LAS FUNCIONES DE CONTROL INTERNO Y AUDITORÍA INFORMÁTICA CONTROL INTERNO INFORMÁTICA C.I.I.

LAS FUNCIONES DE CONTROL INTERNO Y AUDITORÍA INFORMÁTICA

CONTROL INTERNO INFORMÁTICA C.I.I.

Control Interno Informático C.I.I., controla diariamente que todas las actividades de sistemas de información sean realizadas cumpliendo los procedimientos, estándares y normas fijados por la Dirección de la Organización y/o Dirección de Informática, así como los requerimientos legales.

La misión de C.I.I. es asegurarse de que las medidas que se obtienen de los mecanismos implantados por cada responsable sean correctas y válidas.

La función se le asigna a una unidad orgánica perteneciente al staff de la Gerencia de Informática y debe estar dotada de las personas y medios materiales requeridos para el cumplimiento de su misión.

C.I.I. - PRINCIPALES OBJETIVOS

Controlar que todas las actividades se realicen cumpliendo los procedimientos y normas fijados, evaluar su bondad y asegurarse del cumplimiento de las normas legales.

Asesorar sobre el conocimiento de las normas.

Colaborar y apoyar el trabajo de Auditoria Informática, así como de las auditorias externas.

Definir , implantar y ejecutar mecanismos y controles para comprobar el logro de los grados adecuados del servicio informático

C.I.I. - PRINCIPALES FUNCIONES

Realizar en los diferentes sistemas (centrales, departamentales, redes locales, Peces, etc.) y entornos informáticos (producción, desarrollo o pruebas) el control de las diferentes actividades operativas sobre:

1. Cumplimiento de diferentes procedimientos, normas y controles dictados. Ejemplo. Control de cambios y versiones de software.

2. Controles sobre la producción diaria.

3. Controles sobre la calidad y eficiencia del desarrollo y mantenimiento del software y del servicio informático.

4. Controles en las redes de comunicaciones.

5. Controles sobre el software de base.

6. Controles en los sistemas microinformáticos.

7. La seguridad informática:

 Usuarios, responsables y perfiles de uso de archivos y bases de datos.

 Normas de seguridad. Control de información clasificada.

 Control dual de la seguridad informática.

8. Licencias.

9. Contratos con terceros.

10. Asesorar y transmitir cultura sobre el riesgo informático.

EL AUDITOR INFORMÁTICO (AI)

Evalúa y comprueba en determinados momentos del tiempo, los controles y procedimientos informáticos más complejos, desarrollando y aplicando técnicas mecanizadas de auditoria, incluyendo el uso de software.

En muchos casos ya no es posible verificar manualmente los procedimientos informatizados que resumen, calculan y clasifican datos, por lo que deberá emplear software de auditoría y otras técnicas asistidas por ordenador.

Es responsable de revisar e informar a la Dirección de la Empresa, sobre el diseño y funcionamiento de los controles implantados y sobre la fiabilidad de la información suministrada. ...

Tipos de Auditoría de Sistemas

Dentro de la auditoría informática destacan los siguientes tipos (entre otros):

• Auditoría de la gestión: la contratación de bienes y servicios, documentación de los programas, etc.

• Auditoría legal del Reglamento de Protección de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos.

• Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y análisis de los flujogramas.

• Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos.

• Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio.

• Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno.

• Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información.

• Auditoría de las comunicaciones. Se refiere a la auditoria de los procesos de autenticación en los sistemas de comunicación.

• Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.

Auditoria computarizada protección de los datos

Como muchos sabrán, la LOPD (ley 15/99, orgánica, de protección de datos de carácter personal) prevé la realización de una auditoría, bianual, bajo determinados requisitos y presupuestos. Vamos a verlos.

QUIÉN ESTÁ OBLIGADO A LA AUDITORÍA DE LA LOPD

Lo están todas aquellas organizaciones que, tratando datos de carácter personal - excluyendo de ello las que lo hagan con una finalidad exclusivamente doméstica - traten datos de alguno de los siguientes tipos: sobre infracciones o sanciones, administrativas o penales (multas de tráfico, sanciones de Hacienda, etc.); que permitan obtener una evaluación de la personalidad del individuo (los típicos tests o encuestas, según los casos); los referentes a la ideología, religión, creencias, origen racial, salud o vida sexual (el dato de afiliación sindical para la confección de la nómina; los partes de baja o de alta del trabajador por motivos de salud, los datos médicos, etc.).

Da igual que los datos de que se trate lo estén en papel o en otro tipo de soporte, como el digital o informático.

CADA CUÁNTO TIEMPO HAY QUE HACERLA

La LOPD indica que será una vez cada dos años, comenzándose a computar los mismos a partir de que se comenzaron

...