Recolección de información para una auditoria informática

Observación

Es una de las técnicas más utilizadas para examinar los diferentes aspectos que intervienen en el funcionamiento del área informática y los sistemas de software, permite recolectar la información directamente sobre el comportamiento de los sistemas, del área de informática, de las funciones y actividades, los procedimientos y operación de los sistemas, y de cualquier hecho que ocurra en el área. En el caso específico de la auditoria se aplica para observar todo lo relacionado con el área informática y los sistemas de una organización con el propósito de percibir, examinar, o analizar los eventos que se presentan en el desarrollo de las actividades del área o de un sistema que permita evaluar el cumplimiento de las funciones, operaciones y procedimientos.

Entrevistas

Esta técnica es la más utilizada por lo auditores ya que a través de esta se obtiene información sobre lo que esta auditando, además de tips que permitirán conocer más sobre los puntos a evaluar o analizar. La entrevista en general es un medio directo para la recolección de información para la captura de los datos informados por medio de grabadoras digitales o cualquier otro medio. En la entrevista, el auditor interroga, investiga y conforma directamente sobre los aspectos que se está auditando. En su aplicación se utiliza una guía general de la entrevista, que contiene una serie de preguntas sobre los temas que se quiere tocar, y que a medida que avanza pueden irse adaptando para profundizar y preguntar sobre el tema.

Cuestionarios

Los cuestionarios son preguntas impresas en formatos o fichas en que el auditado responde de acuerdo a su criterio, de esta manera el auditor obtiene información que posteriormente puede clasificar e interpretar por medio de la tabulación y análisis, para evaluar lo que se está auditando y emitir una opción sobre el aspecto evaluado.

Encuestas

Las encuestas son utilizadas frecuentemente para recolectar información sobre aspectos como el servicio, el comportamiento y utilidad del equipo, la actuación del personal y los usuarios, entre otros juicios de la función informática. No existen reglas para el uso de las encuestas, solo los que regulan los aspectos técnicos y estadísticos tales como la elección del universo y la muestra, que se contemplan dentro de la aplicación de métodos probabilísticos y estadísticos para hacer la mejor elección de las muestras y recolección de opiniones.

Inventarios

Consiste en hacer un recuento físico de lo que se está auditando, con el fin de compararlo con lo que existe en los documentos en la misma fecha. Consiste en comparar las cantidades reales existentes con las que debería haber para comprobar que sean iguales, de lo contrario iniciar la investigación de la diferencia para establecer las causas. Con la aplicación de esta herramienta de la auditoria tradicional, el auditor de sistemas también puede examinar las existencias de los elementos disponibles para el funcionamiento del área informática o del sistema, contabilizando los equipos de cómputo, la información y los datos de la empresa, los programas, periféricos, consumibles, documentos, recursos informáticos, y demás aspectos que se  desee conocer, con el fin de comparar la cantidad real con las existencias que se registran en los documentos.

Tipos y Clases de Auditoria

TIPOS Y CLASES DE AUDITORIA

El departamento de informática posee una actividad proyectada al exterior al usuario aunque el exterior sea la misma empresa.

La auditoria informática esta compuesta por áreas generales y áreas especificas.

ÁREAS GENERALES DE LA AUDITORÍA INFORMÁTICA:

AUDITORIA INFORMÁTICA DE USUARIO: Se hace esta distinción para controlar a la informática interna, en donde se hace la informática cotidiana y real.

AUDITORIA DE ACTIVIDADES INTERNAS: Se encarga de realizar el control del funcionamiento del departamento de informática con el exterior, con el usuario, se realiza por medio de la Dirección. Su figura es importante, en tanto en cuanto es capaz de interpretar las necesidades de la Compañía. Una informática eficiente y eficaz requiere el apoyo continuo de su Dirección frente al "exterior".

AUDITORÍA INFORMÁTICA DE DIRECCIÓN: Se basa en revisar y controlar las interrelaciones entre la informática y la empresa,

AUDITORÍA DE SEGURIDAD: Siendo el equipo de computación un instrumento que estructura gran cantidad de información, confidencial para individuos, empresas o instituciones, y la misma puede ser mal utilizada o divulgada a personas que hagan mal uso de esta. También pueden ocurrir robos, fraudes o sabotajes que provoquen la destrucción total o parcial de la actividad computacional. Esta información puede ser de suma importancia, y el no tenerla en el momento preciso puede provocar retrasos sumamente costosos.

En la actualidad y principalmente en las computadoras personales, se ha dado otro factor que hay que considerar: el llamado "virus" de las computadoras, el cual, aunque tiene diferentes intenciones, se encuentra principalmente para paquetes que son copiados sin autorización ("piratas") y borra toda la información que se tiene en un disco. Al auditar los sistemas se debe tener cuidado que no se tengan copias "piratas" o bien que, al conectarnos en red con otras computadoras, no exista la posibilidad de transmisión del virus.

AREAS ESPECÍFICAS:

Dentro de estas áreas, se establecen las siguientes divisiones de Auditoría Informática: de Explotación, de Sistemas, de Comunicaciones y de Desarrollo de Proyectos.

Cada área Específica puede ser auditada desde los siguientes criterios generales:

· Desde su propio funcionamiento interno.

· Desde el apoyo que recibe de la Dirección y, en sentido ascendente, del grado de cumplimiento de las directrices de ésta.

· Desde la perspectiva de los usuarios, destinatarios reales de la informática.

· Desde el punto de vista de la seguridad que ofrece la Informática en general o la rama auditada.

Estas combinaciones pueden ser ampliadas y reducidas según las características de la empresa auditada.

Auditoría Informática de Explotación:

La Explotación Informática se ocupa de producir resultados informáticos de todo tipo: listados impresos, ficheros soportados magnéticamente para otros informáticos, ordenes automatizadas para lanzar o modificar procesos industriales, etc. Para realizar la Explotación Informática se dispone de una materia prima, los Datos, que sea necesario transformar, y que se sometan previamente a controles de integridad y calidad. La transformación se realiza por medio del Proceso informático, el cual está gobernado por programas. Obtenido el producto final, los resultados son sometidos a varios controles de calidad y, finalmente, son distribuidos al cliente, al usuario. Auditar Explotación consiste en auditar las secciones que la componen y sus interrelaciones. La Explotación Informática se divide en tres grandes áreas:

Ø Planificación.

Ø Producción.

Ø Soporte Técnico.

Auditoría Informática de Desarrollo de Proyectos o Aplicaciones:

La función de Desarrollo es una evolución del llamado Análisis y Programación de Sistemas y Aplicaciones. A su vez, engloba muchas áreas, tantas como sectores informatizables tiene la empresa. Muy escuetamente, una aplicación recorre las siguientes fases:

· Prerrequisitos del Usuario (único o plural) y del entorno

· Análisis funcional

· Diseño

· Análisis orgánico (Pre programación y Programación)

· Pruebas

· Entrega a Explotación y alta para el Proceso.

Estas fases deben estar sometidas a un exigente control interno, caso contrario, además del disparo de los costes, podrá producirse la insatisfacción del usuario. Finalmente, la auditoría deberá comprobar la seguridad de los programas en el sentido de garantizar que los ejecutados por la maquina sean exactamente los previstos y no otros.

Auditoría Informática de Sistemas:

Se ocupa de analizar la actividad que se conoce como Técnica de Sistemas en todas sus facetas. Hoy, la importancia creciente de las telecomunicaciones ha propiciado que las Comunicaciones, Líneas y Redes de las instalaciones informáticas, se auditen por separado, aunque formen parte del entorno general de Sistemas.

Auditoría Informática de Comunicaciones y Redes:

Para el informático y para el auditor informático, el entramado conceptual que constituyen las Redes Nodales, Líneas, Concentradores, Multiplexores, Redes Locales, etc. no son sino el soporte físico-lógico del Tiempo Real. El auditor tropieza con la dificultad técnica del entorno, pues ha de analizar situaciones y hechos alejados entre sí, y está condicionado a la participación del monopolio telefónico que presta el soporte. Como en otros casos, la auditoría de este sector requiere un equipo de especialistas, expertos simultáneamente en Comunicaciones y en Redes Locales.

El auditor de Comunicaciones deberá inquirir sobre los índices de utilización de las líneas contratadas con información abundante sobre tiempos de desuso. Todas estas actividades deben estar muy coordinadas y a ser posible, dependientes de una sola organización.

Auditoría informática

Observación

Es una de las técnicas más utilizadas para examinar los diferentes aspectos que intervienen en el funcionamiento del área informática y los sistemas de software, permite recolectar la información directamente sobre el comportamiento de los sistemas, del área de informática, de las funciones y actividades, los procedimientos y operación de los sistemas, y de cualquier hecho que ocurra en el área. En el caso específico de la auditoria se aplica para observar todo lo relacionado con el área informática y los sistemas de una organización con el propósito de percibir, examinar, o analizar los eventos que se presentan en el desarrollo de las actividades del área o de un sistema que permita evaluar el cumplimiento de las funciones, operaciones y procedimientos.

Entrevistas

Esta técnica es la más utilizada por lo auditores ya que a través de esta se obtiene información sobre lo que esta auditando, además de tips que permitirán conocer más sobre los puntos a evaluar o analizar. La entrevista en general es un medio directo para la recolección de información para la captura de los datos informados por medio de grabadoras digitales o cualquier otro medio. En la entrevista, el auditor interroga, investiga y conforma directamente sobre los aspectos que se está auditando. En su aplicación se utiliza una guía general de la entrevista, que contiene una serie de preguntas sobre los temas que se quiere tocar, y que a medida que avanza pueden irse adaptando para profundizar y preguntar sobre el tema.

Cuestionarios

Los cuestionarios son preguntas impresas en formatos o fichas en que el auditado responde de acuerdo a su criterio, de esta manera el auditor obtiene información que posteriormente puede clasificar e interpretar por medio de la tabulación y análisis, para evaluar lo que se está auditando y emitir una opción sobre el aspecto evaluado.

Encuestas

Las encuestas son utilizadas frecuentemente para recolectar información sobre aspectos como el servicio, el comportamiento y utilidad del equipo, la actuación del personal y los usuarios, entre otros juicios de la función informática. No existen reglas para el uso de las encuestas, solo los que regulan los aspectos técnicos y estadísticos tales como la elección del universo y la muestra, que se contemplan dentro de la aplicación de métodos probabilísticos y estadísticos para hacer la mejor elección de las muestras y recolección de opiniones.

Inventarios

Consiste en hacer un recuento físico de lo que se está auditando, con el fin de compararlo con lo que existe en los documentos en la misma fecha. Consiste en comparar las cantidades reales existentes con las que debería haber para comprobar que sean iguales, de lo contrario iniciar la investigación de la diferencia para establecer las causas. Con la aplicación de esta herramienta de la auditoria tradicional, el auditor de sistemas también puede examinar las existencias de los elementos disponibles para el funcionamiento del área informática o del sistema, contabilizando los equipos de cómputo, la información y los datos de la empresa, los programas, periféricos, consumibles, documentos, recursos informáticos, y demás aspectos que se  desee conocer, con el fin de comparar la cantidad real con las existencias que se registran en los documentos.

Auditoria

Es la investigación, consulta, revisión, verificación, comprobación y evidencia aplicada a la Empresa. Es el examen realizado por el personal cualificado e independiente de acuerdo con Normas de Contabilidad; con el fin de esperar una opinión que muestre lo acontecido en el negocio; requisito fundamental es la independencia.

Se define también la Auditoría como un proceso sistemático, que consiste en obtener y evaluar objetivamente evidencias sobre las afirmaciones relativas a los actos o eventos de carácter económico – administrativo, con el fin de determinar el grado de correspondencia entre esas afirmaciones y los criterios establecidos, para luego comunicar los resultados a las personas interesadas. Se practica por profesionales calificados e independientes, de conformidad con normas y procedimientos técnicos.

La Auditoría juega un papel fundamental en el mantenimiento de estas empresas que se necesitan, por cuanto implica el control de los recursos de los cuales ella dispone, a su vez la calidad de las Auditorías es uno de los temas más importantes a perfeccionar en esta rama, pues de esto depende la confiabilidad de los estados de control de nuestras empresas.

La Supervisión de las Auditorias constituye un aspecto de vital de importancia según las tendencias actuales, por cuanto significa la comprobación y seguridad de que éstas se hayan realizado cumpliendo con los principios y normas establecidos para el ejercicio de la Auditoria y permiten evaluar la correspondencia del dictamen emitido por el grupo de auditores con la situación real de la entidad auditada.

Concepto de parte de nuestro equipo sobre la seguridad informática.

Después de varias investigaciones nuestro equipo llega a la conclusión, es la forma que utilizamos para proteger la información que se maneja en la empresa o a nivel personal ya que son datos muy valiosos y por medio de los cuales se pueden ademas de tener información muy privada , por eso utilizamos los medios de seguridad para que no se pueda acceder de manera sencilla, podemos utilizar varios tipos de seguridad tales como: 

A) Colocar claves a los usuarios para proteger de las personas que no queremos que acedan a nuestra información.

B) Asignar las permiso-logia de los usuarios para que no puedan entrar a alguna información privada.

C) También utilizar Firewall para resguardar nuestros datos.

D) Proteger por medio de los antivirus ya que no queremos que la información posea de datos maliciosos.

E) La protección de un sistema de circuito cerrado o CCTV para saber si alguien entro, que fue lo que sucedió si se llega a presentar algún evento.

F) El protocolo de seguridad AAA.

G) Otro protocolo de seguridad como lo es el SYSLOG.

Hay muchas mas formas para proteger la seguridad de nuestra información pero nosotros queremos darles unos pequeños datos de los mas importantes que consideramos, espero que sea de su agrado nuestro pequeño aporte con el tema.

Cinco errores básicos en materia de seguridad informática

1. Confiar en cualquier enlace que aparece en redes sociales. A pesar de que en 2014, según el reporte DBIR de Verizon, cayó significativamente la tentación de acceder a un contenido publicado en Twitter o Facebook, todavía algunos siguen ingresando, especialmente luego de algún desastre natural o acontecimiento de interés general. Al hacer clic en ellos, redirigen a los usuarios a sitios maliciosos o a sitios legítimos que han sido comprometidos, con el objetivo de robar credenciales (mediante una página de login bancario por ejemplo) o un ataque drive-by-download para inyectar malware en la computadora. Por este motivo, antes de hacer clic hay analizar si la fuente es confiable, y considerar herramientas como checkshorturl.com para verificar redirecciones.

2. Reutilizar contraseñas. Hay quienes siguen anotándolas en papeles o en otros lugares de sus computadoras y las reutilizan en distintos servicios online. Si un atacante logra comprometer una cuenta utilizando correos de phishing y ataques de fuerza bruta, puede acceder a las demás usando las mismas credenciales. Por ello, las contraseñas deben ser complejas y únicas para distintas plataformas. También es aconsejable la utilización de herramientas para gestionarlas y así administrarlas con una sola clave maestra. Además, no se deben descuidar las delrouter, cámara web o dispositivos conectados a la Internet de las Cosas (IoT). Muchas vienen con contraseñas por defecto que, de no ser cambiadas, pueden ser vulneradas.

3. No actualizar el software. Los usuarios pueden verse expuestos al robo de datos, fraudes financieros y demás problemas de seguridad que, en ocasiones, podrían evitarse si se actualizara el software y se aplicaran los parches correspondientes en tiempo y forma. Estos están diseñados para corregir vulnerabilidades, y en muchos casos son programados en forma regular. El año pasado, Heartbleed, la falla en el cifrado SSL, implicó que el tráfico web de millones de usuarios quedara expuesto, los atacantes lograron el acceso sin restricciones a contraseñas, detalles de tarjetas de crédito y más, por ello, es recomendable la aplicación del parche.

4. Descargar desde tiendas de terceros no oficiales. Los usuarios de iOS a menudo realizan un jailbreak a sus dispositivos con el fin de evadir los controles impuestos por Apple y así instalar apps de repositorios no oficiales. Lo mismo sucede en Android el sistema operativo móvil de Google, en donde los usuarios instalan aplicaciones de repositorios no oficiales que suelen contener algún código malicioso. Esto conlleva ciertos riesgos en términos de seguridad, porque permite que las apps se comporten en modos impredecibles, y además estas tiendas no oficiales ofrecen aplicaciones maliciosas u otras legítimas que han sido modificadas por cibercriminales. Para evitar toparse con alguna de ellas, es recomendable descargar desde tiendas oficiales.

5. Enviar información sensible a través de W-Fi abierto. Si se navega por Internet desde una casa, probablemente el router esté protegido por una contraseña fuerte y por un firewall. Pero distinto es si se usa una red Wi-Fi abierta en un espacio público, especialmente hoteles y cafés, donde la conexión es frecuentemente libre e insegura. Esto permite que los atacantes se sitúen en medio del dispositivo y el servidor del usuario, en un ataque Man-In-The-Middle(MITM), con el objetivo de robar datos sensibles o ejecutar malware. Algunos incluso han logrado comprometer el punto de acceso causando que aparezca una ventana emergente durante el proceso de conexión, ofreciendo una actualización de un software popular -y con solo hacer clic, se instala un código malicioso. En tanto, otros han usado herramientas online para pretender que son el punto de acceso en sí mismo.

Esquema sobre la seguridad informatica.

Link sobre la seguridad informatica

http://danielpecos.com/documents/seguridad-informatica/

Principios sobre la Seguridad Informática

Principios de Seguridad Informática:

Para lograr sus objetivos la seguridad informática se fundamenta en tres principios, que debe cumplir todo sistema informático:

Confidencialidad: Se refiere a la privacidad de los elementos de información almacenados y procesados en un sistema informático, Basándose en este principio, las herramientas de seguridad informática deben proteger el sistema de invasiones y accesos por parte de personas o programas no autorizados. Este principio es particularmente importante en sistemas distribuidos, es decir, aquellos en los que los usuarios, computadores y datos residen en localidades diferentes, pero están física y lógicamente interconectados.

Integridad: Se refiere a la validez y consistencia de los elementos de información almacenados y procesador en un sistema informático. Basándose en este principio, las herramientas de seguridad informática deben asegurar que los procesos de actualización estén bien sincronizados y no se dupliquen, de forma que todos los elementos del sistema manipulen adecuadamente los mismos datos. Este principio es importante en sistemas descentralizados, es decir, aquellos en los que diferentes usuarios, computadores y procesos comparten la misma información.

Disponibilidad: Se refiere a la continuidad de acceso a los elementos de información almacenados y procesados en un sistema informático. Basándose en este principio, las herramientas de seguridad informática deber reforzar la permanencia del sistema informático, en condiciones de actividad adecuadas para que los usuarios accedan a los datos con la frecuencia y dedicación que requieran, este principio es importante en sistemas informáticos cuyos compromiso con el usuario, es prestar servicio permanente.

Factores de Riesgo:

Ambientales/Físicos: factores externos, lluvias, inundaciones, terremotos, tormentas, rayos, humedad, calor entre otros.

Tecnológicos: Fallas de hardware y/o software, fallas en el aire acondicionado, falla en el servicio eléctrico, ataque por virus informático, etc.

Humanos: hurto, adulteración, fraude, modificación, revelación, pérdida, sabotaje, vandalismo, crackers, hackers, falsificación, robo de contraseñas, alteraciones etc.

Mecanismos de seguridad

Un mecanismo de seguridad informática es una técnica o herramienta que se utiliza para fortalecer la confidencialidad, la integridad y/o la disponibilidad de un sistema informático.

Existen muchos y variados mecanismos de seguridad informática. Su selección depende del tipo de sistema, de su función y de los factores de riesgo que lo amenazan.

Clasificación según su función:

Preventivos: Actúan antes de que un hecho ocurra y su función es detener agentes no deseados.

Detectivos: Actúan antes de que un hecho ocurra y su función es revelar la presencia de agentes no deseados en algún componente del sistema. Se caracterizan por enviar un aviso y registrar la incidencia.

Correctivos: Actúan luego de ocurrido el hecho y su función es corregir la consecuencias.

http://www.monografias.com/trabajos82/la-seguridad-informatica/la-seguridad-informatica.shtml

Seguridad Informática

Introducción

Se entiende por seguridad informática al conjunto de normas, procedimientos y herramientas, que tienen como objetivo garantizar la disponibilidad, integridad, confidencialidad y buen uso de la información que reside en un sistema de información.

 Cada día más y más personas mal intencionadas intentan tener acceso a los datos de nuestros ordenadores.

El acceso no autorizado a una red informática o a los equipos que en ella se encuentran pueden ocasionar en la gran mayoría de los casos graves problemas.

Uno de las posibles consecuencias de una intrusión es la pérdida de datos. Es un hecho frecuente y ocasiona muchos trastornos, sobre todo si no estamos al día de las copias de seguridad. Y aunque estemos al día, no siempre es posible recuperar la totalidad de los datos.

Otro de los problemas más dañinos es el robo de información sensible y confidencial. La divulgación de la información que posee una empresa sobre sus clientes puede acarrear demandas millonarias contra esta, o un ejemplo más cercano a usted es el de nuestras contraseñas de las cuentas de correo por las que intercambiamos información con otros.

Con la constante evolución de las computadoras es fundamental saber que recursos necesitar para obtener seguridad en los sistemas de información.

En el presente informe hablaremos sobre la importancia de seguridad informática, haremos referencias sobre a las formas que existen para proteger los sistemas informáticos y la información que contienen sobre accesos no autorizados, daños, modificaciones o destrucciones.