Auditoria de Ciclo de vida de desarrollo de Sistemas

Martin Valdivia
CISA, CISM, CCISO, ISMS-LA, ITIL-F, CLOUD-F, ISO 27002,CISCS
 Objetivo

Asegurar que el participante tenga el

conocimiento para evaluar los procesos de
desarrollo, adquisición, implantación y
mantenimiento de sistemas de modo que
se asegure que se satisfacen los objetivos
de negocio de las organizaciones
.
 Ciclo Tradicional de vida de
desarrollo de software - SDLC

3
 Ciclo de Vida Tradicional
1. Estudio de
Factibilidad

2.
Requerimientos

3a. Diseño
3b. Adquisición
de Software

4a. Desarrollo
4b.
Configuración

5.
Implementación

6. Post-
Implementación

4
 1. Estudio de Factibilidad

• Definir un marco de tiempo para la solución

• Determinar si un sistema existente puede corregir la
situación con poca o sin modificación
• Determinar si un producto de un proveedor ofrece
una solución (RFI)
• Determinar el costo aproximado para desarrollar
• Determinar si la solución encaja en la estrategia del
negocio
• Determinar si es necesario desarrollar o adquirir

5
 2. Análisis de Requerimientos
• Identificar y consultar a los interesados para identificar
sus expectativas
• Analizar los requerimientos para detectar y corregir
conflictos y determinar prioridades
• Identificar los límites del sistema y cómo interactuará el
sistema con su entorno
• Convertir los requerimientos del usuarios en
requerimientos de sistemas
• Registrar los requerimientos en un formato
estructurado
• Verificar que los requerimientos están completos,
consistentes, probables y rastreables
6
 3a.Diseño

•Ocurre después de las fase de

requerimientos
•Especificaciones
•Lenguaje de modelado
•Definición de líneas base

7
 3b.Adquisición de Software

•Ocurre después de las fase de

requerimientos
•RFP
•Temas de discusión con los usuarios
acerca de los proveedores
•Contenido del contrato
•Administración del contrato

8
 4a.Desarrollo

•Codificación

•Métodos y técnicas de programación

•Facilidades de programación en línea

(Ambiente integrado de desarrollo
integrado – IDE)

9
 4b.Configuración

•Configuración del software a las

necesidades

•¿Adecuar el software a la compañía o

adecuar la compañía al software?

10
 Pruebas

•Plan de pruebas
•Ejecución y reporte de los resultados
de pruebas
•Corregir el software con las
excepciones

11
 Clasificación de pruebas
•Prueba unitaria
•Prueba de interfase o de integración
•Prueba del sistema
–Pruebas de recuperación
–Pruebas de seguridad
–Pruebas de estrés/volumen
–Pruebas de volumen
•Pruebas de rendimiento
•Pruebas de aceptación final (UAT)
12
 Otros tipos de prueba
•Alfa y beta
•Piloto
•Caja blanca
•Caja negra
•Función/validación
•Regresión
•Paralela
•Sociabilidad
13
 5. Implementación

• Se establece y se prueba la operación

efectiva del nuevo sistema
• La prueba de aceptación del usuario final
(UAT) se lleva a cabo en este entorno.
• El sistema puede también ir a través de
un proceso de certificación y acreditación
para determinar la efectividad de la
aplicación de negocio para mitigar los
riesgos a un nivel apropiado.
Planeamiento de la implementacion

Etapa 2: Establecer
Etapa 1: Desarrollar
funciones de
el soporte futuro
soporte
• Análisis de • Acuerdo de Nivel
brechas de Servicio
• Definición de • Plan de
funciones implementación /
transferencia de
conocimientos
• Planes de
Entrenamiento

15
Planeamiento de la implementacion

Conversión de Escenario de
datos retorno (rollback)
• Refinando el • En caso de que
escenario de haya que
migración deshacer todo
• Proceso de
soporte de
migración
• Infraestructura
de migración
16
 Pase a Producción Go Live

Cambio Cambio Cambio

paralelo en etapas Abrupto

17
 6. Revisión Post-Implementación

• Evaluar si el sistema es adecuado

• Evaluar los costo/beneficios o el ROI
proyectados
• Elaborar recomendaciones de los aspectos
inadecuados
• Desarrollar un plan de acción para
implementar recomendaciones
• Evaluar el proceso del proyecto de desarrollo

18
 Riesgos del desarrollo

• Riesgo de negocio relativo a la probabilidad

de que el nuevo sistema no satisfaga las
necesidades de negocio, requerimientos y
expectativas de los usuarios.
• Riesgos potenciales que pueden ocurrir
cuando se diseñan y se desarrollan sistemas
aplicativos:
– Dentro del proyecto
– Con los proveedores
– Dentro de la organización
– Con el ambiente exterior