AUDITORIA DE BASES DE DATOS

Qu es la auditoria de Bases de Datos?

Es el proceso que permite medir, demostrar, monitorear y registrar los

accesos a la informacion almacenada en las bases de datos incluyendo la
capacidad de determinar:
o
o
o
o
o
o

Quien accede a los datos.

Cuando se accedio a los datos.
Desde que tipo de dispositivo/aplicacin.
Desde que ubicacin en la red.
Cual fue la sentencia ejecutada.
Cual fue el efecto del acceso a la base de datos.

Entidades que participan en la auditoria de Bases de Datos

o
o
o
o
o

Auditores de Sistemas.
Tecnologia de informacion.
Cumplimiento Corporativo.
Riesgo Corporativo.
Seguridad Corporativa.

Objetivos de la Auditoria
Como toda auditoria esta tiene un objetivo el cual es una visin de que se pretende
en la auditoria de forma general, algunos de estos objetivos pueden ser:

Mitigar los riesgos asociados con el manejo inadecuado de los datos.

Apoyar el cumplimiento regulatorio.

Satisfacer los requerimientos de los auditores.

Importancia de la auditoria de bases de datos

Una auditoria siempre es importante realizarla dentro de una organizacin u

empresa, en algunas empresas con alto nivel de dependencia de datos llega a ser

AUDITORIA DE BASES DE DATOS

una norma dentro de los objetivos y el reglamento interno de la organizacin que se

realicen de forma obligatoria en determinados periodos de tiempo, segn sean las
necesidades.

Evaluaciones mediante la auditoria de bases de datos

Definicin de estructuras fsicas y lgicas de las bases de datos.

Control de carga y mantenimiento de las bases de datos.

Integridad de los datos y proteccin de accesos.

Estndares para anlisis y programacin en el uso de bases de datos.

Procedimientos de respaldo y de recuperacin de datos.

Metodologas para la auditoria de bases de datos

METODOLOGIA DE EVALUACION DE RIESGOS

1. Objetivo de control:
El SGBD deber preservar la confidencialidad de la base de datos.
2. Tcnicas de Control
Tcnicas preventivas:
Tcnicas detectivas
Tcnicas correctivas
3. Prueba de Cumplimiento
Listar los privilegios y perfiles existentes en el SGBD Si estas pruebas detectan
inconsistencias en los controles, o bien, si los controles no existen, se pasa a
disear otro tipo de pruebas (denominadas pruebas sustantivas), que permiten
dimensionar el impacto de estas deficiencias

AUDITORIA DE BASES DE DATOS

4. Prueba Sustantiva
Comprobar si la informacin ha sido corrompida, comparndola con otra fuente, o
revisando, los documentos de entrada de datos y las transacciones que se han
ejecutado.

Metodologa tradicional

Revisin del entorno con la ayuda de una lista de control (check list), consistente
en una serie de cuestiones (preguntas).

Objetivos de control en el ciclo de vida de una base de datos

AUDITORIA DE BASES DE DATOS

I.

STUDIO PREVIO Y PLAN DE TRABAJO

En esta primera fase, es muy importante elaborar un ESTUDIO TECNOLOGICO
DE VIABILIDAD en el cual se contemplen distintas alternativas para alcanzar los
objetivos del proyecto acompaados de un anlisis de costo-beneficio para cada
una de las opciones.

II.

CONCEPCION DE LA BASE DE DATOS Y SELECCION DEL EQUIPO

En esta fase se empieza a disear la Base de Datos, utilizando las metodologas

y tcnicas.

La Metodologas deben utilizarse para: Documento fuente, mecanismos de

control, caractersticas de seguridad, y pistas de auditorias

III.

DISEO Y CARGA
Se lleva a cabo los diseos lgico y fsico de la base de datos el auditor
tendr que examinar si estos diseos se han realizado correctamente.

El auditor tendr que tomar una muestra de ciertos elementos (tablas, vistas,
ndices) y comprobar que su definicin es completa.

IV.

EXPLOTACION Y MANTENIMIENTO

En esta fase se debe comprobar que se establecen los procedimientos de

explotacin y mantenimiento que aseguren que los datos se tratan de forma
congruente y exacta y que el contenido de los sistemas solo se modifica mediante
la autorizacin adecuada.
V.

REVISION POST-IMPLANTACION

Se debera establecer el desarrollo de un plan para efectuar una revisin postimplantacin de todo sistema nuevo o modificado con el fin de evaluar si:

Se han conseguido los resultados esperados

Se satisfacen las necesidades de los usuarios.

Los costes y beneficios coinciden con los previstos.