos elementos está construido el sistema de control y por lo tanto constituyen el marco de referencia para su evaluación.

Características del Sistema Operativo: Organigrama del área que participa en el sistema, Informes de auditoría realizadas anteriormente

Características de la aplicación de computadora: Manual técnico de la aplicación del sistema, Equipos utilizados en la aplicación de computadora

Fase 2: Análisis de las transacciones

Definición de las transacciones, establecer el flujo de los documentos, identificar y codificar los recursos que participan en los sistemas, relación entre transacciones y recursos.

Fase III: Análisis de riesgos y amenazas

Identificación de riesgos, identificación de las amenazas, relación entre recursos/amenazas/riesgos

Fase IV: Análisis de controles

Codificación de controles, relación entre recursos/amenazas/riesgos, análisis de cobertura de los controles requeridos

Fase V: Evaluación de Controles

Objetivos de la evaluación, plan de pruebas de los controles, pruebas de controles, análisis de resultados de las pruebas

Fase VI: Informe de Auditoria

Informe detallado de recomendaciones, evaluación de las respuestas, informe resumen para la alta gerencia

Fase VII: Seguimiento de Recomendaciones

Informes del seguimiento, evaluación de los controles implantados

Como ha evolucionado el concepto de Auditoria Informática a través

...