Control Interno y Riesgos en TIs

Presentación del tema: "Control Interno y Riesgos en TIs"— Transcripción de la presentación:

1 Control Interno y Riesgos en TIs
Paul Leger

2 SIA por dentro… Tú Contiene varios módulos
¿Cuántos? ¡Depende de cuánto pagues! Inventario Pago de Sueldo Libro Mayor Reportes Una interfaz particular para cada modulo (armonizada con la interfaz global) Una genérica interfaz para todos los módulos (ej. Web) Tú Computines que los mantienen Tu empleado

3 Interfaces globales y particulares de un software: Interfaz de Menú “Ribbon” de Office
Cada herramienta de Office tiene una interfaz particular para su herramienta Pero todas las herramientas de office usan la misma interfaz “Ribbon”: pestañas por menu

4 Ejemplo de una mala interfaz
Una interfaz con muchos botones presentes es una mala interfaz Hoy se buscan interfaz más sencillas

5 Imágenes de Dynamics AX (un ERP)
integración con Office Interfaz amigables similar a outlook

6 Versión de SAP antiguo Interfaz implementada con JAVA (no común para Windows) NO integración con Office Hoy, SAP usa una interfaz Web

7 Interface Web de SAP

8 Controles Internos de Sistemas TI
Inventario Pago de Sueldo Libro Mayor Reportes Controles generales Controles de aplicación Los controles generales se aplican en general alrededor de un SIA Los controles de aplicación son utilizados para controlar las entradas, procesamiento y salidas Controles de aplicación Controles de aplicación

9 Controles Generales de un SIA
Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

10 Controles Generales de un SIA
Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

11 1. Autenticación de usuarios
Controles Generales de Sistemas TI 1. Autenticación de usuarios Autenticación de usuarios Perfil de usuario (no todos los usuarios son iguales) Log de computador (historial -¿Quién fue el culpable?) Otros: Tarjeta electrónica Dispositivos biométricos

12 Controles Generales de un SIA
Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

13 Controles Generales de Sistemas TIs
2. Hacking de Red Firewall Firewall (WEP) Wired equivalency privacy (WAP) Wireless protected access (VPN) Virtual private network Intrusion detection VPN es implementación de una extranet

14 Controles Generales de Sistemas Hacking a WEP red
ESPERAR VIDEO

15 Controles Generales de un SIA
Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

16 Controles Generales de Sistemas TI
3. Estructura Organizacional (1/3) Principalmente se encarga de contratar a personas con el perfil adecuado. Por ejemplo: ¿Cumple el Administrador de Base de Datos (DBA) que tenemos con el perfil que realmente necesitamos? ¿Nuestros ingenieros en TIs son capaces de desarrollar un sistema de información? Solución: HeadHunters (o panel de expertos)

17 Controles Generales de Sistemas TI
3. Estructura Organizacional (2/3) Los deberes que deben estar segregadas: Programadores Administrador de Base de datos Redes DBA Programador Redes Consejo: Programdores trabajen con copias de los sistemas (versión en desarrollo) y no con la versión en producción (versión de los usuarios finales)

18 Controles Generales de Sistemas TI
3. Estructura Organizacional (3/3) ESPERAR VIDEO DE Hacking a Website con Code Injection

19 Controles Generales de un SIA
Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

20 Controles Generales de Sistemas TI
4. Entorno físico y seguridad física del sistema Intruso

21 Controles Generales de Sistemas TI
4. Entorno físico y seguridad física del sistema Controles de acceso físico: Limitación de acceso a las salas de ordenadores (ej. tarjetas electronicas) Equipos de vídeo vigilancia Registros de las personas que entran y salen de salas de informática Almacenamiento cerrado de datos sensibles fuera de instalaciones

22 Controles Generales de un SIA
Autentificación Hacking de Red Estructura Organizacional Entorno físico y seguridad física del sistema Continuidad del negocio

23 Controles Generales de Sistemas TI
5. Continuidad del Negocio Planificación de continuidad Continuidad del negocio relacionado con los sistemas TI: Copia de seguridad de datos y restauración de los sistemas TI, copias de seguridad incrementales diarias. Recuerde: ¡El harware es reemplazable … pero no los datos! Tener un plan de recuperación de desastres La mayoría de las nubes tienen backup

24 5. Continuidad del Negocio
Controles Generales de Sistemas TI 5. Continuidad del Negocio 28 de Marzo del 2011, Georgia. Un data center dentro de las torres gemelas:

25 Los Formularios de un Software: Un fuente para ganar errores o engaños
Cada entrada de un formulario debe ser verificada

26 Exposiciones en una aplicación
Generalmente en formularios se son una fuente para ingresar datos (intencionalmente) erróneos

27 ¿Qué debo verificar en un formulario?
Algunos de los errores o trampas que se pueden cometer en un formulario: Comprobar limite de texto Ejemplo: Un nombre no puede tener más 255 caractares Control de Rango Ejemplo: No se puede ingresar un sueldo negativo Ejemplo: No se puede registrar más N horas extras por trabajador al mes Chequeo de Firma Ejemplo: Verificar si la firma digital de una persona o empresa coincide con la que contiene el sistema

28 Otras fuentes de engaños: Conoce cómo se construyó el software y conocerás sus debilidades

29 Otras exposiciones del software: (de acuerdo a mi humilde experiencia)
Si tu sabes que programas se uso para construir un software A, entonces tú sabes que elementos tiene expuestos el software A Ejemplo. Si un software se implementó usando el lenguaje de programación C, uno sabes que puede explotar los problemas asociado al lenguaje C (ej. overbuffering) Ejemplo: Hacking WII Usando Limite de rango (Próxima slide)

30 Wii ESPERAR VIDEO Wii es una consola de juegos de Nintendo
Se uso el lenguaje C para implementar los juegos Del lenguaje C, se conocen varios posibles errores “no triviales” que se pueden aprovechar para hackerla Un error conocido de C es overbuffering. Por ejemplo, si en la WII, el nombre de un personaje es ingresado con más de N caracteres. WII se cae. ESPERAR VIDEO