clse segurida9.ppt
- 1. Definición de Auditoría Contenido Una opinión Condición Profesional Justificación Sustentada en determinados procedimientos Objeto Determinada información obtenida de ciertas fuentes Finalidad Determinar si representa adecuadamente la realidad o responde a las expectativas que le son atribuídas, es decir, su fiabilidad 1 Auditoría es la actividad consistente en la emisión de una opinión profesional sobre si el objeto sometido a análisis presenta adecuadamente la realidad que pretende reflejar y/o cumple las condiciones que le han sido prescritas.
- 2. Clases de Auditoría Clase Contenido Objeto Finalidad Financiera Opinión Cuentas anuales Presentan realidad Informática o de Sistemas Opinión Sistemas de información, recursos informáticos, planes de contingencia, etc. Operatividad eficiente y según normas establecidas Gestión Opinión Dirección Eficacia, eficiencia. Cumplimiento Opinión Normas establecidas Las operaciones se adecúan a estas normas 2 El objeto y la finalidad de una auditoría definen su tipo, los principales son: El sector Financiero ha sido el principal usuario de los procedimientos de auditoría
- 3. Clases de Auditoría Clase Ejemplo Financiera Auditoría de Estados Financieros de las empresas. Exigencia de entidades reguladoras y financieras. Debe verificar que los EE.FF. muestren la realidad de la empresa Informática o de Sistemas Auditoría de controles de sistemas, requerida por las Auditorías Financieras y entidades reguladoras Gestión Auditoría de las gestión de una entidad pública o privada, luego de un cambio de los Directivos. Cumplimiento Cumplimiento de estándares de gestión de la calidad (ISO 9000), estándares de gestión ambiental (ISO 14000), estándares de gestión de la seguridad de información (ISO 27000) 3 Algunos ejemplos:
- 4. Procedimientos de Auditoría 4 La opinión expresada en una auditoría se fundamenta en el cumplimiento de procedimientos específicos que deben proporcionar una seguridad razonable de lo que se afirma Existen auditorías altamente reglamentadas (las financieras) donde es obligatorio aplicar Normas Técnicas y procedimientos detallados. En general, una auditoría debe cumplir: El trabajo debe ser planificado y supervisado adecuadamente Se estudiará y evaluará el sistema de control interno Se obtendrá evidencia suficiente y adecuada La evidencia debe colectarse en los documentos de trabajo del auditor. Como justificación y soporte del trabajo y de la opinión emitida.
- 5. Definición de Consultoría Contenido Dar asesoramiento o consejo Condición De carácter especializado Justificación En base a un exámen o análisis Objeto La actividad o cuestión sometida a consideración Finalidad Establecer la manera de llevarla a cabo adecuadamente 5 Consultoría es dar asesoramiento o consejo sobre lo que se ha de hacer o cómo llevar adecuadamente una determinada actividad para obtener los fines deseados.
- 6. Necesidad de la Auditoría de Sistemas 6 Hoy día, el procesamiento automatizado de la información a través de las computadoras, es indispensable en las empresas. El alto desarrollo tecnológico y la intensa competencia entre las empresas las hace cada vez más dependientes de los sistemas. La información y, en general, todos los activos tecnológicos son los recursos o activos más importantes de una empresa. La información procesada es utilizada para tomar decisiones operativas, tácticas y estratégicas. La información debe ser preservada de cualquier mal uso que afecte su integridad, privacidad o disponibilidad. Las fallas o el mal uso de los sistemas puede afectar grandemente a la sociedad (empresas y personas): mala asignación de recursos, fraudes, pérdida de privacidad, etc.
- 7. Necesidad de la Auditoría de Sistemas 7 ORGANIZACIONES Auditoría y control de sistemas de Información Costos por pérdida de datos Costos por mala toma de decisiones Costos por mal uso de tecnología Valor de hardware, software y personal Costos por mal procesamiento de información Privacidad de la información Evolución controlada del uso de los sistemas Factores que influencian hacia el control y auditoría del uso de las computadoras
- 8. Necesidad de la Auditoría de Sistemas Pérdida de datos Daño o pérdida de información: archivos de cuentas por cobrar, cuentas por pagar, etc. Mala toma de decisiones La información se utiliza para la toma de decisiones. Dependiendo de si las decisiones son estratégicas, táctica u operativas, el impacto de la calidad de los datos y la información provista por los sistemas puede ser de mayor o menor impacto. Uso indebido de la tecnología Virus, hacking, acceso físico ilegal, abuso de privilegios de acceso a sistemas, etc. pueden originar pérdidas importantes a las organizaciones: destrucción o robo de activos o información, alteración indebida de datos, pérdida de confidencialidad o privacidad, interrupción de operaciones, uso indebido de activos, daño físico del personal, etc. Protección de la inversión en tecnología y personal Los montos invertidos en hardware y software son importantes. Su daño o robo puede originar una pérdida económica importante, interrupción de operaciones, pérdida de confidencialidad, pérdida de ingresos, etc. Errores en procesamiento de la información El mal funcionamiento de los sistemas puede originar fallas en los procesos productivos, merma de la calidad, accidentes, incremento de costos o pérdida de ingresos, etc. Confidencialidad y privacidad La liberación de información confidencial puede originar importantes pérdidas económicas y ventaja frente a la competencia, también puede originar pérdidas por denuncias de clientes afectados. 8
- 9. Definición de Auditoría de Sistemas o Auditoría Informática 9 Es el proceso de recolectar, agrupar y evaluar evidencias para determinar si un sistema informático salvaguarda los activos de cómputo, mantiene la integridad de los datos, utiliza eficientemente los recursos de la organización y contribuye eficazmente a los objetivos de la organización. La auditoría de sistemas cumple dos clases de objetivos principales: Objetivos de protección de activos e integridad de datos Objetivos de gestión: eficacia y eficiencia en el cumplimiento de metas empresariales ORGANIZACIONES Auditoría de sistemas de Información Protección de activos Asegurar integridad de datos Mejorar efectividad de sistemas Mejorar eficiencia de sistemas
- 10. Objetivos de la Auditoría de Sistemas Protección de activos Hardware, software, instalaciones, personas (conocimiento), archivos de datos, documentación de sistemas, formularios oficiales, suministros, Riesgos: daños físico, robo, uso indebido, etc. Integridad de datos Mantener atributos de los datos: deben ser completos, veraces, confiables. Riesgos: incertidumbre sobre las operaciones de la empresa, pérdida de competitividad Efectividad de sistemas Los sistemas deben cumplir/atender los objetivos/necesidades para los que fueron implementados. Riesgos: sistemas incompletos, no funcionales, complicados, costosos. Eficiencia de Sistemas Un sistema eficiente utiliza la menor cantidad posible de recursos para alcanzar sus objetivos: capacidad de procesamiento, software de base, dispositivos de entrada/salida, operación del sistema, etc. 10
- 11. Definición de Auditoría de Sistemas o Auditoría Informática 11 El auditor informático evalúa y comprueba en determinados momentos del tiempo los controles y procedimientos informáticos existentes, desarrollando y aplicando técnicas de auditoría, incluyendo de ser necesario el uso de software especializado. El auditor informático es responsable de revisar e informar a la Dirección de la organización sobre el diseño y funcionamiento de los controles implantados y sobre la fiabilidad de la información suministrada. El Informe de Auditoría es el documento formal donde se comunican los resultados de una auditoría informática.
- 12. La Auditoría y el control interno 12 Para cumplir los objetivos de protección de activos, integridad de datos, efectividad y eficiencia de sistemas, se requiere que la organización establezca un sistema de control interno (procesos y actividades) cuyos principales elementos son: Separación de actividades. Delegación de autoridad y responsabilidad. Personal competente y confiable Sistema de autorizaciones. Adecuados mecanismos de documentación y registro de actividades. Control físico sobre activos y registros. Adecuada supervisión Revisiones independientes de resultados. Verificación periódica de exactitud de la información contra los registros físicos.
- 13. COBIT 13 Control Objetives for Information and Related Tecnologies es un marco metodológico de buenas prácticas para la administración de las tecnologías de la información. Fue desarrollado por ISACA e ITGI en 1996 y ya se encuentra en su cuarta versión (2005) COBIT provee a los Gerentes, auditores y usuarios de TI de un conjunto de métricas, indicadores, procesos y mejores prácticas generalmente aceptados como ayuda para alcanzar el mayor beneficio posible del uso de las TI, asegurar que estas apoyen los objetivos y estrategias de la organización y que cuenten con un marco apropiado de control.
- 14. COBIT 14
- 15. ISACA 15 Information System Audit and Control Asociation (ISACA) es una asociación internacional de profesionales relacionados a las tareas de auditoría de TI. Se fundó en 1967, cuando un conjunto de profesionales reconoció que debido a la criticidad de la función de auditoría de sistemas en las organizaciones requería una fuente centralizada de información, guías de trabajo y estándares. Tiene más de 50,000 miembros en 140 países. ISACA provee una serie de estándares, guías y procedimientos que deben seguirse para realizar auditorías de sistemas. ISACA provee dos certificaciones internacionales a los profesionales que cumplen los requisitos que establece: CISA: Certified Information Systems Auditor CISM: Certified Information Security Manager
- 16. Caso de estudio 16 Lectura y discusión en clase de caso Union Dime Savings Bank.
- 17. 17 Gracias por su atención