PARA TODOS
Tomado de:
jueves, 7 de enero de 2016
FASE II
FASE II
REVISIÓN Y EVALUACIÓN DE CONTROLES Y SEGURIDADES.
Abarca la revisión de los diferentes diagramas de flujo de procesos
como la realización de pruebas de cumplimiento de las seguridades informáticas
existentes, la revisión de aplicaciones de las áreas críticas, la revisión de procesos históricos (backups), la revisión de
documentación y archivos, entre otras actividades de importancia que nos
permitan tener una idea más clara del entorno.
Objetivos de la evaluación
• Verificar la existencia de los controles
requeridos
• Determinar la operatividad y suficiencia de
los controles existentes
CONTROLES
Conjunto de disposiciones metódicas, cuyo fin es vigilar las funciones y actitudes de las empresas y para ello permite verificar si todo se realiza conforme a los programas adoptados, órdenes impartidas y principios admitidos.
Las herramientas de control: son los elementos software que
permiten definir uno o varios procedimientos de control para cumplir una
normativa y un objetivo de control.
La seguridad en la informática abarca los conceptos de:
seguridad física y seguridad lógica.
La seguridad física se refiere a la protección del Hardware y de los soportes de datos, así como a la de los edificios e instalaciones que los albergan.
La seguridad lógica se refiere a la seguridad de uso del software, a la protección de los datos, procesos y programas, así como el acceso de los usuarios a la información.
La informática crea riesgos informáticos, los cuales pueden
causar grandes problemas en entidades, por lo cual hay que proteger y preservar
dichas entidades con un entramado de contramedidas, la calidad y la eficacia de
la mismas es el objetivo a evaluar para poder identificar así sus puntos
débiles y mejorarlos, esta es una función de los auditores informáticos.
ACTIVIDAD
CAAT TÉCNICAS ASISTIDAS POR COMPUTADOR
Ensayo y exposición sobre
COBIT
COSO
ITIL
ISO/IEC 17799-2000
TRABAJO PARA DESPUÉS DE LA PRUEBA
jueves, 10 de diciembre de 2015
METODOLOGÍA PARA REALIZAR UNA AUDITORÍA INFORMÁTICA.
METODOLOGÍA PARA
REALIZAR UNA AUDITORÍA INFORMÁTICA.
Fase I.-
Estudio Preliminar,
Fase II.-
Revisión y evaluación de controles y seguridades
Fase
III.- Examen detallado de áreas críticas.
Fase IV.-
Comunicación de resultados.
FASE
I.- ESTUDIO PRELIMINAR
En esta
fase el estudio es corto en tiempo y general en su investigación.
La
auditoría informática desarrolla actividades basado en un método de trabajo
formal, que sea entendido por los auditores en informática y complementado con técnicas
y herramientas propias.
Mediante
1.
Realizar el Estudio preliminar del entorno a auditar
2.
Identificar el Alcance y los Objetivos de la Auditoría
Informática (A.I.)
1
Etapa preliminar o diagnóstico
Realizar
el Estudio Preliminar del entorno a auditar.
Las
actividades del auditor en informática deben quedar bien definidas en los
componentes formales que integran cualquier trabajo dentro de una organización.
El primer
paso que tiene el auditor en informática dentro de las empresas al efectuar un
proyecto de auditoría en informática es hacer un diagnóstico del negocio,
que incluye a la alta dirección y las áreas usuarias.
Examinar
situación general de funciones y actividades generales de la informática
Conocimiento
de:
* Organización: Estructura organizativa del
Departamento de Informática a auditar
* Entorno de Operación: Entorno de trabajo
* Aplicaciones Informáticas: Procesos informáticos
realizados en la empresa auditada
Estructura
organizativa del Departamento de Informática a auditar.
Departamentos:
Describir
sus funciones
Relaciones
Jerárquicas y funcionales
Flujos de
Información, tanto horizontales y verticales como extradepartamentales
Número de
Puestos de Trabajo
– Nombres de los puestos de trabajo
corresponden a funciones distintas:
Número de
Personas por Puesto de Trabajo
Estudio
Inicial: Entorno Operativo
· CPUs,
procesadores, PCs, periféricos, etc.
· Software
básico, software interno y software comprado
Comunicaciones
y Redes de Comunicación
· Líneas
de Comunicación
· Acceso
a red pública e intranet
Estudio
Inicial: Aplicaciones Informáticas
2.
Identificar el Alcance y los Objetivos de la Auditoría Informática (A.I.)
Alcance
Entorno y
límites en que se realizará la A.I.
HASTA
DÓNDE SE LLEGA
Acuerdo
por escrito (entre auditor y cliente) cuando se incluyen áreas no informáticas
o cuando la empresa tiene varias sedes, de:
·
Funciones (Seguridad, Dirección, etc.)
·
Materias (S.O., BD, etc.)
·
Departamentos o Áreas Organizativas (Explotación, Sistemas, Comunicaciones,
etc.)
Su no
definición pondrá en peligro el éxito de la A.I.
Limitaciones:
QUÉ DEJA DE AUDITARSE
· Principalmente en materias que pueden suponerse
incluidas
Objetivos
Auditor
debe comprender con exactitud los deseos y pretensiones del cliente, para
cumplir con los objetivos
Objetivos
generales
* Controles Generales de la Gestión Informática
* Verificar normas del Departamento de Informática
y observar su consistencia con las del resto de la empresa
* Normas Generales de la Instalación Informática
Objetivos
específicos
– Necesidad
de auditar una materia de gran especialización
– Evaluación
del funcionamiento de áreas informáticas en un determinado departamento
–
Aumentos de seguridad y fiabilidad
jueves, 3 de diciembre de 2015
jueves, 26 de noviembre de 2015
TÉCNICAS DE AUDITORÍA
EJERCICIOS
Realice un diagrama de PROCESOS
para:
- Aprobación de un Plan de titulación
- Selección de Personal aquí en la UTE-SALINAS.
- Dar examen atrasado
4.
Un
cliente va a una ferretería y solicita seis galones de pintura al vendedor, el
cual primero constata en bodega si hay en stock o no, confirma su existencia y
le emite la orden de compra del producto, el cliente se acerca a caja para
cancelar su compra y luego pasa retirarla el el dpto de entrega de producto del negocio.
TÉCNICAS DE AUDITORÍA:
Formas de acción del auditor para
obtener evidencias necesarias suficiente y competente que le permita formarse
un criterio profesional sobre lo examinado.
Son herramientas que emplea el
auditor según su criterio y las circunstancias.
TÉCNICAS DE VERIFICACIÓN OCULAR,
Estas técnicas utilizan como instrumento fundamental la vista
y se dividen así:
Comparación:
Consiste
en poner atención en dos o más cosas que tengan relación, con el fin de
determinar las similitudes o diferencias existentes.
Constituye
el esfuerzo realizado para cerciorarse o negarse de la veracidad del hecho.
Observación.-
Es
la más general de las técnicas de auditoría y su aplicación es de mucha
utilidad en casi todas las fases de la auditoría, por medio de ella el auditor
se cerciora de ciertos hechos y circunstancias.
Es mirar
cómo se realizan las operaciones.
Revisión
Selectiva.- Es
una técnica el auditor fija su
atención en aquellos casos distintos de los normales, en un examen ocular rápido
con fines de separar mentalmente asuntos que no son típicos o normales, a través de esta técnica,
Monitoreo / Rastreo.-
Consiste
en seguir una operación de un punto a otro de su procesamiento.
Se selecciona una operación o transacción la misma que es revisada
desde el inicio hasta el final de su proceso normal
TÉCNICAS DE VERIFICACIÓN VERBAL
Permite obtener información oral dentro o fuera de la
unidad auditada. Esta puede ser por entrevistas, indagación, encuestas y
cuestionarios.
Indagación.-
Consiste
en obtener información verbal a través de averiguaciones y conversaciones. Esta
técnica es de especial utilidad en la auditoría operacional cuando se examinan
áreas específicas no documentadas. Sin embargo los resultados de la indagación
por si solos no constituyen una evidencia suficiente y competente.
Obtiene información verbal sobre un asunto mediante averiguaciones directas
o conversaciones con funcionarios u otro personal, de la entidad o con
terceros, sobre posibles puntos débiles en la aplicación de los procedimientos,
prácticas de control interno u otras situaciones que el auditor considere
relevantes para su trabajo.
Encuestas y Cuestionarios: La información que se obtenga por estas vías es poco confiable, menos que la recolectada por los auditores en base a entrevistas. Por lo tanto debe ser utilizada con mucho cuidado, a no ser que cuente con evidencia que la corrobore.
Entrevistas: Consiste en realizar entrevistas y discusiones con funcionarios de la entidad y con otras personas. La información recopilada por medio de esta técnica, puede utilizarse para completar, explicar, interpretar o contradecir otra obtenida por otras fuentes.
TÉCNICAS DE VERIFICACIÓN DOCUMENTAL
Consisten en obtener de la entidad, documentación
escrita para soportar las afirmaciones, análisis o estudios realizados por los
auditores. Entre ellas se encuentran:
Comprobación.- Consiste en
examinar verificando la evidencia que apoya a una transacción u operación
demostrando autoridad, legalidad, propiedad y certidumbre.
Técnica
que se aplica en el curso de un examen, con el fin de corroborar la existencia,
legalidad, integridad, autenticidad y legitimidad de las operaciones efectuadas por una
entidad, mediante la verificación de los documentos que la justifican o
sustenta una operación o transacción.
Computación.-
Esta
técnica consiste en verificar la exactitud matemática de las operaciones.Se
utiliza para verificar la exactitud y corrección aritmética de un resultado.
Monitoreo/Rastreo: Utilizada para dar seguimiento y controlar una operación de manera progresiva, de un punto a otro de un proceso interno o de un proceso a otro por una unidad operativa dada, para asegurarse de su regularidad y corrección.
Estudio General (Exploración): Consiste en la evaluación general de la información de la entidad, sobre su naturaleza jurídica, objeto social, estados contables, información presupuestal, sistemas de información, sistemas de control, plan indicativo de gestión, contratación, etc
Revisión analítica: Análisis de índices, indicadores, tendencias y la investigación de fluctuaciones, variaciones y relaciones que resulten inconsistentes o se deriven de las operaciones, planes, entre otros, pronosticados.
TÉCNICAS DE VERIFICACIÓN FISICA
Es
el reconocimiento real, sobre hechos o situaciones dadas en tiempo y espacio
determinados y se emplea como técnica la inspección.
Inspección.-
Es
el examen físico y ocular de activos, documentos, valores con el objeto de
demostrar su existencia y autenticidad.
ACTIVIDAD I
ESCOGER DOS TÉRMINOS Y PUBLICAR EN EL BLOG, SU SIGNIFICADO
Knowbot
Benchmark
Phishing
Finger
Hijacking
Hoax
Spear Phishing
Botnet
Flooder
Pharming
Crimeware
Phracker
Lurker
Preacking
Spyware
Sniffer
Spoofing
Tab Napping
Trol
Vishing
Grooming
Malware
Rootkit
Adware
Keystroke Logger
Exploit
Add-On
Web Bug:
Backdoor
Armouring
Cookie
Re-Mailer:
Smishing
Phubbing
ACTIVIDAD II
Y EXPOSICIÓN PARA LA SEMANA SIGUIENTE
CONSULTAR UNA EMPRESA QUE FUE VÍCTIMA DE UN DELÍTO
INFORMÁTICO
Nota:
Consultar en páginas confiables, .edu, .org, etc
Consultar en páginas confiables, .edu, .org, etc
Suscribirse a:
Entradas (Atom)
