Seguridad Lógica y Física Auditoría de Sistemas de Información

Auditoría de la Seguridad

Cultura de la Seguridad No es tan solo un proceso, ni un gasto de más en las organizaciones. Es una forma de cultura en las personas de implementar medidas de seguridad para prevenir posibles riesgos.

Tres dimensiones de Seguridad Confiabilidad: Cuando se conocen los datos o la información correspondiente. Integridad: Sólo los usuarios autorizados pueden variar (modificando o borrando) los datos. Disponibilidad: Las personas autorizadas pueden acceder a tiempo a la información autorizada.

Seguridad Física y lógica Auditoría de la Seguridad Física Protecciones físicas de datos, programas, Instalaciones, equipos, redes y soporte. Por supuesto hay que considerar a las personas. 2) Auditoría de Seguridad Lógica Sólo pueda acceder a los recursos a los que se autorice el propietario.

Plan de seguridad. Estrategia planificada de acciones y productos que llevan a un sistema de información y sus centros de proceso de una situación inicial determinada a una mejor.

Amenaza Es cualquier persona o cosa vista como posible fuente de peligro o catástrofe Inundación. Incendio. Robo de datos. Sabotaje. Falta de procedimientos de emergencia. Divulgación de datos. Aplicaciones mal diseñadas. Gastos fuera de control.

Vulnerabilidad Situación creada por la falta de controles, es decir, la amenaza puede suceder. Ejemplos: falta de control de acceso lógico, de versiones, falta de encriptación en telecomunicaciones, inexistencia de control de respaldos, etc.

Riesgo Probabilidad de que la amenaza suceda por una vulnerabilidad. Todos los riesgos que se presentan se pueden Evitar. Transferir. Reducir. Asumir.

Exposición o impacto Es la evaluación del efecto del riesgo. Esta evaluación puede ser en términos económicos, pérdidas humanas, imagen de la empresa, honor, defensa nacional, etc.

Metodología de Análisis de Riesgos Se aplica para lograr la identificación de la falta de controles, con el fin de establecer un plan de contramedidas. Aplicar cuestionario Identificar riesgos Calcular Impacto Identificar contramedidas y su costo Simular Crear Informes (Plan de seguridad)

Fuente: PIATTINI, M. y DEL PESO, E. (2001). Auditoría Informática. Un enfoque práctico. Segunda edición. México: Editorial RA-MA.