Control Interno y Riesgos en TIs Paul Leger http://pleger.cl pleger@ucn.cl

SIA por dentro… Tú Contiene varios módulos ¿Cuántos? ¡Depende de cuánto pagues! Inventario Pago de Sueldo Libro Mayor Reportes Una interfaz particular para cada modulo (armonizada con la interfaz global) Una genérica interfaz para todos los módulos (ej. Web) Tú Computines que los mantienen Tu empleado

Interfaces globales y particulares de un software: Interfaz de Menú “Ribbon” de Office Cada herramienta de Office tiene una interfaz particular para su herramienta Pero todas las herramientas de office usan la misma interfaz “Ribbon”: pestañas por menu

Ejemplo de una mala interfaz Una interfaz con muchos botones presentes es una mala interfaz Hoy se buscan interfaz más sencillas

Imágenes de Dynamics AX (un ERP) integración con Office Interfaz amigables similar a outlook

Versión de SAP antiguo Interfaz implementada con JAVA (no común para Windows) NO integración con Office Hoy, SAP usa una interfaz Web

Interface Web de SAP

Controles Internos de Sistemas TI Inventario Pago de Sueldo Libro Mayor Reportes Controles generales Controles de aplicación Los controles generales se aplican en general alrededor de un SIA Los controles de aplicación son utilizados para controlar las entradas, procesamiento y salidas Controles de aplicación Controles de aplicación

Controles Generales de un SIA Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

Controles Generales de un SIA Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

1. Autenticación de usuarios Controles Generales de Sistemas TI 1. Autenticación de usuarios Autenticación de usuarios Perfil de usuario (no todos los usuarios son iguales) Log de computador (historial -¿Quién fue el culpable?) Otros: Tarjeta electrónica Dispositivos biométricos

Controles Generales de un SIA Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

Controles Generales de Sistemas TIs 2. Hacking de Red Firewall Firewall (WEP) Wired equivalency privacy (WAP) Wireless protected access (VPN) Virtual private network Intrusion detection VPN es implementación de una extranet

Controles Generales de Sistemas Hacking a WEP red ESPERAR VIDEO

Controles Generales de un SIA Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

Controles Generales de Sistemas TI 3. Estructura Organizacional (1/3) Principalmente se encarga de contratar a personas con el perfil adecuado. Por ejemplo: ¿Cumple el Administrador de Base de Datos (DBA) que tenemos con el perfil que realmente necesitamos? ¿Nuestros ingenieros en TIs son capaces de desarrollar un sistema de información? Solución: HeadHunters (o panel de expertos)

Controles Generales de Sistemas TI 3. Estructura Organizacional (2/3) Los deberes que deben estar segregadas: Programadores Administrador de Base de datos Redes DBA Programador Redes Consejo: Programdores trabajen con copias de los sistemas (versión en desarrollo) y no con la versión en producción (versión de los usuarios finales)

Controles Generales de Sistemas TI 3. Estructura Organizacional (3/3) ESPERAR VIDEO DE Hacking a Website con Code Injection

Controles Generales de un SIA Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

Controles Generales de Sistemas TI 4. Entorno físico y seguridad física del sistema Intruso

Controles Generales de Sistemas TI 4. Entorno físico y seguridad física del sistema Controles de acceso físico: Limitación de acceso a las salas de ordenadores (ej. tarjetas electronicas) Equipos de vídeo vigilancia Registros de las personas que entran y salen de salas de informática Almacenamiento cerrado de datos sensibles fuera de instalaciones

Controles Generales de un SIA Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

Controles Generales de Sistemas TI 5. Continuidad del Negocio Planificación de continuidad Continuidad del negocio relacionado con los sistemas TI: Copia de seguridad de datos y restauración de los sistemas TI, copias de seguridad incrementales diarias. Recuerde: ¡El harware es reemplazable … pero no los datos! Tener un plan de recuperación de desastres La mayoría de las nubes tienen backup

5. Continuidad del Negocio Controles Generales de Sistemas TI 5. Continuidad del Negocio 28 de Marzo del 2011, Georgia. http://mexico.cnn.com/historias-extraordinarias/2011/04/08/mujer-de-75-anos-deja-sin-internet-a-32-millones-de-personas-en-armenia Un data center dentro de las torres gemelas: http://www.techrepublic.com/blog/career-management/ten-years-later-it-and-life-lessons-from-the-south-tower/

Los Formularios de un Software: Un fuente para ganar errores o engaños Cada entrada de un formulario debe ser verificada

Exposiciones en una aplicación Generalmente en formularios se son una fuente para ingresar datos (intencionalmente) erróneos

¿Qué debo verificar en un formulario? Algunos de los errores o trampas que se pueden cometer en un formulario: Comprobar limite de texto Ejemplo: Un nombre no puede tener más 255 caractares Control de Rango Ejemplo: No se puede ingresar un sueldo negativo Ejemplo: No se puede registrar más N horas extras por trabajador al mes Chequeo de Firma Ejemplo: Verificar si la firma digital de una persona o empresa coincide con la que contiene el sistema

Otras fuentes de engaños: Conoce cómo se construyó el software y conocerás sus debilidades

Otras exposiciones del software: (de acuerdo a mi humilde experiencia) Si tu sabes que programas se uso para construir un software A, entonces tú sabes que elementos tiene expuestos el software A Ejemplo. Si un software se implementó usando el lenguaje de programación C, uno sabes que puede explotar los problemas asociado al lenguaje C (ej. overbuffering) Ejemplo: Hacking WII Usando Limite de rango (Próxima slide)

Wii ESPERAR VIDEO Wii es una consola de juegos de Nintendo Se uso el lenguaje C para implementar los juegos Del lenguaje C, se conocen varios posibles errores “no triviales” que se pueden aprovechar para hackerla Un error conocido de C es overbuffering. Por ejemplo, si en la WII, el nombre de un personaje es ingresado con más de N caracteres. WII se cae. ESPERAR VIDEO