AUDITORIA INFORMATICA POR : ING. LUIS PERCY TAPIA FLORES

Antes que nada, hablemos de :  Eficiencia "Capacidad para lograr un fin empleando los mejores medios posibles".  Eficacia "Capacidad de lograr el efecto que se desea o se espera, sin que priven para ello los recursos o los medios empleados".

Qué es una Auditoria  La auditoría es el examen crítico y sistemático que realiza una persona o grupo de personas independientes del sistema auditado, que puede ser una persona, organización, sistema, proyecto o producto, con el objeto de emitir una opinión independiente y competente sobre la eficiencia y eficacia del proceso auditado.  La palabra auditoria proviene del latín auditorius, y de esta proviene la palabra auditor, que se refiere a todo aquel que tiene la virtud de oír

Tipos de Auditorias  Auditoria Financiera  Auditoria Organizativa  Auditoria de Gestión  Auditoria de Sistemas Ahora, dentro de cada tipo de auditoria, de acuerdo a quien realiza la auditoria existen la Auditoría Interna y la Auditoría Externa

Auditoria Informática  La Auditoria Informática es un examen crítico que se realiza con el fin de evaluar la eficacia y eficiencia de la infraestructura informática de una empresa y si la inversión que se ha hecho en la misma cumple con los propósitos para lo cual fue desarrollada.  Son un conjunto de técnicas, actividades y procedimientos, destinados a analizar, evaluar, verificar y recomendar en asuntos relativos a la planificación, control eficacia, seguridad y adecuación del servicio informático en la empresa, por lo que comprende un examen metódico, puntual y discontinuo del servicio informático, con vistas a mejorar en:  Rentabilidad  Seguridad  Eficacia

Objetivo de la Auditoría Informática Los principales objetivos que constituyen a la auditoria Informática son: El control de la función informática, El análisis de la eficiencia de los Sistemas Informáticos que comporta, La verificación del cumplimiento de la Normativa general de la empresa en este ámbito, y La revisión de la eficaz gestión de los recursos materiales y humanos informáticos.

 Auditoria Informática Interna La auditoría interna es la realizada con recursos materiales y personas que pertenecen a la empresa auditada. Los empleados que realizan esta tarea son remunerados económicamente. La auditoría interna existe por expresa decisión de la Empresa, o sea, que puede optar por su disolución en cualquier momentoauditoría internarecursosmaterialesauditoría interna  Auditoria Informática Externa Por otro lado, la auditoría externa es realizada por personas ajenas a la empresa auditada; es siempre remunerada. Se presupone una mayor objetividad que en la Auditoría Interna, debido al mayor distanciamiento entre auditores y auditados.Auditoría Interna Importante : La auditoria informática, tanto externa como interna, debe ser una actividad exenta de cualquier contenido o matiz "político" ajeno a la propia estrategia y política general de la empresa. La función auditora puede actuar de oficio, por iniciativa del propio órgano, o a instancias de parte, esto es, por encargo de la dirección o cliente.estrategia política direccióncliente

Requisitos auditoría informática  Debe seguir una metodología preestablecida  Se realizará en una fecha precisa y fija  Será personal extraño al servicio de informática

Objetivos auditoría Interna  Revisión y evaluación de controles contables, financieros y operativos  Determinación de la utilidad de políticas, planes y procedimientos, así como su nivel de cumplimiento  Custodia y contabilización de activos  Examen de la fiabilidad de los datos  Divulgación de políticas y procedimientos establecidos.  Información exacta a la gerencia

Objetivos auditoría Externa  Obtención de elementos de juicio fundamentados en la naturaleza de los hechos examinados  Medición de la magnitud de un error ya conocido, detección de errores supuestos o confirmación de la ausencia de errores  Propuesta de sugerencias, en tono constructivo, para ayudar a la gerencia  Detección de los hechos importantes ocurridos tras el cierre del ejercicio  Control de las actividades de investigación y desarrollo

Tipos de Auditoria Informatica  A.I. de Explotacion  A.I. de desarrollo de Proyectos  A.I. de Sistemas  A.I. de Comunicaciones y Redes  Auditoria de la Seguridad Informatica

Medidas de nivel básico  Funciones y obligaciones del personal  Registro de incidencias  Identificación y autenticación:  inventario de usuarios  procedimiento de distribución y almacenamiento de contraseñas  Control de acceso  basado en autorizaciones de usuarios, según autorización del responsable del fichero  Gestión de soportes  control de almacenamiento y distribución  Copias de respaldo y recuperación  copias de forma semanal  Documento de seguridad

Medidas de nivel medio  Funciones y obligaciones del personal  Responsable de seguridad  Auditoría obligatoria de forma bi-anual  Registro de incidencias  anotar restauraciones con pérdidas de datos  obligatoriedad de la autorización por escrito del responsable  Identificación y autenticación:  inventario de usuarios  procedimiento de distribución y almacenamiento de contraseñas  detección de intrusiones y bloqueo de contraseñas  Control de acceso  basado en autorizaciones de usuarios, según autorización del responsable del fichero  control de acceso físico  Gestión de soportes  control de almacenamiento y distribución  registro de entrada y salida  inutilización de soportes obsoletos  Copias de respaldo y recuperación  copias de forma semanal  Pruebas con datos reales  Documento de seguridad

Medidas de nivel alto  Funciones y obligaciones del personal  Responsable de seguridad  Auditoría obligatoria de forma bi-anual  Registro de incidencias  anotar restauraciones con pérdidas de datos  obligatoriedad de la autorización por escrito del responsable  Identificación y autenticación:  inventario de usuarios  procedimiento de distribución y almacenamiento de contraseñas  detección de intrusiones y bloqueo de contraseñas  Control de acceso  basado en autorizaciones de usuarios, según autorización del responsable del fichero  control de acceso físico  registro de accesos Gestión de soportes –control de almacenamiento y distribución –registro de entrada y salida –inutilización de soportes obsoletos –cifrado de soportes Copias de respaldo y recuperación –copias de forma semanal –almacenamiento en distinta ubicación Pruebas con datos reales Cifrado de las comunicaciones Documento de seguridad

Gracias