Gestión y Seguridad de Auditoria Informática – GESAI

Tema 1: Introducción a la Auditoria e Auditoria Informática.

Concepto de auditoria e Informática.
Clases o Tipos de auditorías.
Conceptos de auditoria en informática.
Auditoria Informática
Auditoria de Bases de Datos.
Auditoria de Aplicaciones.
Auditoría del Desarrollo.
Auditoria Ofimática.
Auditoria de Redes.
Auditoría de Aplicaciones.
Auditoría del Mantenimiento.
Auditoría de la Calidad.
Auditoría de la Seguridad, Etc..
Responsabilidades de los Auditores y Regulaciones.
Código Deontológico de la Función de Auditoria.
Criterios a seguir para la composición del equipo auditor
Fases de la Auditoria.
Elaboración del Plan de Auditoria.
Tipos de muestreo a aplicar durante el proceso de auditoría.
Explicación de los requerimientos que deben cumplir los hallazgos de auditoría.
Aplicación de criterios comunes para categorizar los hallazgos como observaciones o no conformidades
Guía para la Elaboración del Informe de Auditoria.
Principios generales de protección de datos de carácter personal
Leyes y Normas Nacionales.
Leyes y Normas Internaciones (SOX, NAGAS, ETC).
Control Interno (Clasificación y Objetivos)
Herramientas de aplicación (COSO, COCO,MICIL, COBIT, SAC)
Gerenciamiento y Planificación.
Estrategias en la Planificación, Análisis de Riesgo, Evaluación preliminar,
Plan de auditoria, Recursos, Mejores prácticas,
Gestión proyecto de auditoria (CSA- Control Self-Assessment)
Tema-2: Obtención de Evidencias
Tipologías
Pruebas Técnicas y Sustantivas.
Muestreo.
Técnicas de Auditoria asistida por computadora (CATTS-Computer Assisted Audit Techniques)
Análisis, Clasificación, Etc.
Gestión y Seguimiento del Informe de Auditoria.
Formato, Detalle del Informe,
Partes Interesadas o Destinatarios,
Acciones para aplicar la auditoria.
Sistemas de Información / Tecnología de la Información (SI / TI)
Responsabilidades, Estructura Organizacional
Aseguramiento de la Calidad, Outsourcing
Aspectos Éticos, Jurídicos y Privacidad.
Herramientas de Soporte Frameworks
COBIT
COSO
ISO 27002
ITIL
Herramientas para la Auditoria Informática
Del Operating System tipo Ping y Traceroute.
Frameworks Auditoria de Tráfico de RED (tipo Nmap, Netcat, NBTScan).
Caso de Estudio - PNAF (Passive Network Audit Framework).
*Instalación en máquina virtual en distribución Linux.
Análisis de Vulnerabilidades tipo Nessus.
Análisis de protocolos tipo WireShark, dSniff, Cain / Abe.
Analizadores de páginas Web (Acunetix, Dirb, Parosproxy).
Tema-3: Aspectos y Políticas de Seguridad

Seguridad Informática en redes

Niveles de Seguridad, Intrusos.
Políticas de Seguridad
Tipos de seguridad.
Seguridad Física.
Seguridad lógica.
Seguridad lógica y confidencialidad.
Seguridad en el personal.
Seguridad en entornos móviles.
Seguros.
Procedimiento de respaldo en caso de desastre (Plan de contingencia).
Auditoria de Seguridad Informática.
Normas de Seguridad
ISO-27001 / 27002.
Serie SP 800 (Sus estándares – 800-61, 50, 116, 46, etc)
Serie NIST SP 800 (Documentos de Políticas de Seguridad Informática-EEUU)
Software ISO 27001
Metodología Magerit (UE)
Informática Forense (Introducción a los Centros de respuesta de incidentes de Seguridad (CERT y CSIRT).
Sistemas de Defensa
Amenazas Lógicas – Tipos de ataques,
Detención de Intrusos, Dmz, Firewalls,
Ids, Ips, Criptografía,
Políticas de Seguridad.
Técnicas de Hacking
Introducción y Concepto.
Protocolos y Puertos.
Tipos de Ataques y Técnicas de Hacking.
Herramientas o Software de hacking.
Comandos en distintos S.O.
Tema-4 Evaluación de los Sistemas e Interpretación de la Información.

Introducción a la evaluación de sistemas.

Entrevista a usuarios.
Evaluación del análisis.
Evaluación del Diseño lógico del sistema.
Controles.
De los datos fuente y manejo de cifras de control.
De operación.
De Salida.
De asignación de Trabajo.
De medios de almacenamiento masivos.
De mantenimiento.
Evaluación del Desarrollo del sistema.
Control de proyectos.
Control de diseño de sistemas de Información.
Organización en el Centro de cómputos.
Instructivo o Manual de operación.
Forma de implantación.
Evaluación de la configuración del sistema de cómputos.
Derechos de autor.
  Elaboración de las Recomendaciones.
 Elaboración Acuerdo con el auditado.
 Presentación del informe Final de la Auditoria.

Bibliografía Base.

La Auditoria no es una actividad meramente mecánica que implique la aplicación de procedimientos cuyos resultados una
vez llevados a cabo sean infalibles.
La auditoría requiere el ejercicio de un juicio profesional, solidó y maduro para juzgar los procedimientos que deben
seguirse y estimar los resultados obtenidos.

Se han escogido los siguientes textos, que son libros fáciles de estudiar y de entender.

Piattini, Mario G. Echenique García , José Antonio, Cristina Merino Bada,Ricardo Canazares.
Auditoria Informática, Un enfoque Auditoria en Informática , Mc Graw
práctico, Hill, México,
Alfomega, S. A, México. 2da. Edición o Superior.