AUDITORIA A LA GESTION INFORMATICA CONCEPTO: Su aplicacin se enfoca exclusivamente a la revisin de las funciones y actividades de tipo administrativo que se realizan

dentro de un centro de cmputo, tales como planeacin, organizacin, direccin y control del centro. La auditora informtica es un proceso llevado a cabo por profesionales especialmente capacitados para el efecto, y que consiste en recoger, agrupar y evaluar evidencias para determinar si un sistema de informacin salvaguarda el activo empresarial, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organizacin, utiliza eficientemente los recursos, holita y cumple con las leyes y regulaciones establecidas. Permiten detectar de forma sistemtica el uso de los recursos y los flujos de informacin dentro de una organizacin y determinar qu informacin es crtica para el cumplimiento de su misin y objetivos, identificando necesidades, duplicidades, costes, valor y barreras, que obstaculizan flujos de informacin eficientes. Auditar consiste principalmente en estudiar los mecanismos de control que estn implantados en una empresa u organizacin, determinando si los mismos son adecuados y cumplen unos determinados objetivos o estrategias, estableciendo los cambios que se deberan realizar para la consecucin de los mismos. Los mecanismos de control pueden ser directivos, preventivos, de deteccin, correctivos o de recuperacin ante una contingencia. Los objetivos de la auditora Informtica son: o o o El anlisis de la eficiencia de los Sistemas Informticos La verificacin del cumplimiento de la Normativa en este mbito La revisin de la eficaz gestin de los recursos informticos.

La auditora informtica sirve para mejorar ciertas caractersticas en la empresa como: o o o o o o Desempeo Fiabilidad Eficacia Rentabilidad Seguridad Privacidad

Generalmente se puede desarrollar en alguna o combinacin de las siguientes reas: o o o o o Gobierno corporativo Administracin del Ciclo de vida de los sistemas Servicios de Entrega y Soporte Proteccin y Seguridad Planes de continuidad y Recuperacin de desastres

La necesidad de contar con lineamientos y herramientas estndar para el ejercicio de la auditora informtica ha promovido la creacin y desarrollo de mejores prcticas como COBIT, COSO e ITIL. Actualmente la certificacin de ISACA para ser CISA Certified Information Systems Auditor es una de las ms reconocidas y avaladas por los estndares internacionales ya que el proceso de seleccin consta de un examen inicial bastante extenso y la necesidad de mantenerse actualizado acumulando horas (puntos) para no perder la certificacin. Tipos de Auditora de Sistemas Dentro de la auditora informtica destacan los siguientes tipos (entre otros): o o Auditora de la gestin: la contratacin de bienes y servicios, documentacin de los programas, etc. Auditora legal del Reglamento de Proteccin de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgnica de Proteccin de Datos. Auditora de los datos: Clasificacin de los datos, estudio de las aplicaciones y anlisis de los flujogramas. Auditora de las bases de datos: Controles de acceso, de actualizacin, de integridad y calidad de los datos. Auditora de la seguridad: Referidos a datos e informacin verificando disponibilidad, integridad, confidencialidad, autenticacin y no repudio. Auditora de la seguridad fsica: Referido a la ubicacin de la organizacin, evitando ubicaciones de riesgo, y en algunos casos no revelando la situacin fsica de esta. Tambin est referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno. Auditora de la seguridad lgica: Comprende los mtodos de autenticacin de los sistemas de informacin. Auditora de las comunicaciones. Se refiere a la auditoria de los procesos de autenticacin en los sistemas de comunicacin. Auditora de la seguridad en produccin: Frente a errores, accidentes y fraudes.

o o o o

o o o

La tcnica de la auditora, siendo por tanto aceptables equipos multidisciplinarios formados por titulados en Ingeniera Informtica e Ingeniera Tcnica en Informtica y licenciados en derecho especializados en el mundo de la auditora.

PARTE 2 Caractersticas de la Auditora Informtica: La informacin de la empresa y para la empresa, siempre importante, se ha convertido en un Activo Real de la misma, como sus Stocks o materias primas si las hay. Por ende, han de realizarse inversiones informticas, materia de la que se ocupa la Auditora de Inversin Informtica. Del mismo modo, los Sistemas Informticos han de protegerse de modo global y particular: a ello se debe la existencia de la Auditora de Seguridad Informtica en general, o a la auditora de Seguridad de alguna de sus reas, como pudieran ser Desarrollo o Tcnica de Sistemas. Cuando se producen cambios estructurales en la Informtica, se reorganiza de alguna forma su funcin: se est en el campo de la Auditora de Organizacin Informtica. Estos tres tipos de auditoras engloban a las actividades auditoras que se realizan en una auditora parcial. De otra manera: cuando se realiza una auditoria del rea de Desarrollo de Proyectos de la Informtica de una empresa, es porque en ese Desarrollo existen, adems de ineficiencias, debilidades de organizacin, o de inversiones, o de seguridad, o alguna mezcla de ellas.

Sntomas de Necesidad de una Auditora Informtica: Las empresas acuden a las auditoras externas cuando existen sntomas bien perceptibles de debilidad. Estos sntomas pueden agruparse en clases: Sntomas de descoordinacion y desorganizacin: o o No coinciden los objetivos de la Informtica de la Compaa y de la propia Compaa. Los estndares de productividad se desvan sensiblemente de los promedios conseguidos habitualmente.

[Puede ocurrir con algn cambio masivo de personal, o en una reestructuracin fallida de alguna rea o en la modificacin de alguna Norma importante] Sntomas de mala imagen e insatisfaccin de los usuarios: o No se atienden las peticiones de cambios de los usuarios. Ejemplos: cambios de Software en los terminales de usuario, resfrecamiento de paneles, variacin de los ficheros que deben ponerse diariamente a su disposicin, etc. No se reparan las averas de Hardware ni se resuelven incidencias en plazos razonables. El usuario percibe que est abandonado y desatendido permanentemente. No se cumplen en todos los casos los plazos de entrega de resultados peridicos. Pequeas desviaciones pueden causar importantes desajustes en la actividad del usuario, en especial en los resultados de Aplicaciones crticas y sensibles.

o o

Sntomas de debilidades econmico-financiero: o o o o Incremento desmesurado de costes. Necesidad de justificacin de Inversiones Informticas (la empresa no est absolutamente convencida de tal necesidad y decide contrastar opiniones). Desviaciones Presupuestarias significativas. Costes y plazos de nuevos proyectos (deben auditarse simultneamente a Desarrollo de Proyectos y al rgano que realiz la peticin).

Sntomas de Inseguridad: Evaluacin de nivel de riesgos o o o Seguridad Lgica Seguridad Fsica Confidencialidad

[Los datos son propiedad inicialmente de la organizacin que los genera. Los datos de personal son especialmente confidenciales] o Continuidad del Servicio. Es un concepto an ms importante que la Seguridad. Establece las estrategias de continuidad entre fallos mediante Planes de Contingencia* Totales y Locales. Centro de Proceso de Datos fuera de control. Si tal situacin llegara a percibirse, sera prcticamente intil la auditora. Esa es la razn por la cual, en este caso, el sntoma debe ser sustituido por el mnimo indicio.

AUDITORIA A LA SEGURIDAD INFORMATICA CONCEPTO: Una auditora de seguridad informtica o auditora de seguridad de sistemas de informacin (SI) es el estudio que comprende el anlisis y gestin de sistemas para identificar y posteriormente corregir las diversas vulnerabilidades que pudieran presentarse en una revisin exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores. Una vez obtenidos los resultados, se detallan, archivan y reportan a los responsables quienes debern establecer medidas preventivas de refuerzo, siguiendo siempre un proceso secuencial que permita a los administradores mejorar la seguridad de sus sistemas aprendiendo de los errores cometidos con anterioridad. Las auditoras de seguridad de SI permiten conocer en el momento de su realizacin cul es la situacin exacta de sus activos de informacin en cuanto a proteccin, control y medidas de seguridad. La computadora es un instrumento que estructura gran cantidad de informacin, la cual puede ser confidencial para individuos, empresas o instituciones, y puede ser mal utilizada o divulgada a personas que hagan mal uso de esta. Tambin puede ocurrir robos, fraudes o sabotajes que

provoquen la destruccin total o parcial de la actividad computacional. Esta informacin puede ser de suma importancia, y el no tenerla en el momento preciso puede provocar retrasos sumamente costosos. En la actualidad y principalmente en las computadoras personales, se ha dado otro factor que hay que considerar: el llamado "virus" de las computadoras, el cual, aunque tiene diferentes intenciones, se encuentra principalmente para paquetes que son copiados sin autorizacin ("piratas") y borra toda la informacin que se tiene en un disco. Al auditar los sistemas se debe tener cuidado que no se tengan copias "piratas" o bien que, al conectarnos en red con otras computadoras, no exista la posibilidad de transmisin del virus. El uso inadecuado de la computadora comienza desde la utilizacin de tiempo de mquina para usos ajenos de la organizacin, la copia de programas para fines de comercializacin sin reportar los derechos de autor hasta el acceso por va telefnica a bases de datos a fin de modificar la informacin con propsitos fraudulentos. La seguridad en la informtica abarca los conceptos de seguridad fsica y seguridad lgica. La seguridad fsica se refiere a la proteccin del Hardware y de los soportes de datos, as como a la de los edificios e instalaciones que los albergan. Contempla las situaciones de incendios, sabotajes, robos, catstrofes naturales, etc.

La seguridad lgica se refiere a la seguridad de uso del software, a la proteccin de los datos, procesos y programas, as como la del ordenado y autorizado acceso de los usuarios a la informacin. Un mtodo eficaz para proteger sistemas de computacin es el software de control de acceso. Dicho simplemente, los paquetes de control de acceso protegen contra el acceso no autorizado, pues piden del usuario una contrasea antes de permitirle el acceso a informacin confidencial. Dichos paquetes han sido populares desde hace muchos aos en el mundo de las computadoras grandes, y los principales proveedores ponen a disposicin de clientes algunos de estos paquetes. La seguridad informtica se la puede dividir como Area General y como Area Especifica (seguridad de Explotacin, seguridad de las Aplicaciones, etc.). As, se podrn efectuar auditoras de la Seguridad Global de una Instalacin Informtica Seguridad General- y auditoras de la Seguridad de un rea informtica determinada Seguridad Especifica -. Con el incremento de agresiones a instalaciones informticas en los ltimos aos, se han ido originando acciones para mejorar la Seguridad Informtica a nivel fsico. Los accesos y conexiones indebidos a travs de las Redes de Comunicaciones, han acelerado el desarrollo de productos de Seguridad lgica y la utilizacin de sofisticados medios criptograficos. El sistema integral de seguridad debe comprender:

o o o o o o o o o o

Elementos administrativos Definicin de una poltica de seguridad Organizacin y divisin de responsabilidades Seguridad fsica y contra catstrofes(incendio, terremotos, etc.) Prcticas de seguridad del personal Elementos tcnicos y procedimientos Sistemas de seguridad (de equipos y de sistemas, incluyendo todos los elementos, tanto redes como terminales. Aplicacin de los sistemas de seguridad, incluyendo datos y archivos El papel de los auditores, tanto internos como externos Planeacin de programas de desastre y su prueba.

La decisin de abordar una Auditora Informtica de Seguridad Global en una empresa, se fundamenta en el estudio cuidadoso de los riesgos potenciales a los que est sometida. Se elaboran "matrices de riesgo", en donde se consideran los factores de las "Amenazas" a las que est sometida una instalacin y los "Impactos" que aquellas puedan causar cuando se presentan. Las matrices de riesgo se representan en cuadros de doble entrada <<Amenaza-Impacto>>, en donde se evalan las probabilidades de ocurrencia de los elementos de la matriz.

AUDITORIA A LOS SISTEMAS DE REDES CONCEPTO: Se realiza a los sistemas de redes de una empresa, considerando en su evaluacin los tipos de redes, arquitectura, topologa, sus protocolos de comunicacin, las conexiones, accesos, privilegios, administracin.

PLANEACION DE SEGURIDAD EN REDES Es importante tener una poltica de seguridad de red bien concebida y efectiva que pueda proteger la inversin y los recursos de informacin de la compaa. Vale la pena implementar una poltica de seguridad si los recursos y la informacin que la organizacin tiene en sus redes merecen protegerse. La mayora de las organizaciones tienen en sus redes informacin delicada y secretos importantes; esto debe protegerse del acceso indebido del mismo modo que otros bienes valiosos como la propiedad corporativa y los edificios de oficinas. La mayora de los diseadores de redes por lo general empiezan a implementar soluciones de firewall antes de que se haya identificado un problema particular de seguridad de red. Quiz una de las razones de esto es que idear una poltica de seguridad de red efectiva significa plantear preguntas difciles acerca de los tipos de servicios de Inter.-redes y recursos cuyo acceso se permitir a los usuarios, y cuales tendrn que restringirse debido a los riesgos de seguridad.

Si actualmente sus usuarios tienen acceso irrestricto a la red, puede ser difcil aplicar una poltica que limite ese acceso. Tambin debe tomar en cuenta que la poltica de seguridad que Usted debe usar es tal, que no disminuirla la capacidad de su organizacin. Una poltica de red que impide que los usuarios cumplan efectivamente con sus tareas, puede traer consecuencias indeseables: los usuarios de la red quiz encuentren la forma de eludir la poltica de seguridad, lo cual la vuelve inefectiva. Una poltica de seguridad en redes efectiva es algo que todos los usuarios y administradores de redes pueden aceptar y estn dispuestos a aplicar. POLITICA DE SEGURIDAD DEL SITIO Una organizacin puede tener muchos sitios, y cada uno contar con sus propias redes. S la organizacin es grande, es muy probable que los sitios tengan diferente administracin de red, con metas y objetivos diferentes. Si esos sitios no estn conectados a travs de una red interna, cada uno de ellos puede tener sus propias polticas de seguridad de red. Sin embargo, si los sitios estn conectados mediante una red interna, la poltica de red debe abarcar todos los objetivos de los sitios interconectados. En general, un sitio es cualquier parte de una organizacin que posee computadoras y recursos relacionados con redes. Algunos, no todos, de esos recursos son los siguientes: o o o o o o o Estaciones de trabajo. Computadoras host y servidores. Dispositivos de interconexin gateway, routers, bridges, repetidores. Servidores de terminal. Software para conexin de red y de aplicaciones. Cables de red La informacin de archivos y bases de datos.

La poltica de seguridad del sitio debe tomar en cuenta la proteccin de estos recursos. Debido a que el sitio est conectado a otras redes, la poltica de seguridad del sitio debe considerar las necesidades y requerimientos de seguridad de todas las redes interconectadas. Este es un punto importante en el que es posible idear una poltica de seguridad que salvaguarde sus intereses pero que sea daina para los de otros. Un ejemplo de esto sera el uso deliberado de direcciones IP, detrs del gateway de las firewall que ya estn siendo usadas por alguien ms. En este los ataques que se hicieran contra su red mediante la falsificacin de las direcciones IP de su red, se desviarn a la organizacin a la que pertenecen las direcciones IP que usted est usando. Debe evitarse esta situacin, ya que su inters es ser un `buen ciudadano' de Internet.