Seguridad en la Auditoria Informatica

Presentado por: Cira Uribe. Fernando Villalobos.

Conceptos Generales

La Seguridad Informtica
Es el rea de la informtica que se enfoca en la proteccin de la infraestructura computacional y todo lo relacionado con esta (incluyendo la informacin contenida). Para ello existen una serie de estndares, protocolos, mtodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura o a la informacin. La seguridad informtica comprende software, bases de datos, metadatos, archivos y todo lo que la organizacin valore (activo) y signifique un riesgo si sta llega a manos de otras personas. Este tipo de informacin se conoce como informacin privilegiada o confidencial.

Definicin de Polticas de Seguridad Informtica.

Una poltica de seguridad informtica es una forma de comunicarse con los usuarios, ya que las mismas establecen un canal formal de actuacin del personal, en relacin con los recursos y servicios informticos de la organizacin.

Elementos de una Poltica de Seguridad Informtica

Las Polticas de Seguridad Informtica deben considerar principalmente los siguientes elementos: Alcance de las polticas, incluyendo facilidades, sistemas y personal sobre la cual aplica. Objetivos de la poltica y descripcin clara de los elementos involucrados en su definicin. Responsabilidades por cada uno de los servicios y recursos informticos aplicado a todos los niveles de la organizacin. Requerimientos mnimos para configuracin de la seguridad de los sistemas que abarca el alcance de la poltica. Definicin de violaciones y sanciones por no cumplir con las polticas. Responsabilidades de los usuarios con respecto a la informacin a la que tiene acceso.

Parmetros para Establecer Polticas de Seguridad

Es importante que al momento de formular las polticas de seguridad informtica, se consideren por lo menos los siguientes aspectos: Efectuar un anlisis de riesgos informticos, para valorar los activos y as adecuar las polticas a la realidad de la empresa. Reunirse con los departamentos dueos de los recursos, ya que ellos poseen la experiencia y son la principal fuente para establecer el alcance y definir las violaciones a las polticas. Comunicar a todo el personal involucrado sobre el desarrollo de las polticas, incluyendo los beneficios y riesgos relacionados con los recursos y bienes, y sus elementos de seguridad. Identificar quin tiene la autoridad para tomar decisiones en cada departamento, pues son ellos los interesados en salvaguardar los activos crticos su rea. Monitorear peridicamente los procedimientos y operaciones de la empresa, de forma tal, que ante cambios las polticas puedan actualizarse oportunamente. Detallar explcita y concretamente el alcance de las polticas con el propsito de evitar situaciones de tensin al momento de establecer los mecanismos de seguridad que respondan a las polticas trazadas.

Seguridad en la Auditoria Informtica.

La Auditoria de Seguridad Informtica

Es el estudio que comprende el anlisis y gestin de sistemas llevado a cabo por profesionales generalmente por Ingenieros o Ingenieros Tcnicos en Informtica para identificar, enumerar y posteriormente describir las diversas vulnerabilidades que pudieran presentarse en una revisin exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores.

Fases de una Auditoria

Enumeracin de redes, topologas y protocolos Identificacin de los sistemas operativos instalados Anlisis de servicios y aplicaciones Deteccin, comprobacin y evaluacin de vulnerabilidades Medidas especficas de correccin Recomendaciones sobre implantacin de medidas preventivas.

Tipos de Auditoria
Auditoria de seguridad interna. En este tipo de auditora se contrasta el nivel de seguridad y privacidad de las redes locales y corporativas de carcter interno Auditora de seguridad perimetral. En este tipo de anlisis, el permetro de la red local o corporativa es estudiado y se analiza el grado de seguridad que ofrece en las entradas exteriores Test de intrusin. El test de intrusin es un mtodo de auditora mediante el cual se intenta acceder a los sistemas, para comprobar el nivel de resistencia a la intrusin no deseada. Es un complemento fundamental para la auditora perimetral. Anlisis forense. El anlisis forense es una metodologa de estudio ideal para el anlisis posterior de incidentes, mediante el cual se trata de reconstruir cmo se ha penetrado en el sistema, a la par que se valoran los daos ocasionados. Si los daos han provocado la inoperabilidad del sistema, el anlisis se denomina anlisis postmortem. Auditora de pginas web. Entendida como el anlisis externo de la web, comprobando vulnerabilidades como la inyeccin de cdigo sql, Verificacin de existencia y anulacin de posibilidades de Cross Site Scripting (XSS), etc. Auditora de cdigo de aplicaciones. Anlisis del cdigo tanto de aplicaciones pginas Web como de cualquier tipo de aplicacin, independientemente del lenguaje empleado

Estndares de Auditoria Informtica y de Seguridad

COBIT (Objetivos de Control de la Tecnologas de la Informacin), dentro de los objetivos definidos como parmetro, se encuentra el "Garantizar la Seguridad de los Sistemas". Adicional a este estndar podemos encontrar el standard ISO 27002, el cual se conforma como un cdigo internacional de buenas prcticas de seguridad de la informacin

La Seguridad Fsica y Lgica

La seguridad fsica se refiere a la proteccin del Hardware y de los soportes de datos. La seguridad lgica se refiere a la seguridad de uso del software, a la proteccin de los datos, procesos y programas, as como la del ordenado y autorizado acceso de los usuarios a la informacin.

Divisiones de la Seguridad Informtica

La seguridad informtica se la puede dividir como rea General y como Area Especifica (seguridad de Explotacin, seguridad de las Aplicaciones, etc.). As, se podrn efectuar auditoras de la Seguridad Global de una Instalacin Informtica Seguridad General- y auditoras de la Seguridad de un rea informtica determinada Seguridad Especifica -.

Sistema Integral de Seguridad

El sistema integral de seguridad debe comprender: Elementos administrativos Definicin de una poltica de seguridad Organizacin y divisin de responsabilidades Seguridad fsica y contra catstrofes (incendio, terremotos Prcticas de seguridad del personal Elementos tcnicos y procedimientos Sistemas de seguridad (de equipos y de sistemas, incluyendo todos los elementos, tanto redes como terminales. Aplicacin de los sistemas de seguridad, incluyendo datos y archivos El papel de los auditores, tanto internos como externos Planeacin de programas de desastre y su prueba.

La Auditoria de Seguridad Informtica garantiza la eficacia y eficiencia de los sistemas de informacin, lo cual es vital en el desarrollo y evolucin de cualquier empresa o entidad.

Gracias !!!!!