Auditoria Informatica

Auditoría informática

La auditoria informática es el proceso de recoger, agrupar y evaluar evidencias para determinar si un Sistema de Información salvaguarda el activo empresarial, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organización y utiliza eficientemente los recursos.

Auditar consiste principalmente en estudiar los mecanismos de control que están implantados en una empresa u organización, determinando si los mismos son adecuados y cumplen unos determinados objetivos o estrategias, estableciendo los cambios que se deberían realizar para la consecución de los mismos. Los mecanismos de control pueden ser directivos, preventivos, de detección, correctivos o de recuperación ante una contingencia.

Los objetivos de la auditoría Informática son:

• El control de la función informática

• El análisis de la eficiencia de los Sistemas Informáticos

• La verificación del cumplimiento de la Normativa en este ámbito

• La revisión de la eficaz gestión de los recursos informáticos.

La auditoría informática sirve para mejorar ciertas características en la empresa como:

• Eficiencia

• Eficacia

• Rentabilidad

• Seguridad

Generalmente se puede desarrollar en alguna o combinación de las siguientes areas:

• Gobierno corporativo

• Administración del Ciclo de vida de los sistemas

• Servicios de Entrega y Soporte

• Protección y Seguridad

• Planes de continuidad y Recuperación de desastres

Actualmente la certificación de ISACA para ser CISA Certified Information Systems Auditor es una de las mas reconocidas y avaladas por los estandares internacionales ya que el proceso de selección consta de un examen inicial bastante extenso y la necesidad de mantenerse actualizado acumulando horas (puntos) para no perder la certificación.

Objetivo fundamental de la auditoría informática

Operatividad

La operatividad es una función de mínimos consistente en que la organización y las maquinas funcionen, siquiera mínimamente. No es admisible detener la maquinaria informática para descubrir sus fallos y comenzar de nuevo. La auditoría debe iniciar su actividad cuando los Sistemas están operativos, es el principal objetivo el de mantener tal situación. Tal objetivo debe conseguirse tanto a nivel global como parcial.

La operatividad de los Sistemas ha de constituir entonces la principal preocupación del auditor informático. Para conseguirla hay que acudir a la realización de Controles Técnicos Generales de Operatividad y Controles Técnicos Específicos de Operatividad, previos a cualquier actividad de aquel.

• Los Controles Técnicos Generales son los que se realizan para verificar la compatibilidad de funcionamiento simultaneo del Sistema Operativo y el Software de base con todos los subsistemas existentes, así como la compatibilidad del Hardware y del Software instalados. Estos controles son importantes en las instalaciones que cuentan con varios competidores, debido a que la profusión de entornos de trabajo muy diferenciados obliga a la contratación de diversos productos de Software básico, con el consiguiente riesgo de abonar más de una vez el mismo productoo desaprovechar parte del Software abonado. Puede ocurrir también con los productos de Software básico desarrollados por el personal de Sistemas Interno, sobre todo cuando los diversos equipos están ubicados en Centros de Proceso de Datos geográficamente alejados. Lo negativo de esta situación es que puede producir la inoperatividad del conjunto. Cada Centro de Proceso de Datos tal vez sea operativo trabajando independientemente, pero no será posible la interconexión e intercomunicación de todos los Centros de Proceso de Datos si no existen productos comunes y compatibles.

• Los Controles Técnicos Específicos, de modo menos acusado, son igualmente necesarios para lograr la Operatividad de los Sistemas. Un ejemplo de lo que se puede encontrar mal son parámetros de asignación automática de espacio en disco* que dificulten o impidan su utilización posterior por una Sección distinta de la que lo generó. También, los periodos de retención de ficheros comunes a varias Aplicaciones pueden estar definidos con distintos plazos en cada una de ellas, de modo que la pérdida de información es un hecho que podrá producirse con facilidad, quedando inoperativa la explotación de alguna de las Aplicaciones mencionadas.

*Parámetros de asignación automática de espacio en disco:

Todas las Aplicaciones que se desarrollan son super-parametrizadas , es decir, que tienen un montón de parámetros que permiten configurar cual va a ser el comportamientodel Sistema. Una Aplicación va a usar para tal y tal cosa cierta cantidad de espacio en disco. Si uno no analizó cual es la operatoria y el tiempo que le va a llevar ocupar el espacio asignado, y se pone un valor muy chico, puede ocurrir que un día la Aplicación reviente, se caiga. Si esto sucede en medio de la operatoria y la Aplicación se cae, el volver a levantarla, con la nueva asignación de espacio, si hay que hacer reconversiones o lo que sea, puede llegar a demandar muchísimo tiempo, lo que significa un riesgo enorme.

Tipos de Auditoría informática

Dentro de la auditoría informática destacan los siguientes tipos (entre otros):

• Auditoría de la gestión: Referido a la contratación de bienes y servicios, documentación de los programas, etc.

• Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y analisis de los flujogramas.

• Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos.

• Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio.

• Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno.

• Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información.

• Auditoría de las comunicaciones.

• Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.

Perfil del Auditor Informático General

Es un profesional dedicado al análisis de sistemas de información que está especializado en alguna de las ramas de la auditoría informática, que tiene conocimientos generales de los ámbitos en los que ésta se mueve, además de contar con conocimientos empresariales generales.

El auditor puede actuar como consultor con su auditado, dándole ideas de cómo enfocar la construcción de los elementos de control y administración que le sean propios. Además, puede actuar como consejero con la organización en la que está desarrollando su labor. Un entorno informático bien controlado puede ser ineficiente si no es consistente con los objetivos de la organización.

Perfiles profesionales de la función de Auditoría Informática

El auditor informático debe ser una persona con un alto grado de calificación técnica y al mismo tiempo estar integrado a las corrientes organizativas empresariales. Se deben contemplar las siguientes características de un perfil profesional adecuado y actualizado:

1. Se deben poseer una mezcla de conocimientos de auditoría financiera y de informática en general. En el área informática, se debe tener conocimientos básicos de:

• Desarrollo de SI (administración de proyectos, ciclo de vida de desarrollo)

• Administración del Departamento de Informática

• Análisis de riesgos en un entorno informático

• Sistemas operativos

• Telecomunicaciones

• Administración de Bases de Datos

• Redes locales

• Seguridad física

• Operación y planificación informática (efectividad de las operaciones y rendimiento del sistema)

• Administración de seguridad de los sistemas (planes de contingencia)

• Administración del cambio

• Administración de Datos

• Automatización de oficinas (ofimática)

• Comercio electrónico

• Encriptación de datos

2. Especialización en función de la importancia económica que tienen distintos componentes financieros dentro del entorno empresarial Por ejemplo, en un entorno financiero pueden tener mucha importancia las comunicaciones, por lo que se debe tener una especialización en esa rama.

3. Debe conocer técnicas de administración de empresas y de cambio, ya que las recomendaciones y soluciones que aporte deben estar alineadas a los objetivos de la empresa y a los recursos que se poseen.

4. Debe tener un enfoque de Calidad Total, lo cual hará que sus conclusiones y trabajo sean reconocidos como un elemento valioso dentro de la empresa y que los resultados sean aceptados en su totalidad.

Principales pruebas y herramientas para efectuar una auditoría informática

En la realización de una auditoría informática el auditor puede realizar las siguientes pruebas:

• Pruebas clásicas: Consiste en probar las aplicaciones / sistemas con datos datos de prueba, observando la entrada, la salida esperada, y la salida obtenida. Existen paquetes que permiten la realización de estas pruebas.

• Pruebas sustantivas: Aportan

...