Ingeniería del Software Auditoria de Sistemas Prof. Wilmer Vindas Acuña Email: wvindas@utn.ac.cr 27/04/2017

Auditoria Informática La Auditoría Informática la podemos definir como “el conjunto de procedimientos y técnicas para evaluar y controlar un sistema informático con el fin de constatar si sus actividades son correctas y de acuerdo a las normativas informáticas y generales prefijadas en la organización”.

Objetivos de la Auditoria Informática La Auditoría Informática deberá comprender no sólo la evaluación de los equipos de cómputo, de un sistema o procedimiento específico, sino que además habrá de evaluar los sistemas de información en general desde sus entradas, procedimientos, controles, archivos, seguridad y obtención de información

Objetivos de la Auditoria Informática La Auditoría del Sistema de Información en la empresa, a través de la evaluación y control que realiza, tiene como objetivo fundamental mejorar la rentabilidad, la seguridad y la eficacia del sistema mecanizado de información en que se sustenta.

Alcance de la Auditoria Informática El alcance ha de figurar expresamente en el Informe Final, de modo que quede perfectamente determinado no solamente hasta que puntos se ha llegado, sino cuales materias fronterizas han sido omitidas

Alcance de la Auditoria Informática Ejemplo: ¿Se someterán los registros grabados a un control de integridad exhaustivo? ¿Se comprobará que los controles de validación de errores son adecuados y suficientes? La indefinición de los alcances de la auditoría compromete el éxito de la misma.

Control de integridad de registros: Hay Aplicaciones que comparten registros, son registros comunes. Si una Aplicación no tiene integrado un registro común, cuando lo necesite utilizar no lo va encontrar y, por lo tanto, la aplicación no funcionaría como debería. Control de validación de errores: Se corrobora que el sistema que se aplica para detectar y corregir errores sea eficiente.

Planificación Preliminar El objetivo de esta fase es revisar la instalación para obtener información sobre cómo llevar a cabo la auditoria. Al finalizarla, el auditor puede proceder de dos maneras: No continuar con la auditoria. Realizar la revisión detallada de los controles internos

Planificación Detallada El objetivo de esta fase es obtener información necesaria para tener un conocimiento detallado (profundo) de los controles utilizados en la instalación.

Planificación Detallada En esta segunda fase se revisan de nuevo los controles de Gerencia y de Aplicación, se identifican las causas de las perdidas y los controles para reducirlas y al final de la fase, se decide si estos controles reducen las causas de las perdidas a un nivel aceptable.

Auditoria Informática Al finalizarla, el auditor puede tomar una de las siguientes decisiones: No continuar con la auditoria. Pasar a la siguiente etapa

Auditoria Informática Detectar evidencias de riesgos y/o problemas en el apoyo informático a los procesos de negocios originados por un mal uso informático y/o del control. Sugerir mejoras.

Comunicación de Resultados Esta etapa tiene como objetivo efectuar el cierre del proceso de auditoría, confeccionando el informe de auditoría a partir de los resultados y conclusiones obtenidas en la evaluaciones y pruebas desarrolladas en las etapas anteriores. Es importante destacar que una auditoría puede dar origen a investigaciones especiales o auditorías especificas.

En la Comunicación de Resultados Se han de argumentar y documentar lo suficiente para que no puedan ser negadas durante la discusión. Es especialmente delicada por el rechazo que puede provocar en la organización auditada. Se debe esmerar el tacto. En ocasiones serán necesario tomar decisiones desagradables, pero es misión del auditor informar a la dirección de la forma más objetiva posible. Se deben expresar recomendaciones para acciones correctivas.

Informe para la Comunicación Que se emita por el jefe de grupo de los auditores actuantes. Por escrito. Que sea completo, exacto, objetivo y convincente, así como claro, conciso y fácil de entender. Que todo lo que se consigna esté reflejado en los papeles de trabajo. Que muestre la calificación según la evaluación de los resultados de la Auditoría.

La evidencia Es la base razonable de la opinión del Auditor Informático Debe ser: Relevante Fiable Suficiente Adecuada

Seguimiento de Recomendaciones En esta etapa se siguen los resultados de una Auditoría, generalmente una Auditoria evaluada como deficiente o mal. En un tiempo aproximado se vuelve a realizar otra Auditoría de tipo pretendiente para comprobar el verdadero cumplimiento de las recomendaciones. Este conlleva a tener informes del seguimiento y evaluación de los controles implantados.

Tipos de Recomendaciones A corto plazo: mejoras en plazos, calidad, planificación o formación. A medio plazo: mayor necesidad de recursos, optimización de programas o documentación y aspectos de diseño. A largo plazo: cambios en políticas, medios y estructuras del servicio.