Sistemas de vida de desarrollo del ciclo

G23 System Development Life Cycle (SDLC) Review Reviews 1 August 2003

SISTEMAS DE VIDA DE DESARROLLO DEL CICLO

El ciclo de vida de desarrollo del sistema es el proceso, que implica múltiples etapas (de establecer la factibilidad de llevar a cabo posteriores exámenes de la aplicación), que se utiliza para convertir una gestión necesitan en un sistema de aplicación, que se desarrolló a medida o comprado o es una combinación de ambos.

El SDLC para un sistema de aplicación dependerá del modo de adquisición / desarrollo elegido. Los sistemas de aplicación podrían ser adquirido / desarrollado a través de diversos modos, que incluyen:

• El desarrollo a medida utilizando los recursos internos

• Los paquetes de software de proveedores implementan como se encuentra, sin personalización

A veces, las grandes aplicaciones complejas pueden implicar una combinación de los anteriores.

Algunas organizaciones utilizan metodologías y procesos SDLC específicos, ya sea Custom- o vendedor-desarrollado. Estos pueden ser apoyadas por las herramientas adecuadas para gestionar el SDLC. En tales casos, el SDLC dependería en la metodología / herramienta.

Riesgos SDLC

Durante el SDLC de un sistema de aplicación, varias riesgos podrían ser encontrados, que incluyen:

• Adopción de inapropiado SDLC para el sistema de aplicación

• Controles inadecuados en el proceso de SDLC

• Requisitos y objetivos de los usuarios no se cumplen por el sistema de aplicación

• Falta de apoyo a la gestión

• La tecnología inapropiada y arquitectura

• Variaciones Alcance

• La calidad inadecuada del sistema de aplicación

• Documentación insuficiente

G28 Computer Forensics 1 September 2004

Informática forense se puede definir como el proceso de extracción de información y datos de los soportes informáticos utilizando herramientas y la tecnología y las mejores prácticas forenses probados para establecer su exactitud y fiabilidad con el fin de informar sobre el mismo como evidencia.

El reto de la informática forense es en realidad encontrar estos datos, recogiéndola, preservarlo y presentarla de una manera legible que es aceptable en un tribunal de justicia. Informática forense implica principalmente la exploración y aplicación de métodos científicamente probados para reunir, procesar, interpretar y utilizar la evidencia digital para apoyar una afirmación, tales como:

• Proporcionar una investigación concluyente de todas las actividades con el propósito de verificación ataque completo y empresa y crítica infraestructura restauración información

• Correlacionar, interpretar y predecir las acciones de confrontación y su efecto sobre las operaciones previstas

• Haga que los datos digitales adecuados y persuasivo para la introducción en un proceso de investigación penal

Antes de iniciarse la asignación correspondiente a la informática forense, el auditor de SI debe requerir un mandato claro, por escrito de la autoridad competente para llevar a cabo la tarea.

El mandato debería especificar las responsabilidades, autoridad y las limitaciones de la asignación y garantizar la independencia de la SI, auditor en la realización de la tarea. También se debe dejar en claro que el auditor está actuando como autoridad legal para acceder a los sistemas y los datos en cuestión.

El mandato también debe especificar el alcance y las responsabilidades en que un experto externo es utilizado por el auditor para llevar a cabo la asignación.

Antes de comenzar la asignación correspondiente a la informática forense, el auditor de SI debe proporcionar una seguridad razonable de que no hay posibles conflictos de intereses.

Cuando una asignación informática forense se ha iniciado por el gobierno, organismo de derecho público o cualquier autoridad en virtud de una ley, el auditor de SI debe comunicar claramente la independencia y autoridad para llevar a cabo la tarea, mantener la confidencialidad de la información adquirida, ser imparcial y presentar un informe a las autoridades correspondientes

G33 General Considerations on the Use of the Internet 1 March 2006

Una empresa está expuesta a muchas amenazas mediante la conexión a Internet. Para hacer frente a esas amenazas, es importante correr un riesgo análisis y tomar las precauciones de seguridad necesarias. También es importante ser consciente de que Internet no es estática. Cambia con frecuencia y también lo hacen las amenazas y la necesidad de medidas de seguridad.

Formas de conectarse a Internet

Hay varias formas de conectarse a Internet y cada uno tiene una necesidad diferente para las medidas de seguridad. Algunos ejemplos son:

• PC independiente con módems conectados a través de un proveedor de servicios de Internet (ISP)

• PCs en redes locales con módems conectados a Internet a través de un ISP

• PC independiente con conexiones de datos celular

• PCs en redes locales con conexiones de datos celulares

• Las redes locales conectadas a Internet mediante un router

• Las redes locales conectadas a Internet a través de un servidor de seguridad

Amenazas en una red cerrada sin conexiones externas, en general, incluyen fallas técnicas, errores del usuario, el uso indebido de los sistemaso empleados desleales difusión de información confidencial. Esta foto riesgo cambia cuando una empresa se conecta permanentemente a la

Internet.

Los ataques se pueden dividir en los siguientes grupos:

• Ataques pasivos

• Ataques activos

Ataques del servicio

El auditor de SI debe obtener una comprensión del acceso y uso de Internet de la organización. El auditor de SI debe llevar a cabo un análisis de riesgo de acceso y uso de Internet con respecto a la organización y su misión.

Un programa de auditoría debe desarrollar, incluyendo el alcance, los objetivos y el calendario de la auditoría. Arreglos de presentación de informes debería estar claramente documentados en el programa de auditoría. Se debe considerar a la naturaleza y el tamaño de la organización y su grupos de interés. El auditor de SI debe obtener una comprensión de la misión y los objetivos de negocio de la organización, los tipos de infraestructura técnica y de negocio de datos críticos.

Además, se necesita una comprensión de la estructura de la organización, en concreto de las funciones y responsabilidades del personal clave, incluyendo los gestores de la información y propietarios.

Un objetivo principal de la fase de planificación de la auditoría es entender las amenazas y

...