Fases de la Auditoria Informática Fase I: Conocimientos del Sistema Fase II: Análisis de...

Fases de la Auditoria Informática

Fase I: Conocimientos del Sistema

Fase II: Análisis de transacciones y recursos

Fase III: Análisis de riesgos y amenazas

Fase IV: Análisis de controles

Fase V: Evaluación de Controles

Fase VI: El Informe de auditoria

Fase VII: Seguimiento de las Recomendaciones

Fase I: Conocimientos del Sistema

1.1. Aspectos Legales y Políticas Internas.Sobre estos elementos está construido el sistema de control y por lo tanto constituyen el marco de referencia para su evaluación.

1.2.Características del Sistema Operativo.Organigrama del área que participa en el sistemaManual de funciones de las personas que participan en los procesos del sistemaInformes de auditoría realizadas anteriormente

1.3.Características de la aplicación de computadoraManual técnico de la aplicación del sistemaFuncionarios (usuarios) autorizados para administrar la aplicaciónEquipos utilizados en la aplicación de computadoraSeguridad de la aplicación (claves de acceso)Procedimientos para generación y almacenamiento de los archivos de la aplicación.

Fase II: Análisis de transacciones y recursos

2.1.Definición de las transacciones.Dependiendo del tamaño del sistema, las transacciones se dividen en procesos y estos en subprocesos. La importancia de las transacciones deberá ser asignada con los administradores.

2.2.Análisis de las transaccionesEstablecer el flujo de los documentosEn esta etapa se hace uso de los flujogramas ya que facilita la visualización del funcionamiento y recorrido de los procesos.

2.3.Análisis de los recursosIdentificar y codificar los recursos que participan en el sistemas

2.4.Relación entre transacciones y recursos

Fase III: Análisis de riesgos y amenazas

3.1.Identificación de riesgos

Daños físicos o destrucción de los recursosPérdida por fraude o desfalcoExtravío de documentos fuente, archivos o informesRobo de dispositivos o medios de almacenamientoInterrupción de las operaciones del negocioPérdida de integridad de los datosIneficiencia de operacionesErrores

3.2.Identificación de las amenazas

Amenazas sobre los equipos:Amenazas sobre documentos fuenteAmenazas sobre programas de aplicaciones

3.3.Relación entre recursos/amenazas/riesgos

La relación entre estos elementos deberá establecerse a partir de la observación de los recursos en su ambiente real de funcionamiento.

Fase IV: Análisis de controles

4.1.Codificación de controlesLos controles se aplican a los diferentes grupos utilizadores de recursos, luego la identificación de los controles deben contener una codificación la cual identifique el grupo al cual pertenece el recurso protegido.

4.2.Relación entre recursos/amenazas/riesgosLa relación con los controles debe establecerse para cada tema (Rec/Amz/Rie) identificado. Para cada tema debe establecerse uno o más controles.

4.3.Análisis de cobertura de los controles requeridosEste análisis tiene como propósito determinar si los controles que el auditor identificó como necesarios proveen una protección adecuada de los recursos.

Fase V: Evaluación de Controles

5.1.Objetivos de la evaluaciónVerificar la existencia de los controles requeridosDeterminar la operatividad y suficiencia de los controles existentes 5.2.Plan de pruebas de los controlesIncluye la selección del tipo de prueba a realizar.Debe solicitarse al área respectiva, todos los elementos necesarios de prueba.

5.3.Pruebas de controles

5.4.Análisis de resultados de las pruebas

Fase VI: Informe de Auditoria

6.1. Informe detallado de recomendaciones6.2. Evaluación de las respuestas6.3. Informe resumen para la alta gerenciaEste informe debe prepararse una vez obtenidas y analizadas las respuestas de compromiso de la áreas.Introducción: objetivo y contenido del informe de auditoriaObjetivos de la auditoríaAlcance: cobertura de la evaluación realizadaOpinión: con relación a la suficiencia del control interno del sistema evaluadoHallazgosRecomendaciones

Fase VII: Seguimiento de Recomendaciones

7.1. Informes del seguimiento

7.2. Evaluación de los controles implantados

Fin de la sesión.

Informática II. Decanato de Administración y Contaduría

Auditoría Informática

Revisión EvaluaciónControles y las Medidas deSeguridad que se Aplican

a los Recursos de unSistema de Información



Objetivos• Presentar recomendaciones en función de las fallas detectadas.• Determinar si la información que brindan los Sistemas de Informáticos es útil.• Inspeccionar el Desarrollo de los Nuevos Sistemas.• Verificar que se cumplan las normas y políticas de los procedimientos.



Tipos

Interna: Aplicada con el personal que laboraen la empresa.

Externa: Se contrata a una firma especiali-zada para realizar la misma.

Auditoría Informática Externa

Las empresas recurren a la auditoría externacuando existen:

• Síntomas de Descoordinación

• Síntomas de Mala Imagen


• Síntomas de Debilidades Económicas

• Síntomas de Inseguridad

Aspectos Fundamentales en la

Auditoría de losSistemas de Información


Auditoría Informática de Desarrollo de Aplicaciones

Cada una de las fases del desarrollo de las nuevas aplicaciones informáticas deben ser sometidas a un minucioso control, a fin de evitar un aumento significativo de los costos, así como también insatisfacción de los usuarios.


Auditoría de los Datos de Entrada

Se analizará la captura de la información en soporte compatible con los Sistemas, el cumplimiento de plazos y calendarios de tratamientos y entrega de datos; la correcta transmisión de datos entre entornos diferentes. Se verificará que los controles de integridad y calidad de datos se realizan de acuerdo a las Normas

establecidas.


Auditoría Informática de Sistemas

Se audita:


•Sistema Operativo: Verificar si la versión instalada permite el total funcionamiento del software que sobre ella se instala, si no es así determinar la causa•Software de Aplicación: Determinar el uso de las aplicaciones instaladas.•Comunicaciones: Verificar que el uso y el rendimiento de la red sea el más adecuado .

Técnicas de Auditoría

Existen varias técnicas de Auditoría Informática de Sistemas, entre las cuales se mencionan:

• Lotes de Prueba: Transacciones simuladas que se introducen al Sistema a fin de verificar el funcionamiento del mismo. Entre los datos que se deben incluir en una pruebase tienen:

• Datos de Excepción.• Datos Ilógicos.• Transacciones Erróneas


Técnicas de Auditoría...(Continuación)

• Auditoría para el Computador: Permite determinar si el uso de los equipos de computación es el idó- neo. Mediante esta técnica, se detectan equipos sobre y subutilizados.

• Prueba de Minicompañía: Revisiones periódicas que se realizan a los Sistemas a fin de determinar nuevas necesidades.


Peligros Informáticos

• Incendios: Los recursos informáticos son muy sensibles a los incendios, como por ejemplo reportes impresos, cintas, discos. • Inundaciones: Se recomienda que el Departamento de computación se encuentre en un nivel alto. La Planta Baja y el Sótano son lugares propensos a las inundaciones. • Robos: Fuga de la información confidencial de la empresa. • Fraudes: Modificaciones de los datos dependiendo de intereses particulares.


Medidas de Contingencia

Mecanismos utilizados para contrarrestar la pérdida o daños de la información, bien seaintencionales o accidentales.

La más utilizada es la Copia de Seguridad(Backup), en la cual se respalda la informa-ción generada en la empresa .


Copias de Seguridad

Las copias pueden ser totales o parciales y la fre-cuencia varía dependiendo de la importancia de la información que se genere.

BackupSe recomienda tener como mínimo dos (2)respaldos de la información,uno dentro de la empresa y otro fuerade ésta (preferiblemente en un Banco enCaja Fuerte).


Medidas de Protección

Medidas utilizadas para garantizar la SeguridadFísica de los Datos.

Aquellos equipos en donde se generainformación crítica, deben tener unUPS. De igual forma, el suministro decorriente eléctrica para el área informática,debe ser independiente del resto de las áreas.


Medidas de Control y Seguridad

Mecanismos utilizados para garantizar la SeguridadLógica de los Datos.

En los Sistemas Multiusuarios se deben restringirel acceso a la Información, mediante un nombrede usuario (login) y una contraseña (password). Del mismo modo, se debe restringir el acceso a los Sistemas en horas no laborables salvo casosexcepcionales.


Fases de la Auditoria Informática Fase I: Conocimientos del Sistema Fase II: Análisis de...

Documents

Transcript of Fases de la Auditoria Informática Fase I: Conocimientos del Sistema Fase II: Análisis de...