Auditoria de Aplicaciones

[pic 1][pic 2]

Papeles de trabajo de una Aplicación en  Desarrollo, enfocado en la parte de las pruebas de Software

ARCHIVO PERMANENTE: ADMINISTRADOR  DE APLICACIONES, BASE DE            DATOS Y          SERVIDORES

FORMULARIO C

EMPRESA PARA AUDITAR:          

EMPRESA AUDITORA:          

NOMBRE DEL AREA AUDITADA:          

ENTREVISTADO:        FECHA:

[pic 3]

La siguiente guía se realiza determinando todo lo referente a la parte de pruebas de Software de una Aplicación web:

1. Conjunto de Software que permitan realizar una función determinada.
2. Datos estructurados que permitan manejar la información adecuada.
3. Sistemas de refrigeración        
4. Compatibilidad
5. Fiabilidad
6. Portabilidad
7. Usabilidad
8. Seguridad lógica y física
9. Entre otros

1. SISTEMA.

1. Identificar la magnitud y las fuentes de riesgo del desarrollo para las pruebas
2. Que pruebas se realizan para reducir los riesgos de negocio identificados
3. Que pruebas se realizanpara  revisar las técnicas formales (RTF) con el fin de eliminar errores antes del inicio de la etapa de pruebas.
4. Como especifican los requerimientos del software de manera cuantificable.
5. Que métodos utilizan para entender las necesidades del usuario del software, y crear un perfil por cada categoría de usuarios.
6. Utilizan las revisiones técnicas formales como filtro? cuales.
7. Que fuentes de información existen o como se implementaron.
8. Que librerías se tiene en cuenta a la hora de gestionar la configuración de software.
9. Se realizan  periódicamente la junta de control de cambios?

1. USUARIO

1. Como pruebande manera individual los mecanismos de la interfaz.
2. Se realizar la comprobación del mecanismo de la interfaz dentro del contexto de un caso de uso, para una categoría de usuario en específico.
3. Se realizaron pruebas de  la interfaz dentro de una variedad de ambientes (navegadores, sistemas operativos, etc.) para asegurar la compatibilidad.
4.  Fue probada cada capa de la interfaz  dentro del contexto de un caso de uso, con el fin de descubrir errores en la semántica de la interfaz.
5. Se seleccionaron  las personas que harán parte de las pruebas  basándose en qué?
6.  Capacitaron a los participantes con la aplicación a la cual se le va a realizar la prueba.

1. PLATAFORMA JAVA

1. Como se controla  la  disponibilidad de los formularios donde  los usuarios pueden registra información?
2. Se realizaron cambios a la estructura de la codificación para complacer necesidades de usuario?. Mínimos o complejos? Descríbalos
3. Como se sabe si los formularios implementados  en  Java, guardan la información del usuario?

1. BASE DE DATOS ORACLE

1. Que Modelo relacional se utilizo? los usuarios visualizan los datos de manera oportuna y organizada?
2. Que tecnología avanzada se implementaron para dar el correcto Control de acceso, entra y salida de datos?
3. Que gestión existe referente a la protección de datos? La seguridad es completa en el entorno de producción, pruebas y gestión de copias de seguridad.
4. Que Lenguaje de diseño de bases de datos se está utilizando? permite implementar diseños que se adapten a las necesidades cambiantes de negocio.
5. La disponibilidad, escalabilidad, protección y alto rendimiento para la actividad empresarial es la indicada?
6. Como se realiza la gestión de usuarios basándonos en la agilidad en los trámites, reducción de costos y seguridad en el control de las personas que acceden a las aplicaciones y a los sistemas.

1. Las personas que administran las bases de datos están Capacitadas  en los cursos de Java o Database con  certificaciones Oracle?
2. Gestión de usuarios
3.  Se tiene acceso restringido y vigila quien accede a los datos almacenos?
4. Que Seguridad y protección de datos  existen para minimizar el riesgo de pérdida de información.
5. Disponibilidad es eficaz y permite la eliminación de  información redundante, modificar datos
6. Es posible compartir la información almacenada, que puede consultarse mediante diferentes aplicaciones?

1. CONTROL EN LAS  ENTRADAS A LA APLICACIÓN

1. Se emplean técnicas para validar, probar y verificar los datos de entrada, que permitan garantizar la ocurrencia de un mínimo de errores?
2. Son detectados los registros o transacciones que no fueron aceptados por el sistema?
3. Existen controles razonables relacionados con la generación de los datos?
4. Son los formatos utilizados para la captura los más indicados y solicitan solo los datos necesarios?
5. Están los documentos fuente debidamente protegidos y almacenados?
6. Se registra el transito que hacen los documentos por las distintas dependencias u oficinas?
7. Existen controles suficientes para evitar la pérdida de documentos fuente o que sean doblemente procesados?
8. Existen mecanismos que restrinja el acceso lógico a los dispositivos de entrada?
9. Están los discos y cintas debidamente identificados?
10. Existe la debida documentación que indique lo que se debe hacer con relación a la reparación, corrección, grabación y almacenamiento de datos?
11. Existe segregación de funciones entre la generación, registro y almacenamiento de entrada de datos?
12. Brinda el sistema de computación utilizado, algún nivel de seguridad para la entrada de datos?
13. Existen estadísticas sobre el tipo de errores cometidos en la captura de datos?
14. Esta definido el tiempo que se deben conservar los documentos fuente?

1. CONTROL EN LAS  SALIDAS DE   LA APLICACIÓN

1. Se lleva a cabo un análisis general de los reportes producidos?
2. Es controlada la distribución de los reportes?
3. Existen procedimientos para revisar la exactitud de las salidas?
4. Se producen los reportes absolutamente necesarios?
5. Se supervisa la destrucción de aquellos reportes no necesarios o que son producto de procesos abortados?
6. Se comunica al centro de informática sobre aquellos reportes que presentan inconsistencias?
7. Existen procedimientos de manejo y retención de salidas?
8. Existen estadísticas de los errores que se presentan durante la salida de información?
9. Son almacenados en un lugar seguro aquellos reportes que tienen carácter confidencial?

1.  SOFTWARE

1. Es tenido en cuenta el criterio de los usuarios de la aplicación durante las diferentes etapas del ciclo de vida del sistema?
2. Los cambios y mejoras al software del sistema están debidamente justificadas?
3. Son de total confianza las personas que hacen mantenimiento al sistema de información?
4. Está totalmente legalizado el software utilizado por la empresa?
5. Existe un registro de aquellos problemas que se presentan con el software?
6. Existen controles adecuados cuando se están probando nuevas versiones del software o cuando se están aplicando programas de diagnóstico?
7. Tiene el software adquirido contrato de mantenimiento?
8. Es auditado el software en funcionamiento?
9. Existe documentación del software del sistema?
10. Se llevan estadísticas o reseña de fraudes cometidos con respecto al software del sistema?

1. APLICACIÓN

1. Son autorizadas y probadas las correcciones a programas antes de su puesta en marcha?
2. Se lleva un registro de los cambios efectuados a los programas?
3. Están adecuadamente documentados y probados los nuevos programas?
4. Existe planeación de las pruebas que deben ser realizadas a los programas?
5. Existen librerías específicas para realizar las pruebas a los programas?
6. Existe amplia difusión acerca de las pruebas a realizarse?
7. Existe un mecanismo especial para reportar dificultades o inconsistencias?
8. Existen circunstancias específicas que limitan la ejecución de la aplicación?
9. Existen controles permanentes que permitan detectar inconsistencias ocurridas durante el procesamiento de datos?
10. Realizan los programadores actividades relacionadas con la captura de datos?
11. Qué posibilidad de reproceso tiene la aplicación?

1. SEGURIDAD FÍSICA DE LA APLICACIÓN

1. Existe control sobre el ingreso de funcionarios a la dependencia?
2. Existen programas de prevención contra desastres?
3. Existe señalización de rutas de evacuación?
4. Existen extinguidores dentro de la instalación?
5. Existe un plan de contingencias?

1. TÉCNICOS DE LA APLICACIÓN

1. Existe control sobre claves de acceso al sistema?
2. Tiene la aplicación manual técnico, de operación y del usuario?
3. Con que periodicidad se le saca back-up a la aplicación?
4. Pueden los operadores o usuarios modificar los programas fuente de la aplicación?
5. Se permite el uso de la computadora a personas extrañas a la dependencia?
6. Existe mas de un funcionario que este en capacidad de operar la aplicación?
7. Hay información de carácter confidencial o privada relacionada con la aplicación?
8. Existen procedimientos formales que contemplen la seguridad física y lógica de los datos transmitidos entre redes, de tal manera que garanticen la oportunidad totalidad y exactitud de los mismos
9. Existe perdida de mensajes en el sistema de conmutación de datos?
10. Con que frecuencia se presenta?
11. Se revisa la bitácora de la base de datos?
12. Existen estándares relacionados con los programas de la aplicación?
13. Existe documentación escrita relacionada con el respaldo y recuperación de la base de datos en caso de presentarse destrucción parcial o total de esta?
14. Es empleada la criptografía para proteger el almacenamiento y transmisión de información
15. Que elementos adicionales son considerados en la seguridad de los datos?

1. ORGANIZACIONAL

1. Los niveles jerárquicos del departamento o unidad permiten un desenvolvimiento normal de sus actividades?
2. Se cumplen las políticas particulares impartidas por la gerencia y relacionadas con la aplicación?
3. Las políticas particulares relacionadas con la aplicación encajan dentro de las políticas generales de la empresa?
4. Conoce la normatividad que cobija a la aplicación?
5. Existe manual de procedimientos escrito relacionado con la aplicación?
6. Existe manual de funciones en forma escrita?
7. Existen discrepancias entre las funciones asignadas a su cargo y las funciones desempeñadas?
8. Existe una adecuada segregación de funciones?
9. La responsabilidad sobre la administración de la aplicación corresponde a la unidad usuaria o al centro de informática?

1. ADMINISTRACIÓN ORGANIZACIONAL

1. Existen políticas sobre planeación del talento humano
2. Existe dentro de la empresa la función de auditoria aplicada al talento humano?
3. Existe dentro de la empresa un sistema de información del talento humano?
4. Conoce el reglamento interno de trabajo?
5. Existen políticas de salud ocupacional?
6. Existe un programa de trabajo y se cumple a cabalidad?
7.  Hay estabilidad laboral en la empresa?
8. Es alta la rotación de personal?
9. Existen planes de entrenamiento y capacitación programados por la empresa?
10. Son evaluados los programas de entrenamiento y capacitación?

...