Auditoria Base De Datos

II.2 Auditoría de bases de datos

Uno de los principales campos dentro del Control Interno y de la Auditoría Informática. Aplicables LORTAD y LOPD. Se trata de proteger y revisar tanto los datos como la estructura lógica (tablas, claves, etc.) como la infraestructura física que lo soporta (discos, etc.)

II.2.1 Metodologías para la Auditoría de Bases de Datos

Metodología Tradicional

• Se revisa el entorno con ayuda de una lista de control (check list) que consta de una serie de cuestiones a verificar.

• Es un método bastante repetitivo y pobre

Metodología de Evaluación de Riesgos

• Es la recomendada por ISACA.

• Se fijan los objetivos de control que minimicen los riesgos potenciales de la instalación (p.e. El SGBD deberá preservar la confidencialidad de la base de datos)

• Una vez establecidos los objetivos, se fijan qué técnicas específicas de control se habrán de aplicar para verificar esos objetivos (p.e. establecer los perfiles de usuario con sus accesos correspondientes; obligatorio perfiles de administrador)

• Como siempre, las técnicas a aplicar pueden ser preventivas, detectivas o correctivas, y es interesante que haya de los tres tipos.

• Hay que diseñar las pruebas de cumplimiento a incluir en las técnicas y objetivos concretos (p.e.: Listar los perfiles y privilegios de cada uno existentes en el SGDB)

• En caso de que las pruebas detecten debilidades en los controles (o que estos no existen), hay que pasar a diseñar pruebas sustantivas que medirán el impacto de las deficiencias (p.e. comprobar si la información ha sido corrompida en función de qué entró y los procesos que sufre en el sistema)

• En la actualidad, siempre se diseñan pruebas sustantivas aunque las de cumplimiento parezcan satisfactorias (por si acaso).

II.2.2 Recomendaciones CoBIT para la Auditoría de Bases de Datos

Objetivo de control PO2-Definir una Arquitectura de Información (área Planificación y Organización):

• PO2.1 – Modelo Corporativo de Arquitectura de Información

• PO2.2 – Diccionario de datos Corporativo y Reglas de Sintaxis de Datos

• PO2.3 – Esquema de Clasificación de Datos

• PO2.4 – Gestión de Integridad

Objetivo de control DS11-Gestionar Datos (área Entrega y Soporte):

• DS11.1 – Requisitos de Negocio para la Gestión de Datos

• DS11.2 – Planes de Almacenamiento y Retención de Datos

• DS11.3 – Sistema de Gestión de Bibliotecas de Medios

• DS11.4 – Eliminación de Datos

• DS11.5 - Copia de Respaldo y Restauración

• DS11.6 – Requisitos de Seguridad para Gestión de Datos

Para cada uno de es tos objetivos de control se definen diferentes subojetivos y métricas. Es recomendable ver ejemplos página 390 para el objetivo DS11.

ITGI (Information Technologies Governance Institute) también ha detallado divers y pruebas de diseño y control para dichos objetivos y subojetivos (ver página 391).

II.2.3 Objetivos de control en el Ciclo de Vida de una B.D. (si se desea implantarla nueva)

Estudio previo y plan de trabajo

• Estudio técnico de viabilidad para alcanzar los objetivos del proyecto

• Obligatorio un análisis coste-beneficio

• Siempre debe estar la opción de desechar el proyecto y la de implantar desarrollo externo.

• Estos estudios deben llevarse hasta la alta dirección y es ella quien tiene que decidir qué alternativa se elige (auditor comprueba este circuito)

• Si no se desecha proyecto, debe redactarse un Plan Director y se ha de comprobar que se ha seguido

• Auditoría debe establecer al menos los siguientes objetivos de control:

o Existencia de separación lógica (medios, documentos y responsabilidades) entre el administrador de datos (diseño conceptual BD, formador, diseña documentación, diseña procesos...) y el administrados de la base de datos (diseño físico BD, estadísticas, duplicados, seguridad, software gestor...)

o Existencia de separación de funciones entre personal de desarrollo y el de explotación

o Ídem entre explotación y control de datos

o Ídem entre administración BD y desarrollo

o Otras separaciones de funciones...

Auditoría de la Concepción de la BD y de la selección del equipo

• Se debería verificar si ha existido diseño conceptual + diseño lógico + diseño físico

• Verificar objetivos de control relativos a arquitectura de la información:

o Modelo de arquitectura de información elegido (centralizado, distribuido..)

o Existencia y complitud del diccionario de datos

o Esquema de clasificación de datos a nivel de seguridad (LOPD)

o Niveles de seguridad para las anteriores clasificaciones

Auditoría del diseño y carga de la BD

• Verificar corrección diseño lógico + diseño físico (en especial asociaciones de elementos, restricciones oportunas, especificaciones almacenamiento y seguridad)

• Los diseños deben estar autorizados, al menos por los usuarios, pero es recomendable que también por la dirección

• Si la carga proviene de una migración de otro entorno, se debe establecer un paralelo durante cierto tiempo para ver que resultados son iguales

• Si ha habido

...