Controles informáticos

Alejandro Antonio Fernández Garrido

Auditoria Informática

Instituto IACC

05 Noviembre 2005
 Desarrollo

1) Considere la siguiente definición de alcance y objetivos de una auditoría:

El alcance de la auditoría consistirá en la revisión de controles y procesos relacionados
con los proveedores de servicios de TI. Los controles, actividades y documentos para
nuestra revisión se detallan a continuación:

 Políticas y procedimientos de proveedores de servicios de TI.

 Levantamiento de todos los proveedores de servicios de TI.
 Revisión de contratos de proveedores de servicios de TI.
 Revisión de los procedimientos de evaluación de los proveedores de servicios de TI.
 Evaluación de los controles sobre los proveedores de servicios de TI
(seguridad de la información y continuidad de operaciones).
 Revisión de reportes enviados por los proveedores de servicios de TI a la
Administración respecto al cumplimiento de sus SLA (Service Level
Agreements*).

De acuerdo a lo indicado anteriormente, indique qué tipo de auditoría informática se

está aplicando. Justifique su respuesta.

R: Frente a este ejemplo, se deduce que es una Auditoria de Gestión ya que este tipo de auditoria
está relacionada con la contratación de bienes y servicios, documentación de programas y
sistemas que utiliza la empresa. Para cada control señalado se habla de proveedores servicios
esto quiere decir que se auditara todo agente externo que preste algún servicio dentro de nuestra
organización.
2) A través de un cuadro explicativo, señale 2 semejanzas y 2 diferencias entre la
auditoría informática y la auditoría general (financiera, operativa).

AUDITORIA INFORMATICA AUDITORIA GENERAL

SEMEJANZAS Es una actividad independiente, que Es una actividad independiente,
esta pesada para agregar valor a la que esta pesada para agregar
empresa y mejorar la operación de valor a la empresa y mejorar la
la empresa operación de la empresa
DIFERENCIAS Esta pensada para proteger los Está pensada para garantizar la
activos de la empresa, mantener la información financiera de una
integridad de los datos y cumplir empresa
con las normas de la organización y
con eficacia

3) Considere los siguientes enunciados:

 “La política definida por la dirección de informática establece que todo usuario de
la empresa, que tenga acceso a los sistemas informáticos que son explotados por la
misma, deberán realizar cambios periódicos de sus claves de acceso”.

 “La política de seguridad de la compañía establece la utilización de software de

control de acceso que permita que solo el personal autorizado tenga acceso a
archivos con información crítica”.

 “El instructivo de funcionamiento de la empresa Compus Limitada determina que el

administrador de base de datos es el encargado de realizar los respaldos de todas
las bases en el ambiente productivo, del tipo incremental una vez por día, y del tipo
full una vez a la semana”.

De acuerdo a lo estudiado, indique a qué tipo de control corresponden (predictivo,

detectivo, correctivo) los procesos descritos en los puntos a, b y c. Reconozca las
características presentes en cada párrafo que justifiquen su elección.

R:

a) En este caso se trata de un control preventivo, ya que incentiva al usuario a cambiar de

clave esporádicamente para prever el uso malicioso de las credenciales en un futuro
próximo.

b) En este ejemplo vemos como la compañía estable la utilización de un software para la

autentificación, por esto es un control detectivo, ya que informan sobre un error, omisión
o acto fraudulento en caso de que personal no autorizado trate hacer ingreso a los
sistemas.

c) Este es un control de tipo correctivo ya que el respaldo de toda información por parte del
administrador minimizara el impacto en caso de falla y facilitara la vuelta a la normalidad
después de una haberse producido una incidencia.

4) Considere el siguiente hallazgo de auditoría: “Se observan cuentas activas de usuarios

 en el sistema SAP pertenecientes a personal desvinculado de la compañía”.
¿Qué medidas de control interno deberían aplicarse para corregir la situación planteada?
Fundamente su respuesta.

R: El control interno puede estar dedicado a varias áreas relevantes para una compañía,
tales como para la administración de motores de base de datos, redes computacionales,
seguridad informática, licencias o relación con proveedores. Lo importante el diseñar una
buena estructura de sistema de control interno, y en este caso en particular se puede
diseñar un sistema de control interno periódico, háblese cada treinta días involucrando a
recursos humanos quienes deberían proveer de la información del personal entrante o
saliente de la compañía y así evitar el problema dado como ejemplo.

Bibliografía

Contenido 1, Auditoria Informática, IACC Noviembre 2018