Resumen Auditoría Informática

[pic 1]

[pic 2]

[pic 3]

[pic 4]

[pic 5]

[pic 6]

INTRODUCCIÓN

Este ejercicio consiste en elaborar un cuadro descriptivo de las fases de una auditoría informática. El entregable será realizado en formato Word, identificando las etapas requeridas, con un descriptor explicativo de cada una, y una diferenciación entre auditoría informática y auditoría de seguridad informática, realizando un ejemplo de una situación real donde se aplique cada una de estas fases.

DESARROLLO

De acuerdo a lo estudiado en la presente semana, debemos entender primeramente en qué consiste una auditoria. Según la Real Academia Española, define auditoría como: “Revisión sistemática de una actividad o de una situación para evaluar el cumplimiento de las reglas o criterios objetivos a que aquellas deben someterse.” Existiendo varios tipos de auditoria en cada rubro laboral, entendiendo por tanto que el proceso de auditar, consiste en un meticuloso proceso sistemático, independiente y documentado en x cantidad de copias para los involucrados, permitiendo su audición el obtener evidencias objetivas sobre determinado proceso y así poder tomar decisiones de administración de mejor manera, sancionar, denunciar, subsanar, etc.; de manera que cumplan los criterios establecidos por su iniciación.

Existen dos tipos de auditoría:

• Auditoría Interna: La que es aplicada con el personal que labora en la empresa.
• Auditoría Externa: Se contrata a una firma especializada para realizar la misma.

La auditoría Interna, ofrece algunas ventajas en relación a la externa, en primer lugar, es menos costosa, puesto que se realiza con el mismo personal, y por otro lado, no se corre el riesgo de que personas extrañas conozcan la información generada dentro de la firma. Sin embargo, tiene sus limitaciones, entre las cuales se mencionan: la poca especialización que tienen los integrantes en la materia conlleva al hecho de que se escapen algunos detalles dentro del proceso (omisión de detección de errores) y por otro lado se corre el riesgo de que se “encubran” deficiencias. Es factible que, dentro del proceso de auditoría, las personas no informen de alguna anomalía a fin “de no perjudicar al amigo”.

Aplicando la auditoría externa, existe menor margen de error, puesto que las personas que se encargan de realizarla son especialistas en el área. Entonces, deben ser pocos los errores que se detecten y las sugerencias aportadas son muy valiosas. Del mismo modo existe poco margen de encubrimiento, ya que son personas ajenas a la firma lo que da inicio a una investigación sumarial administrativa.

Un ejemplo claro puede ser cuando trabajé en Carabineros como CPR (administrativo) el año 2012 en la comuna de Valparaíso las comisarias con sus debidos computadores, utilizaban WINDOWS XP UNATENDENDED EDITION o WINDOWS U.E , esta versión del Sistema Operativo XP el cual debe su nombre a la forma en la que se instala, sin intervención del usuario final, el usuario solo interactúa en la primera etapa o modo texto de la instalación cuando selecciona la partición o el disco duro a formatear y luego para seleccionar los programas que instalará de manera desatendida en un menú denominado Windows Post Install o WPI para abreviar, siendo esta copia intervenida no siendo acreditada por Microsoft por lo que dio origen a un sumario interno administrativo a raíz de la denuncia realizada por la misma Microsoft en contra de Carabineros de Chile por la NO COMPRA DE VERSIONES CD DE WINDOWS XP ORIGINAL en aquellos entonces, debiendo el departamento de informática de Carabineros T.I.C. realizar una auditoria conjuntamente con el departamento de asuntos internos (inteligencia) de Carabineros a fin de subsanar las observaciones que podrían conllevar a una revisión por parte de la Contraloría General de la Republica y por parte del consejo de defensa del estado por fraude al fisco.

Dado el caso anterior, así como otras empresas que podemos revisar en la internet optan por la realización de auditorías externas cuando se evidencian síntomas de Descoordinación, Síntomas de Mala Imagen, Síntomas de Debilidades Económicas, Síntomas de Inseguridad.

Enfocándonos al área del Departamento TI en determinada empresa existe un tipo de auditoria conocida como la “Auditoría Informática”, siendo esta un proceso de revisión y control de medidas de seguridad para auditar recursos informáticos sean de índole físicos o lógicos de una determinada empresa desde el punto de tecnologías auditables, de personal, de uso de software, sistemas de organización, planes y protocolos , organigramas, reglamentos internos, siendo su objetivo principal la de garantizar la continuidad y operatividad de los procesos informáticos, dando así la posibilidad de procesar la información o datos obtenidos mediante un informe minucioso que muestre los niveles de recursos informáticos validando los procesos en cada una de sus partes o áreas de la organización respecto a legislación vigente, es decir, leyes, normas ISO,protocolos, etc.

Por el contrario, la “Auditoria de Seguridad Informática”, consiste en el proceso de audición que analiza vulnerabilidades en recursos informáticos de la totalidad de la organización desde niveles gerenciales hasta el último departamento, haciendo hincapié en especial a los recursos hardware y software tales como sistema operativos, aplicaciones como SAP,ERP, SOFTLAND, vulnerabilidades, servidores, routers, conectividad intranet, etc, por lo que se centra en análisis de la seguridad existente a nivel equipo y de red informática incluyendo así la revisión de protocolos de seguridad tanto de dispositivos hardware como de aplicaciones que puedan ser objetivos de una vulnerabilidad informática, implicando medidas de subsanación, control, de seguridad, integridad y confidencialidad en los datos auditados.

Resumen Auditoría Informática:

[pic 7]

Fase I: Conocimientos del Sistema

1.1. Aspectos Legales y Políticas Internas.

Sobre estos elementos está construido el sistema de control y por lo tanto constituyen el marco de referencia para su evaluación, es donde se determina que se evaluará.

Ejemplo: Esclarecer si de acuerdo a bases del estado y fondos, existió una compra de COPIAS DE WINDOWS o NO y verificar si las key de cada sistema operativo es ORIGINAL de MICROSOFT.

1.2. Características del Sistema Operativo.

...