Please enable JavaScript.

Coggle requires JavaScript to display documents.

Desarrollo de la Auditoría Informática, Rick Brandon López Noguez - Coggle…

- - - - sus sistemas, organización y equipo
        
        con ello podremos determinar el número y características del personal de auditoría, las herramientas necesarias, el tiempo y costo
        
        así como definir los alcances de la auditoría para, poder elaborar el contrato de servicios
  - - - El departamento de auditoría interna deberá asignara cada auditoría a aquellas personas que en su conjunto posean los conocimientos, la experiencia y la disciplina necesarios para conducir apropiadamente la auditoría.
      - El alcance del trabajo de auditoría interna en el área de informática.
      - Las actividades auditadas y la objetividad de los auditores internos.
    - - Que las auditorías sean supervisadas en forma apropiada. La supervisión es un proceso continuo que comienza con la planeación y termina con el trabajo de auditoría.
      - Que los informes de auditoría sean precisos, objetivos, claros, concisos, constructivos y oportunos.
      - Que se cumplan los objetivos de la auditoría.
      - Que la auditoría sea debidamente documentada y que se conserve la evidencia apropiada de la supervisión.
      - Que los auditores cumplan con las normas profesionales de conducta.
      - Que los auditores en informática posean los conocimientos, experiencias y disciplinas esenciales para realizar sus auditorías.
    - - El trabajo de auditoría deberá incluir
        
        La planeación de la auditoría
        
        El examen y la evaluación de la información
        
        La comunicación de los resultados y el seguimiento
    - - El objetivo es el de obtener la información necesaria para que el auditor pueda tomar la decisión de cómo proceder en la auditoría.
    - - Los objetivos son los de obtener la información necesaria para que el auditor tenga un profundo entendimiento de los controles usados dentro del área de informática.
    - - Los auditores internos deberán obtener, analizar, interpretar y documentar la información para apoyar los resultados de la auditoría.
      - Los auditores deberán reportar los resultados del trabajo de auditoría
        
        El auditor deberá discutir las conclusiones y recomendaciones en los niveles apropiados de la administración antes de emitir su informe final.
        
        Los informes deberán ser objetivos, claros, concisos, constructivos y oportunos.
        
        Los informes presentarán el propósito, alcance y resultados de la auditoría y, contendrán la opinión del auditor.
    - - En algunos casos el auditor puede decidir el no confiaren los controles internos dentro de las instalaciones informáticas, porque el usuario ejerce controles que compensan cualquier debilidad dentro de los controles de informática.
      - Estas pruebas que compensan las deficiencias de los controles internos se pueden realizar mediante cuestionarios, entrevistas, visitas y evaluaciones hechas directamente con los usuarios.
    - - El objetivo es obtener evidencia suficiente que permita al auditor emitir su juicio en las conclusiones acerca de cuándo pueden ocurrir pérdidas materiales durante el procesamiento de la información.
      - Se pueden identificar ocho diferentes pruebas sustantivas
        
        Pruebas para identificar errores en el procesamiento o de falta de seguridad o confidencialidad.
        
        Pruebas para asegurar la calidad de los datos.
        
        Pruebas para identificar la inconsistencia de los datos.
        
        Pruebas para comparar con los datos o contadores físicos.
        
        Confirmación de datos con fuentes externas.
        
        Pruebas para confirmar la adecuada comunicación.
        
        Pruebas para determinar falta de seguridad.
        
        Pruebas para determinar problemas de legalidad.
    - - Se deberá observar el estado general del área, su situación dentro de la organización, si existe la información solicitada, si es o no necesaria y la fecha de su última actualización.
    - - el personal que intervengan esté debidamente capacitado, con alto sentido de moralidad, al cual se le exija la optimización de recursos (eficiencia) y se le retribuya o compense justamente por su trabajo.
- - - - determinar, analizar, valorar y clasificar el nivel de amenaza para mantener la seguridad de los sistemas.
  - - - las cuales se podrán tomar medidas correctivas rápidamente y estas no impliquen un costo o esfuerzo considerable.
    - - Esta busca cuantificar el impacto de amenazas potenciales sobre un sistema a partir de acciones como
        
        la planificación del propio análisis, identificación de las amenazas y vulnerabilidades, la valoración del impacto, frecuencia de las amenazas y tratamiento del propio riesgo.
        
        Una vez procesada la información
        
        se podrá conocer cuáles son esos datos cuya vulneración provocaría un mayor impacto.
    - - pueden proceder del personal encargado, externo, daños en los equipos o caída de enlaces.
        
        Un análisis de las vulnerabilidades ayudaría a identificar la ausencia de medidas para reducir los riesgos.
        
        Entre las diferentes vulnerabilidades a evaluar se encontrarían
        
        software que aluden a errores de sistemas operativos
        
        aplicaciones o rutinas de acceso no autorizado.
    - - pasarían por fallas en mantenimiento, una seguridad física inadecuada o falta de protección contra desastres naturales.
      - destacaríamos las vulnerabilidades de datos como:
        
        inadecuados controles de acceso
        
        ausencia de una política de seguridad o de comunicaciones
        
        inadecuado control de acceso a la Red o vulnerabilidades propias del personal.
    - - el acceso al área de sistemas
      - el acceso a los mismos sistemas
      - la protección y salvaguarda de los activos de este área.
      - las medidas de prevención y combate de siniestros, entre otros
    - - consiste en la aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial
- - - - Estudios técnicos.
      - Capacidad para expresar conceptos e ideas con claridad.
      - Capacidad para tomar decisiones objetivamente, trabajar en grupo y evaluar razonablemente
      - Fluidez en forma oral y escrita.
      - Haber cursado otros estudios requeridos internamente por la empresa.
  - - - Comunicar y aclarar los requisitos de auditoria.
      - Planificar y llevar a cabo las responsabilidades asignadas
      - Documentar las observaciones.
      - Informar los resultados de la auditoria.
      - Verificar la efectividad de las acciones correctivas tomadas
      - Conservar y salvaguardar los documentos relativos a la auditoria, garantizando su confidencialidad y discreción.
      - Cooperar y apoyar al auditor principal.
- - - - Distribución del hardware (ubicación física)
      - Registro del hardware instalado, dado de baja, proceso de adquisición, etc.
      - Uso del mismo: desarrollo, operación, mantenimiento, monitoreo y toma de decisiones.
      - Acceso al hardware (llaves de seguridad)
      - Bitácoras de uso (quién, cuando, para qué, entre otros puntos)
  - - - Sistemas operativos, utilidades, paquetes, etc.
      - Que tenga licencias correspondientes
      - Que la información que sale de la empresa, sea:
      - Revisado (contenido, cantidad, destino)
      - Aprobado por el responsable del área
      - El personal este comprometido formalmente a no hacer mal uso del mismo (dañarlo, modificarlo, distribuirlo)
      - Que es software que ingrese a la empresa, sea:
      - Revisado (contenido, cantidad y destino)
      - Aprobado por el responsable del área
      - Devuelto en las mismas condiciones que tenia en la salida
- - - - Definición de problema
      - · Estudio de factibilidad
      - · Diseño general y análisis del sistema
      - · Diseño del sistema
      - · Diseño detallado
      - · Implementación y desarrollo físico
      - · Pruebas del sistema
      - · Cambios y mejoras al sistema
  - - - la planeación estratégica, requerimientos de los usuarios, los inventarios de sistemas en proceso y los requerimientos de la organización y usuarios.
    - - manual del usuario, descripción del flujo de información, manual de formas y de reportes, definición de bases de datos, definición de redes.
  - - - lenguajes de programación, CASE, programación orientada a objetivos.
    - - interfaces de usuarios, enlaces de objetos, capacidad de trabajar en multiplataforma, licencias, transportable, fácil de usar, demanda de software, costo, etc.
        
        para hacer una correcta evaluación del diseño lógico del sistema.
  - - - dentro de estas se debe tener en cuenta el tipo de información que se le incorpore para evitar la redundancia en los datos.
    - - Diccionario
      - · Lenguajes
      - · Monitoreo
      - · Herramientas de desarrollo
      - · Software de seguridad
      - · Almacenamiento
      - · Bases de datos de multiplataformas etc.
  - - - confiabilidad
      - tiempo de respuesta
      - costo
      - compatibilidad
      - seguridad
    - - entradas, salidas, procesos, especificaciones de datos, métodos de acceso, sistemas de seguridad, sistemas de control, responsables, número de usuarios y bases de datos requeridos.
  - - - a numeración, titulo, espacio, tabulación, zonas, rayado, instrucciones, firmas, nombres, rótulos y su ubicación, casilleros, tipo de papel, tamaño estándar, color, etc.
  - - - Para el caso del sistema se debe evaluar lo conocido como sistema imaginable, como las ayudas, catálogos de referencias, ligas automáticas, que sea ágil, que solicite información en forma secuencial.
    - - pero debe tenerse en cuenta que el exceso de redundancia podría causar ruido.
    - - la cantidad de energía que por su degradación no puede ser aprovechada, de tal manera que dentro de los sistemas podría plantearse como opción para reducirla, la interconexión de sistemas para que la energía que no sea usada pueda ser utilizada en otro sistema
  - - - mejoras en el tiempo de respuesta, reducción de costos, crecimiento planeado, compartir recursos, satisfacción de usuarios, etc.
      - para la evaluación se puede considerar
        
        falta de personal calificado en todos los puntos del sistema
        
        estandarización
        
        documentación
        
        perdida de datos
        
        mantenimiento del sistema
        
        la seguridad en la transferencia de la información
  - - - Se debe de pasar por las etapas de
        
        Etapa de análisis y definición de problema (objetivo del sistema)
        
        · Etapa de estudio de factibilidad (desarrollo de modelo lógico)
        
        · Etapa de diseño (evaluar opciones de diseño, escogerla plantear objetivos e iniciar su codificación)
        
        · Etapa de programación (verificar con base en especificaciones)
        
        · Etapa de implementación y pruebas del sistema
        
        se efectúa la implementación del sistema, evaluando su seguridad, confidencialidad, y brindando entrenamiento a los usuarios etc.
  - - - Diagramas de flujo
      - · Diagramas de entrada y salida
      - · Mensajes y su explicación
      - · Diseño de impresión de resultados
      - · Cifras de control
      - · Fórmulas de verificación
      - · Observaciones
      - · Calendario de procesos
  - - - puntos que se toman en cuenta para la prueba del sistema, forma de cargar los datos al sistema y un plan de trabajo para la implantación del sistema.
  - - - Prepararse para la entrevista estudiando los puestos de las personas que van a ser entrevistadas y sus funciones dentro de la organización.
      - Preséntese y de un paradigma del motivo de la entrevista.
      - Comience con preguntas generales sobre las funciones, la organización y los métodos de trabajo.
      - Haga preguntas específicas sobre los procedimientos que pueden dar mejoramiento.
      - Siga los temas tratados en la entrevista.
      - Limite tomar nota de lomas relevante.
      - Al final de la entrevista, ofrezca un resumen y de información obtenida y pregunte como se puede dar seguimiento.
  - - - Identificar el grupo evaluado.
      - Escribir una introducción clara.
      - Determinación de datos recopilados.
      - Elaborar preguntas con precisión.
      - Limitar el número de preguntas.
      - Diseñar e implementar un plan de recolección de datos.
      - Determinar el método de análisis que será usado.
      - Distribuir cuestionarios.
    - - Que áreas pueden ser mejoradas?
      - Que información necesita que actualmente no tiene o que es difícil de obtener?
      - Que cuellos de botella ocurren durante el día
      - Como se pueden eliminar?
    - - Cumplir con los requerimientos totales del usuario.
      - Cubrir todos los controles necesarios.
      - No exceder las estimaciones del presupuesto inicial, en tiempo y costo.
      - Ser fácilmente modificables.
      - Poder usarlos a tiempo.
  - - - Razón de justicia social: el autor debe obtener provecho de su trabajo.
      - Razón de desarrollo cultural: si el autor está protegido, estará estimulado para crear nuevas obras.
      - Razón de orden económico: la importancia de las inversiones.
      - Razón de orden moral: al ser la obra la expresión personal del pensamiento debe tener de que se le respete.es decir derecho a decidir si puede ser reproducida o no.
      - Razón de prestigio nacional: Si la protección no existe, el patrimonio cultural será escaso y no se desarrollaran las artes.
    - - el cual involucra la parte más importante del desarrollo intelectual de las personas, ya que se refiere a las ramas literaria, científica, técnica, jurídica, musical, pictórica.
- - - - • Aplicación
      - • Presentación
      - • Sesión
      - • Transporte
      - • Red
      - • Enlace de datos
      - • Física
    - - • Aplicación
      - • Transporte
      - • Internet
      - • Acceso a la red
  - - - Áreas de equipo de comunicación con control de acceso.
      - Protección y tendido adecuado de cables y líneas de comunicación para evitar accesos físicos.
      - Control de utilización de equipos de prueba de comunicaciones para monitorear la red y el tráfico en ella.
      - Control de las líneas telefónicas. VoIP monitoreos, permisos.
      - Documentación sobre la topología y diagrama de la red.
      - Medidas para separar las actividades de los electricistas y
        de cableado de líneas telefónicas.
      - Adecuada seguridad física del equipo de comunicaciones.
      - Revisiones periódicas de la red.
      - Establecer las tasas de rendimiento de los procesos y análisis del consumo de datos y memoria de los servidores
  - - - Establecer un cableado estándar genérico de telecomunicaciones que respaldará un ambiente multiproveedor.
      - Permitir la planeación e instalación de un sistema de cableado estructurado para construcciones comerciales.
      - Establecer un criterio de ejecución y técnico para varias configuraciones de sistemas de cableado
    - - Requerimientos mínimos para cableado de telecomunicaciones dentro de un ambiente de oficina
      - Topología y distancias recomendadas
      - Parámetros de medios de comunicación que determinan el rendimiento
      - La vida productiva de los sistemas de telecomunicaciones por cable por más de 10 años (15 actualmente)
  - - - Inhabilitar el software o hardware con acceso libre.
      - Los mensajes lógicos de transmisión han de llevar origen, fecha, hora y receptor.
      - Los datos sensibles, solo pueden ser impresos en un dispositivo especifico y deben ser vistos desde una terminal debidamente autorizada.
      - Asegurar que los datos que viajan por Internet vayan cifrados.
      - Deben existir políticas que prohíban la instalación de programas o equipos personales en la red.
      - Uso de VPN para transmitir los datos de manera más segura
      - Generar ataques propios para probar solidez de la red
  - - - Cables de fibra
        
        se reconocen tanto la fibra multimodo como la modo-simple para el área de trabajo
        
        se reconoce la fibra de 50 mm
      - Conectores de fibra
        
        El conector 568SC dúplex permanece como estándar en el área de trabajo
        
        Otros conectores pueden se usados en otro sitios
        
        Deben con Fiber Optic Connector Intermateability Standard (FOCIS)
  - - - Cada ESS tiene un identificador conocido como SSID, que debe ser el mismo en todos los AP del ESS.
    - - El tipo más común es el 802.11b, cuyas características de la capa física son:
        
        La banda de frecuencia de 2,4 GHz.
        
        El DSSS (Direct Sequence Spread Spectrum).
        
        La codificación CCK (para las velocidades de 5,5 y 11 Mbit/s).
      - La capa MAC, además de la funcionalidad típica de estas capas, realiza funciones que normalmente se implementan en capas superiores: fragmentación, retransmisión de paquetes, y asentimientos
  - - - Los edificios son dinámicos. Durante la existencia de un edificio, las remodelaciones son más la regla que la excepción.
      - Los sistemas de telecomunicaciones y de medios son dinámicos. Durante la existencia de un edificio, los equipos de telecomunicaciones cambian dramáticamente.
    - - Estandarizar las prácticas de construcción y diseño.
      - Provee un sistema de soporte de telecomunicaciones que es adaptable a cambios durante la vida útil de la instalación.
    - - Trayectorias y espacios en los cuales se colocan y terminan medios de telecomunicaciones.
      - Trayectorias y espacios de telecomunicaciones dentro y entre edificios.
      - Diseño de edificios comerciales para viviendas unifamiliares y multifamiliares.