UNIVERSIDAD AUTÓNOMA “GABRIEL RENÉ MORENO”
Facultad: Auditoria Financiera o Contaduría Pública
Universitarios: Reina Esperanza Fernandez Tola
Alondra Akatuca Aponte
Carrera: Contaduría Pública
Materia: Auditoría y Control de Sistema de informacion
Docente: Mario Pinto Viruez
Santa Cruz – Bolivia
1. OBJETIVO GENERAL:
Identificar y evaluar el funcionamiento de los controles y operaciones de la seguridad
física y lógica del sistema de información de la Empresa auditada.
2. OBJETIVOS ESPECÍFICOS DE LA AUDITORIA
Analizar y evaluar los controles de la seguridad física y lógica del Sistema de
Información de la empresa.
Detectar las vulnerabilidades y debilidades que pueden ser utilizadas por
terceros malintencionados para robar información o impedir el funcionamiento
de sistemas.
Capacitar al personal involucrado para que ante cualquier eventualidad que
puedan presentarse se manejen bajo un plan de contingencias.
3. ALCANCE DE LA AUDITORÍA
El presente trabajo de auditoría abarcará solamente el área de tecnología e informática
de la empresa y examinará detalladamente los procedimientos de la seguridad física y
lógica de los sistemas de información.
Nuestra auditoría comprenderá del 8 de diciembre al 31 de diciembre del 2021.
4. MARCO NORMATIVO
Las principales disposiciones legales a contemplar durante el desarrollo de
nuestra auditoria son:
ISO 20000
ISO 27000
ISO 27001
ISO 27002
NIAS
COSO
5. RECURSOS EMPLEADOS EN LA AUDITORIA
RECURSOS HUMANOS
Programa de Auditoria
Planear, actuar, Hacer y Verificar
1. ¿Se han adoptado medidas de seguridad en el departamento de sistemas de
información?
2. ¿Existe una persona responsable de la seguridad?
3. ¿Se ha dividido la responsabilidad para tener un mejor control de la
seguridad?
4. ¿Existe personal de vigilancia en la institución?
5. ¿Existe una clara definición de funciones entre los puestos clave?
7. ¿Se controla el trabajo fuera de horario?
8. ¿Se registran las acciones de los operadores para evitar que realicen algunas
pruebas que puedan dañar los sistemas?.
9. ¿Existe vigilancia en el departamento de cómputo las 24 horas?
10. ¿Se permite el acceso a los archivos y programas a los programadores, analistas
y operadores?
11. ¿Se ha instruido a estas personas sobre qué medidas tomar en caso de que
alguien pretenda entrar sin autorización?
12. ¿El centro de cómputo tiene salida al exterior?
13. ¿Son controladas las visitas y demostraciones en el centro de cómputo?
14. ¿Se registra el acceso al departamento de cómputo de personas ajenas a la
dirección de informática?
15. ¿Se vigilan la moral y comportamiento del personal de la dirección de
informática con el fin de mantener una buena imagen y evitar un posible fraude?
16. ¿Se ha adiestrado el personal en el manejo de los extintores?
17. ¿Se revisa de acuerdo con el proveedor el funcionamiento de los
extintores?
18. ¿Si es que existen extintores automáticos activados por detectores
automáticos de fuego?
19. ¿Los interruptores de energía están debidamente protegidos, etiquetados y sin
obstáculos para alcanzarlos?
20. ¿Saben que hacer los operadores del departamento de cómputo, en caso de que
ocurra una emergencia ocasionado por fuego?
21. ¿El personal ajeno a operación sabe que hacer en el caso de una
emergencia (incendio)?
22. ¿Existe salida de emergencia?
23. ¿Se revisa frecuentemente que no esté abierta o descompuesta la
cerradura de esta puerta y de las ventanas, si es que existen?
24. ¿Se ha adiestrado a todo el personal en la forma en que se deben desalojar las
instalaciones en caso de emergencia?
25. ¿Se ha prohibido a los operadores el consumo de alimentos y bebidas en el interior
del departamento de cómputo para evitar daños al equipo?
26. ¿Se limpia con frecuencia el polvo acumulado debajo del piso falso si
existe?
27. ¿Se cuenta con copias de los archivos en lugar distinto al de la
computadora?
28. ¿Se tienen establecidos procedimientos de actualización a estas copias?
29. ¿Existe departamento de auditoría interna en la institución?
30. ¿Este departamento de auditoría interna conoce todos los aspectos de los
sistemas?
31. ¿Se cumplen?
32. ¿Se auditan los sistemas en operación?
33. Una vez efectuadas las modificaciones, ¿se presentan las pruebas a los
interesados?
34. ¿Existe control estricto en las modificaciones?
35. ¿Se revisa que tengan la fecha de las modificaciones cuando se hayan
efectuado?
36. Si se tienen terminales conectadas, ¿se han establecido procedimientos de
operación?
37. ¿Se ha establecido qué información puede ser accedida y por qué
persona?
