Auditoría TI. Ciberseguridad

Semana 8  

Alder Araya C.

Diplomado en Ciberseguridad

Instituto IACC

22/06/2020

Desarrollo

De acuerdo al caso planteado y en base a lo estudiado en esta unidad:

1. Mencione cuáles serían:

▪ El sujeto de la auditoría: En este caso el sujeto que esta sujeto a la auditoria es la empresa Servicios S.A.

▪ El objetivo de la auditoría: El objetivo de la auditoria corresponde a que si la empresa cumple con los estandares minimos para ser acreedora de la certificacion iso 27001

▪ Alcance de la auditoría. Es verificar si las normas implantadas corresponden a las mejoras de la empresa, revision de gestion de la directiva, protocolos de activacion ante emergencias informaticas

2. Mencione dos riesgos de control que usted visualiza en el caso descrito.

Problema de riesgo 1:  uno de los problemas de riesgos visualizados, corresponde a la forma de toma de decision que tomaba la empresa, considerando la falta de analisis que la empresa no realizaba

Problema de riesgo 2: el otro problema detectado es la alta rotacion de personal, eso tambien es un problema debido, a que al tener una alta rotacion de personal, tambien puede perjudicar a la empresa, debido a la posible fuga de informacion que puede ocurrir.

3. ¿Considera que existe un modelo de gobierno de TI implementado en esta empresa?

Justifique su respuesta.

Tras el estudio de los contenidos de la semana, podemos decir que esta empresa si presenta un modelo de gobierno TI, pero en las cuales tras los ambitos relevantes como Gestion de recursos, medicion de desempeño y cumplimiento estan un poco desorganizadas debido a que en el punto de medicion del desempeño el cual según la gui expuesta en clases, “Medición del desempeño: corresponde a evaluación del desempeño de los diferentes actores en TI, como aplicaciones, sistemas y recursos humanos.” al tener una alta rotacion de personal es perjudicial, el sistema con el cual estaba siendo utilizado ya estaba desactualizado, por ende se ve claramente que no existe un orden o unacriticidad de estar actualmente en revision constante, pero tras la implementacion de de la ISO 27001 hubo mejoras considerable con respecto a la empresa

4. Refiérase a la implementación que se realizó en esta empresa de ISO 27001 y comente si

cumple con la definición de esta.

La implementacion que se realizo en la empresa estuvo correcta, debido a que al integrar la ISO 27001 a la empresa esta elevo los estandares de seguridad tanto en su estructuta TI interna, como la reputacion de la empresa, debido a esto elevaron el numero de sus servicios debido  a que estan bajo una norma internacional, desde un punto de vista si cumplen con la definicion de la norma, por que vemos desde varios puntos que mejoraron, estos punto a nombrar son los siguiente: mejoraron su planificacion, se reestructuro su gobierno TI, realizaron mejoras que ayudaron a mitigar de forma mas efectiva sus vunerabilidades

5. Mencione tres controles que deben ser evaluados en el proceso de auditoría y justifique

su elección.

Los controles que deber ser evaluados son los siguientes:

1. Revisión de políticas y procedimientos: Como prioridad es justo y necesario tener la documentacion de la empresa en regla y aldia, la cual debe ser revisada periodicamente, las cuales estas se pueden ir modificando, según las nuevas necesidades que puedan ir surguiendo a la empresa
2. Revisión de acceso lógico: Este punto no menos importante es la revision periodica sobre los controles de acceso hacia la informacion de la compañía, esto quiere decir, que tras las politicas revisadas anteriormente, es definir las categorias de acceso que tienn los usuarios y establecer hasta que punto pueden ingresar
3. Revisión de los programas de concientización y capacitación: este punto de igual manera no menos importante, los programas de concientizacion y capacitacion son de manera fundamental las cuales son los medios por donde se dan a conocer las politicas y normas que establece la empresa para poder funcionar de mejor manera

6. Explique cómo la empresa aborda la continuidad de negocio y si cumple con las

definiciones de un BCP/DRP.

Tras la lectura del caso propuesto, podemos decir que la empresa logro implementar un sistema  que cumple con en plan de continuidad de negocio (BCP), la cual, la empresa pudo identifica y priorizar los activos de la iunformacion criticos, lo cual  le permitio gestionar un BCP que le asegura continuidad de sus operaciones, eso implica que al tener un BCP bien establecido le permite crea un DRP efectivo con el cual el tiempo de recuperacion de la empresa es notablemente menor y mas efectivo

...