TECNICAS ESPECIALES DE AUDITORIA DE SISTEMAS COMPUTACIONALE S

MAURICIO ESGUERRA NATALY CRUZ MOLINA

ESTRUCTURA
11.1 Guas de evaluacin. 11.2 Ponderacin. 11.3 Modelos de simulacin. 11.4 Evaluacin. 11.5 Diagramas del circulo de evaluacin. 11.6 Lista de verificacin (o lista de chequeo). 11.7 Anlisis de la diagramacin de sistemas. 11.8 Diagrama de seguimiento de una auditoria de sistemas computacionales. 11.9 Programas para revisin por computadora.

11.1 Guas de Evaluacin

En este documento tambin se anotan la forma en la que cada uno de los puntos sern evaluados y como deben ser analizados. Mediante este documento el auditor puede hacer el seguimiento paso a paso de todos los procedimientos para evaluar los puntos que tenga que evaluar. La utilidad de este documento estar determinada por la calidad, contenido y profundidad de los aspectos que abarque.

11.1 Guas de Evaluacin

Figura. Ejemplo de formato de gua de evaluacin

11.2 Ponderacin
Tcnica especial de evaluacin que da un peso especifico a cada una de las partes que sern evaluadas. Busca equilibrar las posibles descompensaciones que existen entre las reas o sistemas computacionales.

11.3 Modelos de Simulacin

Mediante el uso de un modelo, conceptual o fsico, se simula el comportamiento de un sistema computacional, de un programa, etc que tenga que ser revisado. La importancia de la simulacin esta en que se pueden hacer pruebas controladas o libres que permiten hacer una buena evaluacin al sistema. No hay necesidad de alterar el funcionamiento del sistema original. Con los resultados se puede obtener informacin valiosa para emitir conclusiones.

11.3.1 Simulacin a travs de CicloMetodologas de vida de los sistemas. de Metodologa de kendall & kendall. Sistemas
Fases del desarrollo, segn James Martn. Ciclo de vida de los sistemas, segn Yourdon. Anlisis y diseo, segn Jackson. Las fases de un proyecto para Merice. Metodologa SSADM.

Ciclo de Vida de los Sistemas

El esquema que se presenta es el siguiente: Anlisis del sistema actual. Diseo conceptual del sistema. Diseo detallado del sistema. Programacin. Pruebas y correcciones. Implantacin del sistema. Liberacin del sistema. Mantenimiento del sistema.

Fases de un Proyecto de Merice Lopez-Fuenzalida cita cuatro etapas para el desarrollo

de proyectos informticos: Etapa 1: estudio preliminar. Fase 1: recogida de datos. Fase 2: concepcin de la nueva solucin. Fase 3: evaluacin y plan de desarrollo de las fases Etapa 2: Estudio detallado Fase 1: concepcin general.. Fase 2: concepcin detalla de fases. Fase 3: plan de desarrollo

Fases de un Proyecto de Merice

Etapa 3: Realizacin Fase 1: estudio tcnico Fase 2: produccin Etapa 4: Puesta en marcha Fase 1: Preparacin de recursos Fase 2: Recepcin y lanzamiento de sistemas

Metodologa SSADM
SSADM significa Mtodo De Anlisis Y Diseo Estructurado De Sistemas. Esta metodologa contiene una estructuracin jerrquica de fases, tal como se indica en el siguiente esquema.

Figura.

Esquema de estructuracin

Metodologa SSADM A su vez estos puntos se contemplan dentro de las

siguientes fases:

Fase 1: Estudio de viabilidad. Etapa 01: Definicin del problema. Etapa 02: identificacin del proyecto. Fase 2: Anlisis Etapa 01: Anlisis del sistema actual. Etapa 02: Especificacin de requerimientos. Etapa 03: Seleccin de

Otras simulaciones son las siguientes:

Simulacin

11.3 Modelos de Simulacin

a travs de diagramas de flujo de sistemas. a travs del diseo de circuitos lgicos.

Simulacin

11.3 .2 Simulacin a Travs de otros Documentos Grficos Modelos para la planeacin y control de
proyectos:

Grafica de Gantt. Mtodo de la ruta critica. Pert costo/tiempo Project. Graficas de proyecciones financieras. Graficas de lneas de tiempo. Tablas de decisiones. rboles decisionales.

11.3.3 Modelo de Simulacin de Flujos de Datos Diagramas de flujo de

datos, entidad/relacin, contexto, datos lgicos, datos fsicos, base de datos, modelo de datos, HIPO, cdigos y Warnier-Orr.++ Graficas NassiShneiderman, estructuras de datos, configuracin de red, configuracin de sistemas distribuidos

Modelo de Simulacin de Diagramas Administrativos Organigramas.

Diagramas de mtodos y procedimientos. Graficas de tiempos y movimientos. Estudios ergonmicos. Planos de distribucin de la planta. Planos de instalaciones. Planos de rutas de evaluacin. Planos de configuracin de

Modelo de Simulacin de Diagramas Administrativos Modelos de simulacin de por medio de

graficas financieras y estadsticas: Curvas de tendencias. Graficas de Pie, horizontales, verticales, de rea, circulares y semicirculares. Graficas de punto de equilibrio. Otros modelos de simulacin Graficas de pantalla. Planes de contingencia informtica. Digitalizacin de imgenes. Procesamiento de datos fsicos.

11.4 EVALUACION
Esta tcnica se aplica fcilmente mediante los siguientes pasos y requiere de poco trabajo:

El establecimiento anticipado de ciertos parmetros o relaciones de carcter cualitativo. Mediante distintas pruebas y herramientas de auditoria se procede a recopilar la informacin y se asigna un puntaje. El valor obtenido en el paso anterior se compara con el valor esperado. Despus de hacer la comparacin se sacan conclusiones para valorar el grado cumplimiento del sistema que esta siendo auditado. Finalmente se procede a evaluar el informe

11.4.1 Evaluacin de la Gestin Administrativa del rea de Sistemas

Evaluacin de administrativa: la actividad La existencia y cumplimiento de los planes, programas y presupuestos. La existencia, difusin y cumplimiento de los objetivos institucionales y que los objetivos. La existencia, congruencia y apego ala estructura de organizacin del centro de computo.

11.4.1.1 Evaluacin de la Actividad Administrativa

La forma en que funcionarios, empleados y usuarios del sistema ejercen la gestin directiva. Las relaciones personales y de trabajo entre directivos, empleados y usuarios. La suficiencia o carencia de recursos informticos y de personal. La forma en que se planea,

11.4.1.2 Evaluacin en Cuanto a la Gestin de los Sistemas Computacionales

La administracin y el control de proyectos informticos. La administracin de funciones, actividades operaciones del centro cmputo. las y de

La existencia, difusin y aplicacin de las medidas y mtodos de seguridad y prevencin informtica. La existencia y cumplimiento de

11.4.2.1 Evaluacin del Diseo Fsico del Sistema

La forma en que se lleva a cabo la configuracin de los sistemas. Si los componentes fsicos, perifricos, mobiliario y equipos del sistema. Las caractersticas y peculiaridades de los sistemas. La forma en que se realizaron instalaciones elctricas, comunicaciones y de datos. las de

La administracin de los mtodos de

11.4.2.2 Evaluacin del Control de Acceso y Salidas de Datos

Los estndares, medidas de seguridad y mtodos establecidos para la consulta de datos y salida de informacin. La existencia y cumplimiento de las especificaciones, estndares, medidas de seguridad y mtodos de acceso. La existencia y aplicacin de las normas, polticas y procedimientos para el control del acceso de datos. La administracin y control de los niveles de accesos de administradores, operadores y usuarios del sistema.

11.4.2.3 Evaluacin del Control de Procesamiento de Datos

La existencia y aplicacin de los estndares para el procesamiento de datos. La existencia y aplicacin de controles especficos para el procesamiento de datos. La existencia y aplicacin de los procesos lgicos y procedimientos para la captura de datos. El tiempo dedicado especficamente al funcionamiento de los sistemas.

El diseo adecuado de los archivos, bases de datos y la forma en que se almacena la informacin. La administracin y control de archivos, programas e informacin. Las formas y tipos de almacenamiento de informacin para los sistemas computacionales de la empresa (disquetes, cintas, CD-Rs, sistemas DVDs, etc). La existencia y programas de seguimiento respaldos de de

11.4.2.4 Evaluacin de Controles de Almacenamiento

11.4.2.5 Evaluacin de Controles de Seguridad

La existencia y aplicacin de las medidas de seguridad y proteccin del sistema, programas, informacin, instalaciones, empleados, usuarios, equipos y mobiliarios. La administracin y control e accesos lgicos al sistema, contraseas, privilegios en el manejo de la informacin y software. La existencia y funcionamiento de los sistemas de control de acceso fsicos. La existencia de salidas de emergencia,

11.4.2.5 Evaluacin de Controles de Seguridad

Las medidas de seguridad, proteccin y erradicacin de virus informticos. Las medidas de seguridad y proteccin establecidas para el manejo adecuado de la informacin institucional. La existencia de funcionarios responsables de la seguridad y proteccin de los bienes informticos, informacin, personal y usuarios. La existencia, difusin y actualizacin de los planes contra contingencias

11.4.2.6 Evaluacin de Controles Adicionales para la Operacin de Sistemas

La existencia, uso y actualizacin de todos los manuales e instructivos de operacin, del sistema, de usuarios y procedimientos. La existencia, uso y actualizacin de las metodologas y estndares institucionales para el desarrollo de los sistemas. La existencia, uso y actualizacin de los estndares de programacin y documentacin de sistemas. La existencia, uso y actualizacin de la estandarizacin de lenguajes, programas, paqueteras de uso institucional.

11.4.2.7 Evaluacin de Aspectos Tcnicos del Sistemas

La administracin y control del sistema operativo del equipo de cmputo. La administracin y control de los lenguajes de operacin, desarrollo y programacin de los sistemas. La administracin y control de sistemas de redes, multiusuario y micro cmputo. La administracin y control de sistemas

11.4.3 Evaluacin Integral del Sistema

4.3.1 Evaluacin externa o interna integral de sistemas La forma en que se realiza la gestin del sistema. La existencia y apego a la estructura de organizacin del centro de cmputo. La administracin y proyectos de desarrollo. control de

Evaluar globalmente la administracin y control de la operacin del sistema de captura de almacenamiento de datos.

11.4.4 Evaluacin con el Apoyo de la Computadora

11.4.4.1 Evaluaciones exclusivamente al sistema computacional con apoyo de la computadora y aplicaciones. El aprovechamiento y utilidad del hardware institucional, con el apoyo de los sistemas computacionales. La utilidad, rendimiento y explotacin del software institucional, con el apoyo de una computadora. Estadsticamente, y con el apoyo de los sistemas computacionales, los reportes de incidencias, alteraciones y las repercusiones que tienes stas en los sistemas de seguridad de las reas de cmputo de la empresa. Estadsticamente y con el apoyo de una computadora, el acceso, uso y aprovechamiento de las telecomunicaciones.

11.4.4 Evaluacin con el Apoyo de la Computadora

11.4.4.2 Evaluaciones en auditorias tradicionales con el apoyo de la computadora y aplicaciones

Evaluar con el apoyo de: Paqueteras de aplicacin administrativa. Hojas electrnicas de trabajo. Los paquetes contables de las empresas. Diversas paqueteras. Los sistemas computacionales.

11.4.5 Evaluacin sin el Uso de la Computadora

El cumplimiento de las funciones y actividades administrativas del centro de cmputo. La gestin cmputo. financiera del centro de

La operacin de los sistemas computacionales de la empresa. La administracin y control de la realizacin de sistemas computacionales. La documentacin de los sistemas

11.4.6 Evaluacin de los Controles En Sistemas Computacionales Sobre la organizacin del rea de sistemas:
Direccin. Divisin del trabajo. Separacin de funciones. Asignacin de responsabilidades. Perfiles de puesto.

Sobre el anlisis y desarrollo de sistemas. La estandarizacin de metodologas para el desarrollo de los proyectos. Asegurar que el beneficio de sistemas sea el ptimo. Garantizar la eficiencia y la eficacia en el anlisis y diseo de sistemas. Elaborar estudios de factibilidad del sistema. Vigilar la efectividad y eficiencia en la implantacin y mantenimiento del sistema.

11.4.6 Evaluacin de los Controles En Sistemas Computacionales

Sobre la operacin del sistema. La prevencin y correccin de errores de operacin. Prevenir y evitar la manipulacin fraudulenta de la informacin. Implantar y mantener la seguridad en la operacin. Mantener la confiabilidad, oportunidad, veracidad y suficiencia en la operacin y procesamiento de la informacin.

11.4.6 Evaluacin de los Controles En Sistemas Computacionales

Sobre procedimientos de entrada de datos, procesamiento de informacin y emisin de resultados Verificar la existencia y funcionamiento de procedimientos de captura de datos. Controlar el procesamiento adecuado de todos los datos. Verificar la confiabilidad, veracidad y exactitud del procesamiento de datos. Comprobar la confiabilidad, veracidad y exactitud del procesamiento de datos. Comprobar la suficiencia de la

11.4.6 Evaluacin de los Controles En Sistemas Computacionales

Sobre la seguridad en el rea de sistemas. Para prevenir y evitar las amenazas, riesgos y contingencias sobre las reas de sistemas. La seguridad fsica del rea de sistemas. Lgica de los sistemas. De las bases de datos. En la operacin de los sistemas

11.4.7 Evaluacin de Otros Aspectos de Sistemas Computacionales

De los sistemas de seguridad de proteccin del sistema de redes en sus programas. la administracin de y control de sistemas de red. la administracin y control sistemas de telecomunicacin. de

De De De

la administracin y control de los sistemas de redes locales, MANs, WANs, Internet y multiusuario.

11.5 Diagramas del Circulo de Evaluacin

Herramienta de apoyo para la evaluacin de los sistemas computacionales. Para valorar visualmente: El comportamiento de los sistemas que estn siendo auditados. Su cumplimiento Sus limitaciones.

Durante las diferentes etapas: Estudio Preliminar, Anlisis del Sistema, Diseo Conceptual, Diseo Detallado, Programacin, Pruebas, Implantacin.

11.5 Diagramas del Circulo de Evaluacin

Que Podemos Evaluar Con Esta Herramienta? Seguridad en el rea de sistemas computacionales. Evaluacin administrativa del rea de sistemas. Evaluacin de los sistemas computacionales

11.5 Diagramas del Circulo de Evaluacin

Seguridad en el rea de sistemas computacionales:

Acceso fsico al rea de sistemas.

Acceso, uso, mantenimiento y resguardo de las bases de datos.

Del personal informtico. De las instalaciones del rea de sistemas. Plan de contingencias.

11.5 Diagramas del Circulo de Evaluacin

Evaluacin sistemas

administrativa

del

rea

de

De la misin, visin, objetivos, estrategias, planes, programas, estructura de la organizacin, perfil de puestos. Evaluacin de la documentacin de sistemas, de la seguridad y la proteccin de los archivos informticos, instalaciones.

Evaluacin de la capacitacin, adiestramiento y promocin del personal.

11.5 Diagramas del Circulo de Evaluacin

Evaluacin de los sistemas computacionales Diseo lgico, fsico del sistema computacional Controles de acceso y salida de datos, procesamientos de informacin, almacenamientos de datos, seguridad, controles para la operacin del sistema, aspectos tcnicos del sistema.

11.6 Lista de Verificacin o Lista de Chequeo

Instrumento que contiene criterios o indicadores a partir de los cuales se miden y evalan las caractersticas del objeto, comprobando si cumple con los atributos establecidos. La lista de verificacin se utiliza bsicamente en la prctica de la investigacin que forma parte del proceso de evaluacin.

11.6 Lista de Verificacin o Lista de Chequeo

Existen ventajas y desventajas en la utilizacin de las listas de verificacin. Ello depende de muchos factores: necesidades del cliente, restricciones de tiempo y costos, experiencia del auditor y requisitos del esquema del sector.

Los auditores deberan evaluar el valor de la lista de verificacin como ayuda en el proceso de auditoria y considerar su utilizacin como una herramienta funcional.

11.7 Anlisis de la Diagramacin de Sistemas

Unas de las principales herramientas para el anlisis y diseo de los sistemas computacionales. El analista puede representar: Los flujos de informacin., actividades, operaciones ,procesos y otros aspectos que intervienen en el desarrollo de los propios sistemas El programador puede visualizar el panorama especifico del sistema, para elaborar de manera mas precisa la codificacin de instrucciones para el programa.

11.7 Anlisis de la Diagramacin de Sistemas

El auditor puede utilizar esta herramienta para el diseo de sistemas de diferentes formas en una auditoria de sistemas, de acuerdo con su experiencia, conocimientos y habilidades, mismas que debe canalizar en los siguientes sentidos:

Solicitar los diagramas del sistema. Analizar el diagrama del sistema. Elaborar un diagrama del sistema.

Verificar la documentacin de los sistemas a travs de sus diagramas.

11.7 Anlisis de la Diagramacin de Sistemas

Modelos de Sistemas graficas de anlisis Flujo de datos Entidad-Relacin graficas de diseo graficas de estructura

Diccionario de Datos. Diagrama de Contexto. Diagrama Modular.

11.8 Diagramas de Seguimiento de una Auditoria de Sistemas (I)Primer aspecto Computacionales de evaluacin.
(I-1) Componente uno del primer aspecto de evaluacin. (I-1-A) integrante A del componente uno. (I-1-B) integrante B del componente uno. (I-2) Componente dos del primer aspecto de evaluacin. (I-2-A) integrante A del componente uno. (I-2-B) integrante B del componente uno. (I-3) Componente tres del primer aspecto de evaluacin. (I-3-A) integrante A del componente uno. (I-3-B) integrante B del componente uno. (II)Segundo aspecto de evaluacin. .........

11.9 Programas para Revisin por Computadora

Esta tcnica es de las mas utilizadas en cualquier auditoria de sistemas computacionales, debido a que permite revisar, desde la misma computadora y mediante un programa especifico, el funcionamiento del sistema, de una base de datos, de un programa en especial o de alguna aplicacin de inters.

Programas de revisin desarrolladores.

elaborados

por

Programas de revisin elaborados por el auditor.