Metodologías de control interno, seguridad y auditoría informática Integrantes: Gustavo Alvarado Rojas Carlos Murillo Fuentes

La función de control La tendencia generalizada es contemplar al lado de la figura del auditor informático, la de control interno informático. El área Informática monta los procesos informáticos seguros. El Control Interno monta los controles. La Auditoria Informática evalúa el grado de control.

Diferencias entre auditoría informática y control interno informático

LA AUDITORÍA INFORMÁTICA Tiene sus propios objetivos distintos a los auditores de cuentas. Los auditores de cuentas la necesitan para utilizar la información de sus sistemas para evaluaciones financieras y operativas. Evalúan eficiencia, costo y seguridad en su más amplia visión.

LA AUDITORÍA INFORMÁTICA Operan según el plan auditor. Establecen planes con tiempos definidos y ciclos completos. Función de soporte informático de todos los auditores.

CONTROL INTERNO INFORMÁTICO Funciones de control dual con otros departamentos. Función normativa y del cumplimiento del marco jurídico. Tiene funciones propias ( Administración de la Seguridad lógica , etc ...)

CONTROL INTERNO INFORMÁTICO Responsable del desarrollo y actualización del plan de contingencias, manuales de procedimientos y plan de seguridad. Dictar normas de seguridad informática. Definir los procedimientos de control. Control de soportes físicos. Control de información sensible o comprometida. Control de calidad del servicio informático. Definición de requerimientos de seguridad en proyectos nuevos.

“El control informático es el componente de la actuación segura entre los usuarios, la informática y control interno , todos ellos auditados por auditoría informática”

Clasificación de la información Entidad de información: Objetivo a proteger en el entorno informático, y que la clasificación de la información nos ayudará a proteger, especializando las contramedidas según el nivel de confidencialidad o importancia que tengan. Está metodología de del tipo cualitativo/subjetivo, y tiene listas de ayuda con el concepto abierto.(Jerarquías)

Pasos de la metodología Identificación de la información. Inventario de entidades de información residentes y operativas. Identificación de Propietarios Definición de jerarquías de Información.

Pasos de la metodología Definición de la matriz de Clasificación. Confección de la matriz de Clasificación. Realización del plan de Acciones. Implantación y Mantenimiento.

metodología Fase 1. Definición de Objetivos de Control. Tarea 1. Análisis de la Empresa: Estudio de los procesos, organigramas y funciones Tarea 2. Recopilación de Estándares: Todas las fuentes de información necesarias para conseguir definir los objetivos de control a cumplir. ( ISO, ITSEC, CISA ) Tarea 3. Definición de los Objetivos de Control.

metodología Fase 2. Definición de los Controles. Tarea 1. Definición de los Controles: Con los Objetivos de Control Definidos, analizamos los procesos y vamos definiendo los distintos controles que se necesiten. Tarea 2. Definición de Necesidades Tecnológicas ( HW y Herramientas de control ) Tarea 3. Definición de los Procedimientos de Control: Se desarrollan los distintos procedimientos que se generan en las áreas usuarias, informática, control informático y control no informático. Tarea 4. Definición de las Necesidades de Recursos Humanos

metodología Fase 3. Implantación de los Controles. Ya definidos los controles, las herramientas de control y los recursos humanos necesarios, no resta mas que implantarlos en forma de acciones específicas.   Una vez terminada la implantación habrá que documentar los procedimientos nuevos y revisar los afectados de cambio. Los procedimientos resultantes serán:

metodología Fase 3. Implantación de los Controles. Procedimientos propios de Control de la Actividad Informática. Procedimiento de distintas áreas usuarias de la informática, mejorados. Procedimientos de áreas informáticas, mejorados. Procedimientos de control dual entre control interno informático y el área informática, los usuarios informáticos, y el área de control no informático.

Herramientas de control Las herramientas de control son elementos SW que por sus características funcionales permiten vertebrar un control de una manera más actual y más automatizada. Las herramientas de control mas comunes son : Seguridad lógica del sistema. Seguridad lógica complementaria al sistema Seguridad lógica para entornos distribuidos. Control de acceso físico. Control de Presencia. Control de copias Gestión de soportes magnéticos. Control de proyectos. Control de versiones. Control de cambios.

gracias