Documentos de Académico
Documentos de Profesional
Documentos de Cultura
0058M73 PDF
0058M73 PDF
LA INFORMACION (SGSI)
ALEXANDER ALZATE
FACULTAD DE INGENIERIAS
PEREIRA
2014
PROTOTIPO PARA LA AUDITORIA SISTEMA DE GESTION SEGURIDAD DE
LA INFORMACION (SGSI)
MONOGRAFIA
FACULTAD DE INGENIERIAS
PEREIRA
2014
Nota de aceptación:
______________________________________________
______________________________________________
______________________________________________
______________________________________________
______________________________________________
______________________________________________
______________________________________________
Este trabajo va dedicado inicialmente a Dios por ser el que nos brindo alegría, tranquilidad
y serenidad en cada momento de esta etapa de nuestras vidas que esta próxima a culminar.
A nuestros padres porque siempre creyeron en nuestra capacidad y que a pesar de los
obstáculos que se nos presentan en nuestras vidas siempre nos han apoyado, por estar siempre
en el momento preciso con la palabra ideal para subir nuestro ánimo y darnos fuerzas para
que aportaron un granito de arena para que nosotros pudiéramos lograr lo que hasta ahora es
“Se requiere de muchos estudios para ser profesional, pero se requiere de toda una vida para
1.1 INTRODUCCION………………………………………………………... 1
1.3JUSTIFICACION…………………………………………………………. 4
1.4 OBJETIVOS……………………………………………………………..... 5
CAPITULO 3: TEORIA………………………………………………………. 25
INFORMATICA…………………………………………………….. 32
SISTEMAS DE INFORMACION……………………………......... 43
4.2.5 REDES…………………………………………….......... 51
4.2.6 INVENTARIO………………………………………… 52
4.2.7 SEGURIDAD…………………………………………... 54
CAPITULO 5: CONCLUSIONES……………………………………………. 75
CAPITULO 6: RECOMENDACIONES……………………………………... 76
CAPITULO 7: BIBLIOGRAFIA……………………………………………... 77
CAPITULO 1
GENERALIDADES
1.1.INTRODUCCION
La auditoría, nace antes de la teneduría de libros a finales del siglo XV, para verificar las
considero como una rama de la contaduría pública que solo se dedicaba a examinar registros,
sistemas, etc. Así es como la Auditoría Informática se encarga de verificar que los sistemas y
procesos informáticos funcionen adecuadamente para las funciones que han sido
computación, con sistemas de apoyo para estrategias militares, sin embargo, la seguridad y el
control solo se limitaba a dar custodia física a los equipos y a permitir el uso de los mismos
Con el paso de los años y en la actualidad, la informática y todos los elementos tecnológicos
que la rodean, han ido creando necesidades en el sector social y empresarial hasta llegar a ser
negocios.
1
Las normas y procedimientos básicos que se encuentran en una auditoria es la Planificación y
supervisión, es decir, todo será sumamente bien planificado y luego supervisado, después se
estudiara y evaluara el sistema de control interno y por último se obtendrá las evidencias que
tecnológicos y financieros.
La auditoría informática es un proceso para ser ejecutado por especialistas del área de
políticas, normas y lineamientos, así como las actividades que se desarrollan dentro de una
empresa.
2
1.2.DEFINICION DEL PROBLEMA
situación actual nos muestra que los sistemas informáticos y nuevas tecnologías son los
activos más valiosos pero también el más vulnerable. La seguridad informática se ha ido
plataformas disponibles, dando así pasó a nuevas amenazas en los sistemas informáticos.
información, dicha auditoria es realizada manualmente por los auditores profesionales, siendo
este una actividad fuertemente dispendiosa y genera un lapso de tiempo realmente grande, ya
En solución a lo anterior se propone realizar una herramienta que permita llevar a cabo una
auditoria de sistemas de gestión que contenga listas de chequeo, actas y demás documentos
análisis de la misma
3
1.3.JUSTIFICACION
como la información.
Esta herramienta se presenta como una solución de análisis veraz y efectiva en el manejo de
información clara y efectiva de cuáles son las áreas y procesos que necesitan ser verificados y
la toma de decisiones serán más rápidos y eficientes ya que se tendrá una información
4
Esta herramienta permitirá optimizar la labor realizada por parte de los auditores,
1.4.OBJETIVOS
cada tipo de auditoría, como en el análisis de los mismos, esto se desarrollara bajo los
Realizar una herramienta de control sobre los datos de la organización que permita
5
Generar los reportes de la auditoria para que el auditor autorizado pueda analizar los
resultados
1.5.MARCO CONCEPTUAL
personas independientes del sistema auditado, que puede ser una persona,
empresarial, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de
que podemos afirmar la validez de su contenido, como verdadero, con certeza, sin
sombra de duda.
6
AUDITORIA INTERNA: Es una actividad independiente y objetiva de
7
SOFTWARE BASICO: es un conjunto de programas que el sistema necesita para
VULNERABILIDAD: Son puntos débiles del software que permiten que un atacante
las vulnerabilidades más severas permiten que los atacantes ejecuten código
de una compañía.
estructuradas de acuerdo con una determinada planificación, con el fin de que sus
ENTREVISTA: Esla acción de desarrollar una charla con una o más personas con
8
CHECKLIST: Es una lista de comprobación que sirve para servir de guía y recordar
los puntos que deben ser inspeccionados en función de los conocimientos que
ítems que pueden contener una ó varias preguntas según sea el caso.
9
CAPITULO 2
Consultando las bases de datos de la IEEE, identificamos documentos importantes que nos
servirán como apoyo para continuar con nuestra labor. Es de anotar que el interés por la
Seguridad de la Información es cada día más grande a nivel mundial, buscando una
integración estrecha y eficiente entre los diferentes procesos que tienen que ver con el
desempeño y la calidad.
organización1:
1
Instalacion Integrada ISO 9000 e ISO 27000 Sistemas de Gestion en una Organización, autores Chi-Hsiang
Wang, GraduateInstitute Of Information Management y Dwen-RenTsai, Department of ComputerScience,
Artículo publicado en el año 2009.
10
considerar los sistemas de control internos de las normas ISO 9001
El artículo anterior nos habla sobre las normas ISO 9001 e ISO 27001, cuyas normas se
refieren a la auditoria tanto en calidad como en sistemas de información, dicho artículo nos
11
aporta los conceptos básicos para establecer, implementar, mantener y mejorar un sistema de
realización de una auditoria, las cuales son necesarias para el posterior desarrollo de nuestro
trabajo de grado.
2
Adquisicion y visualización de eventos sensibles auditoria de seguridad, Autores Baoyun Wang, Institute of
ElectronicTechnologt y Yingjie Yang, InformationEngineeringUniversity, Artículo publicado en el año 2008.
12
propuesto llevar cierta comodidad de la navegación y el análisis de los
Este articulo hace referencia a los métodos que se tienen en cuenta en el momento de
realizar una auditoría de bases de datos, las consultas que se deben hacer y por último los
análisis a realizar a los datos, nos apoyamos en este artículo ya que nuestro prototipo contiene
entre las auditorías a realizar, la auditoria de bases de datos y para esto es necesario tener
seguridad3:
dar lugar a la creación de una buena alternativa que reduzca los costos,
3
Metodologia y Oncologia de Sistema Experto para la información de auditoría de seguridad, Autores Lyazzat
B. Atymtayeva, Gerda K. Bortsova, AtsushiInoue, Kanat T. Kozhakhmet, Department of ComputerEngineering,
Kazakh-British TechnicalUniversity, Artículo publicado en el año 2012.
13
información de auditoría de seguridad (Sistema Experto en
Dicho artículo trata sobre la importancia de la realización de una auditoria, ya que cada
auditoria, teniendo en cuenta que también habla sobre los costos que se podrían disminuir al
organización.
4
Formalización del proceso de gestión de auditoría de TI, Autores Tiago Rosario, Ruben Pereira, Miguel Mira
de Silva, Instituto Superior Técnico Universidad Técnica de Lisboa, Artículo publicado en el año 2012.
14
de auditoría de TI. El trabajo es importante, ya que una formalización
En este artículo pudimos identificar los diferentes paradigmas, que enfrentan las empresas
desde su control interno con el fin de llevar a feliz término el proceso de auditoría externa, al
que se someterán en un momento dado, de esta manera se pueden identificar las debilidades y
fortalezas que tiene cada empresa y si conscientemente han preparado cada uno de los
procesos para las auditorias. De este modo se puede saber cuáles son los temas más
nuestro prototipo.
5
Un esquema de registro para auditoria de base de datos, Autores QiangHuang, School of ComputerScience and
Engineering, LianzhongLiu, keyLaboratory of Beijing Network Technology, Artículo publicado en el año 2009.
15
datos mediante el análisis de tráfico de red. La arquitectura del
Este artículo nos sirve como orientación en el manejo de los datos y el proceso interno de
las bases de datos identificando su seguridad, su desempeño, sus deficiencias y sus posibles
los procesos de auditoría y mejoramiento de los diferentes protocolos y esquemas con los que
se debe cumplir en la auditoria de las bases de datos y el proceso y manejo general de los
datos.
6
Estudio y desarrollo de la información para Auditoría y Control de Calidad digital, Autores RenXianlin, Zhang
Genbao, College of MechEngieering Chongqing University, Artículo publicado en el año 2009.
16
función, modelo de información y el modelo de red para auditorías
persistente.
En este artículo observamos las ventajas que se tienen en la auditoria de TI usando las
herramientas que están a nuestro alcance como son para este caso las aplicaciones Web y la
de TI con una herramienta eficaz que busca ayudar a los auditores en la recopilación de la
7
Riesgo de sistema de información basado en minería de procesos, Autores HuangZuo-
mingAuditInformationEngineering Key Laboratoryo proyecto de Nanjing AuditUniversity, CongQiu-Shi,
institute of InformationSciences Nanjing AuditUniversity, Artículo publicado en el año 2012.
17
funcionamiento sano, seguro de la empresa e incluso el conjunto de la
que el manejo de la información es vital ya que se convirtió en el recurso más valioso que
puede tener una compañía, es por esta razón que el manejo del proceso de auditoría es de
perdidas y errores. Entonces no podemos ser ajenos a esta realidad la de tener que velar por la
18
importancia de la información tanto la evaluada en la auditoria como la obtenida en el
8
Modelo para la medición de los objetivos de auditoría de sistemas de información, Autores Mathew Nicho,
Brian Cusack, Auckland University of Technology, Artículo publicado en el año 2007.
19
propone un modelo de generación de métricas para la generación de
Para nuestro proyecto de prototipo es importante tener en cuenta las diferentes guías y
la calidad de los diferentes recursos TI que se tienen en las compañías en las que se realizaran
las auditorias teniendo en cuenta que para las empresas es cada vez más importante el valor
manera detallada la guía COBIT (es una guía de mejores prácticas presentado como
resto del mundo. En ese caso, hay que prestar más atención por la
9
Autor (s)XiaowenKangInst. de electrones. Technol., PLA Inf. Eng. Univ., Beijing YingjieYang ;Xin Du…….
Año de publicación: 2008
20
tolerar desastres. Este sistema basado en Linux, y que introdujo la
en las tendencias de copias de seguridad que están siendo implementadas actualmente a nivel
mundial, la importancia de los datos y la información como tal es un recurso invaluable para
las empresas. Cada día van tomando más fuerza las soluciones virtuales para almacenar la
10
Autor Sean PeisertUniversidad de California, y DavisMattBishopUniversidad de California,
DavisKeithMarzulloUniversidad de California, La Jolla, CA…. abril de 2008
21
las situaciones en donde se produzca conclusiones válidas y precisas
presentamos los modelos forenses y discutir las áreas en las que son
científicamente válida.
se convierte en uno de los recursos invaluables de las compañías deben ser resguardados y
documento será tenido en cuenta en el momento de tratar información delicada que sea
motivo de investigación.
22
Arquitectura de referencia para el control de acceso11:
consignado en la ley (Sarbanes-Oxley); esto con el fin de dar claridad en la intervención que
pueden realizar los superusuarios y los administradores de sistemas en una compañía, los
11
Autor Amir JerbiCA Inc., Herzilya, IsraelEthanHadarCA Inc., Herzilya, IsraelCarrieGates,CA Inc., Islandia,
Nueva York, EE.UU.DmitryGrebenevCA inc., Islandia, Nueva York, EE.UU. Año de publicación 2008].
23
en las empresas auditadas, tendremos en cuenta los lineamientos presentados y la
24
CAPITULO 3
TEORIA
La palabra auditoría proviene del latín auditorius, y de esta proviene la palabra auditor,
Las auditorias están diseñadas normalmente teniendo en cuenta uno o más de los
siguientes propósitos:
12
Definición tomada de http://www.sistemas.ith.mx/raymundo/as/punto1_1.html
13
http://www.procuraduria.gov.co/portal/media/file/descargas/Planeacion/Manual%20de%20Operaciones/MAN
UAL-DE-OPERACIONES/Libro-1-MARCO-TEORICO/GLOSARIO-CALIDAD.pdf
25
Determinar la eficiencia del sistema de calidad implantado en cuanto a que cumpla los
La auditoria de una empresa o entidad puede ser realizada por otras partes diferentes a la
misma. Una empresa puede disponer de una organización totalmente indiferente o imparcial
por consiguiente estas pueden dar certificación y registro del sistema de la empresa evaluada.
Los tipos de auditoría se conocen como Auditoria de Primera, Segunda y Tercera Parte:
propia organización o por otras personas que actúen de parte de esta, para fines
preventivas o de mejora.
14
Teniendo como apoyohttp://www.aec.es/c/document_library/get_file?uuid=783d8fbd-12df-43f3-b12c-
b1c5ca5ce5d7&groupId =10128
26
Auditoria de Segunda Parte (Auditoría Externa): Se realiza por los clientes de la
organización o por otras personas que actúen de parte de este, cuando existe un
Es un examen que se realiza con carácter objetivo, crítico, sistemático y selectivo con el
fin de evaluar la eficacia y eficiencia del uso adecuado de los recursos informáticos, de la
gestión informática y si estas han brindado el soporte adecuado a los objetivos y metas de la
empresa15.
tratada y almacenada a través del computador y equipos afines, así como de la eficiencia,
eficacia y economía con que la administración de un ente están manejando dicha información
y todos los recursos físicos y humanos asociados para su adquisición, captura, procesamiento,
15
https://docs.google.com/a/utp.edu.co/document/preview?hgd=1&id=1O_sSrDpOvUlC0jAi7PQsC7256pFz1o
Dl45I046JaX4E&pli=1
27
3.5. MEDIOS DE LA AUDITORIA INFORMATICA
OBJETIVO
PREDETERMINADOS
correcta realización. Esta auditoría hace énfasis en la revisión independiente, debido a que el
auditor debe mantener independencia mental, profesional y laboral para evitar cualquier tipo
informática, es verificar que los recursos informáticos (equipos, software, personal) son
adecuadamente coordinados y vigilados por la gerencia o por quien la empresa designe estar
a cargo.
28
3.7. OBJETIVOS DE LA AUDITORIA INFORMATICA
informático.
Se ocupa de analizar las actividades que se desarrollan como Técnica de Sistemas en todas
sus facetas.
Entrada/Salida, etc. Debe verificarse en primer lugar que los Sistemas están
actualizados con las últimas versiones del fabricante, indagando las causas de las
29
SOFTWARE BÁSICO: Es fundamental para el auditor conocer los productos de
software básico que han sido facturados aparte de la propia computadora. En cuanto al
medir, asegurar y registrar los accesos a toda la información almacenada en las bases
datos. Esta auditoría se debe aplicar a toda empresa que conste con un Sistema de
30
ESTRATEGIA DE SANEAMIENTO: Identificar los agujeros en la red y proceder
31
ETAPA DE DISEÑO: En esta etapa se elabora el conjunto de especificaciones
físicas del nuevo sistema que servirán de base para la construcción del mismo.
componentes y se ponen en marcha todos los procedimientos necesarios para que los
usuarios puedan trabajar con el nuevo sistema. Está basado en las especificaciones
por parte del usuario, además de las actividades necesarias para la puesta en marcha,
en esta etapa se verifica que el sistema cumple con los requerimientos establecidos en
la etapa de análisis.
oralmente o por escrito, cuyo fin es poner en evidencia determinados aspectos. Las
todo tipo. Los informes finales de los auditores dependen de sus capacidades para
de campo del auditor consiste en lograr toda la información necesaria para la emisión
16
http://es.slideshare.net/joseaunefa/herramientas-y-tcnicas-para-la-auditoria-informtica
32
de un juicio global objetivo, siempre amparado en hechos demostrables, llamados
también evidencias.
sino diferentes y muy específicos para cada situación, y muy cuidados en su fondo y
su forma.
del auditor; en ellas, éste recoge más información, y mejor matizada, que la
proporcionada por medios propios puramente técnicos o por las respuestas escritas a
con pulcritud a una serie de preguntas variadas, también sencillas. Sin embargo, esta
sus cuestionarios en función de los escenarios auditados. Tiene claro lo que necesita
saber, y por qué. Sus cuestionarios son vitales para el trabajo de análisis, cruzamiento
y síntesis posterior, lo cual no quiere decir que haya de someter al auditado a unas
Checklists.
33
3.10. METODOLOGIA PARA LA AUDITORIA INFORMATICA17
esto se deriva la existencia de varias metodologías para llevar a cabo una auditoria
informática.
PLANEACION: Para realizar una buena auditoria, es necesario realizar una serie de
el cliente que se va auditar, esta se realiza con el fin de dejar claro los objetivos y las
quiere y que se hará finalmente por parte del auditor. Otras de las actividades a
un cronograma señalando las actividades que se van a realizar, las fechas de inicio,
entrevistas, encuestas, etc., todo dependiendo del tipo de información que se requiera.
17
http://www.olacefs.com/Olacefs/ShowProperty/BEA%20Repository/Olacefs/uploaded/content/article/201208
29_1. pdf
34
ANALISIS, CLASIFICACION Y EVALUACION DE LA INFORMACION:
INFORME FINAL: En este informe se dará información clara y concisa, sobre los
el área auditada. El informe final deberá presentarse por escrito, acompañado de una
exposición verbal para asegurar que la interpretación del informe sea adecuada, tanto
El gran impacto generado por las nuevas tecnologías a nivel mundial y al cual no es ajeno
nuestro país Colombia, ha generado la necesidad de tener una legislación que proteja a todos
sistemas tecnológicos. El Marco Legal para el SGSI es continuamente cambiante ya que día a
día surgen nuevas necesidades con el fin de proteger a quienes hacen uso de la información.
Ya que surgen variados y efectivos métodos de fraude conocidos como delitos informáticos
que principalmente buscan afectar la seguridad de la información en las empresas. Por esta
razón uno de los factores importantes en la Auditoria de SGSI es que la empresa auditada
35
El fin de cumplir la legislación es proteger la información de amenazas externas, respetar
LEGISLACION COLOMBIANA:
Derechos de Autor:
efectiva protección a los autores y demás titulares de derechos, sobre las obras
destino.
18
http://www.propiedadintelectualcolombia.com/Site/LinkClick.aspx?fileticket=yDsveWsCdGE%3D&tabid=99
36
Decreto 1360 de 198919: Este decreto contiene los lineamientos que se deben
Ley 44 de 1993 20 : Ley que trata de las actividades, escritos o demás que
así mismo habla de las multas que se deberán cumplir en el momento de violar
resaltar que en este decreto dejan claro que toda inscripción realizada en el
19
http://www.convenioantipirateria.org.co/index.php?option=com_content&view=article&id=98:decreto-1360-
de-1989&catid=45:decretos-reglamentarios
20
http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=3429
21
http://www.bibliotecanacional.gov.co/issn/files/DECRETO-460-DE-1995.pdf
37
Decreto 162 de 1996 22 : Decreto que habla sobre la conformación de
Conexos.
Ley 545 de 199923: Esta ley trata de los derechos que están a favor de los
Ley 565 de 200024: Habla sobre las protecciones y derechos que favorecen a
las TIC’S, manteniendo el equilibrio entre los derechos de autor y los intereses
22
http://www.viceinvestigacion.unal.edu.co/VRI/files/propiedad_intelectual/dec0162221996.pdf
23
http://www.wipo.int/wipolex/es/text.jsp?file_id=230578
24
http://www.urosario.edu.co/EMCS/Documentos/investigacion/ley_565_2000/
38
Ley 603 de 200025: faculta a la DIAN para realizar verificaciones y enfatiza
Ley 719 de 200126: Trata de las tarifas que se deberán pagar como derechos de
autor por el uso de la obra suscrita. En esta ley se modifican las Leyes 23 de
la Comunidad Andina.
25
http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=13960
26
http://juriscol.banrep.gov.co/contenidos.dll/Normas/Leyes/2001/ley_719_2001
27
http://www.comunidadandina.org/Normativa.aspx?GruDoc=07
28
http://webcache.googleusercontent.com/search?q=cache:http://acpi.org.co/wpcontent/uploads/2013/09/DECR
ETO-2591- DE-2000.pdf
39
Ley 463 de 1998: En esta ley se aprueba el “Tratado de cooperación en
internacionales.
Propiedad Intelectual29:
Ley 527 de 199930: Por medio de esta ley se define y reglamenta el acceso y
29
http://www.comunidadandina.org/Normativa.aspx?GruDoc=07
40
Decreto 1747 de 200031: Este decreto reglamenta parcialmente la ley 527 de
cerradas y abiertas.
auditores.
del derecho fundamental que tienen todas las personas naturales a autorizar la
Ley 1266 de 2008: Por la cual se dictan las disposiciones generales del hábeas
30
http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=4276
31
http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=4277
32
http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=49981
41
Ley 1273 de 2009: (La cual añade dos nuevos capítulos al Código Penal)
informáticos.
42
CAPITULO 4
DESARROLLO
INFORMACION:
como una alternativa de ayuda tecnológica para las personas que realizan labores de auditor
de los SGSI, este desarrollo tiene como funciones específicas, servir de soporte para la
Nivel de seguridad
Nivel de calidad
Nivel de eficacia en TI
Nivel de eficiencia en TI
43
Se incluyen gestión y perfiles de usuario, se definen los procesos que serán evaluados, las
Teniendo como resultado el informe final (basado en los resultados de las evaluaciones)
Este prototipo se desarrolló con el fin de hacer más fácil la labor de la auditoria de
sistemas apoyado en las herramientas tecnológicas con las que se cuenta en las compañías. El
prototipo propone realizar labores de consulta de los diferentes ámbitos y procesos que se
El proceso para adquirir la información será por medio de Chek-list que serán
entregara las respuestas y sustentara con evidencias las tareas y procesos desarrollados para
cada gestión.
capacidad de computar y calificar de forma positiva o negativa los diferentes procesos que
fueron sometidos a la auditoria. Estos resultados serán entregados en el informe final donde
se detallaran los hallazgos, los puntos de mejora y las recomendaciones particulares para cada
44
uno de los casos. El prototipo se enfoca en 4 (cuatro) ámbitos fundamentales y neurálgicos de
Bases de datos
Redes de datos
Seguridad Informática
donde se podrá gestionar la creación, eliminación y activación de los perfiles. De esta manera
se tendrá control y registro de cada una de las personas que hicieron uso de la herramienta, al
45
4.2.1. REGISTRO O LOGIN
Para ingresar a la herramienta se tiene estipulado contar con un usuario y contraseña como
usuario será creado por cada auditor, al igual que la contraseña, esta última deberá constar de
8 dígitos, los cuales deberán ser con letras mayúsculas, letras minúsculas y números. se
46
4.2.2 GESTOR DE USUARIOS
En la gestión de usuarios podemos crear eliminar y almacenar los usuarios con los perfiles
Esto nos brindara la seguridad del prototipo en el ingreso de solo personal autorizado por el
47
Usuario: tendrá el acceso a lectura y escritura de la información contenida en el
Auditoria.
48
Luego que el auditor haya ingresado con su usuario y contraseña, se abrirá un pantallazo
el cual obtendrá 4 diferentes áreas a auditar, estas áreas son: Bases de datos, Redes de datos,
inventario infraestructura TIC, seguridad informática y finalmente cuenta con un link donde
inmediatamente se desplegara una serie de check-list referentes al área escogida, estos check-
list los deberá ir desarrollando el auditor junto con la información recolectada de la empresa
auditada.
49
En el ámbito de Bases de datos encontramos un chek-list detallado con preguntas
estas consultas se realizan de forma directa con el DBA (Administrador de la base de datos) y
también apoyados en programas de uso libre que se encuentran en la red que generan
archivos tipo Log (log Files) que registran la actividad detallada de la base de datos en cada
una de sus tareas, convirtiéndose estos archivos en evidencia consignada en los chek-list.
Es de vital importancia este ámbito en particular ya que cuenta con el recurso invaluable
de la información de las compañías por esta razón el chek-list utilizado es enfocado en gran
medida al manejo de Backus, copias de seguridad que se deben llevar a cabo constantemente;
El desempeño de la base datos como son los tiempos de las consultas, la estructura etc. En
conclusión se intenta con este proceso reunir y evaluar evidencia para determinar si este
sistema informático protege el patrimonio, mantiene la integridad de los datos, alcanza los
50
4.2.5 REDES
fortalezas y debilidades, de una red de datos. Una empresa necesita saber en qué situación
Con las listas de chequeo se busca realizar un análisis y diagnóstico de la red, para saber
con exactitud la situación actual de las redes de la empresa auditada para esto tomamos el
modelo de referencia OSI, estándares como el TIA-942, Tire, norma de cableado estructurado
ANSI/TIA/EIA-568-B, ANSI/TIA/EIA-569-A.
51
Inicialmente se evaluara la parte física de la red, condiciones del cableado estructurado,
sala de servidores, centros de datos, etiquetado de los cables, orden , limpieza y fichas
topológico, situación del spaning-tree, configuración de los equipos de red etc. Con la
registrados.
4.2.6 INVENTARIO
52
Para este caso definimos la auditoria de inventario de sistemas de la siguiente manera:
Es la recopilación de todos los bienes y materiales con que cuenta una compañía y sirven
Inventario de software
Inventario de Hardware
Inventario de documentos
En la lista de chequeo aplicada para este caso se tuvieron en cuenta los anteriores
conceptos y se abarcan temas tales como tiempos tanto de vida como de mantenimiento de
ajustes locativos para lo que tiene que ver con los centros de cableado y cuarto de servidores,
Al obtener estos datos se entregaran los resultados automáticamente para el informe final
del proceso.
53
4.2.7 SEGURIDAD
qué tan efectivos y eficientes son los controles establecidos para asegurar la confidencialidad,
Revisar que tan fuertes son las passwords, listas de control de acceso, bitácoras,
54
otros controles, son algunas de las actividades que el auditor de seguridad informática
realizará para evaluar la eficiencia del control. Evaluándolo a través de las listas de chequeo
recolección de datos e información, sino también de la relación de nuestra check-list con los
hallazgos que se van obteniendo de este proceso, finalizando en un informe final, en el cual
55
va la información de la empresa que se está auditando en el momento, acompañada de la
información personal del auditor y el encargado del área auditada, todo esto junto con los
hallazgos que se hayan obtenido tanto positivamente como negativos. En este informe se
realiza el análisis final de los datos que nos arrojaron las soluciones de los check-list, análisis
Cada área a auditar cuenta con su propio check-list, y cada uno de estos cuenta con una
serie de preguntas, las cuales ayudaran al auditor a obtener más fácilmente los resultados de
cumplimiento.
Estos Check-List son documentos de apoyo fundamentales para llevar a cabo la auditoria
de T.I del prototipo. Las preguntas y procesos aquí contenidos están ajustados a las diferentes
recursos de T.I.
Dichos resultados arrojados por los check-list serán en porcentaje, resultado que deberá
56
PARA HALLAR EL SI
Respuestas en SI X
PARA HALLAR EL NO
Respuestas en NO X
Este check-list tiene como clave principal, comprobar la calidad de una base de datos, de
esto depende tanto el éxito de una empresa, como la reputación del dominio de la misma, el
57
CUESTIONARIO DE CONTROL AUDITORIA DE SISTEMAS C9
Empresa: R/PT
Cuestionario
Pregunta SI NO N/A
mensualmente, etc.)?
Existe algún usuario que no sea el DBA pero que tenga asignado
administrador?
restringido?
58
¿Se encuentran listados de todos aquellos intentos de accesos no
repositorio?
desarrollo?
equipos auxiliares?
administrador?
59
El motor de Base de Datos soporta herramientas de auditoría?
TOTAL
falencia del área de redes, para esto se relaciona a continuación el check-list utilizado.
Empresa: R/PT
60
Objetivo de Control Evaluación Infraestructura de redes de comunicación
Cuestionario
Pregunta SI NO N/A
los 90 metros?
sembrado de nodos?
canaleta o ducto?
aseguramiento de la red?
61
¿Cuentan con conmutadores en red, para la expansión de redes
locales?
(hackers)?
62
encontrar posibles fallas?
diferentes actividades?
TOTAL
relacionen en el inventario, para esto se utilizara el siguiente check-list, que nos ayudara a
63
CUESTIONARIO DE CONTROL AUDITORIA DE SISTEMAS C1
Empresa: R/PT
Cuestionario
Pregunta SI NO N/A
centro de cómputo?
funcione correctamente?
refacciones utilizadas?
64
mantenimiento?
nuevos equipos?
TOTAL
Empresa: R/PT
Cuestionario
Pregunta SI NO N/A
mantenimiento?
65
¿Con cuanta frecuencia se realiza mantenimiento a los equipos?
nuevos equipos?
TOTAL
Empresa: R/PT
Cuestionario
Pregunta SI NO N/A
cómputo?
¿Se tiene una distribución del espacio adecuada, de forma tal que
66
permita una circulación fluida?
de cómputo?
67
TOTAL
Empresa: R/PT
Cuestionario
Pregunta SI NO N/A
refrigeración?
ambientales?
ambientales?
68
Documentos probatorios presentados:
TOTAL
Empresa: R/PT
Cuestionario
Pregunta SI NO N/A
¿Se cuenta con instalación con tierra física para todos los equipos?
de cómputo?
¿La misma instalación con tierra física se ocupa en otras partes del
69
edificio?
equipos?
de la sala?
general?
la planta de emergencia?
TOTAL
70
CUESTIONARIO DE CONTROL AUDITORIA DE SISTEMASC6
Empresa: R/PT
Cuestionario de Control C6
Cuestionario
Pregunta SI NO N/A
lugares?
seguridad?
acceso?
instalaciones?
TOTAL
71
4.3.4. CHECK-LIST AUDITORIA EN SEGURIDAD
Para toda empresa es importante y necesario, manejar un nivel de seguridad, tanto en los
datos que maneja como en los equipos con los que cuenta esta, para verificar el nivel de
seguridad de una empresa, se realizara el siguiente check-list, el cual nos permitirá conocer la
metodología que utiliza la empresa para resguardar o asegurar sus datos y su información.
Empresa: R/PT
Cuestionario
Pregunta SI NO N/A
los usuarios?
72
¿La organización cuenta con un proceso para dar mantenimiento
preventivo al software?
correctivo al software?
cómputo?
preventivo al software?
correctivo al software?
cómputo?
permitido?
73
función de los servicios que otorga?
cómputo?
TOTAL
74
5. CONCLUSIONES
en cada caso auditado, esta información va relacionada en los informes finales que
Las listas de chequeo utilizadas para la auditoria contienen un gran número de ítems,
esto convierte la auditoria en algo dispendioso, por lo que toma un largo lapso de
manualmente.
75
6. RECOMENDACIONES
La herramienta puede ser utilizada de manera experimental para las organizaciones que
herramienta en campo o en uso. Se recomienda en una segunda versión del presente proyecto
3. Adaptar la herramienta, para que pueda funcionar en modo Web y pueda ser accedida
a través de Internet.
76
7. BIBLIOGRAFIA
http://www.gerencie.com/auditoria-de-sistemas-de-informacion.html.[2014, 23 de
Marzo]
http://es.slideshare.net/ernestohrr/auditoria-de-sistemas-7551592. [2014, 23 de
Marzo]
http://www.sigen.gov.ar/red_federal/pdfs_red/Power-EVALUACION-y-
http://auditoriadesistemascontaduriaucc.blogspot.com/2012/03/especialidad-en-los-
http://www.uaeh.edu.mx/docencia/P_Presentaciones/tlahuelilpan/sistemas/auditoria_i
https://www.google.com.co/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&cad=rj
a&uact=8&ved=0CBoQFjAA&url=http%3A%2F%2Fcazova.files.wordpress.com%2
77
F2012%2F09%2Fchecklist-auditoria-de-basededatos.doc&ei= zofJU6fTBebksASah
YGIBw&usg=AFQjCNEeCcEPSytawJa7U3qM6dd_IyJeoQ&bvm=bv.71198958,d.c
http://www.impulsotecnologico.com/empresa-madrid/auditoria-informatica-checklist-
informes-auditores-informaticos.[2014, 11 de Abril]
http://www.procuraduria.gov.co/portal/media/file/descargas/Planeacion/Manual%20d
e%20Operaciones/MANUAL-DE-OPERACIONES/Libro-1-MARCO-
http://www.aec.es/c/document_library/get_file?uuid=783d8fbd-12df-43f3-b12c-
http://es.slideshare.net/joseaunefa/herramientas-y-tcnicas-para-la-auditoria-informtica
[2014, 14 de Mayo]
http://www.olacefs.com/Olacefs/ShowProperty/BEA%20Repository/Olacefs/uploade
http://www.propiedadintelectualcolombia.com/Site/LinkClick.aspx?fileticket=yDsve
78
Leyes y decretos. [en línea]. Disponible en:
http://www.convenioantipirateria.org.co/index.php?option=com_content&view=articl
e&id=98:decreto-1360-de-1989&catid=45:decretos-reglamentarios. [2014, 28 de
Mayo]
http://www.alcaldiabogota.gov.co/sisjur/normas/Norma1.jsp?i=3429. [2014, 12 de
Julio]
http://www.viceinvestigacion.unal.edu.co/VRI/files/propiedad_intelectual/dec016222
http://juriscol.banrep.gov.co/contenidos.dll/Normas/Leyes/2001/ley_719_2001.
[2014, 14 de Julio]
79