12.4 Seguridad de los archivos del sistema Avalar la seguridad de los archivos del sistema

12.4.1 Control de software de en producción Debe tenerse un estricto control del software que se instala en un sistema operacional. Para minimizar estos riesgos se debe considerar: La actualización de las librerías de los programas deben realizarse por el administrador con autorización de la gerencia. Los sistemas operativos deben tener solo código ejecutable, nada de desarrollo. Es necesario el uso de un sistema de control de configuración para poder tener un control del software implementado así como la documentación. Debería existir una estrategia de restauración no actualizada antes de que se implementen los cambios. Se debe retener las versiones anteriores de software como medida para cualquier contingencia. Las versiones antiguas deben ser archivadas junto con toda la documentación que les precede, durante el tiempo en que los datos sean retenidos.

12.4.2 Protección de los datos de prueba del sistema Los datos de prueba deberán ser escogidos, protegidos y controlados de manera cuidadosa. Se recomienda seguir los siguientes controles para proteger los datos cuando se usen para pruebas. Los procedimientos de control de acceso usados en sistemas operacionales también deben usarse en sistemas de prueba. Se recomienda autorización por separado cada vez que se copie información operativa a un sistema de prueba. La información operativa debe ser borrado del sistema prueba una vez que este termina su aplicación. Se debe registrar la copia y uso de la información operativa para un seguimiento de auditoría. Los sistemas de prueba requieren volúmenes de datos que sean lo más parecidos a los datos operacionales.

12.4.3 Control de acceso a los códigos de programas fuente El acceso a los códigos de programas fuente debe ser restringido o controlado estrictamente para evitar cambios no intencionales. Se debe tomar en cuenta las siguientes pautas. Las librerías de programas fuente no deben residir en el sistema operativo. El código y librerías de programas fuente deben ser manipulado de acuerdo a las especificaciones establecidas. El personal de apoyo informático no debe tener libre acceso a las librerías de programas fuente. Los listados de programas se lo debe tener en un entorno seguro. Se debe tener un registro de auditoría para todos los accesos a las librerías.

12.5 Seguridad en los procesos de desarrollo y soporte Mantener la seguridad del software de aplicación y la información.

12.5.1 Procedimiento de control de cambio La implementación de cambios debe ser controlada usando procedimientos formales de cambio. La aplicación de y sus procedimientos de control de cambios deben estar integrados siempre que sea posible. Este proceso debe incluir: La garantía de que los cambios se realizan por usuarios autorizados. La identificación del software, información, bases de datos y hardware que requiera una mejora. Obtener la aprobación formal antes de empezar un trabajo. La garantía de aceptación del usuario. La garantía de la adecuación del tiempo de la implantación de los cambios para no dificultar los procesos de negocio.

12.5.2 Revisión técnica de los cambios en el sistema operativo Se debe revisar y probar las aplicaciones del sistema cuando se efectúan cambios, para asegurar que no impactan adversamente en el funcionamiento o en la seguridad. La revisión de los procedimientos de control de aplicación y de integridad para asegurar que los cambios en el sistema operativo no han sido comprometidos. La garantía de que los fondos anuales cubran las revisiones y las pruebas del sistema que requiera los cambios del sistema operativo. La garantía de que los cambios del sistema operativo se realicen a tiempo para realizar revisiones antes de su implantación. La garantía de que los cambios sean apropiados para la continuidad del negocio.