Auditoria A La Base De Datos

AUDITORIA DE BASE DE DATOS

INGENIERIA DE SISTEMAS

1. DEFINIR 3 CONTROLES DE AUDITORIA DE BASE DE DATOS

 OBJETIVO CONTROL:

- Evitar o detectar el manejo de datos con fines fraudulentos por parte de funcionarios del área.

 TECNICA DE CONTROL:

- Implantar claves o password para garantizar operación de consola y equipo central a personal autorizado.

 PRUEBA DE CUMPLIMIENTO:

- Listar los privilegios y perfiles existentes dentro de la BD.

 PRUEBA SUSTANTIVA:

- Comprobar si el registro de información de todos los procesos realizados han sido corrompida comparándolas con otra fuente.

• OBJETIVO CONTROL:

- Evitar la pérdida de información, de la base de datos

• TECNICA DE CONTROL:

- Implantar una copia de respaldo de seguridad (BACKUPS)

• PRUEBA DE CUMPLIMIENTO:

- Tener BACKUPS el cual deben guardarse en lugares seguros y adecuados, preferentemente en bóvedas de bancos.

 OBJETIVO CONTROL:

- Autorizar el acceso sólo a los usuarios autorizados.

 TECNICA DE CONTROL:

- Monitorear y registrar el uso de los datos por los usuarios autorizados o no.

- Mantener trazas de uso y del acceso a bases de datos.

- General alertas en tiempo real.

 PRUEBA DE CUMPLIMIENTO:

- Mantener un registro permanente (bitácora) de todos los procesos realizados, dejando constancia de suspensiones o cancelaciones de procesos.

2. EXPLICA CADA UNA DE LAS FASES DEL CONTROL

2.1. ESTUDIO PREVIO Y PLAN DE TRABAJO

- Es muy importante elaborar un estudio tecnológico de viabilidad donde se van a contemplar las distintas alternativas para alcanzar los objetivos del proyecto acompañado del análisis coste- beneficio para cada una de las opciones.

- Aquí el auditor debe comprobar que la alta dirección revisa los informes de viabilidad ya que es la que va a decidir si se debe seguir o no con el proyecto.

- Si es que se lleva a cabo el proyecto el auditor debe verificar que el plan establecido se emplee para el seguimiento y gestión del proyecto cumpliendo con los procedimientos generales.

- También se deberá aprobar la estructura orgánica, no solo del proyecto, sino también de la unidad que tendrá la responsabilidad de la gestión y control de la base de datos.

2.2. CONCEPCIÓN DE LA BASE DE DATOS Y SELECCIÓN DEL EQUIPO

- Aquí es donde empezamos a diseñar la base de datos, por lo tanto debemos utilizar los modelos y técnicas definidas en la metodología de desarrollo de los sistemas de la empresa; esta metodología debe también emplearse para especificar los documentos fuentes, los mecanismos de control, las características de seguridad y las pistas de auditoria a incluir en el sistema.

- El auditor debe analizar si esta metodología de diseño es aceptable y si está siendo utilizada correctamente. Esta metodología de diseño por lo menos deberá contemplar dos fases (Lógico, físico).

2.3. DISEÑO Y CARGA

- En esta fase se llevaran a cabo los diseños lógico y físico de la base de datos y el auditor deberá examinar si estos diseños se han realizado correctamente, si contempla las asociaciones y las restricciones oportunas así como las especificaciones de almacenamiento de datos y la seguridad; tomando una muestra de las tablas, vistas, etc. Comprobando que su definición es completa.

- Diseñada la base de datos se procederá su carga. Se deberán realizar pruebas en paralelo verificando que la decisión real de dar por terminada la prueba en paralelo estaba acorde a los criterios establecidos por la dirección.

- Para la entrada manual de datos hay que establecer un conjunto de controles que aseguren su integridad.

- Los procesamientos y el diseño de los documentos deben minimizar los errores y las omisiones, así como el establecimiento de unos procedimientos de autorización de datos. Para la entrada de datos erróneos los datos se deben validar y corregir tan cerca del punto de origen como sea posible.

2.4. EXPLOTACIÓN Y MANTENIMIENTO:

- Mediante las correspondientes autorizaciones y siguiendo los procedimientos establecidos el sistema se pondrá en explotación, comprobando que se establecen dichos procedimientos de explotación y mantenimiento que aseguren que los datos se tratan de forma congruente y exacta.

2.5. REVISIÓN POST-IMPLANTACIÓN:

- Se debe establecer el desarrollo de un plan para efectuar una revisión post-implantación de todo sistema nuevo

...