El documento describe las 7 fases de la auditoría informática. Estas fases incluyen: 1) conocer el sistema, 2) analizar transacciones y recursos, 3) identificar riesgos y amenazas, 4) analizar controles, 5) evaluar controles, 6) generar un informe de auditoría, y 7) realizar un seguimiento de recomendaciones. Cada fase tiene varios pasos detallados para auditar completamente un sistema de información.
Criterios ESG: fundamentos, aplicaciones y beneficios
AUDITORIA
1. Fases de la Auditoria Informática Fase I: Conocimientos del Sistema Fase II: Análisis de transacciones y recursos Fase III: Análisis de riesgos y amenazas Fase IV: Análisis de controles Fase V: Evaluación de Controles Fase VI: El Informe de auditoria Fase VII: Seguimiento de las Recomendaciones
2.
3.
4.
5. Fase IV: Análisis de controles 4.1. Codificación de controles Los controles se aplican a los diferentes grupos utilizadores de recursos, luego la identificación de los controles deben contener una codificación la cual identifique el grupo al cual pertenece el recurso protegido. 4.2. Relación entre recursos/amenazas/riesgos La relación con los controles debe establecerse para cada tema (Rec/Amz/Rie) identificado. Para cada tema debe establecerse uno o más controles. 4.3. Análisis de cobertura de los controles requeridos Este análisis tiene como propósito determinar si los controles que el auditor identificó como necesarios proveen una protección adecuada de los recursos.
6.
7.
8. Fase VII: Seguimiento de Recomendaciones 7.1. Informes del seguimiento 7.2. Evaluación de los controles implantados
10. Informática II. Decanato de Administración y Contaduría Auditoría Informática Revisión Evaluación Controles y las Medidas de Seguridad que se Aplican a los Recursos de un Sistema de Información
11.
12. Auditoría Informática Informática II. Decanato de Administración y Contaduría Tipos Interna : Aplicada con el personal que labora en la empresa. Externa : Se contrata a una firma especiali- zada para realizar la misma.
13.
14. Aspectos Fundamentales en la Auditoría de los Sistemas de Información Informática II. Decanato de Administración y Contaduría
15. Auditoría Informática de Desarrollo de Aplicaciones Cada una de las fases del desarrollo de las nuevas aplicaciones informáticas deben ser sometidas a un minucioso control, a fin de evitar un aumento significativo de los costos, así como también insatisfacción de los usuarios. Informática II. Decanato de Administración y Contaduría
16. Auditoría de los Datos de Entrada Se analizará la captura de la información en soporte compatible con los Sistemas, el cumplimiento de plazos y calendarios de tratamientos y entrega de datos; la correcta transmisión de datos entre entornos diferentes. Se verificará que los controles de integridad y calidad de datos se realizan de acuerdo a las Normas establecidas. Informática II. Decanato de Administración y Contaduría
17.
18.
19.
20.
21. Medidas de Contingencia Mecanismos utilizados para contrarrestar la pérdida o daños de la información, bien sea intencionales o accidentales. La más utilizada es la Copia de Seguridad (Backup), en la cual se respalda la informa- ción generada en la empresa . Informática II. Decanato de Administración y Contaduría
22. Copias de Seguridad Las copias pueden ser totales o parciales y la fre- cuencia varía dependiendo de la importancia de la información que se genere. Backup Se recomienda tener como mínimo dos (2) respaldos de la información, uno dentro de la empresa y otro fuera de ésta (preferiblemente en un Banco en Caja Fuerte). Informática II. Decanato de Administración y Contaduría
23. Medidas de Protección Medidas utilizadas para garantizar la Seguridad Física de los Datos. Aquellos equipos en donde se genera información crítica, deben tener un UPS. De igual forma, el suministro de corriente eléctrica para el área informática, debe ser independiente del resto de las áreas. Informática II. Decanato de Administración y Contaduría
24. Medidas de Control y Seguridad Mecanismos utilizados para garantizar la Seguridad Lógica de los Datos. En los Sistemas Multiusuarios se deben restringir el acceso a la Información, mediante un nombre de usuario (login) y una contraseña (password). Del mismo modo, se debe restringir el acceso a los Sistemas en horas no laborables salvo casos excepcionales. Informática II. Decanato de Administración y Contaduría
Notas del editor
La Auditoría Informática es una parte integrante de la auditoría. Se preguntará por que se estudia por separado, pues simplemente para abordar problemas más específicos y para aprovechar los recursos del personal. Sin embargo, es bueno acotar que debe realizarse dentro de un marco de auditoría general. Para clarificar aún más la lámina, diremos entonces que la Auditoría Informática es el proceso de revisión y evaluación de los controles y medidas de seguridad que se aplican a los recursos: a). Tecnológicos. b). Personal. c). Software d). Procedimientos. que se utilizan en los Sistemas de Información manejados en la empresa. En este sentido, se deben revisar y evaluar si se han desarrollado e implementados controles apropiados y adecuados en los sistemas de información.
La auditoría Informática va mucho más allá de la simple detección de errores. Si bien es cierto que la Auditoría es un proceso que permite detectar fallas, es menester de la auditoría, el presentar algunas sugerencias que puedan ser aplicadas para evitar de esta manera la repetición de las mismas en un futuro. Básicamente, el objetivo principal de la auditoría informática es garantizar la operatividad de los procesos informáticos . En otras palabras, ofrecer la continuidad los procesos de generación, distribución, uso y respaldo de información dentro de las organizaciones. Ya puede ir formándose una idea entonces de la importancia que tiene la Auditoría Informática (si no es así, ¿le parece poco el hecho de que permita mantener operativo todos los procesos relacionados con el manejo de la información?). Importancia de la Auditoría Informática Tal como se mencionó anteriormente su importancia radica en el hecho de garantizar la operatividad de los procesos informáticos. Del mismo modo, la Auditoría es compatible con la calidad, ya que mediante la auditoría, se buscan implantar mejoras en busca del perfeccionamiento de los procesos , incorporando nuevas técnicas y tecnologías.
Tal como lo pudo apreciar, las definiciones anteriores son muy sencillas y no dejan lugar a ninguna duda. Sin embargo, consideramos prudente ampliar nuestra exposición y ofrecerle algo más que una mera definición. Auditoría Interna La auditoría Interna ofrece algunas ventajas en relación a la externa, en primer lugar es menos costosa, puesto que se realiza con el mismo personal, y por otro lado, no se corre el riesgo de que personas extrañas conozcan la información generada dentro de la firma. Sin embargo, tiene sus limitaciones, entre las cuales se mencionan: la poca especialización que tienen los integrantes en la materia conlleva al hecho de que se escapen algunos detalles dentro del proceso (omisión de detección de errores) y por otro lado se corre el riesgo de que se “encubran” deficiencias. Es factible que dentro del proceso de auditoría, las personas no informen de alguna anomalía a fin “de no perjudicar al amigo”. Auditoría Externa Con este tipo de auditoría existe menor margen de error, puesto que las personas que se encargan de realizarla son especialistas en el área. Entonces, deben ser pocos los errores que se detecten y las sugerencias aportadas son muy valiosas. Del mismo modo existe poco margen de encubrimiento, ya que son personas ajenas a la firma.
Si bien es cierto que la Auditoría Interna es menos costosa, es una buena práctica para las empresas, realizar Auditorías Externas periódicamente. Sin embargo, existen algunas razones por las cuales una firma debería contratar los servicios de gente especializada. Tales razones son las mostradas en la lámina, las cuales explicaremos con más detalle a continuación: Síntomas de Descoordinación: No coincide el objetivo informático con el de la empresa. En este sentido, es recomendable revisar la gestión de la informática a fin de que la misma esté en función de apoyar al logro de los objetivos. Síntomas de Debilidad Económica: Cuando existe un crecimiento indiscriminado de los costos informáticos. De igual forma, se contrata un servicio externo para estudiar la factibilidad de invertir una fuerte suma de dinero en el área. Síntomas de Mala Imagen: Existe una percepción poco idónea de los usuarios finales de computadoras en relación a la Gestión actual del personal de Informática. Existen quejas de que los programas no funcionan, problemas con la red informática, desconfiguración de equipos, entre otros. Síntomas de Inseguridad: Cuando no existe seguridad ni física ni lógica de la información manejada en la empresa.
Hasta estos momentos se ha mencionado un poco lo que es la Auditoría Informática, cuales son sus objetivos y su importancia dentro de las organizaciones. Consideramos que ya tiene la base suficiente para adentrarnos entonces en el estudio de la Auditoria Informática. Existen dos enfoques básicos para la Auditoria de Sistemas de Información, conocidos como: Auditoria Alrededor del Computador y Auditoria a través del Computador. Auditoria Alrededor del Computador: La cual comprende la verificación tanto de los datos de entrada como de salida, sin evaluar el software que procesó los datos. Aunque es muy sencillo, no hace el seguimiento de las transacciones ni la exactitud ni integridad del software utilizado. Es por ello, que se recomienda como un complemento de otros métodos de auditoria. Auditoria a Través del Computador: Comprende la verificación de la integridad del software utilizado, así como también los datos de entrada y la salida generada tanto por las redes y sistemas computacionales. Sin embargo, la auditoria a través del computador requiere de un conocimiento tanto de las redes como del desarrollo de software.
Una de las actividades que más dolores de cabeza trae a las organizaciones es el desarrollo de los nuevos sistemas informáticos. Existen muchas razones para tantos inconvenientes, entre las que se destaca: una pobre determinación de los requerimientos (tanto los analistas como los usuarios, que en muchas oportunidades asumen cosas que el otro no ha dicho), carencia de un prototipo adecuado, una deficiente prueba del sistema y la premura con la que se implanta el mismo. En este sentido, la auditoría debe verificar que se cumplan a cabalidad cada una de las fases del desarrollo del sistema. Se deben chequear los instrumentos y métodos empleados para la determinación de los requerimientos, las herramientas que se utilizan para la construcción del sistema, evaluar el prototipo que va a ser mostrado a los usuarios y verificar que se hagan las pruebas al sistema antes de ser implantado. Recuerde: es preferible esperar un poco más por un sistema probado y ajustado a las necesidades que querer implantar “en dos días” un software que no ayudará en nada a los procesos empresariales, por el contrario: entorpecerá los mismos. (¿Cuantas veces no le han dicho en la calle como excusa “tenemos problemas con el sistema” ?).
La materia prima para la generación de la información son los datos de entrada, es por ello que todo proceso de auditoria informática debe contemplar el estudio de los mismos. Bajo esta premisa, es importante llevar un control del origen de los datos que se introducen al sistema y en la medida de lo posible, el responsable de la introducción de los mismos. Por ejemplo, para un banco el origen de los datos lo representan las planillas de depósito, retiro, entre otras. Si se lleva un control de dichos documentos es fácil auditar lo que tiene el sistema contra el soporte físico (las planillas). Dicho proceso permite entonces detectar errores de trascripción de datos al Sistema. Otro hecho importante de la Auditoria de los datos de entrada, es que puede ser utilizado como un mecanismo para determinar fraudes informáticos. ¿Cómo cree usted que se puede determinar un retiro no autorizado de una cuenta bancaria?, ¿el cambio de calificaciones de un estudiante?. Es por ello que todas las organizaciones deben contar con mecanismos apropiados que permitan auditar los datos de entrada.de los sistemas informáticos.
Al igual que ocurre con los datos de entrada, se deben revisar periódicamente las herramientas informáticas que se utilizan dentro de la firma, a fin de verificar que se adecuen a las necesidades del negocio. Es importante señalar que dicha revisión no debe limitarse únicamente al hardware, por el contrario, se debe incluir también la revisión tanto del software instalado como la red informática existente. Toda empresa debe poseer software actualizado y con licencia de uso; el Sistema Operativo no escapa de dicha situación. En este sentido, es conveniente que se cuente con una versión que permita la evolución de las aplicaciones, de no ser así determinar las causas de ello. Por ejemplo en el caso específico del Sistema Operativo Windows, es inusual que se labore con la versión 3.11 para grupos de trabajo, en tal caso, como mínimo Windows 98 o Windows NT 4.0. Del mismo modo se debe auditar la red informática instalada, entre otras cosas para observar su rendimiento (velocidad), la seguridad que ofrece (gran parte de los fraudes obedecen a la carencia de seguridad tanto de los Sistemas como de las Redes Informáticas) y verificar que se cumplan con las políticas y estándares establecidos para la red. ¿Y la Auditoría de las aplicaciones?. Pues la exposición se detallará en las láminas subsiguientes.
La prueba de un Sistema es una tarea un poco más compleja de lo que realmente parece ser. La misma no se limita exclusivamente a introducir algunos datos al Sistema a fin de verificar que arroje el resultado esperado. Va mucho más allá. En primer lugar, la prueba del Sistema no debe ser efectuada por los programadores, ya que éstos conocen los “trucos del sistema”, e inconscientemente introducirán datos que no harán fallar a la aplicación, razón por la cual se recomienda la designación de un equipo responsable para las misma. Dicho equipo debe diseñar una “Batería de Prueba”, la cual consiste en un conjunto de datos a ser introducidos en el sistema para observar su comportamiento. Por supuesto los resultados de dichos datos se deben conocer con antelación a fin de que puedan ser cotejados contra los que arroja el sistema. En toda batería de prueba aparte de las transacciones comunes, se debe contar con : Datos de Excepción : Aquellos que rompen con la regla establecida. Se deben incluir dichos datos a fin de determinar si el sistema contempla las excepciones. Datos Ilógicos : Son datos que no tienen ningún sentido. Se incluyen dentro de la prueba a fin de determinar si el sistema posee los mecanismo de validación adecuados que impidan el procesamiento de los mismos. Datos Erróneos : Son aquellos que no están acordes con la realidad. El sistema no está en capacidad de determinar si un dato esta correcto o no. Sencillamente, se introducen este tipo de datos a fin de verificar si el sistema posee los mecanismos que permitan revertir la transacción.
Auditoría para el Computador Es importante determinar el uso de las computadoras. Esto a fin de verificar que no existan computadores sobre o subutilizados. Por ejemplo, suponga el caso de un computador con la configuración más actualizada que esté siendo empleado únicamente como terminal del sistema de facturación de la empresa, por supuesto, es fácil deducir que no se está aprovechando al máximo las bondades del equipo. Ahora suponga la contrario, es decir, que exista un equipo con mediana capacidad en donde se manejen todas las aplicaciones Office (Word, Excel y Power Point) y se ejecuten algunos Sistemas Informáticos propios de la empresa. ¿Está subutilizado?. La aplicación de dicha técnica no reviste de mayor complicación, lo que se hace es anotar la configuración del equipo y las actividades que se realizan en él, a fin de determinar si tal configuración está acorde con lo que se realiza en él. Con esto se logran varias cosas: primero, se determinan los equipos candidatos a ser sustituidos o repotenciados y segundo, ofrece un mecanismo para una futura de reasignación de equipos de acuerdo a las necesidades existentes. ¿Que problema coyuntural cree usted que pueda ocurrir al aplicar dicha técnica?. Piense un poco, de todos modos si no lo logra determinar, en dos láminas más encontrarás la respuesta.
Usted pensará “perfecto, estos son los peligros que existen, por lo que he leído creo que la Auditoria pude ayudar a evitar los robos y fraudes informático, pero ¿un incendio o una inundación?, no veo como”. Si esa es su manera de pensar, pues le diremos que está en lo cierto. Aquí no le vamos a decir como evitar incendios o inundaciones. Sino más bien de que tome conciencia de las cosas que puede pasar dentro de una empresa. Pero “sigo sin entender que tiene que ver todo esto”, es muy simple: lo que se busca es crear conciencia, de los peligros que existen, que ninguna organización está exenta de ellos y que por lo tanto es necesario que existan mecanismos que contrarresten los mismos. Esto es precisamente lo próximo que se va a exponer a continuación. Respuesta a la Pregunta Anterior: Puede ocasionar molestias a las personas en la reubicación de equipos (una persona con un equipo muy potente pero subutilizado, no estará muy conforme que le reasignen un equipo de menor potencia).
Dentro de las empresas deben existir mecanismos de contingencias que permitan garantizar la continuidad de los procesos que en ella se realizan. Dentro de la informática tal aspecto no debe variar, es decir, deben estar especificados dichos mecanismos (por ejemplo, como realizar un proceso manualmente en caso de que falle el automatizado). En este módulo nos compete exclusivamente la contingencia de la información. Al igual que otras cosas, la información puede tener daños, los cuales pueden obedecer a causas accidentales (tales como errores en la trascripción de datos, ejecución de procesos inadecuados) o intencionales (cuando se busca cometer algún fraude). No importa cual sea la causa, lo importante en este momento (claro, es importante determinar a que obedeció el problema) es disponer algún mecanismo que nos permita obtener la información sin errores. Las copias de seguridad nos ofrecen una alternativa para ello, ya que en caso de que se dañe la información original, se recurre entonces al respaldo el cual contiene la información libre de errores.
Como se mencionó anteriormente, las copias de seguridad ofrecen una contingencia en caso de pérdidas de información. La frecuencia con la cual deben hacerse dichas copias va a depender de acuerdo a la volatilidad de la misma. Por ejemplo, usted puede decir que es suficiente realizar las copias de seguridad diariamente, así en caso de ocurrir algún imprevisto, se perderá tan solo un día de trabajo. Tal concepción puede funcionar para muchas organizaciones, pero no para todas, para un banco sería catastrófico perder la información de todas las transacciones de un día, caso contrario ocurre en una organización donde la información no varíe con tanta frecuencia, en la cual no tendría mucho sentido respaldarla diariamente. Independientemente de la frecuencia con la cual se haga, es recomendable tener como mínimo dos (2) copias de seguridad, una permanecerá dentro de la empresa y la otra fuera de ella . Así en caso de que se pierda la información se pueda acceder a la copia que está dentro de la empresa. ¿Y para qué la otra copia?. Recuerde los peligros informáticos, los incendios, las inundaciones. En caso de que se incendie el edificio, se perdería el original y una copia, pero se tendrá acceso a la que está fuera de la empresa. A lo mejor usted dirá: “¿qué gracia tiene tener otro respaldo si se quemó el edificio de la empresa?”. Suponga que dicho edificio sea de la Sucursal de un Banco, lo más seguro que al día siguiente, los clientes estarán preguntando qué pasará con sus ahorros. ¿Ahora si le encuentra sentido?. ¿Nota la importancia de la información sobre otros activos?. Un edificio se recupera, la información de toda la empresa no.
Deben existir medidas que impidan la pérdida de información, ocasionada por averías en los equipos ( Seguridad Física). Si bien es cierto que los computadores no están exentos de sufrir algún desperfecto (es por ello que existen las copias de seguridad), es recomendable diseñar normas para disminuir tales amenazas. Una de las principales causales de pérdida de información, son las bajas de energía. Es por ello que deben estar conectados a un UPS todos los equipos en donde se genere información crítica. Un UPS es un dispositivo (parecido a un regulador de voltaje) que ofrece corriente alterna por un período de tiempo (depende de las especificaciones del equipo, los hay de 5 minutos hasta casi dos horas). De acuerdo a lo anterior, se deduce entonces su importancia: primero, permite completar transacciones inconclusas en el momento del fallo de energía y segundo permite guardar la información y apagar el equipo con normalidad. De igual forma a fin de disminuir las fallas de energía, debe existir una toma independiente de corriente para el área informática. ¿Recuerda los peligros que existen?. ¿Las inundaciones?, es por ello que el Departamento de Computación debe estar ubicados en las zonas más altas del edificio, puesto que tanto los sótanos como los primeros pisos son los más propensos a inundarse.
Uno de los mayores peligros dentro de las empresas son los Fraudes Informáticos (muy comunes hoy en día), es por ello que se diseñan medidas que permitan garantizar la integridad de la información y que la misma esté acorde con la realidad (Seguridad Lógica). El mayor riesgo existe en los Sistemas Multiusuarios, puesto que pueden se manejados por varias personas concurrentemente. En dichos sistemas no todas las personas pueden acceder a la misma información (no todos pueden manipular la nómina de la empresa). para ello se restringe el uso de los Sistemas a través de nombres de usuarios y contraseñas, así cuando una persona desea utilizar el Sistema debe identificarse (con su nombre de usuario) y podrá manipular únicamente lo que tenga autorizado. En este sentido, se debe tener un control de los usuarios que entran al sistema (existen muchos sistemas operativos que lo hacen de manera automática), es por ello que no se debe divulgar el nombre de usuario a otras personas. Por ejemplo, suponga que Marta González tiene asignado el nombre de usuario mgonz128a y su amigo Marcelo Alvarez le pide por favor su nombre de usuario, porque “ necesita hacer algunas cosas con su módulo”, (Marcelo tiene su usuario asignado, malv287s ), pues resulta que ocurrió un problema con dicha información ¿a quién reporta el sistema como responsable? . Sencillo, al usuario que accedió al Sistema, en este caso mgonz128a que pertenece a Marta González. De igual forma, se debe restringir el acceso al Sistema en horas no laborables, ya que el mayor número intento de fraudes ocurre durante dicho período (por lo general en horas de la madrugada). ¿Con estas medidas estoy 100% seguro que no existirán fraudes informáticos?. No, nadie está exento de sufrir un fraude informático, con decirle que han violado la seguridad del Pentágono, NASA, Yahoo!, entre otros. En tal caso le disminuye le riesgo, por lo tanto se recomienda revisar las medidas de seguridad constantemente.
![Fase I: Conocimientos del Sistema ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]](data:image/gif;base64,R0lGODlhAQABAIAAAAAAAP///yH5BAEAAAAALAAAAAABAAEAAAIBRAA7)