Asx03 g0 cap02_2005_0

CAPITULO II. CONTROL INTERNO y AUDITORIA
INFORMATICA
2.1. INTRODUCCION

DURANTE EL ULTIMO DECENIO, LA PRENSA A REPORTADO SOBRE MUCHOS ESCANDALOS
RELATIVOS A ERRORES EN EL OTORGAMIENTO DE CREDITOS CON LA GARANTIA DE
INMUEBLES INEXISTENTES o EXTREMADAMENTE SOBREVALORADOS, LA MANIPULACION DE
INFORMACION FINANCIERA, OPERACIONES BURSATILES REALIZADAS CON INFORMACION
PRIVILIGIADA......

LAS EMPRESAN ESTAN TOMADO INICIATIVAS, TALES COMO :
•LA REESTRUCTURACION DE LOS PROCESOS EMPRESARIALES (BPR – BUSSINESS
PROCESS RE-ENGINEERING),
•LA GESTION DE LA CALIDAD TOTAL (TQM- TOTAL QUALITY MANAGEMENT),
•LA CONTRATACION EXTERNA (OUTSOURCING),
•LA DESCENTRALIZACION,
EL MUNDO CAMBIA CADA VEZ MAS RAPIDO.. CRECIENTE NECESIDAD DE ACCEDER A LOS
MERCADOS MUNDIALES.. INTENSIFICACION DE LA COMPETENCIA, NUEVAS TECNOLOGIAS..

TENDENCIAS EXTERNAS QUE INFLUYEN SOBRE LAS EMPRESAS :
•LA GLOBALIZACION.
•LA DIVERSIFICACION DE ACTIVIDADES,
•LA ELIMINACION DE RAMAS DE NEGOCIO NO RENTABLES o ANTIGUAS.
•LA INTRODUCCION DE NUEVOS PRODUCTOS COMO RESPUESTA A LA COMPETENCIA,
•LAS FUSIONES y LA FORMACION DE ALIANZAS ESTRATEGICAS,
1

continuación ..

ANTE LA RAPIDEZ DE LOS CAMBIOS, LOS DIRECTIVOS TOMAN CONCIENCIA DE
QUE PARA EVITAR FALLOS DE CONTROL SIGNIFICATIVOS DEBEN REEVALUAR
y REESTRUCTURAR SUS SISTEMAS DE CONTROLES INTERNOS.
DEBEN ACTUAR DE MANERA PROACTIVA, ANTES DE QUE SURJAN LOS
PROBLEMAS... GARANTIZANDO AL CONSEJO DE ADMINISTRACION,
ACCIONISTAS, COMITES y PUBLICO, QUE LOS CONTROLES INTERNOS, ESTAN
ADECUADAMENTE DISEÑADOS PARA HACER FRENTE A LOS RETOS DEL
FUTURO y ASEGURAR LA INTEGRIDAD EN EL MOMENTO ACTUAL.
CENTRO DE INFORMATICA SOPORTA LOS SISTEMAS DE INFORMACION DEL
NEGOCIO,, POR LO QUE AUMENTA LA COMPLEJIDAD DE LAS NECESIDADES DE
CONTROL y AUDITORIA,, SURGE COMO MEDIDA ORGANIZATIVA : LAS FIGURAS
DE CONTROL INTERNO y AUDITORIA INFORMATICA.
LOS AUDITORES INFORMATICOS APORTAN CONOCIMIENTOS
ESPECIALIZADOS, ASI COMO SU FAMILIARIDAD CON LAS TI.
SE SIGUEN TRATANDO LAS MISMAS CUESTIONES DE CONTROL DE AUDITORIA,
PERO LOS ESPECIALISTAS EN AUDITORIA INFORMATICA DE SISTEMAS
BASADOS EN COMPUTADORES PRESTAN UNA AYUDA VALIOSA A LA
ORGANIZACIÓN y A LOS OTROS AUDITORES EN TODO LO RELATIVO A LOS
CONTROLES SOBRE DICHOS SISTEMAS.
EL ENFOQUE CENTRADO EN CONTROLES NORMALMENTE EXIGE
CONOCIMIENTOS INFORMATICOS A NIVEL DE LA TECNOLOGIA UTILIZADA EN
EL AREA o LA ORGANIZACION QUE SE EXAMINA. 2

2.2. LAS FUNCIONES DE CONTROL INTERNO y AUDITORIA INFORMATICOS
2.2.1. CONTROL INTERNO INFORMATICO

CONTROLA DIARIAMENTE QUE TODAS LAS ACTIVIDADES DE
SISTEMAS DE INFORMACION SEAN LLEVADAS A CABO,
CUMPLIENDO LOS PROCEDIMIENTOS, ESTANDARES y NORMAS
FIJADAS POR LA DIRECCION DE LA ORGANIZACION y/o LA
DIRECCION DE INFORMATICA, ASI COMO LOS REQUERIMIENTOS
LEGALES.
SUELE SER UN ORGANO STAFF DE LA DIRECCION DEL
DEPARTAMENTO DE INFORMATICA y ESTA DOTADO DE LAS
PERSONAS y MEDIOS MATERIALES PROPORCIONADOS A LOS
COMETIDOS QUE SE LE ENCOMIENDEN.

3

continuación ..

OBJETIVOS :
•CONTROLAR QUE TODAS LAS ACTIVIDADES SE REALIZAN
CUMPLIENDO LOS PROCEDIMIENTOS y NORMAS FIJADOS,
EVALUAR SU BONDAD y ASEGURARSE DEL CUMPLIMIENTO DE
LAS NORMAS LEGALES,
•ASESORAR SOBRE EL CONOCIMIENTO DE LAS NORMAS,
•.COLABORAR y APOYAR EL TRABAJO DE AUDITORIA
INFORMATICA, ASI COMO LAS AUDITORIAS EXTERNAS AL
GRUPO,
•DEFINIR, IMPLANTAR Y EJECUTAR MECANISMOS y CONTROLES
PARA COMPROBAR EL LOGRO DE LOS GRADOS ADECUADOS
DEL SERVICIO INFORMATICO

4

continuación ..
CONTROL DE LAS DIFERENTES ACTIVIDADES OPERATIVAS SOBRE :
•EL CUMPLIMIENTO DE PROCEDIMIENTOS, NORMAS y CONTROLES DICTADOS. SE DEBE
RESALTAR : VIGILANCIA SOBRE EL CONTROL DE CAMBIOS y VERSIONES DEL SOFTWARE,
•CONTROLES SOBRE LA PRODUCCION DIARIA,
•CONTROLES SOBRE LA CALIDAD y EFICIENCIA DEL DESARROLLO y MANTENIMIENTO DEL
SOFTWARE y y DEL SERVICIO INFORMATICO,
•CONTROLES EN LAS REDES DE COMUNICACIONES,
•CONTROLES SOBRE EL SOFTWARE DE BASE,
•CONTROLES EN LOS SISTEMAS MICROINFORMATICOS,
•LA SEGURIDAD INFORMATICA (SU RESPONSABILIDAD PUEDE ESTAR ASIGNADA A
CONTROL INTERNO o BIEN PUEDE ASIGNARSELE LA RESPONSABILIDAD DE CONTROL
DUAL DE LA MISMA CUANDO ESTA ENCARGADA A OTRO ORGANO) :
• USUARIOS, RESPONSABLES y PERFILES DE USO DE
ARCHIVOS y BASE DE DATOS,
• NORMAS DE SEGURIDAD,
• CONTROL DE INFORMACION CLASIFICADA,
• CONTROL DUAL DE LA SEGURIDAD INFORMATICA

•LICENCIAS y RELACIONES CONTRACTUALES CON TERCEROS,
•ASESORAR y TRANSMITIR CULTURA SOBRE EL RIESGO INFORMATICO.

5

2.2.2. AUDITORIA INFORMATICA
ES EL PROCESO DE RECOGER, AGRUPAR y EVALUAR EVIDENCIAS PARA
DETERMINAR SI UN SISTEMA INFORMATIZADO SALVAGUARDA LOS ACTIVOS,
MANTIENE LA INTEGRIDAD DE LOS DATOS, LLEVA A CABO EFICAZMENTE LOS
FINES DE LA ORGANIZACIÓN Y UTILIZA EFICIENTEMENTE LOS RECURSOS.
DE ESTE MODO LA AUDITORIA INFORMATICA SUSTENTA y CONFIRMA LA
CONSECUCION DE LOS OBJETIVOS TRADICIONALES DE LA AUDITORIA :
• OBJETIVOS DE PROTECCION DE ACTIVOS E INTEGRIDAD DE DATOS,
• OBJETIVOS DE GESTION QUE ABARCAN, NO SOLAMENTE LOS DE PROTECCION
DE ACTIVOS, SINO TAMBIEN LOS DE EFICACIA y EFICIENCIA,

FUNCIONES A REALIZAR POR UN AUDITOR INFORMATICO :
• PARTICIPAR EN LAS REVISIONES DURANTE y DESPUES DEL DISEÑO,
REALIZACION, IMPLANTACION y EXPLOTACION DE APLICACIONES
INFORMATICAS, ASI COMO EN LAS FASES ANALOGAS DE REALIZACION DE
CAMBIOS IMPORTANTES,
• REVISAR y JUZGAR LOS CONTROLES IMPLANTADOS EN LOS SI PARA VERIFICAR
SU ADECUACION A LAS ORDENES e INSTRUCCIONES DE LA DIRECCION,
REQUISITOS LEGALES, PROTECCION DE CONFIDENCIALIDAD y COBERTURA
ANTE ERRORES y FRAUDES,
• REVISAR y JUZGAR EL NIVEL DE EFICACIA, UTILIDAD, FIABILIDAD y SEGURIDAD
DE LOS EQUIPOS e INFORMACION,

6

continuación ...

PARA LA REALIZACION DE ESTAS FUNCIONES EL AUDITOR INFORMATICO
DEBERA APLICAR TECNICAS MECANIZADAS DE AUDITORIA, INCLUYENDO EL
USO DE SOFTWARE DE AUDITORIA y OTRAS TECNICAS ASISTIDAS POR
COMPUTADOR.

El auditor es responsable de revisar e informar a la
Dirección de la Organización sobre el diseño y el
funcionamiento de los controles implantados y sobre
la fiabilidad de la información suministrada.

7

2.2.3. CONTROL INTERNO y AUDITORIA INFORMATICA : CAMPOS ANALOGOS
LA EVOLUCION DE AMBAS FUNCIONES HA SIDO ESPECTACULAR DURANTE LA
ULTIMA DECADA

CONTROL INTERNO AUDITOR INFORMATICO
INFORMATICO

Personal interno.
Conocimientos especializados en Tecnología de la Información.
Verificación del cumplimiento de controles interno, normativa y
procedimientos establecidos por la dirección de Informática y la
SIMILITUDES Dirección General para los sistemas de información.

Análisis de los controles en el Análisis de un momento
día a día. informático determinado.
Informa a la Dirección del Informa a la Dirección General
DIFERENCIAS Departamento de Informática. de la Organización.
Solo personal interno. Personal interno y/o externo.
El alcance de sus funciones es Tiene cobertura sobre todos los
únicamente sobre el componentes de los sistemas de
Departamento de Informática. información de la Organización. 8

2.3. SISTEMA DE CONTROL INTERNO INFORMATICO
2.3.1. DEFINICION y TIPOS DE CONTROLES INTERNOS

SE PUEDE DEFINIR EL CONTROL INTERNO COMO “CUALQUIER ACTIVIDAD o
ACCION REALIZADA MANUAL y/o AUTOMATICAMENTE PARA PREVENIR,
CORREGIR ERRORES o IRREGULARIDADES QUE PUEDAN AFECTAR AL
FUNCIONAMIENTO DE UN SISTEMA PARA CONSEGUIR SUS OBJETIVOS”.
CATEGORIAS :
• CONTROLES PREVENTIVOS : INTENTAR EVITAR QUE SE DE CIERTA
SITUACION. SIRVA COMO EJEMPLO CONTAR CON UN SOFTWARE DE
SEGURIDAD QUE IMPIDA LOS ACCESOS NO AUTORIZADOS AL
SISTEMA.
• CONTROLES DETECTIVOS : CUANDO FALLAN LOS CONTROLES
PREVENTIVOS, HAY QUE DETECTAR LOS FALLOS. POR EJEMPLO :
LOS ARCHIVOS LOG DEL SISTEMA (REGISTROS DE INTENTOS DE
ACCESO NO AUTORIZADOS, EL REGISTRO DE LA ACTIVIDAD DIARIA
PARA DETECTAR ERRORES u OMISIONES).
• CONTROLES CORRECTIVOS : FACILITAN LA VUELTA A LA
NORMALIDAD ANTE UNA INCIDENCIA. EN NUESTRO CASO UN
SIMPLE BACK UP SUPONDRIA UN CONTROL CORRECTIVO.

9

... continuación
COMO EL CONCEPTO DE CONTROLES SE ORIGINÓ EN LA PROFESIÓN DE AUDITORÍA,
RESULTA IMPORTANTE CONOCER LA RELACIÓN QUE EXISTE ENTRE LOS MÉTODOS DE
CONTROL, LOS OBJETIVOS DE CONTROL Y LOS OBJETIVOS DE AUDITORÍA. SE TRATA DE
UN TEMA DIFÍCIL POR EL HECHO DE QUE, HISTÓRICAMENTE, CADA MÉTODO DE CONTROL
HA ESTADO ASOCIADO UNÍVOCAMENTE CON UN OBJETIVO DE CONTROL (POR EJEMPLO, LA
SEGURIDAD DE ARCHIVOS DE DATOS SE CONSEGUÍA SENCILLAMENTE MANTENIENDO LA
SALA DE COMPUTADORES CERRADA CON LLAVE).
SIN EMBARGO, A MEDIDA QUE LOS SISTEMAS INFORMÁTICOS SE HAN VUELTO MÁS
COMPLEJOS, LOS CONTROLES INFORMÁTICOS HAN EVOLUCIONADO HASTA CONVERTIRSE
EN PROCESOS INTEGRADOS EN LOS QUE SE ATENÚAN LAS DIFERENCIAS ENTRE LAS
CATEGORÍAS TRADICIONALES DE CONTROLES INFORMÁTICOS.
POR EJEMPLO, EN LOS ACTUALES SISTEMAS INFORMÁTICOS PUEDE RESULTAR DIFÍCIL VER
LA DIFERENCIA ENTRE SEGURIDAD DE LOS PROGRAMAS, DE LOS DATOS Y OBJETIVOS DE
CONTROL DEL SOFTWARE DEL SISTEMA, PORQUE EL MISMO GRUPO DE MÉTODOS DE
CONTROL SATISFACE CASI TOTALMENTE LOS TRES OBJETIVOS DE CONTROL.
LA RELACIÓN QUE EXISTE ENTRE LOS MÉTODOS DE CONTROL Y LOS OBJETIVOS DE
CONTROL PUEDE DEMOSTRARSE MEDIANTE EL SIGUIENTE EJEMPLO, EN EL QUE UN MISMO
CONJUNTO DE MÉTODOS DE CONTROL SE UTILIZA PARA SATISFACER OBJETIVOS DE
CONTROL TANTO DE MANTENIMIENTO COMO DE SEGURIDAD DE LOS PROGRAMAS:
• OBJETIVO DE CONTROL DE MANTENIMIENTO: ASEGURAR QUE LAS MODIFICACIONES DE
LOS PROCEDIMIENTOS PROGRAMADOS ESTÁN ADECUADAMENTE DISEÑADAS, PROBADAS,
APROBADAS E IMPLANTADAS.
• OBJETIVO DE CONTROL DE SEGURIDAD DE PROGRAMAS: GARANTIZAR QUE NO SE
PUEDEN EFECTUAR CAMBIOS NO AUTORIZADOS EN LOS PROCEDIMIENTOS
PROGRAMADOS.
10

2.3.2. IMPLANTACIÓN DE UN SISTEMA DE CONTROLES INTERNOS
INFORMÁTICOS
Los controles pueden implantarse a varios niveles diferentes. La evaluación de los controles de
la Tecnología de la Información exige analizar diversos elementos interdependientes. Por ello
es importante llegar a conocer bien la configuración del sistema, con el objeto de identificar los
elementos, productos y herramientas que existen para saber dónde pueden implantarse los
controles. así como para identificar posibles riesgos.
Para llegar a conocer la configuración del sistema es necesario documentar los detalles de la
red, así como los distintos niveles de control y elementos relacionados:
•Entorno de red: esquema de la red, descripción de la configuración hardware de
comunicaciones, descripción del software que se utiliza como acceso a las telecomunicaciones,
control de red, situación general de los computadores de entornos de base que soportan
aplicaciones críticas y consideraciones relativas a la seguridad de la red.
•Configuración del computador base: configuración del soporte físico, entorno del sistema
operativo, software con particiones, entornos (pruebas y real), bibliotecas de programas y
conjunto de datos.
•Entorno de aplicaciones: procesos de transacciones, sistemas de gestión de bases de datos y
entornos de procesos distribuidos.
•Productos y herramientas: software para desarrollo de programas, software de gestión de
bibliotecas y para operaciones automáticas.
•Seguridad del computador base: identificar y verificar usuarios, control de acceso, registro e
información, integridad del sistema, controles de supervisión, etc.
11

... continuación

Para la implantación de un sistema de controles internos informáticos habrá que
definir :
•Gestión de sistemas de información: políticas, pautas y normas técnicas que sirvan
de base para el diseño y la implantación de los sistemas de información y de los
controles correspondientes,
•Administración de sistemas: controles sobre la actividad de los centros de datos y
otras funciones de apoyo al sistema, incluyendo la administración de las redes,
•Seguridad: incluye las tres clases de controles fundamentales implantados en el
software del sistema, integridad del sistema, confidencialidad (control de acceso) y
disponibilidad,
•Gestión del cambio: separación de las pruebas y la producción a nivel de software y
controles de procedimientos para la migración de programas software aprobados y
probados.

12

... continuación
La implantación de una política y cultura sobre la seguridad
requiere que sea realizada por fases y esté respaldada por la
Dirección. Cada función juega un papel importante en las
distintas etapas:
Dirección de Negocio o Dirección de Sistemas de
Información (S.I.): Han de definir la política y/o directrices para CONTROL INTERNO y AUDITORIA
los sistemas de información en base a las exigencias del
negocio, que podrán ser internas o externas,
Dirección de Informática: Ha de definir las normas de POLÍTICA DE SEGURIDAD

funcionamiento del entorno informático y de cada una de las
funciones de Informática mediante la creación y publicación de
procedimientos, estándares, metodología y normas, aplicables a PLAN DE SEGURIDAD
todas las áreas de Informática así como a los usuarios, que
establezcan el marco de funcionamiento, NORMAS Y PROCEDIMIENTOS
Control Interno Informático: Ha de definir los diferentes
controles periódicos a realizar en cada una de las funciones MEDIDAS TECNOLÓGICAS
informáticas, de acuerdo al nivel de riesgo de cada una de ellas, IMPLANTADAS
y ser diseñados conforme a los objetivos de negocio y dentro del
marco legal aplicable. Éstos se plasmarán en los oportunos FORMACIÓN Y MENTALIZACION
procedimientos de control interno y podrán ser preventivos o de
detección. Realizará periódicamente la revisión de los controles
establecidos de Control Interno Informático informando de las
desviaciones a la Dirección de Infonnática y sugiriendo cuantos
cambios crea convenientes en los controles, así como transmitirá
constantemente a toda la organización de Informática la cultura y
políticas del riesgo informático.
13

... continuación

DIRECCIÓN POLÍTICAS y
Exigencias internas y DIRECTRICES
externas
POLITICA

ESTANDARES
PROCEDIMIENTOS
NORMAS y
COMPROBACIÓN Y METODOLOGIAS
SEGUIMIENTO DE
CONTROLES
CULTURA
IMPLANTAR
PROCEDIMIENTOS DE
CONTROL

Auditor interno/externo informático: Ha de revisar los diferentes controles internos
definidos en cada una de las funciones informáticas y el cumplimiento de normativa
interna y externa, de acuerdo al nivel de riesgo, conforme a los objetivos definidos por
la Dirección de Negocio y la Dirección de Informática. Informará a la Alta Dirección de
los hechos observados y al detectarse deficiencias o ausencias de controles
recomendarán acciones que minimicen los riesgos que pueden originarse.
La creación de un sistema de control informático es una responsabilidad de la
Gerencia y un punto destacable de la política en el entorno informático.
14

... continuación

A continuación se indican algunos controles internos (no todos los que deberían definirse)
para sistemas de información, agrupados por secciones funcionales, y que serían los que
Control Interno Informático y Auditoría Informática deberían verificar para determinar su
cumplimiento y validez:
1. Controles generales organizativos
•Políticas: deberán servir de base para la planificación, control y evaluación por la Dirección
de las actividades del Departamento de Informática.
•Planificación :
• Plan Estratégico de Información, realizado por los órganos de la Alta Dirección
de la Empresa donde se definen los procesos corporativos y se considera el uso
de las diversas tecnologías de información así como las amenazas y
oportunidades de su uso o de su ausencia.
• Plan Informático. realizado por el Departamento de Informática, determina los
caminos precisos para cubrir las necesidades de la Empresa plasmándolas en
proyectos informáticos.
• Plan General de Seguridad (física y lógica), que garantice la confidencialidad,
integridad y disponibilidad de la información.
• Plan de emergencia ante desastres, que garantice la disponibilidad de los
sistemas ante eventos.
•Estándares: que regulen la adquisición de recursos, el diseño, desarrollo y modificación y
explotación de sistemas. 15

... continuación

•Procedimientos: que describan la forma y las responsabilidades de ejecutoria para regular
las relaciones entre el Departamento de Informática y los departamentos usuarios.
•Organizar el Departamento de Informática en un nivel suficientemente superior de
estructura organizativa como para asegurar su independencia de los departamentos
usuarios.
•Descripción de las funciones y responsabilidades dentro del Departamento con una clara
separación de las mismas.
•Políticas de personal: selección, plan de formación, plan de vacaciones y evaluación y
promoción.
•Asegurar que la Dirección revisa todos los informes de control y resuelve las excepciones
que ocurran.
•Asegurar que existe una política de clasificación de la información para saber dentro de la
Organización qué personas están autorizadas y a qué información.
•Designar oficialmente la figura de Control Interno Informático y de Auditoría Informática
(estas dos figuras se nombrarán internamente en base al tamaño del Departamento de
Informática).

16

... continuación

2. Controles de desarrollo, adquisición y mantenimiento de sistemas de información
•Para que permitan alcanzar la eficacia del sistema. economía y eficiencia, integridad de
los datos, protección de los recursos y cumplimiento con las leyes y regulaciones.
•Metodología del ciclo de vida del desarrollo de sistemas: su empleo podrá garantizar a la
alta Dirección que se alcanzarán los objetivos definidos para el sistema. Éstos son algunos
controles que deben existir en la metodología:
• La alta Dirección debe publicar una normativa sobre el uso de metodología de
ciclo de vida del desarrollo de sistemas y revisar ésta periódicamente.
• La metodología debe establecer los papeles y responsabilidades de las distintas
áreas del Departamento de Informática y de los usuarios, así como la
composición y responsabilidades del equipo del proyecto.
• Las especificaciones del nuevo sistema deben ser definidas por los usuarios y
quedar escritas y aprobadas antes de que comience el proceso de desarrollo.
• Debe establecerse un estudio tecnológico de viabilidad en el cual se formulen
formas alternativas de alcanzar los objetivos del proyecto acompañadas de un
análisis coste-beneficio -de cada alternativa-.
• Cuando se seleccione una alternativa debe realizarse el plan director del
proyecto. En dicho plan deberá existir una metodología de control de costes.

17

... continuación

• Procedimientos para la definición y documentación de especificaciones de: diseño. de
entrada, de salida, de archivos. de procesos, de programas, de controles de seguridad. de
pistas de auditoría. etc.
• Plan de validación. verificación y pruebas.
• Estándares de prueba de programas, de prueba de sistemas.
• Plan de conversión: prueba de aceptación final.
• Los procedimientos de adquisición de software deberán seguir las políticas de adquisición
de la Organización y dichos productos debieran ser probados y revisados antes de pagar
por ellos y ponerlos en uso.
• La contratación de programas de servicios de programación a medida ha de estar
justificada mediante una petición escrita de un director de proyecto.
• Deberán prepararse manuales de operación y mantenimiento como parte de todo proyecto
de desarrollo o modificación de sistemas de información, así como manuales de usuario.

18

... continuación

•Explotación y mantenimiento: el establecimiento de controles asegurará que los datos se tratan de
forma congruente y exacta y que el contenido de sistemas sólo será modificado mediante autorización
adecuada. estos son algunos de los controles que se deben implantar:
• Procedimientos de control de explotación.
• Sistema de contabilidad para asignar a usuarios los costes asociados con la explotación de
un sistema de información.
• Procedimientos para realizar un seguimiento y control de los cambios de un sistema de
información.

19

... continuación

•Explotación y mantenimiento: el establecimiento de controles asegurará que los datos se tratan de
forma congruente y exacta y que el contenido de sistemas sólo será modificado mediante autorización
adecuada. estos son algunos de los controles que se deben implantar:
• Procedimientos de control de explotación.
• Sistema de contabilidad para asignar a usuarios los costes asociados con la explotación de
un sistema de información.
• Procedimientos para realizar un seguimiento y control de los cambios de un sistema de
información.

20

... continuación

3. Controles de explotación de sistemas de información
•Planificación y Gestión de recursos: definir el presupuesto operativo del Departamento, Plan de
adquisición de equipos y gestión de la capacidad de los equipos.
•Controles para usar, de manera efectiva los recursos en computadores:
• Calendario de carga de trabajo.
• Programación de personal.
• Mantenimiento preventivo del material.
• Gestión de problemas y cambios.
• Procedimientos de facturación a usuarios.
• Sistema de gestión de la biblioteca de soportes.
•Procedimientos de selección del software del sistema, de instalación. de mantenimiento, de seguridad
y control de cambios.

21

... continuación

•Seguridad física y lógica:
• Definir un grupo de seguridad de la información, siendo una de sus funciones la
administración y gestión del software de seguridad, revisar periódicamente los informes de
violaciones y actividad de seguridad para identificar y resolver incidentes.
• Controles físicos para asegurar que el acceso a las instalaciones del Departamento de
Informática queda restringido a las personas autorizadas.
• Las personas externas a la Organización deberán ser acompañadas por un miembro de la
plantilla cuando tengan que entrar en las instalaciones.
• Instalación de medidas de protección contra el fuego.
• Formación y concienciación en procedimientos de seguridad y evacuación del edificio.
• Control de acceso restringido a los computadores mediante la asignación de un
identificados de usuario con palabra clave personal e intransferible.
• Normas que regulen el acceso a los recursos informáticos.
• Existencia de un plan de contingencias para el respaldo de recursos de computador críticos
y para la recuperación de los servicios del Departamento Informático después de una
interrupción imprevista de los mismos.

22

... continuación

4. Controles en aplicaciones
•Cada aplicación debe llevar controles incorporados para garantizar la entrada, actualización.
validez y mantenimiento completos y exactos de los datos. Las cuestiones más importantes
en el control de los datos son:
• Control de entrada de datos: procedimientos de conversión y de entrada, validación
y corrección de datos.
• Controles de tratamientos de datos para asegurar que no se dan de alta, modifican
o borran datos no autorizados para garantizar la integridad de los mismos mediante
procesos no autorizados.
• Controles de salidas de datos: sobre el cuadre y reconciliación de salidas,
procedimientos de distribución de salidas, de gestión de errores en las salidas. etc.

23

... continuación

5. Controles específicos de ciertas tecnologías
•Controles en Sistemas de Gestión de Bases de Datos:
• El software de gestión de bases de datos para prever el acceso a, la estructuración
de, y el control sobre los datos compartidos, deberá instalarse y mantenerse de
modo tal que asegure la integridad del software, las bases de datos y las
instrucciones de control que definen el entorno.
• Que están definidas las responsabilidades sobre la planificación. organización,
dotación y control de los activos de datos, es decir, un administrador de datos.
• Que existen procedimientos para la descripción y los cambios de datos así como
para el mantenimiento del diccionario de datos.
• Controles sobre el acceso a datos y de concurrencia.
• Controles para minimizar fallos. recuperar el entorno de las bases de datos hasta el
punto de la caída y minimizar el tiempo necesario para la recuperación.
• Controles para asegurar la integridad de los datos: programas de utilidad para
comprobar los enlaces físicos -punteros- asociados a los datos. registros de control
para mantener los balances transitorios de transacciones para su posterior cuadre
con totales generados por el usuario o por otros sistemas.
24

... continuación

•Controles en informática distribuida y redes:
• Planes adecuados de implantación, conversión y pruebas de aceptación para la red.
• Existencia de un grupo de control de red.
• Controles para asegurar la compatibilidad de conjunto de datos entre aplicaciones
cuando la red es distribuida.
• Procedimientos que definan las medidas y controles de seguridad a ser usados en la
red de informática en conexión con la distribución del contenido de bases de datos
entre los departamentos que usan la red.
• Que se identifican todos los conjuntos de datos sensibles de la red y que se han
determinado las especificaciones para su seguridad.
• Existencia de inventario de todos los activos de la red.
• Procedimientos de respaldo del hardware y del software de la red.
• Existencia de mantenimiento preventivo de todos los activos.
• Que existen controles que verifican que todos los mensajes de salida se validan de
forma rutinaria para asegurar que contienen direcciones de destino válidas.
• Controles de seguridad lógica: control de acceso a la red, establecimiento de perfiles
de usuario.
25

... continuación

• Procedimientos de cifrado de información sensible que se transmite a través de la red.
• Procedimientos automáticos para resolver cierres del sistema.
• Monitorización para medir la eficiencia de la red.
• Diseñar el trazado físico y las medidas de seguridad de las líneas de comunicación
local dentro de la organización.
• Detectar la correcta o mala recepción de mensajes.
• Identificar los mensajes por una clave individual de usuario, por terminal, y por el
número de secuencia del mensaje.
• Revisar los contratos de mantenimiento y el tiempo medio de servicio acordados con el
proveedor con objeto de obtener una cifra de control constante.
• Determinar si el equipo multiplexor/concentrador/procesador frontal remoto tiene lógica
redundante y poder de respaldo con realimentación automática para el caso de que
falle.
• Asegurarse de que haya procedimientos de recuperación y reinicio.
• Asegurarse de que existan pistas de auditoría que puedan usarse en la reconstrucción
de los archivos de datos y de las transacciones de los diversos terminales. Debe existir
la capacidad de rastrear los datos entre la terminal y el usuario.
• Considerar circuitos de conmutación que usen rutas alternativas para diferentes
paquetes de información provenientes del mismo mensaje; esto ofrece una forma de
seguridad en caso de que alguien intercepte los mensajes. 26

... continuación
•Controles sobre computadores personales y redes de área local:
• Políticas de adquisición y utilización.
• Normativas y procedimientos de desarrollo y adquisición de software de aplicaciones.
• Procedimientos de control del software contratado bajo licencia.
• Controles de acceso a redes, mediante palabra clave, a través de computadores
personales.
• Revisiones periódicas del uso de los computadores personales.
• Políticas que contemplen la selección, adquisición e instalación de redes de área local.
• Procedimientos de seguridad física y lógica.
• Departamento que realice la gestión y soporte técnico de la red. Controles para evitar
modificar la configuración de una red. Recoger información detallada sobre los Minis
existentes: Arquitectura (CPU's, Discos, Memoria, Streamers, Terminales, etc.),
Conectividad (LAN, mini to host, etc.), software (sistema operativo, utilidades,
lenguajes, aplicaciones, etc.), Servicios soportados.
• Inventario actualizado de todas las aplicaciones de la Entidad.
• Política referente a la organización y utilización de los discos duros de los equipos, así
corno para la nomenclatura de los archivos que contienen, y verificar que contiene al
menos: obligatoriedad de etiquetar el disco duro con el número de serie del equipo,
creación de un subdirectorio por usuario en el que se almacenarán todos sus archivos
privados, así corno creación de un subdirectorio público que contendrá todas las
aplicaciones de uso común para los distintos usuarios. 27

... continuación

• Implantar herramientas de gestión de la red con el fin de valorar su rendimiento,
planificación y control.
• Procedimientos de control de los file-transfer que se realizan y de controles de acceso
para los equipos con posibilidades de comunicación. Políticas que obliguen a la
desconexión de los equipos de las líneas de comunicación cuando no se está haciendo
uso de ellas.
• Adoptar los procedimientos de control y gestión adecuados para la integridad,
privacidad, confidencialidad y seguridad de la información contenida en redes de área
local.
• Cuando exista conexión PC-Host, comprobar que opera bajo los controles necesarios
para evitar la carga/extracción de datos de forma no autorizada.
• Contratos de mantenimiento (tanto preventivo como correctivo o detectivo). Cuando en
las acciones de mantenimiento se requiera la acción de terceros o la salida de los
equipos de los límites de la oficina, se deberán establecer procedimientos para evitar la
divulgación de información confidencial o sensible.
• Mantener un registro documental de las acciones de mantenimiento realizadas,
incluyendo la descripción del problema y la solución dada al mismo.
• Los computadores deberán estar conectados a equipos de continuidad (UPS's, grupo,
etc.).
• Protección contra incendios, inundaciones o electricidad estática.
28

... continuación

• Control de acceso físico a los recursos microinformáticos: Llaves de PC's, Áreas
restringidas. Ubicación de impresoras (propias y de red). Prevención de robos de
dispositivos. Autorización para desplazamientos de equipos. Acceso físico fuera de
horario normal.
• Control de acceso físico a los datos y aplicaciones: almacenamiento de disquetes con
copias de backup u otra información o aplicación, procedimientos de destrucción de
datos e informes confidenciales, identificación de disquetes/cintas, inventario completo
de disquetes almacenados, almacenamiento de documentación.
• En los computadores en que se procesen aplicaciones o datos sensibles instalar
protectores de oscilación de línea eléctrica y sistemas de alimentación ininterrumpida.
• Implantar en la red local productos de seguridad así como herramientas y utilidades de
seguridad.
• Adecuada identificación de usuarios en cuanto a las siguientes operaciones: altas,
bajas y modificaciones, cambios de password, explotación del log del sistema.
• Controlar las conexiones remotas in/out (CAL): Modems, Gateways, Mapper.
• Procedimientos para la instalación o modificación de software y establecer que la
dirección es consciente del riesgo de virus informáticos y otros software maliciosos, así
como de fraude por modificaciones no autorizadas de software y daños.
• Controles para evitar la introducción de un sistema operativo a través de disquete que
pudiera vulnerar el sistema de seguridad establecido.
29

Asx03 g0 cap02_2005_0

Más contenido relacionado

La actualidad más candente (20)

Similar a Asx03 g0 cap02_2005_0 (20)

Asx03 g0 cap02_2005_0