Auditoria Física
- 1. LA AUDITORIA FISICA Por: Auliria Torres
- 2. INTRODUCCION El soporte físico es un parte de la Informática que da soporte a la misma. Lo físico es todo lo que comprende al computador en si, así como otros conceptos o virtualidades que influyen en su entorno. La Auditoria proporciona la evidencia de la Seguridad Física que poseen los medios físicos dentro de una organización.
- 3. La Seguridad Física Las fronteras que delimitan las responsabilidades de los tres tipos de seguridad como son: seguridad lógica, seguridad física, seguridad de las comunicaciones, aún no están bien definidas. La seguridad física garantiza la integridad de los datos, de posibles fallos que puedan suceder dentro de la empresa.
- 4. Antes Se debe mantener un grado adecuado de seguridad física, para evitar fallos o aminorar las consecuencias de los mismos. Entre estos tenemos: Ubicación del edificio Ubicación del CPD dentro del edificio Elementos de construcción Potencia eléctrica Sistemas contra incendios Control de accesos Selección de personal, etc.
- 5. Durante Se debe contar con un plan de contingencia que minimice el impacto de un desastre. Un plan de contingencia debe: Realizar un análisis de Riesgos de Sistemas Críticos que determine la Tolerancia de los Sistemas Establecer un período crítico de recuperación. Realizar un análisis de Aplicaciones críticas
- 6. Determinar las prioridades de Proceso. Establecer objetivos de recuperación que determine el período de tiempo entre el desastre y los procesos de aplicaciones críticas. Designar un centro alternativo de proceso de datos. Asegurar la capacidad de las comunicaciones y servicios de Bak-up
- 7. Después Los contratos con Aseguradoras vienen a remediar las pérdidas sufridas por algún desastre ocurrido. Entre ellos tenemos: Centros de proceso y equipamiento. Reconstrucción de medios de software. Interrupción del negocio. Documentos y registros valiosos. Errores y omisiones Cobertura de fidelidad, etc. Los contratos de mantenimiento no son Seguros; ya que se dedican a dar asistencia técnica.
- 8. Áreas de la Seguridad Física El Auditor no tiene la capacidad suficiente para diagnosticar el tipo de infraestructura de un edificio, por lo que debe pedir asesoramiento a los Peritos externos. Las áreas en las que el Auditor debe interesarse a parte del tipo de edificio, tienen relación directa con el hecho informático, siempre considerando la seguridad física.
- 9. Organigrama de la empresa: Así se podrá conocer como esta conformada la empresa y los distintos cargos de los empleados. Auditoria Interna: Se encuentra subordinado o es independiente de la Auditoria Financiera, que guarda los datos sobre auditorias pasadas. Administración de la Seguridad: Debe amparar las funciones de los empleados por ejemplo: Director de la seguridad integral, Responsable de la seguridad informática, Administradores de redes, de bases de datos,etc.
- 10. Centros de proceso de datos e instalaciones: Deben ayudar a realizar la función informática y a brindar la seguridad a las personas, materiales y soft. Sala del Host Sala de operadores Sala de impresoras Cámara acorazada Oficinas Almacenes Sala de aire acondicionado, etc.
- 11. Equipos y comunicaciones: Son los elementos principales como: host, terminales, equipo de almacenamiento masivo, etc. Se debe examinar su ubicación y el control de acceso. Computadoras personales: Cuando están en red pueden ser una causa de peligro pues se pueden acceder a los datos, por lo que se debe tener especial cuidado y mucha seguridad. Seguridad física del personal: Entradas y saldas seguras, rutas de evacuación, sistema contra incendios, etc.
- 12. La Auditoria Física interna y externa es una parte de la auditoria general y solo difiere en el alcance de la misma. Fuentes de la Auditoria Física Fuentes que deben estar accesibles en todo momento dentro de CDP: Políticas normas y planes de seguridad Auditorias anteriores, generales y parciales Contratos de seguros de proveedores y mantenimiento.
- 13. Entrevistas con el personal de seguridad y de otras actividades. Actas e informes de técnicos y consultores Plan de contingencia y valoración de las pruebas Informes sobre acceso y visitas Informes sobre pruebas de evacuación Políticas de personal Inventarios de soporte (papel y magnéticos)
- 14. Objetivos de la Auditoria Física Los datos son el primer objetivo de toda seguridad, pero la seguridad física va un poco más allá, así tenemos como objetivos los siguientes: Edificio Instalaciones Equipamiento y telecomunicaciones Datos Personas
- 15. Técnicas y herramientas del Auditor Técnicas: Observación de las instalaciones, sistemas, cumplimiento de normas, como actor comprobando el funcionamiento de las mismas. Revisión analítica de: Documentación sobre instalación y preinstalaciones, sobre seguridad física, políticas y normas de actividad de sala, etc.
- 16. Entrevistas y directivos de personal fijo o temporal. Consultas a técnicos y peritos que formen parte de la empresa o que sean externos. Herramientas: Cuaderno de campo / grabadora e audio Máquina fotográfica / cámara de video Su uso debe ser discreto y siempre con permiso del personal entrevistado.
- 17. Responsabilidad del Auditor El auditor no debe dar la impresión de ser un caza infractores, sino debe dar una imagen de colaborador para no provocar un ambiente tenso en el trabajo. Auditor Informático interno: Revisar los controles relativos a la seguridad física. Revisar el cumplimiento de los procedimientos Evaluar riesgos
- 18. Participar sin perder independencia en Selección, adquisición e implantación de equipos Planes de seguridad y contingencia, seguimiento, actualización, etc. Revisión del cumplimiento de las políticas y normas de seguridad física. Efectuar auditorias programadas e imprevistas Emitir informes y efectuar recomendaciones
- 19. Auditor informático externo. Revisar las funciones de los auditores internos Mismas responsabilidades que los auditores internos Revisar los planes de seguridad y contingencia, efectuar pruebas Emitir informes y recomendaciones
- 20. Fases de la Auditoria Física Según la metodología EDPAA las fases son las siguientes: Alcance de la auditoria Adquisición de la información general Administración y planificación Plan de auditoria Resultado de las pruebas Conclusiones y comentarios Borrador del informe Discusión con los responsables de área Informe final: Informe, Anexo al informe, carpeta de evidencias.
- 21. Desarrollo de las Fases de la Auditoria Física A continuación siguiendo la técnica del check-list para un mejor entendimiento de los conceptos, esta lista es orientativa: Adquisición de Información: Acuerdo de empresa para el plan de contingencia. ¿Hay algún acuerdo oral o escrito por parte de la Dirección?
- 22. Acuerdo de un proceso alternativo: ¿Está el acuerdo obligado e impuesto legalmente cuando se produce un desastre? ¿Proporciona el centro alternativo suficiente capacidad?, etc. Protección de datos: ¿Tiene la empresa un centro externo para el almacenamiento de los back-up? ¿Ha sido asignada prioridad de restauración a cada aplicación?, etc.
- 23. Manual del Plan de contingencia : ¿Cómo esta estructurado el plan? ¿Es fácil de seguir el plan en el caso de un desastre? ¿Cómo se activa el plan ante un desastre? ¿Han sido probado estos procedimientos en un test de desastre simulado? ¿Quién es el responsable de actualizar el plan?