Auditoría y Seguridad de Sistemas de Información Riesgos de Aplicación MBA Luis Elissondo.

Presentación del tema: "Auditoría y Seguridad de Sistemas de Información Riesgos de Aplicación MBA Luis Elissondo."— Transcripción de la presentación:

1 Auditoría y Seguridad de Sistemas de Información Riesgos de Aplicación MBA Luis Elissondo

2 Que es un SI Sistema de Información EntradaProceso Salida Clientes ProveedoresBancos DGI Accionistas Competidores Almc

3 Tecnología Informática y Sistemas de Información Tecnología Informática (Oferta) – Hardware y Software – Tecnología de Comunicaciones y Base de datos – Metodología para la construcción de aplicaciones. Sistemas de Información (Demanda) – Necesidades de Información – Requermientos del Negocio A P L I C A C I O N E S

4 Ciclo de vida de la Información Generación Registro Modificación / Consulta Eliminación

5 Flujo de los Procesos PERSONAS TECNOLOGIA Flujo Trabajo Flujo Información

6 Principales Riesgos de la Explotación Riesgos relacionados con la segregación de funciones. Riesgos relacionados con el ingreso de datos. Riesgos relacionados con items rechazados o en suspenso Riesgos relacionados con el procesamiento

7 "Personasnoautorizadaspuedenteneraccesoalas funcionesdeprocesamientodetransaccionesdelos programasdeaplicación,permitiéndolesleer, modificar,agregaroeliminardatosoingresar transaccionesnoautorizadasparasu procesamiento." CIS Organizativa Riesgo 1 : Acceso a Funciones de Procesamiento

8 MEDIOS DE CONTROL Segregación de funciones en el Dpto. CIS CIS Organizativa Riesgo 1 : Acceso a Funciones de Procesamiento

9 Medios de control de acceso Riesgo 1 : Acceso a Funciones de Procesamiento

10 SEGREGACION DE FUNCIONES efectiva USER1 USER2 USERn XX40/X XX1 XX41 YY41/X X40 Estructura Organizativa Accesos permitidos Usuario Permisos Software de control de acceso Adecuada estructura organizativa Segregación efectiva Riesgo 1 : Acceso a Funciones de Procesamiento

11

12 Riesgos Segregación de Funciones Inadecuada separación de funciones dentro del departamento de Sistemas. Inadecuada ubicación del área de Seguridad Informática Inadecuado esquema de seguridad lógica – perfiles de usuario. Problemas con la puesta en funcionamiento de nuevas versiones

13 "Losdatospermanentesydetransacciones ingresadosparaelprocesamientopuedenser imprecisos,incompletosoingresadosmásdeuna vez". ? 023 025 026 Fecha: 30/02/90 Importe:30774,01 Code 024 =40 20 10 20 30 M Riesgo 2 : Ingreso de Datos

14 MEDIOS DE CONTROL Controles de edición y validación Fecha: 30/02/99 Importe:30.774,01 ? 023 025 026 Code 024 Riesgo 2 : Ingreso de Datos

15

16

17

18

19 Riesgos en la entrada de datos Falta de controles de edición y validación (tipos de campos, campos faltantes, limites y validación) Inadecuada codificación. Procesamiento de datos duplicados. Controles por lote.

20 Riesgo 3 : Items rechazados / En suspenso

21

22 Riesgos en items rechazados Inexistencia del aviso del rechazo Identificación inadecuada de los datos rechazados No se realiza el seguimiento y esclarecimiento de items rechazados o en suspenso. Inexistencia de registros especiales para este tipo de movimientos.

23 Riesgo 4 : Procesamiento y Registro de transacciones

24

25

26

27

28

29

30 Riesgos en el procesamiento Duplicación del procesamiento. Falta de controles durante el procesamiento. Falta de informes de problemas en procesamiento. Problemas de reprocesamiento. Problemas de reenganche de procesos. Problemas en la administración de procesos

31 Desarrollo Práctico Caso Droguería

32 ? ? ? ? ? Conclusiones y Preguntas