Universidad Dominicana O&M
Nombre: Romer Gil Moreno
Profesor: Aquilino Redecindo Marte
Asignatura: Auditoria Informatica
Tema:II
Auditoria de Sistemas Informáticos.
La auditoría de sistemas supone la revisión y evaluación de los controles
y sistemas de informática, así como su utilización, eficiencia y seguridad
en la empresa, la cual procesa la información. Gracias a la auditoría de
sistemas como alternativa de control, seguimiento y revisión, el proceso
informático y las tecnologías se emplean de manera más eficiente y
segura, garantizando una adecuada toma de decisiones.
En definitiva, la auditoría de sistemas consiste en:
La verificación de controles en el procesamiento de la información e
instalación de sistemas, con el objetivo de evaluar su efectividad y
presentar también alguna recomendación y consejo.
Verificar y juzgar de manera objetiva la información.
Examen y evaluación de los procesos en cuanto a informatización y trato
de datos se refiere. Además, se evalúa la cantidad de recursos invertidos,
la rentabilidad de cada proceso y su eficacia y eficiencia.
El análisis y evaluación realizados a través de la auditoría de
sistemas debe ser objetivo, crítico, sistemático e imparcial. El informe de
auditoría final deberá ser un claro ejemplo de la realidad de la empresa en
cuanto a los procesos y la informatización se refiere, para tomar mejores
decisiones y mejorar en el negocio.
Objetivos de la auditoría de sistemas
La presencia de la tecnología cada vez en más ámbitos empresariales,
hace necesario un sistema de control, seguimiento y análisis, tal como
la auditoría de sistemas. En primer lugar, se precisa garantizar la
seguridad a la hora de tratar los datos, dotándolos de privacidad y buen
uso. En segundo lugar, para hacer del sistema informático, un proceso
mucho más eficiente y rentable, permitiendo detectar errores y tomando
decisiones de manera inmediata.
Así, podemos decir que los objetivos de la auditoría de sistemas son:
Mejorar la relación coste-beneficio de los sistemas de información.
Incrementar la satisfacción y seguridad de los usuarios de dichos sistemas
informatizados.
Garantizar la confidencialidad e integridad a través de sistemas de
seguridad y control profesionales.
Minimizar la existencia de riesgos, tales como virus o hackers, por
ejemplo.
Optimizar y agilizar la toma de decisiones.
Educar sobre el control de los sistemas de información, puesto que se
trata de un sector muy cambiante y relativamente nuevo, por lo que es
preciso educar a los usuarios de estos procesos informatizados.
La auditoría de seguridad informática es la herramienta principal para
poder conocer el estado de seguridad en que se encuentra una empresa en
relación con sus sistemas informáticos, de comunicación y acceso a
internet. Estas auditorías permiten mejorar los sistemas e incrementar la
ciberseguridad, siendo fundamentales para poder garantizar el
funcionamiento del negocio y proteger la integridad de la información
que manejan.
Auditoría de seguridad informática, qué es
Una auditoría de seguridad informática es un procedimiento que evalúa el
nivel de seguridad de una empresa o entidad, analizando sus procesos y
comprobando si sus políticas de seguridad se cumplen.
El principal objetivo de una auditoría de seguridad es el de detectar las
vulnerabilidades y debilidades de seguridad que pueden ser utilizadas por
terceros malintencionados para robar información, impedir el
funcionamiento de sistemas, o en general, causar daños a la empresa.
Cuáles son los beneficios de realizar una auditoría de seguridad
Realizar una auditoría de seguridad no es solo responsabilidad de grandes
empresas y corporaciones. Hoy en día cualquier tipo de empresa depende
de elementos y dispositivos tecnológicos para poder realizar sus procesos
de negocio, por lo que es necesario que evalúe de forma periódica su
seguridad. Las principales ventajas que aporta el realizar una auditoría de
seguridad en una empresa son:
Mejora los controles internos de seguridad de la empresa.
Detecta debilidades en los sistemas de seguridad como errores, omisiones
o fallos.
Identifica posibles actuaciones fraudulentas (acceso a datos no
autorizados o robos a nivel interno).
Ayuda a eliminar los puntos débiles de la empresa en cuestión de
seguridad (webs, correo electrónico o accesos remotos, por ejemplo).
Permite controlar los accesos, tanto físicos como virtuales (revisión de
privilegios de acceso).
Permite mantener sistemas y herramientas actualizadas.
Normas
El desarrollo de una auditoría se basa en la aplicación de normas,
técnicas y procedimientos de auditoría. Para nuestro caso, estudiaremos
aquellas enfocadas a la auditoría en informática.
Es fundamental mencionar que para el auditor en informática conocer
los productos de software que han sido creados para apoyar su función
aparte de los componentes de la propia computadora resulta esencial,
esto por razones económicas y para facilitar el manejo de la
información.
El auditor desempeña sus labores mediante la aplicación de una serie de
conocimientos especializados que vienen a formar el cuerpo técnico de
su actividad. El auditor adquiere responsabilidades, no solamente con la
persona que directamente contratan sus servicios, sino con un número
de personas desconocidas para él que van a utilizar el resultado de su
trabajo como base para tomar decisiones.
La auditoría no es una actividad meramente mecánica, que
implique la aplicación de ciertos procedimientos cuyos
resultados, una vez llevados a cabo son de de carácter indudable.
La auditoría requiere el ejercicio de un juicio profesional, sólido
maduro, para juzgar los procedimientos que deben seguirse y
estimar los resultados obtenidos.
Según se describe en [bib-imcp], las normas de auditoría son los
requisitos mínimos de calidad relativos a la personalidad del auditor, al
trabajo que desempeña ya la información que rinde como resultado de
este trabajo.
Las normas de auditoría se clasifican en:
Normas personales.
Normas de ejecución del trabajo.
Normas de información.
Normas personales
son cualidades que el auditor debe tener para ejercer sin dolo una
auditoría, basados en un sus conocimientos profesionales así como
en un entrenamiento técnico, que le permita ser imparcial a la hora
de dar sus sugerencias.
Normas de ejecución del trabajo
son la planificación de los métodos y procedimientos, tanto como
papeles de trabajo a aplicar dentro de la auditoría.
Normas de información
son el resultado que el auditor debe entregar a los interesados para
que se den cuenta de su trabajo, también es conocido como informe
o dictamen.
ESTÁNDARES DE AUDITORÍA DE SISTEMAS
Definen los requerimientos obligatorios para la auditoría de sistemas y la
generación de informes. Una auditoría se realiza con base a un patrón o
conjunto de directrices o buenas prácticas sugeridas. Existen estándares
orientados a servir como base para auditorías de informática. Uno de ellos
es COBIT (Objetivos de Control de la Tecnologías de la Información),
dentro de los objetivos definidos como parámetro, se encuentra el
«Garantizar la Seguridad de los Sistemas». Adicional a este estándar
podemos encontrar el estándar ISO 27002, el cual se conforma como un
código internacional de buenas prácticas de seguridad de la información,
este puede constituirse como una directriz de auditoría apoyándose de
otros estándares de seguridad de la información que definen los requisitos
de auditoría y sistemas de gestión de seguridad, como lo es el estándar
ISO 27001.
