Formulario Descripcion De Cargos

QUE ELEMENTOS SE DEBENER EN CUENTA AL MOMENTO DE REALIZAR UNA AUDITORÍA.

AUDITORÍA A BASE DE DATOS

• Quién accede a los datos

• Cuándo se accedió a los datos

• Desde qué tipo de dispositivo/aplicación

• Desde que ubicación en la Red

• Cuál fue la sentencia SQL ejecutada

• Cuál fue el efecto del acceso a la base de datos

En cuanto a su evaluación

• Definición de estructuras físicas y lógicas de las bases de datos

• Control de carga y mantenimiento de las bases de datos

• Integridad de los datos y protección de accesos

• Estándares para análisis y programación en el uso de bases de datos

• Procedimientos de respaldo y de recuperación de datos.

En cuanto a su metodología

• Metodología Tradicional

El auditor revisa el entorno con la ayuda de una lista de control (Checklist), que consta de una serie de cuestiones a verificar, registrando los resultados de su investigación. En esta investigación se confecciona una lista de control de todos los aspectos a tener en cuenta.

• Metodología de evaluación de riesgos

Este tipo de metodología, conocida también por Risk oriented approach es la que propone la ISACA y empieza fijando los objetivos de control que minimizan los riesgos potenciales a los que está sometido el entorno.

 Considerando los riesgos de:

 Dependencia por la concentración de Datos

 Accesos no restringidos en la figura del DBA

 Incompatibilidades entre el sistema de seguridad de accesos del SGBD y el general de instalación

 Impactos de los errores en Datos y programas

 Rupturas de enlaces o cadenas por fallos del softw.

 Impactos por accesos no autorizados

 Dependencias de las personas con alto conocimiento técnico

Si existen los controles sobre la BD se pueden diseñar pruebas de cumplimiento que permitan verificar la consistencia de los mismos.

 Prueba de Cumplimiento: listar privilegios y perfiles existentes en el SGBD

Si estas pruebas detectan inconsistencias en los controles, se diseñan otros tipos de pruebas denominadas pruebas sustantivas.

 Prueba sustantiva: Comprobar si la información ha sido corrompida comparándola con otra fuente, o revisando, los documentos de entrada de datos y las transacciones que se han ejecutado. Se valoran los resultados obteniéndose conclusiones que serán comentadas y discutidas con los responsables directos del área con el fin de comprobar resultados. En estos comentarios se describe la situación, el riesgo existente y la deficiencia a soluciones aportando en su caso la posible solución.

Estudio previo y Plan de Trabajo

En esta primera fase, se elaborara un estudio tecnológico de la viabilidad, donde se contemplaran distintas alternativas para alcanzar los objetivos del proyecto acompañados de un análisis coste-beneficio para cada una de las opciones. Se debe considerar entre estas alternativas la posibilidad de no llevar a cabo el proyecto (no siempre está justificada la implantación de un sistema de bases de datos).

Se debe comprobar que la alta dirección revisa los informes de los estudios de viabilidad ya que es la que decide seguir adelante o no con el proyecto. Esto es fundamental porque los técnicos han de tener en cuenta que si no existe una decidida voluntad de la organización en un conjunto, impulsada por los directivos, aumenta considerablemente el riesgo de fracasar en la implantación del sistema.

Si se decide llevar a cabo el proyecto es fundamental que se establezca un plan director, debiendo el auditor verificar que éste plan se emplea para el seguimiento y gestión del proyecto y que cumple con los procedimientos generales de gestión del proyecto y que tenga aprobados la organización. Se debe establecer en esta fase de aprobación la estructura orgánica del proyecto y de la unidad que gestionará el control de la BD.

Se pueden establecer acerca de este tema dos objetivos de control

 Asignación de responsabilidades para la planificación, organización, dotación de plantillas y control de los activos de datos de la organización (DA)

 Asignación de la responsabilidad de administración de la Base de Datos (DBA).

En resumen, el DBA se encarga de autorizar el acceso a la base de datos, de coordinar y vigilar su empleo, y de adquirir los recursos necesarios de software y hardware. El DBA es la persona responsable cuando surgen problemas como violaciones a la seguridad o una respuesta lenta del sistema.

Cuando se establecen las responsabilidades de estas funciones hay que tener en cuenta uno de los principios fundamentales del control interno: la separación de funciones. Se recomienda una separación de funciones entre:

o El personal de desarrollo de sistemas y el de explotación.

o Explotación y control de datos.

o Administración de bases de datos y desarrollo.

Concepción de la Base de Datos y Selección del Equipo

La metodología de desarrollo de diseño de Base de Datos debería también emplearse para especificar los documentos fuentes, los mecanismos de control, las características de seguridad y las pistas de auditoría a incluir en el sistema, estos últimos aspectos generalmente se descuidan, lo que produce mayores costes y problemas cuando se quieren incorporar una vez concluida la implementación de la base de datos y la programación de las aplicaciones.

El auditor debe analizar la metodología de diseño para determinar si es no aceptable, y luego comprobar su correcta utilización. Como mínimo una metodología de diseño de BD debería contemplar dos fases de diseño: lógico y físico. COBIT dedica importancia a la definición, de la arquitectura de la información, que contempla cuatro objetivos de control relativos a:

Modelo de arquitectura de información, y su actualización, que es necesaria para mantener el modelo consistente con las necesidades de los usuarios y con el plan estratégico de tecnología de la información.

- Datos y diccionario de datos corporativo.

- Esquema de clasificación de datos en cuanto a su seguridad.

- Niveles de seguridad

Respecto de la selección de equipos se deberá realizar un procedimiento en que se consideren:

- necesidades de la empresa (ponderadas)

- prestaciones que ofrecen los distintos SGBD candidatos

- impacto del software en cuanto a medidas de seguridad

...