Categoría: Auditoría de Sistemas

Auditoría de Sistemas 25-2-2011

Allá en el 2011 presentaba yo este documento como parte de un trabajo que se me pidio:

Auditoria de Sistemas

La auditoría informática es un proceso llevado a cabo por profesionales especialmente capacitados para el efecto, y que consiste en recoger, agrupar y evaluar evidencias para determinar si un sistema de información salvaguarda el activo empresarial, LOS DATOS, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organización, utiliza eficientemente los recursos, y cumple con las leyes y regulaciones establecidas. Permiten determinar qué información es crítica para el cumplimiento de su misión y objetivos, identificando necesidades, duplicidades, costes, valor y barreras, que obstaculizan flujos de información eficientes

Objetivos de la auditoria de sistemas:

  1. Participación en el desarrollo de nuevos sistemas:
  • evaluation de controles
  • cumplimiento de la metodología.
  1. Evaluación de la seguridad en el área informática.
  2. Evaluación de suficiencia en los planes de contingencia.
  • respaldos, preveer qué va a pasar si se presentan fallas.
  1. Opinión de la utilización de los recursos informáticos.
  • resguardo y protección de activos.
  1. Control de modificación a las aplicaciones existentes.
  • fraudes
  • control a las modificaciones de los programas.
  1. Participación en la negociación de contratos con los proveedores.
  2. Revisión de la utilización del sistema operativo y los programas
  • control sobre la utilización de los sistemas operativos
  • programas utilitarios.

 

  1. Auditoría de la base de datos.
  • estructura sobre la cual se desarrollan las aplicaciones…
  1. Auditoría de la red de teleprocesos.
  2. Desarrollo de software de auditoría.

Es el objetivo final de una auditoría de sistemas bien implementada, desarrollar software capaz de estar ejerciendo un control continuo de las operaciones del área de procesamiento de datos.

La necesidad de contar con lineamientos y herramientas estándar para el ejercicio de la auditoría informática ha promovido la creación y desarrollo de mejores prácticas como COBIT, COSO e ITIL.

Actualmente la certificación de ISACA para ser CISA Certified Information Systems Auditor es una de las más reconocidas y avaladas por los estándares internacionales ya que el proceso de selección consta de un examen inicial bastante extenso y la necesidad de mantenerse actualizado acumulando horas (puntos) para no perder la certificación.

En la realización de una auditoría informática el auditor puede realizar las siguientes pruebas:


  • Pruebas sustantivas

    : Verifican el grado de confiabilidad del SI del organismo. Se suelen obtener mediante observación, cálculos, muestreos, entrevistas, técnicas de examen analítico, revisiones y conciliaciones. Verifican asimismo la exactitud, integridad y validez de la información.


  • Pruebas de cumplimiento

    : Verifican el grado de cumplimiento de lo revelado mediante el análisis de la muestra. Proporciona evidencias de que los controles claves existen y que son aplicables efectiva y uniformemente.

Las principales herramientas de las que dispone un auditor informático son:

  • Observación
  • Realización de cuestionarios
  • Entrevistas a auditados y no auditados
  • Muestreo estadístico
  • Flujogramas
  • Listas de chequeo
  • Mapas conceptuales

 

RAZONES PARA LA EXISTENCIA DE LA FUNCION DE A.S.

  1. La información es un recurso clave en la empresa para:
  • Planear el futuro, controlar el presente y evaluar el pasado.
  1. Las operaciones de la empresa dependen cada vez más de la sistematización.
  2. Los riesgos tienden a aumentar, debido a:
  • Pérdida de información
  • Pérdida de activos.
  • Pérdida de servicios/ventas.
  1. La sistematización representa un costo significativo para
  • la empresa en cuanto a: hardware, software y personal.
  1. Los problemas se identifican sólo al final.
  2. El permanente avance tecnológico.

 

REQUERIMIENTOS DEL AUDITOR DE SISTEMAS

  1. Entendimiento global e integral del negocio, de sus puntos claves, áreas críticas, entorno económico, social y político.
  2. Entendimiento del efecto de los sistemas en la organización.
  3. Entendimiento de los objetivos de la auditoría.
  4. Conocimiento de los recursos de computación de la empresa.
  5. Conocimiento de los proyectos de sistemas.

RIESGOS ASOCIADOS AL AREA DE TI:

Hardware
– Descuido o falta de protección: Condiciones inapropiadas, mal
manejo, no observancia de las normas.
– Destrucción.

Software:
– uso o acceso,
– copia,
– modificación,
– destrucción,
– hurto,
– errores u omisiones.

Archivos:
– Usos o acceso,
– copia, modificación, destrucción, hurto.

Organización:
– Inadecuada: no funcional, sin división de funciones.
– Falta de seguridad,
– Falta de políticas y planes.

Personal:
– Deshonesto, incompetente y descontento.

Usuarios:
– Enmascaramiento, falta de autorización, falta de conocimiento de su función.

Sigue leyendo Auditoría de Sistemas 25-2-2011

Protección de datos

Si bien la mayor parte de las legislaciones iberoamericanas regulan el derecho de las personas a la protección sobre sus datos, en el marco del llamado habeas data, como garantía constitucional, cada vez son más los Estados que cuentan con normas específicas en materia de protección de datos, adecuando sus leyes, decretos y otra normativa para una mejor salvaguarda de este derecho fundamental, así como su tutela judicial efectiva.

La protección de la privacidad debe ser entendida como un derecho fundamental, tal y como reconoce Naciones Unidas en el marco de la protección de la libertad individual, la libertad de expresión, la intimidad y la dignidad personal. A mayor abundamiento, el Consejo de Europa lo define como un derecho humano fundamental, mismo sentido en que es tratado en la Declaración Universal de Derechos Humanos y el Pacto Internacional de las Naciones Unidas sobre los Derechos Civiles y Políticos, donde se define la privacidad como un derecho, afirmándose que “nadie será objeto de injerencias arbitrarias o ilegales en su vida privada, su familia, su domicilio o su correspondencia, ni de ataques ilegales a su honra y reputación”…

Daniel López Carballo, Director del observatorio Iberoamericano de Protección de Datos / España, Fuente: http://es.calameo.com/read/002682399c9e17199b3dd

(El subrayado no es del original)

Hablar de la protección de datos hoy en día puede implicar una serie de conceptos que terminan complementando el tema de tal forma que la complejidad del mismo llega a ser significativa, como bien podemos ver en el texto introductorio tenemos si bien una serie de productos globales desde el punto de vista de las TI, de igual forma ahora tenemos normas locales. Sigue leyendo Protección de datos

Auditoría de Sistemas

  • Debemos partir de lo esencial, una definición para el término de Auditoría:

La Auditoría es una función de dirección que de forma independiente procura analizar, estudiar, apreciar y evaluar, con vistas a las eventuales acciones correctivas (ojala preventivas), tomando como base el control interno de las organizaciones que procura garantizar la integridad de su patrimonio, la veracidad de su información y el mantenimiento de la eficacia de sus sistemas de gestión. RV2

Siendo Costa Rica el lugar donde me desarrollo laboralmente debo de tomar como fuente las normativas establecidas por la Contraloría General de la Republica, siendo preciso la N-2-2009-CO-DFOE Normas de Control Interno –Sector Publico en donde menciona la definición del termino Auditoría Interna:

“… Es la actividad independiente, objetiva, asesora y que proporciona seguridad al ente u órgano, puesto que se crea para agregar valor y mejorar sus operaciones. Contribuye a que se alcancen los objetivos institucionales mediante la práctica de un enfoque sistémico y profesional para evaluar y mejorar la efectividad de la administración del riesgo, del control y de los procesos de dirección en las instituciones y órganos…”

Ahora bien, debemos de tener como parámetro una definición mundial para complementar con lo cual tomo como base la que nos da el Instituto de Auditores Internos (The Institute of Internal Audit – IIA):

“Auditoría interna es una actividad independiente y objetiva de aseguramiento y consulta concebida para agregar valor y mejorar las operaciones de una organización. Ayuda a una organización a cumplir sus objetivos aportando un enfoque sistemático y disciplinado para evaluar y mejorar la eficacia de los procesos de gestión de riesgos, control y gobierno. “

Como podemos ver ambas muy similares en esencia.

Dentro de la auditoría tenemos un concepto que se conoce como el Universo Auditable (Conjunto de elementos susceptibles de la prestación de los servicios de la auditoría interna dentro de su ámbito de competencia institucional R-DC-119-2009 Norma para el ejercicio de la Auditoría Interna en el Sector Público), este va a estar compuesto por la diferentes áreas que forman parte de la organización o institución una de ellas muy actual y determinante desde mi punto de vista son las Tecnologías de Información, es decir los departamentos de T.I.

  • Vamos a definir que es la Auditoria de Sistemas

También conocida como Auditoría de T.I. o Auditoría Informática, siendo parte esencial del universo auditable teniendo como objetivo evaluar sistemas informáticos en forma integral, los procedimientos y seguridad de los equipos electrónicos o hardware así como los programas o software que posea la empresa sean propios o de modalidad de servicios físicos o virtuales. De igual forma viene a ser el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informatizado salvaguarda los activos, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organización y utiliza eficientemente los recursos

Fuentes:

The Institute of Internal Auditors: https://na.theiia.org/Pages/IIAHome.aspx

Contraloría General de la Republica de C.R.: https://www.cgr.go.cr/