Auditoría Física

Auditoría Física

1. La seguridad física

   • La seguridad física garantiza la integridad de los activos humanos, lógicos y materiales de un Centro de Procesamiento de Datos (CPD).

2. El plan de contingencia debe realizar:

   • Realizar un análisis de riesgos de sistemas críticos que determine la tolerancia de los sistemas.
   • Establecer un período crítico de recuperación en el cual los procesos deben ser reanudados antes de sufrir pérdidas significativas o irrecuperables
   • Realizar un análisis de aplicaciones críticas por el que se establecerán las prioridades del proceso.
   • Establecer objetivos de recuperación que determinen el período de tiempo (horas, días, semanas)
   • Designar entre los distintos tipos existentes, un centro Alternativo de Proceso de Datos.

3. Áreas de la seguridad física

   • Las áreas en las que el auditor ha de interesarse personalmente, una vez que la parte del edificio ha sido encargada al juicio del perito, tendrán relación directa con el hecho informático, siempre considerando el aspecto físico de la seguridad, y que serán:
     • Organización de la empresa
     • Auditoría interna.
     • Administración de la seguridad.
     • Centro del proceso de datos e instalaciones

4. Organigrama de la empresa

   • Por él se conocerán las dependencias orgánicas, funcionales y jerárquicas de los departamentos y de los distintos cargos y empleos del personal pudiendo analizar, con ayuda de documentación histórica, las apropiadas Separación de Funciones y Rotación en el trabajo.

5. Auditoría interna

   • Departamento independiente o subordinado al de auditoría financiera, si existe, y colaboradora con ella en cualquier caso, debe guardar las auditorías pasadas, las Normas, procedimientos y planes que sobre la Seguridad Física y su auditoría haya emitido y distribuido la Autoridad competente dentro de la Empresa.

6. Administración de la seguridad

   • Vista desde una perspectiva general que ampare las funciones, dependencias, cargos y responsabilidades de los distintos componentes:
     • Director o responsable de la seguridad integral.
     • Responsable de la seguridad informática.
     • Administrador de redes

7. Centro de proceso de datos e instalaciones

   • Las instalaciones son elementos accesorios que deben ayudar a la realización de la mencionada función informática y, a la ve, proporcionar seguridad a las personas, al soft y a los materiales:
     • Sala de host
     • Sala de operadores
     • Sala de impresoras
     • Oficinas

8. Ordenadores personales

   • Especialmente cuando están en red, son elementos muy potentes e indiscretos que pueden acceder a prácticamente cualquier lugar donde se encuentren los datos, por lo que merecerían especial atención tanto desde el punto de vista de acceso a los mismos como a la adquisición de copias no autorizadas.

9. Seguridad física del personal

   • Acceso y salidas seguras así como medios y rutas de evacuación, extinción de incendios y medios utilizados para ello (agua en lugares con conducciones y aparatos eléctricos, gases asfixiantes), sistemas de bloqueo de puertas y ventanas, zonas de descanso y de servicios.

10. Objetivos de la auditoría física

    • Los datos son los primeros objetivos de toda seguridad. La seguridad física es más amplia y alcanza otros conceptos entre los que puede haber alguno que supere en importancia a los propios datos.
      • Puntos significativos:
        • Edificio
        • Instalaciones
        • Equipamiento y telecomunicaciones.
        • Datos
        • Personas

11. Técnicas y herramientas

    • TÉCNICAS
      • Observación de las instalaciones, sistemas, cumplimiento de normas y procedimientos, etc., no sólo como espectador sino también como actor, comprobando por sí mismo el perfecto funcionamiento y utilización de los conceptos anteriores.
      • Revisión analítica de documentación sobre construcción y preinstalaciones, sobre seguridad física; políticas y normas de actividad, normas y procedimientos sobre seguridad física de los datos, contratos de seguros y de mantenimiento.
    • HERRAMIENTAS
      • Cuaderno de campo/grabadora de audio.
      • Máquina fotográfica/ cámara de video.
      • Su uso debe ser discreto y siempre con el consentimiento del personal si éste va a quedar identificado en cualquiera de las máquinas.

12. Fases de la auditoría física

    • Alcance de la auditoría.
    • Adquisición de Información General.
    • Administración y planificación.
    • Plan de auditoría.
    • Resultado de las pruebas.
    • Conclusiones y comentarios.
    • Borrador de informe.
    • Discusión con los responsables de área.
    • Informe final (Informe, Anexos, evidencias).
    • Seguimiento de las modificaciones acordadas.

13. La Auditoría Ofimática

    • Controles de auditoria
      • Determinar si el inventario ofimático refleja los equipos y aplicaciones existentes en la organización
    • La seguridad
      • Determinar si existen garantías suficientes para proteger los accesos no autorizados a la información reservada de la empresa y la integridad de la misma.
    • Normativa vigente
      • Determinar si en el entorno ofimático se producen situaciones que puedan suponer infracciones a lo dispuesto en la Ley Orgánica, de protección de datos de carácter personal.
      • La tarea del equipo auditor consistirá en determinar que los archivos que gestionan datos personales en entornos ofimáticos se encuentran bajo control y que han sido notificados al Riesgo General de la Agencia de Protección de Datos.
    • ¿Qué determina?
      • Determinar si el inventario ofimático de los equipos reflejan con exactitud el número de equipos y aplicaciones reales.
        • Determinar si el inventario ofimático de los equipos reflejan con exactitud el número de equipos y aplicaciones reales.
        • Determinar y evaluar el procedimiento de adquisición de equipos y aplicaciones.
        • Determinar y evaluar la política de mantenimiento definida en la organización.
        • Evaluar la calidad de las aplicaciones del entorno ofimático desarrollado por el propio personal de la organización.
    • ANOMALÍAS
      • Seguridad
        • Determinar si existen garantías suficientes para proteger los accesos no autorizados a la información reservada a la empresa y a la integridad de la misma.
    • Acceso por medio de contraseñas.
      • Procedimiento para la asignación de contraseñas.
      • Procedimiento para cambio periódico de contraseñas.
    • Información impresa
      • Accesos autorizados.
      • Verificar que esta información se encuentra siempre en cajones.
      • Maquinas que distribuyen los documentos
    • Verificar que la información de encuentre clasificada.
      • Determinar si el procedimiento de generación de copias de respaldo es fiable y garantiza la recuperación de la información.
        • Que este especificado.
          • Que la periodicidad sea acorde a las condiciones ofimáticas.
            • Que se cumpla el procedimiento.