Contorles de Auditoría Informática Básicos

1. Contorles de Auditoría Informática Básicos Ing. Elizabeth Guerrero V.

2. Controles de AuditoríaBásicos • Los controles se presentanagrupadossiguiendocriteriosrelacionados con: • Economía, eficacia y eficiencia • Seguridad y • Condicioneslegales • Estoscontroles son lo suficientementegeneralesparaservir de base en la elaboración del guión de trabajo de la labor del equipo auditor

3. Economía, eficacia y eficiencia Determinarsi el inventarioofimáticorefleja con exactitud los equipos y aplicacionesexistentes en la organización • El equipo auditor comprobaráque se handefinidomecanismosparagarantizarquetodos los equiposadquiridos en la organización son debidamenteinventariados. • Comprará la últimaauditoríafinanciera del inventariooficial y lasadquisicionesefectuadas • Revisarátodaslasdependencias, almacenes y archivos, elaboraráunarelaciónexhaustiva de los equiposinformáticos y de lasaplicaciones y archivosqueresiden en los mismos. • Identificarálasdiferenciasreales entre la relaciónelaboradapor el equipo auditor y el inventariooficialparaproceder a la subsanación de los erroresdetectados

4. Economía, eficacia y eficiencia Determinar y evaluar el procedimiento de adquisiciones de equipos y aplicaciones • Partiendo del inventariodebidamenteactualizado el auditor: • Analizará los procedimientosparaadquisición de los productosseguidos en los diversosdepartamentos de la organización • Determinará la existencia de equipos y aplicacionessimilares • Si los diversosdepartamentos de la compañiarealizanpedidos de maneraindependiente, el auditor estudiarási se estádesaprovechando la posibilidad de descuentossi se aplicaraunapolíticacentralizada de compras

5. Economía, eficacia y eficiencia Determinar y evaluar la política de matenimientodefinida en la organización • Examinará la utilización de lasgarantías de los productosadquiridos, comprobandoque no ser realizanpagosinnecesariossobreequipos y aplicacionesque se encuentran en garantía. • Determinarácualesproductosdisponen de contratos de mantenimientovigentes con empresasexternas (Verificarátiempomáximo de respuesta, recambios y mano de obra, mantenimientopreventivo, etc) y cualesrecaensobre la propiaorganización. • Comprobará la existencia de un registro de incidenciasproducides, los procedimientosestablecidosparaasignarrecursosparasolucionearlas, los guionespreparadosparasolventarlasincidenciasmásfrecuentes y el seguimiento de lasmismashastasusolución y el tiempoempleado en atenderlas solicitudes y resolver lasincidencias.

6. Economía, eficacia y eficiencia Evaluar la calidad de lasaplicaciones del entornodesarrolladaspor personal de la propiaorganización • Determinará la existencia de un departamento responsible de controlar el desarrollo de aplicaciones de toda la organización. • Determinaráque se handefinidoprocedimientosgenerales de petición, autorización, asignación de prioridades, programación y entrega de aplicaciones. • Comprobaráquelasaplicacionesdesarrolladas (propias o externas) internamentepuedanconfigurarseparaobtenerlassuficientespistas de auditoria quepermitanefectuar un seguimiento • Examinaráreclamosmanifestadosporclientes y usuariosparadetectarqueaplicacionespodríanestarfuncionando de un modoanómalo.

7. Economía, eficacia y eficiencia Evaluar la corrección del procedimientoexistentepara la realización de los cambios de versiones y aplicaciones • Determinará la existencia de procedimientosformalmenteestablecidospara la autorización, aprobación, adquisición de nuevasaplicaciones y cambios de versiones. • Determinará: • si se analizan los problemas de integración y lasincompatibilidades de los nuevosproductospreviamente a suimplantación; • si se ha establecidoalgún plan de formación de los usuarios finales quevayan a utilizarestosnuevosproduectos; • si los encargados de mantenimientohanadquirido los conocimientossuficientesparaque los cambiosque van a prodicirse no impactennegativamente el funcionamiento de la organización

8. Economía, eficacia y eficiencia Determinarsi los usuarioscuentan con suficienteformación y la documentación de apoyonecesariaparadesarrollarsustareas de un modoeficaz y eficiente • Determinará la existencia de un plan de formación del personal en los productosquetienequeutilizar • Comprobaráque el personal aplicaalgúnmecanismoadquirido en el plan de formación y el fácilacceso a la documentaciónbásicaoperativa del producto

9. Economía, eficacia y eficiencia Determinarsi el sistemaexistente se ajusta a lasnecesidadesreales de la organización • El equipo auditor valorará el uso de los equiposexistentes, revisarálasactividadesque se ejecutan en cadaequipo, paradeterminar la necesidad de actualizar los equiposo por el contrarioestensobredimensionados • Elaboraráunarelación de los equiposque no se encuentranoperativos • Finalmente, elaboraráunarelación con recomendacionessobredescatalogación de productosobsoletos, redistribuciones y adquisición de nuevosequipos y aplicaciones. Economía, eficacia y eficiencia

10. Seguridad Determinarsiexistengarantiassuficientesparaproteger los accesos no autorizados a la informaciónreservada de la empresa y la integridad de la misma • El equipo auditor examinará la documentaciónexistente en materia de seguridad en la organizacióny comprobaráquehansidodefinidosprocedimientos de: • clasificación de la información, • control de acceso • identificación y autentificación • gestión de soportes • gestión de incidencias • controles de auditoria • Luegopasará a comprobarsilasmedidas de seguridaddefinidas se encuentranrealmenteopertativas

11. Seguridad Determinarsi el procedimiento de generación de lascopias de respaldoesfiable y garantiza la recuperación de la información en caso de necesidad • El equipo auditor examinará el procedimiento de copias de seguridadseguido en la organizaciónverificando: • La suficiencia de la periodicidad • La correctaasignación de responsabilidades • El adecuadoalmacenamiento de los soportes • La correctarecuperación de la infomaciónrespaldada

12. Seguridad Determinarsiestagarantizado el funcionamientoininterrumpido de aquellasaplicacionescuyacaídapodríasuponerpérdidas de integridad de la información y aplicaciones • El equipo auditor determinará la existencia de sistemas de alimentaciónininterrumpida, y siéstoscubren el funcionamiento de aquellosequipos en los que se ejecutanprocesoscuyainterrupciónpodríaocacionar graves repercusiones

13. Seguridad Determinar el grado de exposición ante la posibilidad de intrusión de virus • El equipo auditor analizará la protecciónestablecida en cadauno de los puntos del sistemavulnerables: puertosusb, módem, acceso a redes, lectora de CDs o DVDs, … • Revisará la normativapara la instalación y actualizaciónperiodica de software antivirus, asicomo, la configuración de los equipospara la detección de virus y eliminación de los mismos • En caso de detectaralgún virus debeinformar al responsible autorizado

14. Normativavigente • Determinarsi en el entornoofimático se producensituacionesquepuedansuponerinfracciones de Protección de datos de carcter personal • Determinarsi en el entornoofimático se producensituacionesquepuedansuponerinfraccionessobre la propiedadintelectual