Control Interno Informático

El control interno informático es función del departamento de informática dentro de una

organización y se asegura de la protección de todos los recursos informáticos. “Controla

diariamente que todas las actividades de sistemas de información sean realizadas cumpliendo los

procedimientos, estándares y normas fijadas por la Dirección de la Organización y/o la Dirección

de Informática, así como los requerimientos legales” (Piattini y Del Peso, 2001, p. 55).

Este tipo de control se encarga que el área de informática realice sus operaciones

correctamente. Según Muñoz (2002):

Al instalar este elemento del control interno informático, se busca determinar si la

estructura de organización del área de sistemas computacionales, con todo lo que esto

conlleva, es la más apropiada para que éstos funcionen con eficacia y eficiencia en la

empresa; esto se logra mediante el diseño adecuado de la estructura de puestos, unidades

de trabajo, líneas de autoridad y canales de comunicación, complementados con la

definición correcta de funciones y actividades, la asignación de responsabilidad y la

definición clara de los perfiles de puestos. (p. 159)

Esto permitirá realizar adecuadamente el trabajo encargado al área de informática y sistemas de

la empresa y permitirá mantener controladas las actividades.

Es evidente que el área de informática es un pilas fundamental dentro de una

organización puesto que al mantener equilibrado este departamento permitirá que toda la

empresa surja ya que hoy en día la tecnología y la adaptación de equipos tecnológicos es vital

para las operaciones de la misma, es por ello que implementar controles internos dentro del área

es fundamental para que esta se mantenga operando adecuadamente cumpliendo las normas

legales, políticas internas, optimizando recursos aprovechando cada oportunidad de cambio y

renovación tecnológica.
 A continuación, se presenta los controles internos para la seguridad del área de sistemas,

a los cuales se les considera fundamentales ya que se complementan y son indispensables para el

centro de informática, por consiguiente, se indican los siguientes aspectos:

Seguridad Física

La seguridad física de los sistemas informáticos consiste en aplicar procedimientos de

control para prevenir posibles amenazas. Según Muñoz (2002):

Es todo lo relacionado con la seguridad y salvaguarda de los bienes tangibles de los

sistemas computacionales de la empresa, tales como el hardware, periféricos y equipos

asociados, las instalaciones eléctricas, las instalaciones de comunicación y de datos, las

construcciones, el mobiliario y equipo de oficina, así como la protección a los accesos al

centro de sistematización. (p. 186)

En sí, es todo lo relacionado con la seguridad, la prevención de riegos y protección de los

recursos físicos informáticos de la empresa.

A continuación, se presenta una segunda definición de seguridad informática. Según

Galán (1996):

En la seguridad física del proceso de datos de la organización, incluye: condiciones

ambientales adecuadas y suministros de energía constante, así como actitudes de la

administración frente a la seguridad de los sistemas de información, a programas de

entrenamiento de personal, a planes de contingencia para desastres o interrupciones del

procesamiento, y a la adquisición de pólizas de seguro para cubrir el riesgo de siniestros.

(p.14)

El centro de cómputo debe situarse correctamente para la implementación de controles

anti desastres los cuales deben ser factibles y adecuados para el área.
 La seguridad física dentro de la unidad de informática es indispensable en la

organización, al definir medidas para prevenir daños o desastres se salvaguarda los bienes

tangibles y de cierto modo también lo intangible si nos referimos a la información que puede

existir en los equipos, en caso que una organización no tenga respaldos en otro equipo este punto

también es importantísimo dentro de una organización, pero, dejándolo de lado, y centrándose en

el tema principal una organización al implementar medidas que sean correctas se evitara de

pérdidas en caso de que los equipos sufran daños o en el peor de los casos sean robados es por

ello que en este aspecto también se habla de la contratación de seguros para los equipos

tecnológicos.

Es importante mencionar específicamente las siguientes definiciones que abordan la

seguridad física como herramientas y son esenciales dentro de la unidad de cómputo.

Monitoreo Ambiental

Es la revisión y la exploración del entorno donde están instalados todos los equipos de

computación, es decir el hardware, en este sitio las instalaciones, la red cableada deben estar en

perfecto estado y funcionamiento. “El centro de cómputo debe estar en su ubicación justa:

evitando el fuego, el agua, las radiaciones, los radares, los imanes; suministrando energía de

manera continua, contando con un piso falso y aire acondicionado” (Galán, 2001, pp. 14-16).

Los equipos deben permanecer en perfecto estado para ejecutar todas las actividades con la

mayor eficiencia y eficacia posible.

Control de Acceso

Es la habilidad de permitir o negar el acceso utilizando mecanismos para el control de

acceso mismos que son usados para cuidar recursos físicos, lógicos y digitales. Según Galán

(1996):
 El centro de cómputo es un área de acceso limitado. Entre los controles de acceso físico

están las puertas con cerraduras abiertas solo a través de tarjetas con códigos ópticos o

magnéticos. Las listas de los códigos de las tarjetas pueden estar controladas

dinámicamente por la hora el día, por el día de la semana y la clasificación de seguridad

de los individuos a quienes se les distribuye la tarjeta. El estado de las puertas debe

supervisarse. Las autorizaciones pueden ser adicionadas o borradas fácilmente, se les

debe hacer mantenimiento. (p.14)

El control de acceso constituye una importante ayuda para proteger los equipos de

computación para mantener la integridad del hardware y también de la información que en estos

existe permitiendo solo ingresar al centro las personas que estén autorizadas y calificadas.

Respuesta ante Desastres

Son todas las actividades de planeamiento, preparación, entrenamiento, mantenimiento

preventivo y correctivo del departamento informático y ejecución de las actividades de resguardo

de equipos, información e identificación de las prioridades de restauración de los equipos de

computación y sistemas informáticos, que aseguren un tiempo de respuesta aceptable y óptimo

que implique el menor costo posible a la organización. (Municipio de Portoviejo, 2014)

  Caso relacionado con violaciones a la seguridad física informática.

Vulnerabilidades de hardware y firmware: una guía para las amenazas

En enero del 2018, toda la industria informática se puso en alerta por dos nuevas

vulnerabilidades de procesador denominadas Meltdown y Spectre, que derrotaron los límites de

seguridad fundamentales del sistema operativo que separan el kernel y la memoria del espacio

del usuario. Las fallas surgieron de una característica de desempeño de las CPU modernas,

conocida como ejecución especulativa; y mitigarlas requirió uno de los mayores esfuerzos de
coordinación de actualizaciones de la historia, involucrando a fabricantes de CPU, fabricantes de

dispositivos y proveedores de sistemas operativos.

Meltdown y Spectre ciertamente no fueron las primeras vulnerabilidades resultantes de

una decisión de diseño de hardware, pero su impacto generalizado despertó el interés de la

comunidad de investigación de seguridad en tales fallas. Desde entonces, muchos investigadores,

tanto del mundo académico como del sector privado, han estado estudiando el funcionamiento de

bajo nivel de las CPU y otros componentes de hardware, y han descubierto cada vez más

problemas.

Algunas vulnerabilidades de hardware son imposibles de mitigar por completo sin lanzar

una nueva generación de componentes, mientras que otras se pueden solucionar en el firmware,

la programación de bajo nivel presente en los chips de hardware. En cualquier caso, la aplicación

de actualizaciones no es sencilla, por lo que estos defectos pueden seguir afectando a los

dispositivos del mundo real durante mucho tiempo.

Seguridad en las conexiones de internet

La seguridad en las conexiones de internet son todas aquellas precauciones que se toman para

proteger todos los elementos que hacen parte de la red, como infraestructura e información, que suele

ser la más afectada por delincuentes cibernéticos. En el sitio web GCF (s.f) se plantea “La seguridad

informática se encarga de crear métodos, procedimientos y normas que logren identificar y eliminar

vulnerabilidades en la información y equipos físicos, como los computadores.” Este tipo de seguridad

cuenta con bases de datos, archivos y equipos que hacen que la información importante no caiga en

manos de personas equivocadas.

Una de las mejores formas de mantenerse protegido en internet es por medio de antivirus, así el

usuario se protegerá de los delincuentes cibernéticos ya que usan varios modos para atacar en la
red como los virus con los que logran vulnerar sistemas y alterar el funcionamiento de los

dispositivos electrónicos.

Políticas en el Firewall

Para entender las políticas en el firewall es fundamental conocer la definición. Según

Gómez (2010):

Un cortafuegos (firewall) es una parte de un sistema o una red que esta diseñado para

bloquear el acceso no autorizado. Se trata de un programa, aplicación, parte de un sistema

operativo, dispositivo hardware, o una combinación de todos ellos, configurados para

filtrar, permitir, limitar, cifrar, el tráfico entre interfaces, terminales o redes, en base a

normas y criterios. (p. 194)

Actualmente es imposible no necesitar conectarse a internet por lo que los cortafuegos

han llegado a ser imprescindibles en el entorno informático.

Las normas del cortafuego suelen agruparse en dos políticas básicas de configuración que

son:

 Política Restrictiva. Se deniega todo el tráfico el explícitamente permitido, habilitando

los servicios necesarios. Esta es la política mas aconsejable, por ser preventiva.

 Política Permisiva. Se permite todo el tráfico excepto el explícitamente denegado. Este

método es correctivo y necesita una continua educación o reconfiguración.

El firewall es un sistema importante y básico debe existir en una computadora ya que protege

de las intrusiones que proviene de una tercera red de internet, este permite filtrar los paquetes de

datos que andan por la red, ya que de no ser así el computador seria vulnerado por amenazas y

malware de todo tipo. Además, son gratuitos y generalmente se incluyen con el sistema operativo
y son muy simple de instalar ya que normalmente ya viene activado y el sistema operativo alerta

cuando no existe un firewall en funcionamiento.

Accesos VPN

Las redes virtuales permiten conectar uno o varios ordenadores en una red privada virtual,

a través de una red pública, sin necesidad de que los ordenadores estén conectados físicamente

entre sí o de que estén en un mismo lugar. “Las redes virtuales o VPN (Virtual Private Networks)

permiten a las redes seguras comunicarse con otras redes seguras utilizando como intermediarias

redes no seguras como internet” (Areitio, 2008, p. 344)

Es necesario definir una política de seguridad para establecer este tipo de conexión.

Todas las conexiones VPN deben ser aprobadas y gestionadas por el administrador de servicios

de red. De esta manera, deben establecerse los medios apropiados para distribuir y mantener

claves de cifrado antes del uso operacional de las VPN

Detección de Intrusos.

Un sistema de detección de intrusiones es un programa de detección de accesos no

autorizados a un computador o a una red. Villalón (2008) plantea lo siguiente:

Los sistemas de detección de intrusos basados en red son aquellos capaces de detectar

ataques contra diferentes sistemas de una misma red (en concreto, de un mismo dominio

de colisión), aunque generalmente se ejecuten en uno solo de los hosts de esa red. Para

lograr su objetivo, al menos uno de los interfaces de red de esta máquina sensor trabaja en

modo promiscuo, capturando y analizando todas las tramas que pasan por él en busca de

patrones indicativos de un ataque. (p. 318)

 Un IDS basado en red monitoriza los paquetes que circulan por la red en busca de

elementos que denoten un ataque contra alguno de los sistemas ubicados en ella, puede situarse

en cualquiera de los hosts o en un elemento que analice todo el tráfico).

Referencias

Andreu, J. (2010). Servicios en Red. Madrid, España: Editex S.A. Obtenido de

https://books.google.com.ec/books?

id=vhit3ZmGQPsC&printsec=copyright&source=gbs_pub_info_r#v=onepage&q&f=fals

Areitio, J. (2008). Seguridad de la Información, Redes, Informática y Sistemas de Información.

Madrid, España: Paraninfo, S.A. Obtenido de https://books.google.com.ec/books?

id=_z2GcBD3deYC&pg=PA344&dq=Seguridad+en+las+conexiones+de+internet+Pol

%C3%ADticas+en+el+Firewall+Accesos+VPN+Detecci%C3%B3n+de+Intrusos&hl=es-

419&sa=X&ved=2ahUKEwj59tWu69vuAhVNY6wKHXeoDPEQ6AEwAHoECAYQAg

#v=onepage&q=Segur