AUDITORIA INFORMATICA

INTRODUCCIÓN

Este ensayo trata sobre las metodologías de control interno, seguridad y auditoria informática, la palabra metodología es un conjunto de métodos que se siguen en la investigación. Una metodología es necesaria para que un equipo de profesionales alcance un resultado homogéneo tal como si lo hiciera solo, por lo resulta habitual el uso de metodologías en las empresas auditoras.

Las metodologías usadas por un profesional dicen mucho de su forma de entender su trabajo y están directamente relacionadas con su experiencia profesional acumulada como parte del comportamiento del ser humano.

Analizaremos la metodología de evaluación de sistema y existen dos como “ANÁLISIS DE RIESGO”; que facilita la “evaluación” y las de “AUDITORÍA INFORMÁTICA”; que identifica la “exposición”.

Existen dos grandes familias que son las Metodologías Cuantitativas y las Cualitativas que están dentro de todas las Metodologías en la Auditoría y en el Control Informático porque facilitan la realización de cualquier trabajo. Las Cuantitativas son basados a modelos matemáticos mientras que las cualitativas se basan a dar criterios y raciocinio humano para poder definir un proceso de trabajo.

Un Plan de Contingencia es una estrategia planificada por una organización y está desarrollada en fases de plan:

FASE I: Estudia la problemática

FASE II: Desarrolla estrategias

FASE III: Define sus características y sus ciclos.

Dentro de las Metodologías de Auditoría Informática existen dos familias distintas que son Auditorías de Controles Generales: que tiene como objetivo dar una opinión sobre la fiabilidad de los datos del computador para la Auditoría Financiera y las Metodologías de los Auditores Internos, estas metodologías requieren mucho de las experiencias profesionales por lo tanto es recomendable que el propio auditor cree sus metodologías para auditar las distintas áreas que se defina en el PLAN AUDITOR que es un esquema metodológico que consta de: función, procedimiento, tipos de Auditoría, sistema de evaluación.

METODOLOGÍAS DE CONTROL INTERNOL, SEGURIDAD Y AUDITORÍA INFORMÁTICA.

La palabra METODOLOGÍA es un “conjunto de método que se siguen en una investigación científica o en una expresión doctrinal” esto quiere decir que cualquier proceso científico debe estar sujeto a una disciplina de proceso definida con anterioridad.

La metodología usada por un profesional dicen mucho de su forma de entender su trabajo y están directamente relacionadas con su experiencia profesional.

PIRAMIDE DE LA SEGURIDAD

NORMAS Estándares Políticas

ORGANIZACIÓN Funciones, procedimientos

Y planes

METODOLOGÍAS

OBJETIVOS DE CONTROL Informática

PROCEDIMIENTOS DE ONTROL usuario

TECNOLOGÍA DE SEGURIDAD Hardware Software

HERRAMIENTA DE CONTROL

A continuación una serie de definiciones para profundizar estas metodologías.

Amenaza: una(s) persona(s) o cosa(s) vista(s) como posible fuente de peligro o catástrofe. Ejemplo: inundación, sabotaje, falta de procedimientos de emergencia, incendio.

Vulnerabilidad: La situación creada, por falta de uno o varios controles, con la que la amenaza pudiera acaecer y así afectar al entorno informático. Ejemplos: falta de controles de acceso lógico, falta de cifrado en las telecomunicaciones, etc.

Riesgo: La probabilidad de que una amenaza llegue acaecer por una vulnerabilidad. Ejemplo: Los datos estadísticos de cada evento de una base de datos e incidentes.

Exposición o impacto: La evaluación del efecto de riesgos. Ejemplo: es frecuente evaluar el impacto en términos económicos, aunque no siempre lo que es, como vidas humanas, imagen de la empresa.

Las amenazas reales se presentan en forma compleja y son difíciles de predecir, ejemplo: un cortocircuito y se quema el transformador del central local; en este caso la probabilidad resultante es muy difícil de calcular.

Las metodologías de análisis de riesgo se utilizan desde los años setenta, en la industria del seguro. Se emplearon en la informática en los ochenta y adolecen del problema del que los registros estadísticos de incidentes son escasos y, por tanto el rigor científico de los cálculos probabilísticos es pobre.

En el mundo de la seguridad de sistemas se utilizan todas las metodologías que sean necesarias para luego realizar un plan de seguridad.Existen dos metodologías de evaluación de sistemas por antonomasia; son las de ANÁLISIS DE RIESGO y las de AUDITORÍA INFORMÁTICA, con dos enfoques distintos.

La Auditoría Informática solo identifica el nivel de “exposición” por la falta de controles, mientras el análisis de riesgos facilita la “evaluación” de los riesgos y recomienda acciones en base al costo-beneficio de las mismas.

Todos los riesgos que se presentan podemos:

• EVITARLOS: ejm; no construir un centro donde hay peligro constantemente de inundaciones.

• TRANSFERIRLOS: ejm; uso de un centro de cálculo controlado.

• REDUCIRLOS: ejm; sistema de detección y extinción de incendios.

• ASUMIRLOS: que es lo que se hace si no se controla el riesgo en absoluto.

Tipos de Metodologías

Todas las metodologías en la auditoría y en el control informático se agrupan en dos grandes familias que son:

• Cuantitativas: Basadas en un modelo matemático numérico que ayuda a la realización del trabajo.

• Cualitativas: Basadas en el criterio y raciocinio humano capaz de definir

...