Sin título

TIPOS DE AUDITORIA

LAS AUDITORIAS INFORMATICAS SE DIVIDE EN 3

AUDITORIA DE DESARROLLO

AUDITORIA DE REDES

AUDITORIA DE BASE DE DATOS

Esta se encarga de monitorear, medir, asegurar y registrar los accesos a toda la información almacenada en las bases de datos.

Participantes en esta auditoría

TECNOLOGIA DE INFORMACION

AUDITORES DE SISTEMA

SEGURIDAD CORPORATIVA

CUMPLIMIENTO CORPORATIVO

RIESGO CORPORATIVO

OBJETIVOS PRINCIPALES

Esta auditoría se encarga de manera fundamental en la seguridad de las bases de datos. Entre sus objetivos se encuentran

Evitar el acceso externo

Imposibilitar el acceso interno a usuarios no autorizados

Autorizar el acceso solo a los usuarios autorizados

Con esta auditoria se busca:

Monitorear y mantener un registro del uso de los datos por los usuarios autorizados y no autorizados.

Conservar trazas de uso y del acceso a las bases de datos.

Permitir investigaciones

Alertas en tiempo real

EJEMPLO

Se puede realizar por el programa de captura de datos de cambio (tambíen conocido como cdc)

Aplicando la división funcional al departamento de informática de cualquier entidad, una de las áreas que tradicionalmente aparece es la de desarrollo. El desarrollo incluye todo el ciclo de vida del software excepto la explotación, el mantenimiento y el fuera de servicio de las aplicaciones cuando ésta tenga lugar.

Importancia de la auditoría de desarrollo

Los avances en tecnologías de las computadoras han hecho que actualmente el desafío más importante y el principal reto sea la calidad del software

El gasto destinado a software es cada vez superior al que se dedica al hardware

El software como producto es muy difícil de validar. Un mayor control en el proceso de desarrollo incrementa la calidad del mismo y disminuye los costos de mantenimiento.

El índice de fracasos en proyectos de desarrollo es demasiado alto, lo cual denota la inexistencia o mal funcionamiento de los controles en este proceso.

Las aplicaciones informáticas, que son el producto principal obtenido al final del desarrollo, pasan a ser la herramienta de trabajo principal de las áreas informatizadas, convirtiéndose en un factor esencial para la gestión y la toma de decisiones.

PLANTEAMIENTO Y METODOLOGIA

Una metodología aplicable es la propuesta por la ISACA (Asociación de Auditoría y Control de Sistemas de Información), que está basada en la evaluación de riesgos partiendo de los riesgos potenciales a los que está sometida una actividad (en este caso el desarrollo de un sistema de información), se determinan una serie de objetivos de control que minimicen esos riesgos.

EJEMPLO

sample questions for a development audit ( preguntas modelo para auditorias de desarrollo)

Mecanismos que prueban una red informática, evaluando la seguridad y su desempeño, para lograr mayor eficiencia y aseguramiento de la información.

METODOLOGIA

Estructura física(hardware, topología)

Estructura lógica(software, aplicaciones)

ETAPAS

Análisis de vulnerabilidades: Punto más crítico de toda la auditoría

Estrategia de saneamiento: Identificar los agujeros en la red y proceder repáralos, actualizando el software afectado, reconfigurándolo de mejor manera o reemplazándolo por otro similar

Plan de contención: Elaborar Plan B, que prevea un incidente después de tomadas las medidas de seguridad.

Seguimiento Continuo del desempeño del sistema: La seguridad no es un producto, es un proceso.

EJEMPLO