Conceptos básicos de auditoría

Conceptos básicos de auditoría

1. Vulnerabilidad

   • Una vulnerabilidad es una debilidad de un bien o de un control, que puede ser aprovechada por una amenaza. Se trata de una característica negativa del bien, también conocido como activo o recurso de información, o de un control que se implementó sobre él, que lo hace vulnerable. En efecto esa vulnerabilidad es susceptible de ser aprovechada y varía de acuerdo con los cambios en las condiciones que dieron origen a su existencia o a las acciones que se tomen con el fin de evitar su explotación o aprovechamiento.
     • Causas
       • Las Vulnerabilidades pueden darse por fallas de diseño, por una codificación deficiente o insegura, por errores en la implementación o por falta de mantenimiento, entre otros motivos. Cada etapa del desarrollo, implementación y mantenimiento de una pieza de software es susceptible de poseer una debilidad que es factible usar para alterar su funcionamiento. Un ejemplo significativo es el protocolo utilizado para el envío de correos electrónicos, que no fue diseñado pensando en la seguridad[1] y que provoca que hoy suframos la consecuencia de este problema de diseño, por citar un caso, cuando se usa para distribuir phishing, suplantando identidades.

2. Amenaza

   • El término amenaza, en contraposición al de vulnerabilidad, requiere pensar los posibles problemas que nos pueden afectar en un futuro cercano, por lo que plantea un posicionamiento anterior a un hecho, que representa algún grado de probabilidad de materializarse. A manera de ejemplos de amenazas reales pueden citarse los virus, los delincuentes informáticos o las intrusiones.
     • Tipos de Amenazas
       • Existen amenazas relacionadas con fallas humanas, catástrofes naturales o ataques deliberados. Las fallas humanas pueden ser con intención o sin ella, debido a negligencia, impericia o mal uso. También se clasifican como internas o externas dependiendo de su origen: desde dentro de la propia organización o desde un punto remoto. Dentro de las amenazas naturales son ejemplos los terremotos o las inundaciones.

3. Riesgo

   • El riesgo puede ser definido como la posibilidad de que algo que ocurra impacte negativamente sobre la información o sobre los recursos para gestionarla. La Norma ISO/IEC-27002 lo define como la combinación de la probabilidad de ocurrencia de un determinado hecho y sus consecuencias. La probabilidad de ocurrencia es el producto del análisis sobre datos históricos respecto a cuántas veces sucedió un hecho similar en un periodo de tiempo que se tomará como unidad. Se entiende por consecuencias, el impacto, es decir, los hechos o acontecimientos que resultan de uno o varios eventos evaluados para esa organización.
     • Tipos de Riesgo
       • Los riesgos en las organizaciones pueden ser de todo tipo: ambientales, de mercado, financieros, estratégicos, operacionales, de cumplimiento, etcétera. Los riesgos vinculados al uso de tecnologías de información son transversales a todos. Frente a estos, deben aplicarse controles, entendidos como cualquier medida, que permita prevenir, detectar o minimizar el riesgo asociado con la ocurrencia de una amenaza específica. Se trata de medidas dirigidas a producir un efecto sobre la probabilidad de ocurrencia de una amenaza determinada o sobre su impacto.

4. Control Informático

   • puede definirse como el sistema integrado al proceso administrativo, en la planeación, organización, dirección y control de las operaciones con el objeto de asegurar la protección de todos los recursos informáticos y mejorar los índices de economía, eficiencia y efectividad de los procesos operativos automatizados.
     • Tipos de Control Interno
       • * Controles manuales; aquellos que son ejecutados por el personal del área usuaria o de informática sin la utilización de herramientas computacionales.
         • *Controles Automáticos; son generalmente los incorporados en el software, llámense estos de operación, de comunicación, de gestión de base de datos, programas de aplicación

5. Interacción entre vulnerabilidades, amenazas y riesgos

   • • El cuadro precedente muestra en forma gráfica la interacción entre los distintos elementos analizados. Vemos que las amenazas se vinculan con causas potenciales con posible impacto negativo sobre la información, en la medida en que los bienes a los que sea factible que afecten posean debilidades o se registren fallas en los controles que los protegen. Este último concepto se resume en el término vulnerabilidad, que al ser explotada por la amenaza expone a la organización al riesgo. Dicho riesgo surgirá del análisis de su probabilidad de ocurrencia y del impacto sobre el bien a proteger. Este esquema en constante cambio por la incorporación de nuevos bienes, la aparición de amenazas y el descubrimiento de vulnerabilidades requiere la constante atención del profesional dedicado a la seguridad de la información y plantea un desafío permanente para el logro de una protección efectiva de la información.

Imágenes y archivos del mapa