Observación 1 (Celda 4):

1. Sumilla

No se ha establecido un estándar de aseguramiento para el sistema operativo de los

servidores virtualizados

2. Condición

El uso de sistema operativo no estándar y otras no conformidades son identificadas en

el área de servidores.

3. Criterio

En base a la resolución de la Contraloría General Nº320-2006-CG en el punto 3.10,

específicamente en el comentario 5 se detalla:
"[…] Controles para el área de soporte técnico, en el mantenimiento de máquinas
(hardware), licencias (software), sistemas operativos, utilitarios (antivirus) y bases de
datos. […]”

4. Causa

El gerente del Área de Infraestructura y Operaciones de TI reporta que no se tiene un

manual oficial de seguridad acerca de la seguridad de los servidores del banco.

5. Efecto

Los servidores poseen diferentes versiones de sistemas operativos distintos que

necesitan requerimientos diferentes para su mantención.

6. Recomendación

Elaborar el manual oficial de seguridad donde se siga un solo lineamiento para el

tratamiento del aseguramiento de los sistemas operativos de los servidores.

Observación 2 (Celda 5):

1. Sumilla

El análisis y atención de vulnerabilidades en los servidores que soportan servicios

críticos del Banco, se realizó parcialmente.

2. Condición
 De acuerdo a una muestra de 12 servidores que utilizan Sistema Operativo AIX, se
identificó que los parches de seguridad del 67% de servidores se encontraban
desactualizados, el 25% no se pudo contar con acceso y el 8% de servidores está fuera
de soporte.

3. Criterio

En base a la resolución de la Contraloría General Nº320-2006-CG en el punto 3.10,

específicamente en el comentario 5 se detalla:
"[…] Controles para el área de soporte técnico, en el mantenimiento de máquinas
(hardware), licencias (software), sistemas operativos, utilitarios (antivirus) y bases de
datos. […]”

4. Causa

El gerente del Área de Infraestructura y Operaciones de TI reporta que aún no se

completa el plan de actualización de parches.

5. Efecto

Los servidores en mención se encuentren expuestos a vulnerabilidades frente a

potenciales ataques informáticos.

6. Recomendación

Se deberá establecer un procedimiento de actualizaciones de seguridad de los

servidores en el cual se definan las responsabilidades, periodicidad de las actividades y
excepciones de ser necesarias.