UNIDAD Nº2 Controles internos de los Sistemas de Información

UNIDAD Nº2

Controles internos de los Sistemas de Información

[2.1] Organigrama funcional de un Centro de Proceso de Datos

[2.2] Clasificación de los controles de los Sistemas de Información [2.3] Controles generales

[2.3] Controles de aplicación

[2.4] Controles por área

[2.5] Controles de productos informáticos

[2.6] Controles por motivos legales

[2.7] La regla de oro

2.1. Organigrama funcional de un Centro de Proceso de Datos

Los Centros de Proceso de Datos concentran los recursos necesarios para el procesamiento de la información de una organización.

El tema 2 describe cada una de las principales funciones intervinientes en un Centro de Proceso de Datos. La siguiente ilustración presenta el organigrama funcional de un Centro de Proceso de Datos. Es un modelo que nos servirá de apoyo para entender más fácilmente las explicaciones de los apartados siguientes del tema.

[pic 1]

2.2. Clasificación de los controles de los Sistemas de Información

Los controles son acciones y mecanismos definidos para prevenir o reducir el impacto de los eventos no deseados que ponen en riesgo a los activos de una organización.

Un control puede actuar de forma:

Preventiva:

• Reduciendo la vulnerabilidad de un activo de información.
• Reduciendo la amenaza.

Correctiva:

• Mitigando el impacto del riesgo materializado.

Algunos de los atributos de un control son:

• Objetivo del control

Objetivo general del control: qué se pretende medir, conseguir…

• Descripción del control

Descripción detallada del control. En qué consiste. Descripción funcional y técnica. Dependencias, etc.

• Frecuencia del control

Frecuencia de ejecución del control o elementos que lo disparan (trigger).

• Ejecución

Forma de ejecución del control (manual, automática o mixta) e información de ejecución, explotación y operación del control.

• Monitorización

Información detallada de la forma de monitorización por parte del control, conteniendo al menos:

• Elementos que se monitorizan.
• Frecuencia de monitorización.
• Plantilla de monitorización (KPI que se analizan)
• Informe de monitorización.

En la práctica, la función de control interno debe describir con el suficiente nivel de detalle el control, ya que en buena parte de los casos es el departamento de Explotación y Producción quien implanta el control siguiendo las indicaciones descritas por Control Interno Informático.

En una clasificación general de los controles, podemos decir que éstos pueden ser:

• Voluntarios: cuando la organización los diseña con el fin de mejorar los procesos.
• Obligatorios: si son impuestos por autoridades externas o reguladoras.
• Manuales: cuando son ejecutados por personas.
• Automáticos: si son llevados a cabo a través de sistemas de información automatizados.
• Generales: cuando van dirigidos al entorno donde operan otros controles.
• De aplicación: cuando operan integrados en el software.

Si atendemos a su naturaleza, podemos clasificar los controles en controles preventivos, detectivos y correctivos:

• Preventivos

Actúan sobre la causa de los riesgos con el fin de disminuir su probabilidad de ocurrencia. Es decir, pueden eliminar la vulnerabilidad de un activo (lo que lo hace inseguro) o la amenaza del activo (el elemento de riesgo).

También actúan para reducir la acción de los generadores de riesgos. Es decir, pueden actuar de forma preventiva mitigando el impacto que, en caso de que se materializase el riesgo, podría haber sobre el activo.

• Detectivos

Los controles detectivos constituyen la segunda barrera de seguridad y pueden informar y registrar la ocurrencia de los hechos no deseados, accionar alarmas, bloquear la operación de un sistema, monitorizarlo de forma más exhaustiva, dejarlo en cuarentena o alertar a las autoridades.

• Correctivos

Estos controles actúan una vez detectado el evento y permiten el reestablecimiento de la actividad normal después de ser detectado el evento no deseable y la modificación de las acciones que propiciaron su ocurrencia, es decir, la eliminación de la causa para evitar futuras ocurrencias de dicho evento.

Los controles correctivos suelen ser más costosos porque actúan cuando ya se han presentado los hechos que implican pérdidas para la organización.

[pic 2]

• Alternativos o compensatorios

Estos controles están basados en la revisión y comparación de las salidas del ordenador contra los documentos originales

2.3. Controles generales

Los controles generales contribuyen a asegurar el correcto funcionamiento de los sistemas de información, creando un entorno adecuado para el correcto funcionamiento de los controles de aplicación.

La eficacia de los controles generales no es garante por sí sola de la eficacia de los controles de aplicación. Sin embargo, la ineficacia de los controles generales muy probablemente implicará la ineficacia de los controles de aplicación.

...