Auditoria De Sistema

Universidad de Los Andes

Nucleo “Rafael Rangel”

Departamento de Ciencias Economicas, Administrativas y Contables

Trujillo Edo. Trujillo

Bachilleres:

Alvarado Soimar, CI: 17003615

Durán Albanys, CI: 20352224

Infante Mariangel, CI: 19031643

Prof. Yosman Valderrama Maldonado Yohana, CI: 20789742

Portillo Yessica, CI: 18034706

Rojas Lohanlly, CI: 20430485

Ruiz Keila, CI: 19427793

Terán Yuri, CI: 18984205

Vásquez Maryury, CI: 20402270

Vásquez Yoselin, CI: 19148405

Octubre 2011

CONTENIDO

Introducción

Auditoria de sistemas y su finalidad

Necesidad e importancia

Objetivos generales

Metodología

Justificativos para efectuar una auditoría de sistemas

Técnicas de auditoría con ayuda de computadora

Controles administrativos en un ambiente de procesamiento de datos

Evaluación de la seguridad

Auditoria a través del computador

Conclusión

INTRODUCCIÓN

La naturaleza especializada de la auditoría de los sistemas de información y las habilidades necesarias para llevar a cabo este tipo de auditorías, requieren el desarrollo y la promulgación de Normas Generales para la Auditoría de los Sistemas de información.

La auditoría de los sistemas de información se define como cualquier auditoría que abarca la revisión y evaluación de todos los aspectos (o de cualquier porción de ellos) de los sistemas automáticos de procesamiento de la información, incluidos los procedimientos no automáticos relacionados con ellos y las interfaces correspondientes.

Para hacer una adecuada planeación de la auditoría en informática, hay que seguir una serie de pasos previos que permitirán dimensionar el tamaño y características de área dentro del organismo a auditar, sus sistemas, organización y equipo.

A continuación, la descripción de los dos principales objetivos de una auditoría de sistemas, que son, las evaluaciones de los procesos de datos y de los equipos de computo, con controles, tipos y seguridad. En el caso de la auditoría en informática, la planeación es fundamental, pues habrá que hacerla desde el punto de vista de los dos objetivos: Evaluación de los sistemas y procedimientos.

AUDITORÍA DE SISTEMAS Y SU FINALIDAD

La auditoría de sistemas es una rama especializada de la auditoría que promueve y aplica conceptos de auditoría en el área o ambiente de tecnología de la información (ti).

• La verificación de controles en el procesamiento de la información, desarrollo de sistemas e instalación con el objetivo de evaluar su efectividad y presentar recomendaciones a la Gerencia.

• La actividad dirigida a verificar y juzgar información.

• El examen y evaluación de los procesos del Área de Procesamiento Automático de Datos (PAD) y de la utilización de los recursos que en ellos intervienen, para llegar a establecer el grado de eficiencia, efectividad y economía de los sistemas computarizados en una empresa y presentar conclusiones y recomendaciones encaminadas a corregir las deficiencias existentes y mejorarlas.

Su finalidad es establecer el grado de eficiencia, efectividad y economía de los sistemas computarizados en una entidad, presentar conclusiones y recomendaciones orientadas a corregir las deficiencias existentes para mejorar su performance.

La auditoría de sistemas comprende la verificación de controles en el procesamiento de la información, desarrollo de sistemas e instalación con el objetivo de evaluar su efectividad y presentar recomendaciones a la gerencia.

NECESIDAD E IMPORTANCIA DE LA AUDITORÍA DE SISTEMAS

Es necesaria ya que examina y evalúa los procesos del área de procesamiento automático de datos (pad) y de la utilización de los recursos que en ellos intervienen, para llegar a establecer el grado de eficiencia, efectividad y economía de los sistemas computarizados en una empresa y presentar conclusiones y recomendaciones a la gerencia con el propósito de corregir las deficiencias existentes y mejorarlas.

Es importante ya que está encargada de llevar a cabo la evaluación de normas, controles, técnicas y procedimientos establecidos en una empresa para lograr confiabilidad, oportunidad, seguridad y confidencialidad de la información que es procesada a través de los sistemas de tecnología de la información.

OBJETIVOS GENERALES DE UNA AUDITORÍA DE SISTEMAS

• Buscar una mejor relación costo-beneficio de los sistemas automáticos o computarizados diseñados e implantados por el PAD

• Incrementar la satisfacción de los usuarios de los sistemas computarizados

• Asegurar una mayor integridad, confidencialidad y confiabilidad de la información mediante la recomendación de seguridades y controles.

• Conocer la situación actual del área informática y las actividades y esfuerzos necesarios para lograr los objetivos propuestos.

• Seguridad de personal, datos, hardware, software e instalaciones

• Apoyo de función informática a las metas y objetivos de la organización

• Seguridad, utilidad, confianza, privacidad y disponibilidad en el ambiente informático

• Minimizar existencias de riesgos en el uso de Tecnología de información

• Decisiones de inversión y gastos innecesarios

METODOLOGÍA DE UNA AUDITORÍA DE SISTEMAS

Existen algunas metodologías de Auditorías de Sistemas y todas depende de lo que se pretenda revisar o analizar, pero como estándar analizaremos las cuatro fases básicas de un proceso de revisión:

• Estudio preliminar

• Revisión y evaluación de controles y seguridades

• Examen detallado de áreas criticas

• Comunicación de resultados

Estudio preliminar: Incluye definir el grupo de trabajo, el programa de auditoría, efectuar visitas a la unidad informática para conocer detalles de la misma, elaborar un cuestionario para la obtención de información para evaluar preliminarmente el control interno, solicitud de plan de actividades, Manuales de políticas, reglamentos, Entrevistas con los principales funcionarios del PAD.

Revisión y evaluación de controles y seguridades: Consiste de la revisión de los diagramas de flujo de procesos, realización de pruebas de cumplimiento de las seguridades, revisión de aplicaciones de las áreas críticas, Revisión de procesos históricos, revisión de documentación y archivos, entre otras actividades.

Examen detallado de áreas críticas: Con las fases anteriores el auditor descubre las áreas críticas y sobre ellas hace un estudio y análisis profundo en los que definirá concretamente su grupo de trabajo y la distribución de carga del mismo, establecerá los motivos, objetivos, alcance Recursos que usara, definirá la metodología de trabajo, la duración de la auditoría, Presentará el plan de trabajo y analizara detalladamente cada problema encontrado..

Comunicación de resultados: Se elaborara el borrador del informe a ser discutido con los ejecutivos de la empresa hasta llegar al informe definitivo, el cual presentara esquemáticamente en forma de matriz, cuadros o redacción simple y concisa que destaque los problemas encontrados , los efectos y las recomendaciones de la Auditoría.

El informe debe contener lo siguiente:

• Motivos de la Auditoría

• Objetivos

• Alcance

• Estructura Orgánico-Funcional del área Informática

• Configuración del Hardware y Software instalado

• Control Interno

• Resultados de la Auditoría.

JUSTIFICATIVOS PARA EFECTUAR UNA AUDITORÍA DE SISTEMAS

• Aumento considerable e injustificado del presupuesto del PAD (Departamento de Procesamiento de Datos)

• Desconocimiento en el nivel directivo de la situación informática de la empresa

• Falta total o parcial de seguridades lógicas y físicas que garanticen la integridad del personal, equipos e información.

• Descubrimiento de fraudes efectuados con el computador

• Falta de una planificación informática

• Organización que no funciona correctamente, falta de políticas, objetivos, normas, metodología, asignación de tareas y adecuada administración del Recurso Humano

• Descontento general de los usuarios por incumplimiento de plazos y mala calidad de los resultados

• Falta de documentación o documentación incompleta de sistemas que revela la dificultad de efectuar el mantenimiento de los sistemas en producción

TECNICAS DE AUDITORIA CON AYUDA DE COMPUTADORA

1. Los objetivos globales y el alcance de una auditoría no cambian cuando una auditoría se conduce en un entorno de CIS según se definió en la Norma Internacional de Auditoría (NIA) "Auditoría en un entorno de sistemas de información por computadora"; sin embargo, la aplicación de procedimientos de auditoría puede requerir que el auditor considere técnicas que usen la computadora como una herramienta de auditoría. Estos diversos usos de la computadora son conocidos como Técnicas de Auditoría con Ayuda de Computadora.

2. La NIA "Auditoría en un entorno de sistemas de información por computadora" comenta algunos de los usos de TAACs como sigue:

(La ausencia de documentos de entrada o la falta de un rastro visible de auditoría puede requerir el uso de TAACs en la aplicación de procedimientos sustantivos y de cumplimiento.

(La efectividad y eficiencia de los procedimientos de auditoría puede ser mejorada mediante el uso de TAACs.

3. El propósito de esta norma es proporcionar lineamientos en el uso de TAACs. Aplica a todos los usos de TAACs que impliquen una computadora de cualquier tipo o tamaño. Las consideraciones especiales que se refieren a entornos de computadora en negocios pequeños se discuten en el párrafo 24.

CONTROLES ADMINISTRATIVOS EN UN AMBIENTE DE PROCESAMIENTO DE DATOS

La máxima autoridad del Área de Informática de una empresa o institución debe implantar los siguientes controles que se agruparan de la siguiente forma:

1.- Controles de Preinstalación

2.- Controles de Organización y Planificación

3.- Controles de Sistemas en Desarrollo y Producción

4.- Controles de Procesamiento

5.- Controles de Operación

6.- Controles de uso de Microcomputadores

o Controles de Preinstalación

Hacen referencia a procesos y actividades previas a la adquisición e instalación de un equipo de computación y obviamente a la automatización de los sistemas existentes.

Objetivos:

• Garantizar que el hardware y software se adquieran siempre y cuando tengan la seguridad de que los sistemas computarizados proporcionaran mayores beneficios que cualquier otra alternativa.

• Garantizar la selección adecuada de equipos y sistemas de computación

• Asegurar la elaboración de un plan de actividades previo a la instalación

Acciones a seguir:

• Elaboración de un informe técnico en el que se justifique la adquisición del equipo, software y servicios de computación, incluyendo un estudio costo-beneficio.

• Formación de un comité que coordine y se responsabilice de todo el proceso de adquisición e instalación

• Elaborar un plan de instalación de equipo y software (fechas, actividades, responsables) el mismo que debe contar con la aprobación de los proveedores del equipo.

• Elaborar un instructivo con procedimientos a seguir para la selección y adquisición de equipos, programas y servicios computacionales. Este proceso debe enmarcarse en normas y disposiciones legales.

• Efectuar las acciones necesarias para una mayor participación de proveedores.

• Asegurar respaldo de mantenimiento y asistencia técnica.

o Controles de organización y Planificación

Se refiere a la definición clara de funciones, línea de autoridad y responsabilidad de las diferentes unidades del área PAD, en labores tales como:

1. Diseñar un sistema

1. Elaborar los programas

1. Operar el sistema

1. Control de calidad

Se debe evitar que una misma persona tenga el control de toda una operación.

Acciones a seguir

• La unidad informática debe estar al más alto nivel de la pirámide administrativa de manera que cumpla con sus objetivos, cuente con el apoyo necesario y la dirección efectiva.

• Las funciones de operación, programación y diseño de sistemas deben estar claramente delimitadas.

• Deben existir mecanismos necesarios a fin de asegurar que los programadores y analistas no tengan acceso a la operación del computador y los operadores a su vez no conozcan la documentación de programas y sistemas.

• Debe existir una unidad de control de calidad, tanto de datos de entrada como de los resultados del procesamiento.

• El manejo y custodia de dispositivos y archivos magnéticos deben estar expresamente definidos por escrito.

• Las actividades del PAD deben obedecer a planificaciones a corto, mediano y largo plazo sujetos a evaluación y ajustes periódicos "Plan Maestro de Informática"

• Debe existir una participación efectiva de directivos, usuarios y personal del PAD en la planificación y evaluación del cumplimiento del plan.

• Las instrucciones deben impartirse por escrito.

o Controles de Sistema en Desarrollo y Producción

Se debe justificar que los sistemas han sido la mejor opción para la empresa, bajo una relación costo-beneficio que proporcionen oportuna y efectiva información, que los sistemas se han desarrollado bajo un proceso planificado y se encuentren debidamente documentados.

Acciones a seguir:

Los usuarios deben participar en el diseño e implantación de los sistemas pues aportan conocimiento y experiencia de su área y esta actividad facilita el proceso de cambio

• El personal de auditoría interna/control debe formar parte del grupo de diseño para sugerir y solicitar la implantación de rutinas de control

• El desarrollo, diseño y mantenimiento de sistemas obedece a planes específicos, metodologías estándares, procedimientos y en general a normatividad escrita y aprobada.

• Cada fase concluida debe ser aprobada documentadamente por los usuarios mediante actas u otros mecanismos a fin de evitar reclamos posteriores.

• Los programas antes de pasar a Producción deben ser probados con datos que agoten todas las excepciones posibles.

• Todos los sistemas deben estar debidamente documentados y actualizados. La documentación deberá contener:

Informe de factibilidad

Diagrama de bloque

Diagrama de lógica del programa

Objetivos del programa

Listado original del programa y versiones que incluyan los cambios efectuados con antecedentes de pedido y aprobación de modificaciones

Formatos de salida

Resultados de pruebas realizadas

• Implantar procedimientos de solicitud, aprobación y ejecución de cambios a programas, formatos de los sistemas en desarrollo.

• El sistema concluido será entregado al usuario previo entrenamiento y elaboración de los manuales de operación respectivos

o Controles de Procesamiento

Los controles de procesamiento se refieren al ciclo que sigue la información desde la entrada hasta la salida de la información, lo que conlleva al establecimiento de una serie de seguridades para:

• Asegurar que todos los datos sean procesados

• Garantizar la exactitud de los datos procesados

• Garantizar que se grabe un archivo para uso de la gerencia y con fines de auditoría

• Asegurar que los resultados sean entregados a los usuarios en forma oportuna y en las mejores condiciones.

Acciones a seguir:

• Validación de datos de entrada previo procesamiento debe ser realizada en forma automática: clave, dígito auto verificador, totales de lotes, etc.

• Preparación de datos de entrada debe ser responsabilidad de usuarios y consecuentemente su corrección.

• Recepción de datos de entrada y distribución de información de salida debe obedecer a un horario elaborado en coordinación con el usuario, realizando un debido control de calidad.

• Adoptar acciones necesarias para correcciones de errores.

• Analizar conveniencia costo-beneficio de estandarización de formularios, fuente para agilitar la captura de datos y minimizar errores.

• Los procesos interactivos deben garantizar una adecuada interrelación entre usuario y sistema.

• Planificar el mantenimiento del hardware y software, tomando todas las seguridades para garantizar la integridad de la información y el buen servicio a usuarios.

o Controles de Operación

Abarcan todo el ambiente de la operación del equipo central de computación y dispositivos de almacenamiento, la administración de la cintoteca y la operación de terminales y equipos de comunicación por parte de los usuarios de sistemas on line.

Los controles tienen como fin:

• Prevenir o detectar errores accidentales que puedan ocurrir en el Centro de Cómputo durante un proceso

• Evitar o detectar el manejo de datos con fines fraudulentos por parte de funcionarios del PAD

• Garantizar la integridad de los recursos informáticos.

• Asegurar la utilización adecuada de equipos acorde a planes y objetivos.

Acciones a seguir:

• El acceso al centro de computo debe contar con las seguridades necesarias para reservar el ingreso al personal autorizado

• Implantar claves para garantizar operación de consola y equipo central (mainframe), a personal autorizado.

• Formular políticas respecto a seguridad, privacidad y protección de las facilidades de procesamiento ante eventos como: incendio, vandalismo, robo y uso indebido, intentos de violación y como responder ante esos eventos.

• Mantener un registro permanente (bitácora) de todos los procesos realizados, dejando constancia de suspensiones o cancelaciones de procesos.

• Los operadores del equipo central deben estar entrenados para recuperar o restaurar información en caso de destrucción de archivos.

• Los backups no deben ser menores de dos (padres e hijos) y deben guardarse en lugares seguros y adecuados, preferentemente en bóvedas de bancos.

• Se deben implantar calendarios de operación a fin de establecer prioridades de proceso.

• Todas las actividades del Centro de Computo deben normarse mediante manuales, instructivos, normas, reglamentos, etc.

• El proveedor de hardware y software deberá proporcionar lo siguiente:

Manual de operación de equipos

Manual de lenguaje de programación

Manual de utilitarios disponibles

Manual de Sistemas operativos

• Las instalaciones deben contar con sistema de alarma por presencia de fuego, humo, así como extintores de incendio, conexiones eléctricas seguras, entre otras.

• Instalar equipos que protejan la información y los dispositivos en caso de variación de voltaje como: reguladores de voltaje, supresores pico, UPS, generadores de energía.

• Contratar pólizas de seguros para proteger la información, equipos, personal y todo riesgo que se produzca por casos fortuitos o mala operación.

o Controles en el uso del Microcomputador

Es la tarea más difícil pues son equipos más vulnerables, de fácil acceso, de fácil explotación pero los controles que se implanten ayudaran a garantizar la integridad y confidencialidad de la información.

Acciones a seguir:

• Adquisición de equipos de protección como supresores de pico, reguladores de voltaje y de ser posible UPS previo a la adquisición del equipo

• Vencida la garantía de mantenimiento del proveedor se debe contratar mantenimiento preventivo y correctivo.

• Establecer procedimientos para obtención de backups de paquetes y de archivos de datos.

• Revisión periódica y sorpresiva del contenido del disco para verificar la instalación de aplicaciones no relacionadas a la gestión de la empresa.

• Mantener programas y procedimientos de detección e inmunización de virus en copias no autorizadas o datos procesados en otros equipos.

• Propender a la estandarización del Sistema Operativo, software utilizado como procesadores de palabras, hojas electrónicas, manejadores de base de datos y mantener actualizadas las versiones y la capacitación sobre modificaciones incluidas.

Analizados los distintos tipos de controles que se aplican en la Auditoría de Sistemas efectuaremos a continuación el análisis de casos de situaciones hipotéticas planteadas como problemáticas en distintas empresas, con la finalidad de efectuar el análisis del caso e identificar las acciones que se deberían implementar.

EVALUACIÓN DE LA SEGURIDAD

La computadora es un instrumento que estructura gran cantidad de información, la cual puede ser confidencial para individuos, empresas o instituciones, y puede ser mal utilizada o divulgada a personas que hagan mal uso de esta. También pueden ocurrir robos, fraudes o sabotajes que provoquen la destrucción total o parcial de la actividad computacional. Esta información puede ser de suma importancia, y el no tenerla en el momento preciso puede provocar retrasos sumamente costosos.

En la actualidad y principalmente en las computadoras personales, se ha dado otro factor que hay que considerar: el llamado “virus” de las computadoras, el cual, aunque tiene diferentes intenciones, se encuentra principalmente para paquetes que son copiados sin autorización (”piratas”) y borra toda la información que se tiene en un disco.

Al auditar los sistemas se debe tener cuidado que no se tengan copias “piratas” o bien que, al conectarnos en red con otras computadoras, no exista la posibilidad de transmisión del virus. El uso inadecuado de la computadora comienza desde la utilización de tiempo de máquina para usos ajenos de la organización, la copia de programas para fines de comercialización sin reportar los derechos de autor hasta el acceso por vía telefónica a bases de datos a fin de modificar la información con propósitos fraudulentos.

La seguridad en la informática abarca los conceptos de seguridad física y seguridad lógica:

o la seguridad física, se refiere a la protección del Hardware y de los soportes de datos, así como a la de los edificios e instalaciones que los albergan. Contempla las situaciones de incendios, sabotajes, robos, catástrofes naturales, etc.

o La seguridad lógica, se refiere a la seguridad de uso del software, a la protección de los datos, procesos y programas, así como la del ordenado y autorizado acceso de los usuarios a la información.

.

Causas de realización de una Auditoría de Seguridad

Esta constituye la FASE 0 de la auditoría y el orden 0 de actividades de la misma.

El equipo auditor debe conocer las razones por las cuales el cliente desea realizar el Ciclo de Seguridad. Puede haber muchas causas:

Reglas internas del cliente,

incrementos no previstos de costes,

obligaciones legales,

o situación de ineficiencia global notoria, entre otros.

De esta manera el auditor conocerá el entorno inicial. Así, el equipo auditor elaborará el Plan de Trabajo.

Ciclo de Seguridad

El objetivo de la auditoría de seguridad es revisar la situación y las cuotas de eficiencia de la misma en los órganos más importantes de la estructura informática.

Para ello, se fijan los supuestos de partida:

El área auditada es la Seguridad.•

El área a auditar se divide en: Segmentos.•

Los segmentos se dividen en: Secciones.•

Las secciones se dividen en: Su secciones.•

De este modo la auditoría se realizara en 3 niveles.

Dígito auto verificador

Consiste en incluir un dígito adicional a una codificación, el mismo que es resultado de la aplicación de un algoritmo o formula, conocido como MODULOS, que detecta la corrección o no del código. Tal es el caso por ejemplo del decimo dígito de la cédula de identidad, calculado con el modulo 10 o el ultimo dígito del RUC calculado con el módulo. CATACORA

AUDITORIA A TRAVES DEL COMPUTADOR

Este enfoque está orientado a examinar y evaluar los recursos del software, y surge como complemento del enfoque de auditoría alrededor del computador, en el sentido de que su acción va dirigida a evaluar el sistema de controles diseñados para minimizar los fraudes y los errores que normalmente tienen origen en los programas.

Objetivo de esta auditoría

• Asegurar que los programas procesan los datos, de acuerdo con las necesidades del usuario.

• Cerciorarse de la no-existencia de rutinas fraudulentas al interior de los programas.

• Comprobar que los programas utilizados en producción son los debidamente autorizados por el administrador.

• Verificar la existencia de controles eficientes para evitar que los programas sean modificados con fines ilícitos o que se utilicen programas no autorizados.

• Cerciorarse que todos los datos son sometidos a validación antes de ordenar su proceso correspondiente

AUDITORIA CON EL COMPUTADOR

Este enfoque va dirigido especialmente, al examen y evaluación de los archivos de datos en medios magnéticos, con el auxilio del computador y de software de auditoría generalizando y/o a la medida. Este enfoque es relativamente completo para verificar la existencia, la integridad y la exactitud de los datos, en grandes volúmenes de transacciones.

La auditoria con el computador es relativamente fácil de desarrollar porque los programas de auditoría vienen documentados de tal manera que se convierten en instrumentos de sencillas aplicaciones. Normalmente son paquetes que se aprenden a manejar en cursos cortos y sin avanzados conocimientos de informática.

Los programas en paquete son programas generalizados de computadora diseñados para desempeñar funciones de procesamiento de datos, tales como leer datos, seleccionar y analizar información, hacer cálculos, crear archivos de datos así como dar informes en un formato especificado por el auditor

Los paquetes de auditoría permiten desarrollar operaciones y pruebas, tales como: INVESTIGUE LOS NOMBRES DE LOS PAQUETES

1. Cálculos y verificación de información, como por ejemplo, relaciones sobre nómina, montos de depreciación y acumulación de intereses, entre otros.

2. Demostración gráfica de datos seleccionados.

3. Selección de muestras estadísticas.

4. Preparación de análisis de cartera por antigüedad.

CONCLUSIÓN

La auditoría en informática es la revisión y la evaluación de los controles, sistemas, procedimientos de informática; de los equipos de cómputo, su utilización, eficiencia y seguridad, de la organización que participan en el procesamiento de la información, a fin de que por medio del señalamiento de cursos alternativos se logre una utilización más eficiente y segura de la información que servirá para una adecuada toma de decisiones.

Además está auditoría deberá comprender no sólo la evaluación de los equipos de cómputo, de un sistema o procedimiento específico, sino que además habrá de evaluar los sistemas de información en general desde sus entradas, procedimientos, controles, archivos, seguridad y obtención de información.

Es considerada de vital importancia para el buen desempeño de los sistemas de información, ya que proporciona los controles necesarios para que los sistemas sean confiables y con un buen nivel de seguridad. Además debe evaluar todo (informática, organización de centros de información, hardware y software).

REFERENCIAS BIBLIOGRÁFICAS

...