Monografias.com > Administración y Finanzas
Descargar Imprimir Comentar Ver trabajos relacionados

Sistemas




Enviado por cecidsousa



    Indice
    1.
    Introducción

    2. Evaluación de la
    Seguridad

    3. Ciclo de Seguridad
    4. Conclusión
    5. Bibliografía

    1.
    Introducción

    La naturaleza
    especializada de la auditoría de los sistemas de
    información y las habilidades necesarias para llevar a
    cabo este tipo de auditorías, requieren el desarrollo y
    la promulgación de Normas Generales
    para la Auditoría de los Sistemas de
    Información.
    La auditoría de los sistemas de
    información se define como cualquier auditoría
    que abarca la revisión y evaluación
    de todos los aspectos (o de cualquier porción de ellos) de
    los sistemas
    automáticos de procesamiento de la información, incluidos los procedimientos no
    automáticos relacionados con ellos y las interfaces
    correspondientes.
    Para hacer una adecuada planeación
    de la auditoría en informática, hay que seguir una serie de
    pasos previos que permitirán dimensionar el tamaño
    y características de área dentro del
    organismo a auditar, sus sistemas, organización y equipo.
    A continuación, la descripción de los dos principales objetivos de
    una auditoría de
    sistemas, que son, las evaluaciones de los procesos de
    datos y de los
    equipos de cómputo, con controles, tipos y seguridad.
    En el caso de la auditoría en informática, la planeación
    es fundamental, pues habrá que hacerla desde el punto de
    vista de los dos objetivos:

    • Evaluación de los sistemas y procedimientos.
    • Evaluación de los equipos de
      cómputo.

    Para hacer una planeación eficaz, lo primero que
    se requiere es obtener información general sobre la
    organización y sobre la función de
    informática a evaluar. Para ello es preciso hacer una
    investigación preliminar y algunas entrevistas
    previas, con base en esto planear el programa de
    trabajo, el cual deberá incluir tiempo, costo, personal
    necesario y documentos
    auxiliares a solicitar o formular durante el desarrollo de
    la misma.

    Consta de:
    1.- Evaluación
    de los Sistemas

    • Evaluación de los diferentes sistemas en
      operación (flujo de información, procedimientos,
      documentación, redundancia, organización de archivos,
      estándares de programación, controles,
      utilización de los sistemas).
    • Evaluación del avance de los sistemas en
      desarrollo y congruencia con el diseño general
    • Evaluación de prioridades y recursos
      asignados (humanos y equipos de cómputo)
    • Seguridad física y lógica de los sistemas, su
      confidencialidad y respaldos

    2.- Evaluación de los equipos

    • Capacidades
    • Utilización
    • Nuevos Proyectos
    • Seguridad física y lógica
    • Evaluación física y
      lógica

    Controles administrativos en un ambiente de
    Procesamiento de Datos
    La máxima autoridad del
    Àrea de Informática de una empresa o
    institución debe implantar los siguientes controles que se
    agruparan de la siguiente forma:
    1.- Controles de Preinstalación
    2.- Controles de Organización y Planificación
    3.- Controles de Sistemas en Desarrollo y Producción
    4.- Controles de Procesamiento
    5.- Controles de Operación
    6.- Controles de uso de Microcomputadores

    1.- Controles de
    Preinstalación

    Hacen referencia a procesos y
    actividades previas a la adquisición e instalación
    de un equipo de computación y obviamente a la automatización de los sistemas
    existentes.
    Objetivos:

    • Garantizar que el hardware y
      software se
      adquieran siempre y cuando tengan la seguridad de
      que los sistemas computarizados proporcionaran mayores
      beneficios que cualquier otra alternativa.
    • Garantizar la selección adecuada de equipos y sistemas
      de computación
    • Asegurar la elaboración de un plan de
      actividades previo a la instalación

    Acciones a seguir:

    • Elaboración de un informe
      técnico en el que se justifique la adquisición
      del equipo, software y
      servicios
      de computación, incluyendo un estudio costo-beneficio.
    • Formación de un comité que coordine y
      se responsabilice de todo el proceso de
      adquisición e instalación
    • Elaborar un plan de
      instalación de equipo y software (fechas, actividades,
      responsables) el mismo que debe contar con la
      aprobación de los proveedores del equipo.
    • Elaborar un instructivo con procedimientos a seguir
      para la selección y adquisición de
      equipos, programas y
      servicios
      computacionales. Este proceso
      debe enmarcarse en normas y
      disposiciones legales.
    • Efectuar las acciones
      necesarias para una mayor participación de proveedores.
    • Asegurar respaldo de mantenimiento y asistencia
      técnica.

    2.- Controles de
    organización y Planificación

    Se refiere a la definición clara de funciones,
    línea de autoridad y
    responsabilidad de las diferentes unidades del
    área PAD, en labores tales como:

    • Diseñar un sistema
    • Elaborar los programas
    • Operar el sistema
    • Control de calidad

    Se debe evitar que una misma persona tenga el
    control de toda
    una operación.  
    Acciones a
    seguir

    • La unidad informática debe estar al mas alto
      nivel de la pirámide administrativa de manera que
      cumpla con sus objetivos, cuente con el apoyo necesario y la
      dirección efectiva.
    • Las funciones de
      operación, programación y diseño de
      sistemas deben estar claramente delimitadas.
    • Deben existir mecanismos necesarios a fin de
      asegurar que los programadores y analistas no tengan acceso a
      la operación del computador
      y los operadores a su vez no conozcan la documentación de programas y
      sistemas.
    • Debe existir una unidad de control de
      calidad, tanto de datos de
      entrada como de los resultados del procesamiento.
    • El manejo y custodia de dispositivos y archivos
      magnéticos deben estar expresamente definidos por
      escrito.
    • Las actividades del PAD deben obedecer a
      planificaciones a corto, mediano y largo plazo sujetos a
      evaluación y ajustes periódicos "Plan Maestro
      de Informática"
    • Debe existir una participación efectiva de
      directivos, usuarios y personal del
      PAD en la planificación y evaluación del
      cumplimiento del plan.
    • Las instrucciones deben impartirse por
      escrito.

    3.- Controles de Sistema en
    Desarrollo y Producción
    Se debe justificar que los sistemas han sido la mejor
    opción para la empresa, bajo
    una relación costo-beneficio que proporcionen oportuna y
    efectiva información, que los sistemas se han desarrollado
    bajo un proceso planificado y se encuentren debidamente
    documentados.

    Acciones a seguir:
    Los usuarios deben participar en el diseño
    e implantación de los sistemas pues aportan conocimiento y
    experiencia de su área y esta actividad facilita el
    proceso de cambio

    • El personal de auditoría interna/control
      debe formar parte del grupo de
      diseño para sugerir y solicitar la implantación
      de rutinas de control
    • El desarrollo, diseño y mantenimiento de sistemas obedece a planes
      específicos, metodologías estándares,
      procedimientos y en general a normatividad escrita y
      aprobada.
    • Cada fase concluida debe ser aprobada
      documentadamente por los usuarios mediante actas u otros
      mecanismos a fin de evitar reclamos posteriores.
    • Los programas antes de pasar a Producción deben ser probados con datos
      que agoten todas las excepciones posibles.
    • Todos los sistemas deben estar debidamente
      documentados y actualizados. La documentación
      deberá contener:

    – Informe de
    factibilidad
    Diagrama de
    bloque
    – Diagrama de
    lógica del programa
    – Objetivos del programa
    – Listado original del programa y
    versiones que incluyan los cambios efectuados con antecedentes de
    pedido y aprobación de modificaciones
    – Formatos de salida
    – Resultados de pruebas
    realizadas

    • Implantar procedimientos de solicitud,
      aprobación y ejecución de cambios a programas,
      formatos de los sistemas en desarrollo.
    • El sistema concluido será entregado al
      usuario previo entrenamiento
      y elaboración de los manuales de
      operación respectivos

    4.- Controles de
    Procesamiento

    Los controles de procesamiento se refieren al ciclo que sigue la
    información desde la entrada hasta la salida de la
    información, lo que conlleva al establecimiento de una
    serie de seguridades para:

    • Asegurar que todos los datos sean
      procesados.
    • Garantizar la exactitud de los datos
      procesados.
    • Garantizar que se grabe un archivo para
      uso de la gerencia y
      con fines de auditoría
    • Asegurar que los resultados sean entregados a los
      usuarios en forma oportuna y en las mejores
      condiciones.

    Acciones a seguir:

    • Validación de datos de entrada previo
      procesamiento debe ser realizada en forma automática:
      clave, dígito autoverificador, totales de lotes,
      etc.
    • Preparación de datos de entrada debe ser
      responsabilidad de usuarios y consecuentemente
      su corrección.
    • Recepción de datos de entrada y distribución de información de
      salida debe obedecer a un horario elaborado en coordinación con el usuario, realizando
      un debido control de
      calidad.
    • Adoptar acciones necesaria para correcciones de
      errores.
    • Analizar conveniencia costo-beneficio de
      estandarización de formularios,
      fuente para agilitar la captura de datos y minimizar
      errores.
    • Los procesos interactivos deben garantizar una
      adecuada interrelación entre usuario y
      sistema.
    • Planificar el mantenimiento del hardware y
      software, tomando todas las seguridades para garantizar la
      integridad de la información y el buen servicio a
      usuarios.

    5.- Controles de
    Operación

    Abarcan todo el ambiente de la
    operación del equipo central de computación y
    dispositivos de
    almacenamiento, la
    administración de la cintoteca y la operación
    de terminales y equipos de comunicación por parte de los usuarios de
    sistemas on line.
    Los controles tienen como fin:

    • Prevenir o detectar errores accidentales que puedan
      ocurrir en el Centro de
      Cómputo durante un proceso
    • Evitar o detectar el manejo de datos con fines
      fraudulentos por parte de funcionarios del PAD
    • Garantizar la integridad de los recursos
      informáticos.
    • Asegurar la utilización adecuada de equipos
      acorde a planes y objetivos.

    Acciones a seguir:

    • El acceso al centro de computo debe contar con las
      seguridades necesarias para reservar el ingreso al personal
      autorizado
    • Implantar claves o password para garantizar
      operación de consola y equipo central (mainframe), a
      personal autorizado.
    • Formular políticas respecto a seguridad,
      privacidad y protección de las facilidades de
      procesamiento ante eventos como:
      incendio, vandalismo, robo y uso indebido, intentos de
      violación y como responder ante esos eventos.
    • Mantener un registro
      permanente (bitácora) de todos los procesos
      realizados, dejando constancia de suspensiones o
      cancelaciones de procesos.
    • Los operadores del equipo central deben estar
      entrenados para recuperar o restaurar información en
      caso de destrucción de archivos.
    • Los backups no deben ser menores de dos (padres e
      hijos) y deben guardarse en lugares seguros y
      adecuados, preferentemente en bóvedas de bancos.
    • Se deben implantar calendarios de operación
      a fin de establecer prioridades de proceso.
    • Todas las actividades del Centro de Computo deben
      normarse mediante manuales,
      instructivos, normas, reglamentos, etc.
    • El proveedor de hardware y software deberá
      proporcionar lo siguiente:

    Manual de
    operación de equipos
    – Manual de
    lenguaje de
    programación
    – Manual de utilitarios disponibles
    – Manual de Sistemas operativos

    • Las instalaciones deben contar con sistema de
      alarma por presencia de fuego, humo, asi como extintores de
      incendio, conexiones eléctricas seguras, entre
      otras.
    • Instalar equipos que protejan la información
      y los dispositivos en caso de variación de voltaje
      como: reguladores de voltaje, supresores pico, UPS,
      generadores de energía.
    • Contratar pólizas de seguros para
      proteger la información, equipos, personal y todo
      riesgo que se
      produzca por casos fortuitos o mala
      operación.

    6.- Controles en el uso del
    Microcomputador

    Es la tarea màs difícil pues son equipos mas
    vulnerables, de fácil acceso, de fácil
    explotación pero los controles que se implanten ayudaran a
    garantizar la integridad y confidencialidad de la
    información.

    Acciones a seguir:

    • Adquisición de equipos de protección
      como supresores de pico, reguladores de voltaje y de ser
      posible UPS previo a la adquisición del
      equipo
    • Vencida la garantía de mantenimiento del
      proveedor se debe contratar mantenimiento
      preventivo y correctivo.
    • Establecer procedimientos para obtención de
      backups de paquetes y de archivos de datos.
    • Revisión periódica y sorpresiva del
      contenido del disco para verificar la instalación de
      aplicaciones no relacionadas a la gestión de la empresa.
    • Mantener programas y procedimientos de
      detección e inmunización de virus en
      copias no autorizadas o datos procesados en otros
      equipos.
    • Propender a la estandarización del Sistema
      Operativo, software utilizado como procesadores de palabras, hojas
      electrónicas, manejadores de base de datos
      y mantener actualizadas las versiones y la capacitación sobre modificaciones
      incluidas.

    Revisión de Centros de Cómputo
    Consiste en revisar los controles en las operaciones del
    centro de procesamiento de información en los siguientes
    aspectos:
    1.- Revisión de controles en el equipo
    Se hace para verificar si existen formas adecuadas de detectar
    errores de procesamiento, prevenir accesos no autorizados y
    mantener un registro
    detallado de todas las actividades del computador que
    debe ser analizado periódicamente.
    2.- Revisión de programas de operación
    Se verifica que el cronograma de actividades para procesar la
    información asegure la utilización efectiva del
    computador.
    3.- Revisión de controles ambientales
    Se hace
    para verificar si los equipos tienen un cuidado adecuado, es
    decir si se cuenta con deshumidificadores, aire
    acondicionado, fuentes de
    energía continua, extintores de incendios,
    etc.
    4.- Revisión del plan de mantenimiento
    Aquí se verifica que todos los equipos principales tengan
    un adecuado mantenimiento que garantice su funcionamiento
    continuo.
    5.- Revisión del sistema de administración de archivos
    Se hace para verificar que existan formas adecuadas de organizar
    los archivos en el computador, que estén respaldados,
    así como asegurar que el uso que le dan es el
    autorizado.
    6.- Revisión del plan de contingencias
    Aquí se verifica si es adecuado el plan de recupero en
    caso de desastre, el cual se detalla mas adelante.

    2. Evaluación de la
    Seguridad

    La computadora es
    un instrumento que estructura
    gran cantidad de información, la cual puede ser
    confidencial para individuos, empresas o
    instituciones,
    y puede ser mal utilizada o divulgada a personas que hagan mal
    uso de esta. También pueden ocurrir robos, fraudes o
    sabotajes que provoquen la destrucción total o parcial de
    la actividad computacional. Esta información puede ser de
    suma importancia, y el no tenerla en el momento preciso puede
    provocar retrasos sumamente costosos.
    En la actualidad y principalmente en las computadoras
    personales, se ha dado otro factor que hay que considerar: el
    llamado "virus" de las
    computadoras,
    el cual, aunque tiene diferentes intenciones, se encuentra
    principalmente para paquetes que son copiados sin
    autorización ("piratas") y borra toda la
    información que se tiene en un disco.
    Al auditar los sistemas se debe tener cuidado que no se tengan
    copias "piratas" o bien que, al conectarnos en red con otras computadoras,
    no exista la posibilidad de transmisión del virus. El uso
    inadecuado de la computadora
    comienza desde la utilización de tiempo de
    máquina para usos ajenos de la
    organización, la copia de programas para fines de
    comercialización sin reportar los derechos de
    autor hasta el acceso por vía telefónica a
    bases de datos
    a fin de modificar la información con propósitos
    fraudulentos.
    La seguridad en la informática abarca los conceptos de
    seguridad física y seguridad lógica:

    • La seguridad física, se refiere a la
      protección del Hardware y de los soportes de datos,
      así como a la de los edificios e instalaciones que los
      albergan. Contempla las situaciones de incendios,
      sabotajes, robos, catástrofes naturales,
      etc.
    • La seguridad lógica, se refiere a la
      seguridad de uso del software, a la protección de los
      datos, procesos y programas, así como la del ordenado
      y autorizado acceso de los usuarios a la
      información.

    Un método
    eficaz para proteger sistemas de computación es el
    software de control de acceso.
    Dicho simplemente, los paquetes de control de acceso protegen
    contra el acceso no autorizado, pues piden del usuario una
    contraseña antes de permitirle el acceso a
    información confidencial.
    Dichos paquetes han sido populares desde hace muchos años
    en el mundo de las computadoras grandes, y los principales
    proveedores ponen a disposición de clientes algunos
    de estos paquetes.

    Causas de realización de una Auditoría de
    Seguridad
    Esta constituye la FASE 0 de la auditoría y el orden 0 de
    actividades de la misma.
    El equipo auditor debe conocer las razones por las cuales el
    cliente desea
    realizar el Ciclo de Seguridad.
    Puede haber muchas causas:

    • Reglas internas del cliente,
    • incrementos no previstos de costes,
    • obligaciones legales,
    • situación de ineficiencia global notoria,
      etc.

    De esta manera el auditor conocerá el entorno
    inicial. Así, el equipo auditor elaborará el Plan
    de Trabajo.

    3. Ciclo de
    Seguridad

    El objetivo de la
    auditoría de seguridad es revisar la situación y
    las cuotas de eficiencia de la
    misma en los órganos más importantes de la estructura
    informática.
    Para ello, se fijan los supuestos de partida:

    • El área auditada es la Seguridad.
    • El área a auditar se divide en:
      Segmentos.
    • Los segmentos se dividen en: Secciones.
    • Las secciones se dividen en:
      Subsecciones.

    De este modo la auditoría se realizara en 3
    niveles.
    Los segmentos a auditar, son:

    • Segmento 1: Seguridad de cumplimiento de normas y
      estándares.
    • Segmento 2: Seguridad de Sistema
      Operativo.
    • Segmento 3: Seguridad de Software.
    • Segmento 4: Seguridad de Comunicaciones.
    • Segmento 5: Seguridad de Base de
      Datos.
    • Segmento 6: Seguridad de Proceso.
    • Segmento 7: Seguridad de Aplicaciones.
    • Segmento 8: Seguridad Física.

    Conceptualmente la auditoria informática en
    general y la de Seguridad en particular, ha de desarrollarse en
    seis fases bien diferenciadas:

    • Fase 0. Causas de la realización del ciclo de
      seguridad.
    • Fase 1. Estrategia y
      logística del ciclo de
      seguridad.
    • Fase 2. Ponderación de sectores del ciclo de
      seguridad.
    • Fase 3. Operativa del ciclo de seguridad.
    • Fase 4. Cálculos y resultados del ciclo de
      seguridad.
    • Fase 5. Confección del informe del ciclo de
      seguridad.

    A su vez, las actividades auditoras se realizan en el
    orden siguiente:

    1. Comienzo del proyecto de
      Auditoría
      Informática.
    2. Asignación del equipo auditor.
    3. Asignación del equipo interlocutor del
      cliente.
    4. Cumplimentación de formularios
      globales y parciales por parte del cliente.
    5. Asignación de pesos técnicos por parte
      del equipo auditor.
    6. Asignación de pesos políticos por parte
      del cliente.
    7. Asignación de pesos finales a segmentos y
      secciones.
    8. Preparación y confirmación de entrevistas.
    9. Entrevistas, confrontaciones y análisis y repaso de
      documentación.
    10. Càlculo y ponderación de subsecciones,
      secciones y segmentos.
    11. Identificación de áreas
      mejorables.
    12. Elección de las áreas de
      actuación prioritaria.
    13. Preparación de recomendaciones y borrador de
      informe
    14. Discusión de borrador con cliente.
    15. Entrega del informe.

    4.
    Conclusión

    La auditoría en informática es la
    revisión y la evaluación de los controles,
    sistemas, procedimientos de informática; de los equipos de
    cómputo, su utilización, eficiencia y
    seguridad, de la organización que participan en el
    procesamiento de la información, a fin de que por medio
    del señalamiento de cursos
    alternativos se logre una utilización más eficiente
    y segura de la información que servirá para una
    adecuada toma de
    decisiones.
    La auditoría en informática deberá
    comprender no sólo la evaluación de los equipos de
    cómputo, de un sistema o procedimiento
    específico, sino que además habrá de evaluar
    los sistemas de información en general desde sus entradas,
    procedimientos, controles, archivos, seguridad y obtención
    de información.
    La auditoría en informática es de vital importancia
    para el buen desempeño de los sistemas de
    información, ya que proporciona los controles necesarios
    para que los sistemas sean confiables y con un buen nivel de
    seguridad. Además debe evaluar todo (informática,
    organización de centros de información, hardware y
    software).

    5.
    Bibliografía

    http://www.geocities.com/lsialer/NotasInteresantes.htm
    http://www.monografias.com/trabajos/auditoinfo/auditoinfo

    http://www.monografias.com/trabajos/maudisist/maudisist

     

     

     

     

    Autor:

    Carmen D'Sousa

    Nota al lector: es posible que esta página no contenga todos los componentes del trabajo original (pies de página, avanzadas formulas matemáticas, esquemas o tablas complejas, etc.). Recuerde que para ver el trabajo en su versión original completa, puede descargarlo desde el menú superior.

    Todos los documentos disponibles en este sitio expresan los puntos de vista de sus respectivos autores y no de Monografias.com. El objetivo de Monografias.com es poner el conocimiento a disposición de toda su comunidad. Queda bajo la responsabilidad de cada lector el eventual uso que se le de a esta información. Asimismo, es obligatoria la cita del autor del contenido y de Monografias.com como fuentes de información.

    Categorias
    Newsletter