Auditoria

5.1 Generalidades de la seguridad en el área de la teleinformática

En las políticas de la entidad debe reconocerse que los sistemas, redes y mensajes transmitidos y procesados son propiedad de la entidad y no deben usarse para otros fines no autorizados, por seguridad y por productividad, tal vez salvo emergencias concretas si así se ha especificado, y más bien para comunicaciones por voz.

En función de la clasificación de los datos se habrá previsto el uso de cifrado, en la auditoría se evaluará o se llegará a recomendar, y se revisarán la generación, longitud, comunicación, almacenamiento y vigencia de las claves, especialmente de las maestras.

Cada usuario sólo debe recibir en el menú lo que pueda seleccionar realmente. Los usuarios tendrán restricción de accesos según dominios, únicamente podrán cargar los programas autorizados, y sólo podrán variar las configuraciones y componentes los técnicos autorizados.

Deberán existir protecciones de distinto tipo, y tanto preventivas como de detección, ante posibles accesos sobre todo externos, así como frente a virus por diferentes vías de infección, incluyendo el correo electrónico. Se revisarán especialmente las redes cuando existan repercusiones económicas porque se trate de transferencia de fondos o comercio electrónico.

Algunos de los puntos complementarios a revisar son:

• Tipos de redes y conexiones.

• Información y programas transmitidos, y uso de cifrado.

• Tipos de transacciones.

• Tipos de terminales y protecciones: físicas, lógicas, llamada de retorno.

• Protección de transmisiones por fax si el contenido está clasificado, si bien es preferible evitar el uso de este medio en ese caso.

• Protección de conversaciones de voz en caso necesario.

• Transferencia de archivos y controles existentes.

• Internet e Intranet.

5.2 Objetivos y Criterios de la auditoria en el área de la Teleinformática

Así ante la continua aparición de nuevas herramientas de gestión, la auditoría interna se ve compelida a velar entre otras cosas por la aplicación y buen uso de las mismas. Ello ciertamente implica un muy fuerte compromiso. Dijimos antes que la auditoría debía velar no sólo por los activos de la empresa sino además por su capacidad competitiva. Cuidar de esto último significa difundir, apoyar y controlar las nuevas y buenas prácticas. Así, haciendo uso del benchmarking puede verificar y promover las mejores prácticas para el mantenimiento de la más alta competitividad. Ser competitivo es continuar en la lucha por la subsistencia o continuidad de la empresa.

5.3 Síntomas de riesgo

Para muchos la seguridad sigue siendo el área principal a auditar, hasta el punto de que en algunas entidades se creó inicialmente la función de auditoría informática para revisar la seguridad, aunque después se hayan ido ampliando los objetivos.

En la auditoría de otras áreas pueden también surgir revisiones solapadas con la seguridad; así a la hora de revisar el desarrollo se verá si se realiza en un entorno seguro, etc.

•

...