Administracion de sistemas - parcial 1

Reglas de juego:

• Formato del examen: El archivo adjunto del e-mail (examen) está escrito como un documento Word, el cual usted debe retornar cuando finalice el examen en el mismo formato (evite devolver el archivo en un formato diferente al que se le entregó).
• Tiempo: Este examen tiene una duración máxima de 1:45 minutos
• Recepción del examen: : El examen después de finalizado debe devolverse directamente al e-mail del profesor (argarcia@uao.edu.co) como archivo adjunto y el examen debe aparecer en la bandeja de entrada del correo institucional del docente por tardar 5 minutos antes de finalizar la clase respectiva.
• Respuestas del estudiante: Deben estar relacionadas con el material expuesto, analizado y discutido en las clases por el profesor (presentaciones en PowerPoint, lecturas, videos), y del cual el estudiante además tiene copia de las respectivas grabaciones de las clases realizadas con la plataforma Webex.
• Preguntas al profesor: Durante el examen se pueden realizar preguntas de forma “privada” (no para todo el salón) por el chat de la plataforma Webex.
• Penalización: Por cada minuto de demora en la entrega después del tiempo de finalización del examen, se descontará 0.1 punto de la nota total del examen; este tiempo se mide en el buzón entrada del correo del profesor. Ejemplo: si el estudiante se demora 4 minutos se le descontará 0.4 puntos de la nota total del examen.
• Responder el examen: Debe responder las preguntas ordenadamente y según la numeración asignada a cada una de ellas para poder asignarle el puntaje respectivo.
• Inconvenientes técnicos: Los problemas que se presenten durante el tiempo de la presentación del examen son exclusivamente del manejo y responsabilidad de cada estudiante (recuerde que después de recibido el examen lo debe finalizar).
• Copia: Por asuntos éticos evite la copia idéntica de las respuestas a la de sus compañeros.

Preguntas:

1. La auditoría de sistemas informáticos “es el examen que consiste en realizar los procedimientos de verificación del correcto funcionamiento de los S.I (examen imprescindible dada la significativa participación que tiene la informática en la organización)”. Para tal fin, en la organización deben observarse que se cumplan los siguientes criterios esenciales (menciónelos y explique cada uno): [cada uno 0.2 ptos.]

• Confidencialidad: se trata de cuidar y guardar la información para que no esté disponible a personas no autorizadas
• Integridad: La información solo puede ser creada modificada o elmininada por el personal autorizado
• Disponibilidad: la información debería estar disponible 24/7 para el usuario autorizado
• Cumplimiento: se deben cumplir todas las reglas a las que la organización esté sujeta.
• Confiabilidad: se debe brindar información correcta para que esta sea usada por la organización
• Autenticidad: Determina quien esta autorizado y quien es el responsable de emitir autorizaciones
• Transparencia: Seria el resultado de la aplicación de todos estos criterios

1. Históricamente, los objetivos de los controles informáticos se han clasificado en las siguientes categorías: Controles preventivos, Controles detectivos y Controles correctivos: [cada uno 0.2 ptos.]

• Explicar detalladamente 2 ejemplos de T.I. para cada uno de los controles mencionados

Control Preventivo:

1. Un software de seguridad que evita el acceso a personal no autorizado.

Es una T.I la cual lo que hace es validar los roles de cada usuario y los permisos que este posee, dependiendo de estos permisos o privilegios pues evita que personas no autorizadas tengan acceso a funciones de un alto impacto en el sistema.

1. Sistemas de claves de acceso, Login, autenticación etc.

Es una T.I muy parecida a la anterior pero ésta lo que hace es validar que el usuario si tenga acceso al sistema, que se encuentre registrado, después de éste proceso y si el sistema lo requiere se implementaría justo después una solución como la #1 de control preventivo.

1. Backup:

Realizar backups es una forma de prevenir en caso de que el sistema sufra una perdida de información valiosa.

      Control Detectivo:

1. Software de revisión de sesión o de información.

Es una solución de tipo detectivo que se usa cuando el control preventivo falló, en este ejemplo podríamos tomar una verificación en 2 pasos es decir en caso de que el usuario que ingrese al sistema no sea el usuario real sino alguien más intentando burlar el sistema. Un proceso de verificación en 2 pasos lo que hace es enviar un código al teléfono o al correo del usuario real para que éste confirme que si es el el que se está logueando.

1. Logs de un sistema

Como control detectivo también podríamos tomar como ejemplo lo que son los llamados “Logs” de un sistema informatico, es una especie de registro donde queda cada uno de los procesos ejecutados, si alguien intento entrar en la base de datos queda registrado, si alguien intento entrar al sistema queda registrado, ejemplo en un banco el historial de transacciones es una especie de “Log” por cada débito o crédito queda un registro con fecha y hora con el cual se puede llevar un control.

        Control Correctivo:

1. Backup

Un control correctivo facilita la vuelta a la normalidad del sistema, si hubo un ataque o si algo salió mal y causó una falla irreparable en el sistema entonces si se tiene un Backup o una copia de seguridad de un momento en el cual el sistema se encontraba bien entonces esta copia es reestablecida corrigiendo el error.

        Para finalizar quiero hacer énfasis en el Backup ya que es un ejemplo que cubre los tres controles, cuando se realiza un Backup es in control preventivo, ya que estamos previniendo que en caso de perdida de información valiosa, ésta no vuelva a estar disponible, una alarma de que en el disco se perdió dicha información o un tipo de registro que deje saber en que momento se perdió la información es un control detectivo y al utilizar el Backup para restaurar dicha información seria un control correctivo ya que de esta manera logramos corregir o recuperar la información perdida.

1. Cuales son las diferencias que existen entre “El control interno informático” y “La Auditoria Informática” (mencione 3 de cada una y explíquelas detalladamente):  [cada uno 0.2 ptos.]

Control Informático:

• Análisis de los controles diariamente
• Informa a la dirección del departamento de informática
• El alcance de sus funciones es únicamente sobre el departamento de informática.
• Sólo personal interno

     Auditoria Informática:

• Análisis de un momento informático determinado
• Informa a la dirección general de la organización
• Tiene cobertura sobre todos los componentes de los sistemas de información de la organización.
• Personal interno y/o externo

1. Realice una explicación amplia sobre la NTC – ISO 19011: AUDITORIA DE LOS SISTEMAS DE GESTIÓN DE LA CALIDAD y/o AMBIENTAL. [puntaje entre 0.1 y 1.2 punto]

La ISO 19011 es la normativa sobre Directrices para los Sistemas de Gestión de Auditoría. Se trata de una referencia para aquellos procesos de auditoría interna y externa para sistemas de gestión, basados en estándares ISO.

Esta normativa es aplicable a todas aquellas organizaciones que precisan planear y realizar auditorías internas o externas de sistemas de gestión, o administrar un programa de auditoría para mantenimiento o certificación.

...