Auditoría y Seguridad de Sistemas de Información Riesgos de Aplicación MBA Luis Elissondo

Que es un SI Sistema de Información EntradaProceso Salida Clientes ProveedoresBancos DGI Accionistas Competidores Almc

Tecnología Informática y Sistemas de Información Tecnología Informática (Oferta) – Hardware y Software – Tecnología de Comunicaciones y Base de datos – Metodología para la construcción de aplicaciones. Sistemas de Información (Demanda) – Necesidades de Información – Requermientos del Negocio A P L I C A C I O N E S

Ciclo de vida de la Información Generación Registro Modificación / Consulta Eliminación

Flujo de los Procesos PERSONAS TECNOLOGIA Flujo Trabajo Flujo Información

Principales Riesgos de la Explotación Riesgos relacionados con la segregación de funciones. Riesgos relacionados con el ingreso de datos. Riesgos relacionados con items rechazados o en suspenso Riesgos relacionados con el procesamiento

"Personasnoautorizadaspuedenteneraccesoalas funcionesdeprocesamientodetransaccionesdelos programasdeaplicación,permitiéndolesleer, modificar,agregaroeliminardatosoingresar transaccionesnoautorizadasparasu procesamiento." CIS Organizativa Riesgo 1 : Acceso a Funciones de Procesamiento

MEDIOS DE CONTROL Segregación de funciones en el Dpto. CIS CIS Organizativa Riesgo 1 : Acceso a Funciones de Procesamiento

Medios de control de acceso Riesgo 1 : Acceso a Funciones de Procesamiento

SEGREGACION DE FUNCIONES efectiva USER1 USER2 USERn XX40/X XX1 XX41 YY41/X X40 Estructura Organizativa Accesos permitidos Usuario Permisos Software de control de acceso Adecuada estructura organizativa Segregación efectiva Riesgo 1 : Acceso a Funciones de Procesamiento

Riesgos Segregación de Funciones Inadecuada separación de funciones dentro del departamento de Sistemas. Inadecuada ubicación del área de Seguridad Informática Inadecuado esquema de seguridad lógica – perfiles de usuario. Problemas con la puesta en funcionamiento de nuevas versiones

"Losdatospermanentesydetransacciones ingresadosparaelprocesamientopuedenser imprecisos,incompletosoingresadosmásdeuna vez". ? Fecha: 30/02/90 Importe:30774,01 Code 024 = M Riesgo 2 : Ingreso de Datos

MEDIOS DE CONTROL Controles de edición y validación Fecha: 30/02/99 Importe:30.774,01 ? Code 024 Riesgo 2 : Ingreso de Datos

Riesgos en la entrada de datos Falta de controles de edición y validación (tipos de campos, campos faltantes, limites y validación) Inadecuada codificación. Procesamiento de datos duplicados. Controles por lote.

Riesgo 3 : Items rechazados / En suspenso

Riesgos en items rechazados Inexistencia del aviso del rechazo Identificación inadecuada de los datos rechazados No se realiza el seguimiento y esclarecimiento de items rechazados o en suspenso. Inexistencia de registros especiales para este tipo de movimientos.

Riesgo 4 : Procesamiento y Registro de transacciones

Riesgos en el procesamiento Duplicación del procesamiento. Falta de controles durante el procesamiento. Falta de informes de problemas en procesamiento. Problemas de reprocesamiento. Problemas de reenganche de procesos. Problemas en la administración de procesos

Desarrollo Práctico Caso Droguería

? ? ? ? ? Conclusiones y Preguntas