Control Interno Informático

Control Interno Informático Jorge Fernando
Cruz
Contenido:
2.1. Terminología, elementos del control interno. Tipos de control interno
informático.
2.2. Riesgos y amenazas Informáticas. Normas de control Interno

para el área de sistema informáticos
2.3. Estándares, certificación (ISO, COBIT, ITIL)
2.4. Implantación de un sistema de control interno

informático
¿ Qué es el Control Interno?
Control Interno
Es un proceso realizado por una organización para proporcionar un grado
de seguridad razonable respecto al logro de sus objetivos:
• eficacia y eficiencia de las operaciones,
• fiabilidad de la información y
• cumplimiento de las leyes y normas aplicables.

Control Interno
Sistema integrado por el esquema de organización y el

conjunto de los planes, métodos, principios, normas,
procedimientos y mecanismos de verificación y
evaluación, con el fin de procurar que todas las actividades,
operaciones y actuaciones, se realicen de acuerdo con las
normas legales dentro de las políticas trazadas por la
dirección y en atención a las metas u objetivos previstos.
Objetivo del Control Interno en las Empresas
Resguardar los recursos de la empresa o negocio evitando

pérdidas por fraude o negligencia, como así también detectar las
desviaciones que se presenten en la empresa y que puedan afectar
al cumplimiento de los objetivos de la organización.
Objetivo del Control Interno en las Empresas
Importancia del Control
 Aumenten la productividad del

negocio.
 Permitirá alimentar el sistema
de información y ayudar a la
adecuada toma de decisiones.
 Disminuye la ocurrencia de
errores y fraude en la
información
 Generarán un impacto positivo
en su negocio, pudiendo
inclusive atraer a inversionistas
Finalidad del Control
Prevenir, detectar,
Fortalecer el
Coadyudgar el controlar y evaluar Generar una
cumplimiento de Transparentar el
cumplimiento de los riesgos que adecuada
leyes y ejercicio de las
las metas y pueden afectar el rendición de
disposiciones función
objetivos logro de objetivos cuentas
normativas
y metas
¿Quiénes son los responsables del Control
Interno?
Todo el personal:
Estratégico, Directivo y Operativo
El Control Interno debe de convertirse en una parte de la cultura organizacional

¿ Qué es el Control Interno
Informático?
Control Interno Informático
Cualquier actividad o acción realizada manual y/o

automáticamente para prevenir, corregir
errores o irregularidades que puedan afectar al
funcionamiento de un sistema para conseguir sus
objetivos.
(Auditoría Informática -Un Enfoque Práctico –
Mario G. Piattini)
Sistema integrado al proceso administrativo, en la planeación,

organización, dirección y control de las operaciones con el objeto
de asegurar la protección de todos los recursos informáticos y
mejorar los índices de economía, eficiencia y efectividad de los
procesos operativos automatizados.
(Auditoría Informática – Aplicaciones en Producción – José Dagoberto Pinilla)
Controla diariamente que todas las

actividades de los sistemas de información
sean realizadas cumpliendo los
procedimientos, estándares y normas
fijados por la dirección de la organización
y/o la dirección informática, así como los
requerimientos legales.
Control Interno Informático de Sistemas
“ Asegura la confidencialidad,
integridad, disponibilidad y
eficacia de los sistemas
informáticos
“ a través de
mecanismos o actividades de
control.
Beneficios Control Interno Informático
Prevenir errores de operaciones por seguir un control

adecuado en sus actividades;
Previene manipulación fraudulenta de la información
Implementa seguridad en sus operaciones y mantiene la confiabilidad,

oportunidad y veracidad en el procesamiento de la información en dicha
empresa.
Función Departamento Informática
Objetivo
Controlar que todas las actividades

relacionadas a los sistemas de información
automatizados se realicen cumpliendo las
normas, estándares, procedimientos y
disposiciones legales establecidas interna y
externamente
Funciones Específicas
 Difundir y controlar el cumplimiento de las normas, estándares y procedimientos

al personal de programadores, técnicos y operadores.
 Diseñar la estructura del Sistema de Control Interno de la Dirección de
Informática en los siguientes aspectos:
o Desarrollo y mantenimiento del software de aplicación.
o Explotación de servidores principales
o Software de Base
o Redes de Computación
o Seguridad Informática
o Licencias de software
o Relaciones contractuales con terceros
o Cultura de riesgo informático en la organización
o Control interno informático (áreas de aplicación)
o Controles generales organizativos
¿ Cuáles son los objetivos
Control Interno Informático?
OBJETIVOS PRINCIPALES DEL CONTROL
INTERNO INFORMÁTICO
• Controlar que todas las actividades se
realicen cumpliendo los procedimientos y
normas fijados, evaluar su bondad y asegurarse
del cumplimiento de las normas legales.
• Asesorar sobre el conocimiento de las normas.
• Colaborar y apoyar el trabajo de Auditoria

informática, así como de las auditorias externas
al grupo.
• Definir, implantar y ejecutar mecanismos y

controles para comprobar el logro del servicio
informático.
Control Interno Informático – Auditor
Informático
SIMILITUDES
 Personal interno.
 Conocimientos especializados en Tecnología de la Información.
 Verificación del cumplimiento de controles internos, normativa y procedimientos establecidos por la
Dirección de Informática y la Dirección General para los sistemas de información.
DIFERENCIAS
 Análisis de los controles en el día a día.  Análisis de un momento informático determinado

 Informa a la Dirección del Departamento  Informa a la Dirección General de la
de Informática. Organización.
 Sólo personal interno.  Personal interno y/o externo.
 El alcance de sus funciones es únicamente  Tiene cobertura sobre todos los componentes de
sobre el Departamento de Informática. los sistemas de información  de la Organización.
Controles Informáticos
Áreas de Aplicación
 Controles generales organizativos.
 Controles de desarrollo, adquisición y mantenimiento de sistemas

de información.
 Controles de explotación de sistemas de información.
 Controles en aplicaciones.
 Controles en sistemas de gestión de base de datos
 Controles informáticos sobre redes
 Controles sobre computadores y redes de área local

 Controles generales organizativos.

Son la base para la planificación, control y evaluación por
la Dirección General de las actividades del Departamento
de Informática.
 Plan Estratégico de Información realizado por el

Comité de Informática.
 Plan Informático, realizado por el Departamento de
Informática.
 Plan General de Seguridad (física y lógica).
 Plan de Contingencia ante desastres.
 Controles actividades productivas:
• El cumplimiento de procedimientos, normas y controles
dictados.
• Controles sobre la producción diaria.
• Controles sobre la calidad y eficiencia del desarrollo y
mantenimiento del software y del servicio informático.
• Controles en las redes de comunicación
• Controles sobre el software de base
• Controles en los sistemas microinformáticos
• La seguridad informática
• Usuarios, responsables, perfiles , archivos, base de datos
• Normas de seguridad. Control información clasificada.
• Control dual de la seguridad informática
• Asesorar y trasmitir cultura sobre el riesgo informático
Controles internos en un Sistema de
Información (SI)
Estos deben permitir alcanzar la eficiencia del
sistema económico e integridad de los datos,
protección de los recursos y cumplimiento de las
leyes y regulaciones.
• Metodología del ciclo de vida para el desarrollo de
sistemas.
• Explotación y mantenimiento
Tipos de Controles Internos
Informático
Tipos de control interno informático:
Según el ambiente informático

• Controles manuales
• Controles automáticos
Según su finalidad
• Controles preventivos
• Controles detectivos
• Controles correctivos
• Controles lógicos
• Controles físicos
TIPOS DE CONTROLES
Controles Manuales
• Aquellos que son ejecutados por
usuarios o el personal informática sin la
utilización de herramientas
computacionales
Controles Automáticos
• Son generalmente los incorporados en el
software, llámese estos de operación,
de comunicación, de gestión de base de
datos, programas de aplicación, etc.
Tipos de Controles Informáticos
Controles Preventivos
• Tratar de evitar o prevenir una acción
• Ejemplo: Software de seguridad evita los accesos no autorizados.
Controles Detectivos
• Cuando fallan los preventivos para tratar de conocer antes el
evento.
• Ejemplo: Registro de intentos de acceso no autorizado
Controles Correctivos
• Facilitan la vuelta a la normalidad cuando se han producido fallas
• Ejemplo: Recuperación de una archivo dañado a partir de las
copias de seguridad.
Tipos de Controles Informáticos
Controles Lógicos
• Basados en un software o parte de él
• Permiten, identificar los usuarios de ciertos datos y/o recursos. Hacer una
clasificación de tipos de usuarios y sus objetivos de acceso a los sistemas.
• Restringir el acceso a datos y recursos de los sistemas. Establecer los
permisos por tipo de usuario
• Producir pistas para posterior auditorías. Todos los movimientos hechos por
los usuarios deben ser registrados y guardados a modo de historia de lo que
ocurrió.
Controles Físicos
• Controles y mecanismos de seguridad dentro y alrededor de centros de
cómputo.
• Medios de acceso remoto implementados para proteger el hardware y
medios de almacenamiento de datos.
Ejemplos controles:
¿ Elementos Control Interno
Informático?
Elementos del Control Interno
Entrada de
Organización Análisis y datos, Seguridad del
Operación de
del área de desarrollo de procesamient área de
sistemas
informática sistemas o y salida de sistemas
información
Elementos del Control Interno
Recopilación de
Establecimiento Comparación y
los resultados Retroalimentaci
de estándares y evaluación de
obtenidos y ón a los planes
mecanismos de los resultados
análisis de la y programas
medición alcanzados
información
Elementos del control interno
De organización área informática

• Dirección
• Coordinación
• Asignación de responsabilidades
De procedimientos
• Planeación y sistematización
• Registros y formas
• Informes
De personal
• Entrenamiento
• Eficiencia y eficacia
• Moralidad
• Retribución
De supervisión
• Revisión para precisar
• Pérdidas y deficiencias
• Mejores métodos
• Mejores formas de control
• Operaciones más eficientes
• Mejor uso de los recursos físicos y
humanos
Elementos del control interno: ÁREA DE
SISTEMAS
Seguridad en el área
de sistemas
Procedimientos de
entrada,
Análisis, desarrollo e procesamiento y
implementación de resultados
Sobre la organización sistemas
del área de
informática
Controles para manejar la seguridad de los
Sistemas:
Control de acceso físico del personal al
área de computo
Control de acceso al Sistema a las

bases de datos, a los programas y a la
Identificación de riesgos. Elaboración información
de planes de contingencia, simulacros
bitácoras de seguimiento Controles para
prevenir y
evitar
amenazas,
riesgos y Uso de niveles de privilegios para
contingencias acceso, de control de palabras y
control de usuarios
Existencia de manuales e instructivos,

así como difusión y vigilancia de
cumplimiento Monitoreo de acceso de usuarios,
información y programas de uso
Sistemas:
Controles para el seguimiento de las Controles

secuencias y rutinas lógicas del
sistemas
para la
seguridad
lógica de los Controles para el acceso al Sistema a
sistemas los programas y la información
Palabras claves de acceso
Establecimiento de niveles de acceso
Dígitos verificadores y cifras de

control
Controles para manejar la seguridad de los Sistemas:
Operación Sistemas computacionales
Controles para los procedimientos de

operación
Controles para el mantenimiento del

sistema
Controles para el procesamiento de

información
Controles para el almacenamiento de la

información
Controles para la emisión de resultados

Sistemas:
Inventario de hardware, mobiliario y

equipos.
Controles de acceso del personal al área
de sistemas
Resguardo del equipo de cómputo
Controles para
la seguridad
Control del mantenimiento a
del área física
instalaciones y construcciones
de sistemas
Contratos de actualización, asesoría y

mantenimiento de hardware
Seguros y fianzas para el personal,

equipos y sistemas
Sistemas: Base de Datos
Rutinas de monitoreo y evaluación de

operaciones relacionadas con las Base de Controles
datos
para la
seguridad
Programas de protección para impedir el
uso inadecuado y la alteración de datos de
uso exclusivo
Controles de acceso a las bases de datos
Respaldo periódico de la información
Planes y programas para prevenir

contingencias y recuperación de datos
Sistemas: Redes y multiusuarios
Controles para evitar modificar la

configuración de una red
Controles parra el mantenimiento y

evaluación
Implementar herramientas de gestión de la

red con el fin de valorar su rendimiento,
lanificación y control
Controles para asegurar la compatibilidad de
un conjunto de datos entre aplicaciones
cuando la red es distribuida
Existencia de un grupo de control de red

Sistemas:
 Controles administrativos del personal

 Planes y programas de capacitación
 Seguros y fianzas para el personal de
sistemas
Controles de seguridad
del personal de
informática
 Verificación de protocolos de comunicación, Controles de seguridad

contraseñas. Y medios controlados de en Telecomunicaciones
transmisión de datos
 Adopción de medidas de verificación de
trasmisión
Riesgos Informáticos
Riesgos de la información
Terminología:
• Riesgo: Es todo tipo de vulnerabilidades, amenazas que
pueden ocurrir sin previo aviso y producir numerosas pérdidas
para las empresas.
• Riesgo Informático: Son exposiciones tales como atentados y

amenazas a los sistemas de información.
• Amenaza: Un incidente nuevo o recién descubierto que tiene

el potencial de dañar un sistema o una empresa en general.
• Vulnerabilidad: Es una debilidad o fallo en un sistema de

información que pone en riesgo la seguridad de la
información, pudiendo comprometer la integridad,
disponibilidad o confidencialidad de la misma
Terminología:
• Seguridad: Es una forma de protección contra los riesgos.
• Información: Se refiere a los datos que han sido procesados

y comunicados de tal manera que pueden ser entendidos e
interpretados por el receptor.
• Control: Medidas, normas y procedimientos que se

disponen para proteger los recursos contra las amenazas a
que están expuestos y contra los riesgos que éstas podrían
generar.
Tipos de Amenazas:
A) Amenazas B) Amenazas
Humanas lógicas
Software malicioso
Hackers: Ataques Vulnerabilidades Software
pasivos
Obtener
información sin
alterarla
C) Amenazas
Crackers: Ataques físicas
activos
Dañar y manipular Fallos dispositivos
información Accidentes
Catástrofes
naturales
Riesgo Informático
En la actualidad gracias a la infinidad de posibilidades que se tiene

para tener acceso a los recursos de manera remota y al gran
incremento en las conexiones a la internet los delitos en el ámbito de
TI se han visto incrementado, bajo estas circunstancias los riesgos
informáticos son más latentes.
Venta de Destrucción de
Fraudes. Falsificación.
información. la información.
Riesgos Sistema Informático
Conjunto de factores que ponen en peligro la integridad, la

operatividad o la privacidad de la operación.
Clasificación según su origen:
• Ruido • Códigos • Factores de • Sabotaje

• maliciosos organización • Robo
Temperatura • Efectos adversos
• Presión • Piratería desarrollo,
• Iluminación • Spam adquisición y
• Ingeniería social mantenimiento
Físicos Lógicos Técnicos Humanos

Riesgos de la Seguridad de la Información
Para poder garantizar la SEGURIDAD DE LA INFORMACIÓN de

una empresa hace falta que se CUMPLAN LOS PRINCIPIOS
conocidos como “triada CID”
• Impide que la información sea divulgada a personas,

entidades o sistemas no autorizados
Confidencialidad • Acceder aquellas personas que cuenten con la debida
autorización y de forma controlada.
• Busca proteger la exactitud de la información, evitar que

sufra modificaciones no autorizadas.
Integridad
• Garantiza que la información sea accesible y usable bajo

demanda de un usuario autorizado
Disponibilidad • Disponible en todo momento, evitando interrupciones del
servicio por cortes de electricidad, fallos de hardware, etc.
Riesgos de la Seguridad de la Información
Permiso de administrador en el ordenador
Correos maliciosos o no deseados
No realizar copias de seguridad
Buen uso de las contraseñas
Uso de aplicaciones de almacenamiento on-line

Riesgos para la información
HACKER
CRACKER
LAMMER
COPYHACKER
BUCANEROS
PHREAKER
NEWBIE
Seguridad informática – Seguridad de la
Información
SEGURIDAD DE LA INFORMACIÓN son
todas aquellas medidas preventivas y reactivas
del hombre, de las organizaciones y de los
sistemas tecnológicos que permitan resguardar
y proteger la información buscando mantener la
confidencialidad, la autenticidad e integridad
de la misma.
El concepto de SEGURIDAD DE LA
INFORMACIÓN no debe ser confundido con el
de SEGURIDAD INFORMÁTICA, ya que este
último sólo se encarga de la seguridad en el
medio informático, pudiendo encontrar
información en diferentes medios o formas.
Centro de Computo
Riesgos
Centro de cómputo
Representa una entidad dentro de la organización, la cual tiene

como OBJETIVO satisfacer las necesidades de información de
la empresa, de manera veraz y oportuna.
Su FUNCIÓN primordial es apoyar la labor administrativa

para hacerla más segura, fluida, y así simplificarla.
Riesgos en el centro de cómputo
Factores físicos:
 Cableado.
 La iluminación
 El aire de renovación o
ventilación
 Las fuentes de alimentación
Riesgos en el centro de cómputo
Factores ambientales:
 Incendios.
 Inundaciones.
 Sismos.
 Humedad
RIESGOS EN EL CENTRO DE CÓMPUTO
Factores humanos
 Robos.
 Actos vandálicos.
 Actos vandálicos contra el sistema de red
 Fraude.
 Sabotaje.
 Terrorismo
Fases para el análisis del Riesgo
El manejo de riesgos
El manejo de riesgos dentro de la
seguridad en la información
• Comprometerse a no realizar la acción que origine elriesgo
Evitar • Técnica tiene más desventajas que ventajas
• La empresa podría abstenerse de aprovechar muchas
oportunidades
Reducir
• La alternativa puede ser su reducción hasta el nivel más bajo
posible
• Se consigue optimizando los procedimientos, la
implementación controles y su monitoreo constante
• La voluntaria se caracteriza por el reconocimiento de la existencia
Aceptar del riesgo y el acuerdo de asumir las perdidas involucradas, esta

decisión se da por falta de alternativas
• La retención involuntaria se da cuando el riesgo es
retenido inconscientemente.
• Buscar un respaldo y compartir el riego con otros controles o
Transferir entidades.
• Esta técnica se usa ya sea para eliminar un riego de un lugar y
transferirlo aotro, o para minimizar el mismo, compartiéndolo
con otras entidades.
Metodologías que ayudan en el proceso
de revisión de riesgos informáticos
Metodología:
Evaluación que se basa en riesgos y planeación técnica de seguridad computacional.
Octave
Es un proceso interno de la organización, significa que las personas de la empresa tienen la
responsabilidad de establecer la estrategia de seguridad
La evaluación se basa en el conocimiento del personal de la empresa para capturar el estado actual
de la seguridad
Está dirigida a riesgos organizacionales y está enfocada en temas estratégicos relacionados con la
práctica, es flexible y puede aplicarse a la medida para la mayoría de las organizaciones
El equipo de análisis, integrado por personas de los departamentos de TI, de negocios, etc., lleva a
cabo la evaluación,
Metodología y gobierno de la gestión de riesgo de TI

Metodología:
La CSAE (Consejo Superior de Administración Electrónica) promueve la utilización de esta metodología

Magerit como respuesta a la creciente dependencia de las empresas para lograr sus objetivos de servicio.
Se conocerá el nivel de riesgo actual de los activos
Se podrá mejorar las aplicaciones de salvaguardas y se podrá conocer el riesgo reducido o residual.
Ciertos riesgos que deben minimizarse con medidas de seguridad que garanticen la autenticación,
confidencialidad, integridad y disponibilidad de los sistemas de información.
Las fases que contempla el modelo MAGERIT son: 1. Planificación del Proyecto; 2. Análisis de Riesgos;
3. Gestión de Riesgos :
MAGERIT: metodología práctica para gestionar riesgos

Evidencias
Evidencia
• La evidencia es la base razonable de la
opinión del auditor informático, es decir el
informe de Auditoria Informática.
• El auditor obtendrá la certeza suficiente y

apropiada a través de la ejecución de sus
comprobaciones de procedimientos para
permitirle emitir las conclusiones sobre las
que fundamentar su opinión acerca del
estado del sistema de Informático.
Calificativos de las evidencias
La Evidencia Relevante
La Evidencia Fiable
La Evidencia Suficiente
La Evidencia Adecuada
Métodos para la obtención de evidencias
INSPECCIÓN
OBSERVACIÓ
PREGUNTAS
CONFIRMACIÓN
CÁLCULOS
Métodos de evaluación del control interno
informático
Descripciones
Narrativas
Cuestionarios Diagramas de
especializados flujo
Pruebas sustantivas – Pruebas cumplimiento
Pruebas sustantivas
Verifican el grado de confiabilidad del SI del organismo.
Se suelen obtener mediante observación, cálculos,
muestreos, entrevistas, técnicas de examen analítico,
revisiones y conciliaciones. Verifican asimismo la
exactitud, integridad y validez de la información.
Pruebas cumplimiento
Verifican el grado de cumplimiento de lo revelado
mediante el análisis de la muestra. Proporciona
evidencias de que los controles claves existen y que son
aplicables efectiva y uniformemente.
Estándares, certificación: ISO,
COBIT e ITIL
ISO
Corresponde al acrónimo
International Standard
Organization. Son normas y
estándares internacionales diseñados
para ser aplicadas en el desarrollo de
productos y servicios que deben usar
las empresas para mejorar su
eficiencia y rentabilidad económica.
ISO más DESTACADAS
ISO 9000 ISO 22000

calidad Seguridad y salud
ISO
ISO 31000 ISO 20000

Gestión de Riesgos Tecnologías de laa
Información
Pros y Contra normas ISO – departamento IT
COBIT
COBIT corresponde a las siglas en inglés

Control Objectives for Information and
related Technology. Son un conjunto de
herramientas orientadas a garantizar el
control y seguimiento de gobernabilidad
de Sistemas de Información a largo plazo
a través de auditorías.
Cobit 5 está enfocado en el gobierno

empresarial de las tecnologías de
información, a diferencia de su antecesor,
enfocado principalmente al gobierno de TI
COBIT 5 - ¿Qué integra?
Integra: Val IT, Risk IT, BMIS (Business

Model for Information Security) e ITA (IT
Assurance Framework), desarrollados y
publicados por ISACA.
Además de considerar para sus procesos
otros estándares internacionales, mejores
prácticas y marcos de referencia como
COSO, ISO-9000, ISO-31000, ISO-38500,
ITIL, TOGAF y la familia ISO-27000, entre
otros.
COBIT 5 – Áreas que presentan cambios
Dominio “Evaluar, dirigir y

Cinco Principios monitorear”.
Modelo de referencia de
procesos Modelo de madures de
procesos
COBIT 5 - DOMINIOS y PROCESOS
Evaluar, Dirigir y Monitorear: Dominio de gobierno de TI – (EDM)
Alinear, Planear y Organizar – Construir, Adquirir e Implementar

(APO) – (BAI)
Busca cómo hacer el mejor uso de Define, adquiere, ajusta e implementa

las tecnologías para que la las tecnologías necesarias en línea con
empresa logre sus objetivos. los procesos de negocios de la empresa
COBIT está
estructurado según 37 Entrega, Dar Servicio y Monitorear, Evaluar y Valorar
Soporte – (DSS) – (MEA)
procesos agrupados en
estos 5 dominios Garantiza la efectividad y Vigila que la solución
eficiencia de los sistemas implementada corresponda a las
tecnológicos en acción. necesidades de la empresa desde
una perspectiva estratégica.
MODELO COBIT 5 – DOMINIOS y OBJETIVOS
COBIT 5: Dominios de Gobierno
Evaluar, Orientar y Supervisar

(EDM)
EDM01.
Asegurar el
EDM05.
establecimiento EDM02. EDM03. EDM04.
Asegurar la
y Asegurar la Asegurar la Asegurar la
transparencia
mantenimiento entrega de optimización del optimización de
hacia las partes
del marco de beneficios riesgo recursos
interesadas
referencia de
gobierno
COBIT 5: Dominios para la Gestión TI
Alinear, Planear y Organizar

(APO)
APO01. Gestionar APO03. Gestionar

APO02. Gestionar APO04. Gestionar APO05. Gestionar
el Marco de la Arquitectura
la Estrategia la Innovación el Portafolio
Gestión de TI: Empresarial

(APO)
APO07.
APO06 Gestionar AP009. Gestionar
Gestionar los AP008. Gestionar
el Presupuesto y los acuerdos de
Recursos las relaciones
los Costes servicio
Humanos

(APO)
APO10.
Gestionar APO11. APO12 APO13.
los Gestionar la Gestionar el Gestionar la
Proveedore Calidad Riesgo Seguridad
s
Construir, Adquirir e
Implementar (BAI)
BAI03.
BAI04. BAI05.
BAI01. BAI02. Gestionar la
Gestionar la Gestionar la
Gestión de Gestionar la Identificación
Disponibilida Facilitación
Programas y Definición de y
d y la del Cambio
Proyectos Requisitos Construcción
Capacidad Organizativo
de Soluciones
Implementar (BAI)
BAI03.
BAI04. BAI05.
BAI01. BAI02. Gestionar la
Gestionar la Gestionar la
Gestión de Gestionar la Identificación
Disponibilida Facilitación
Programas y Definición de y
d y la del Cambio
Proyectos Requisitos Construcción
Capacidad Organizativo
de Soluciones
Implementar (BAI)
BAI07.
BAI06. Gestionar la BAI08. BAI09. BAI10.
Gestionar los Aceptación Gestionar el Gestionar los Gestionar la
Cambios del Cambio y Conocimiento Activos Configuración
la Transición
Entregar, Dar Servicio y Soporte

(DSS)
DSS02. Gestionar
DSS01. Gestionar DSS03. Gestionar
Peticiones e Incidentes
Operaciones Problemas
de Servicio
Entregar, Dar Servicio y Soporte

(DSS)
DSS06. Gestionar
DSS04. Gestionar la DSS05. Gestionar
Controles de Proceso de
Continuidad Servicios de Seguridad
Negocio
Supervisar, Evaluar y Valorar

(MEA)
MEA01. Supervisar, MEA02. Supervisar, MEA03. Supervisar,

Evaluar y Valorar el Evaluar y Valorar el Evaluar y Valorar la
Rendimiento y la Sistema de Control Conformidad con los
Conformidad Interno Requerimientos Externos
Pros y Contra normas COBIT
COBIT 2019 — EL NUEVO MODELO DE GOBIERNO
EMPRESARIAL PARA INFORMACIÓN Y
TECNOLOGÍA
Dar un clic para ir a la información
ITIL
Corresponde a las siglas en inglés Information

Technology Infrastructure Library – Biblioteca
de Infraestructura de Tecnología de la Información.
Es una colección de mejores prácticas para la
administración efectiva de los Sistemas de
Información (SI).
ITIL V3, esta versión se concentra en el ciclo de

vida de un sistema centrado en la red y que luego
abarcará la integración de TI con la alineación de
TI ya que se busca una medición que vaya
orientada al valor.
ITIL V3 – Consta de 6 libros
Introducción a la Estrategia de
Diseño de Servicio
Gestión de Servicio Servicio
Servicio de Servicio continuo

Operación de
Transición (Gestión (Mejora Continua
Servicio
del Cambio) de Servicios
Pros y Contra normas ITIL
Parámetros para elegir ISO – COBIT e ITIL
¿ En qué consiste un Sistema de
Control Interno Informático?
Sistema de Control Interno Informático
¿Qué es? Conjunto de planes, principios,

normas, procedimientos,
sistemas de información,
acciones y actividades.
SCI ¿Cómo funciona?

¿Qué busca?
Alcanzar los objetivos

institucionales de manera eficaz De manera independiente e
y eficiente en cada uno de sus interrelacionada
dependencias o áreas.
Sistema de Control Interno
ES EL CONJUNTO de acciones,
actividades, planes, políticas,
normas, registros,
procedimientos y métodos,
incluido el entorno y actividades
que desarrollan autoridades y su
personal a cargo, CON EL
OBJETIVO de prevenir posibles
RIESGOS que afecten a una
entidad.
Objetivos principales Sistema Control Interno
Controlar todas
las actividades
Asesorar
Colaborar y
apoyar
Definir, implantar
y ejecutar
Beneficios del Control Interno Informático
Componentes Sistema de Control Interno
Componentes – Principios: Sistema de
Control Interno
Componentes – Cobit: Sistema de Control
Interno
Áreas focales del Gobierno de TI
Cobit
Asegura que tanto los procesos de negocios Asegurando que sea tan eficiente y eficaz
como los de tecnología de la información como sea posible.
trabajen en conjunto.
Uso de indicadores que van mucho

más allá de los criterios financieros,
asegura la medición y la evaluación Visualice ampliamente los posibles
precisa de los resultados del riesgos para el negocio y suministra
negocio. formas de minimizarlos.
Asegurar que la gestión de los recursos

humanos y tecnológicos de la empresa
sea lo más optimizada posible.
Implantación de un sistema de
controles interno informático
Funcionamiento del control interno
informático
DIRECCIÓN POLÍTICAS Y
Exigencias DIRECTRICES POLÍTICA
Internas
y
externas
ESTÁNDARES,
PROCEDIMIENTO
, NORMAS Y
COMPROBACIÓN METODOLOGÍAS
Y SEGUIMIENTO CULTURA
DE CONTROLES
IMPLANTAR
PROCEDIMIENTO
S DE CONTROL
Niveles de Control
Esquema Niveles de Control
Normativa Estándares, Políticas
Organización Funciones, procedimientos y planes
Procedimientos de Informática de usuario

control
Hardware y Software
Tecnología de seguridad
Aplicación de los controles internos en la
gestión de SI
Controles en Controles Controles sobre

sistemas gestión informáticos sobre computadores
BD redes y redes LAN
• Garantizar • Diseño • Políticas
entrada, • Instalación de
actualización y • Mantenimiento adquisición
salida, validez • • Instalación
Seguridad
y • Soporte
mantenimiento • Funcionamiento
Técnico tanto
• Integridad Hw como del
• Disponibilidad Sw usuario
• Seguridad • Seguridad datos
Implantación de un sistema de controles
internos informáticos
Gestión de sistemas de información

• Políticas, pautas y normas técnicas
• Base para el diseño y la implantación SI y controles
Administración de sistemas
• Controles de la actividad de centros de datos
• Otras funciones de apoyo (administración de las redes)
Seguridad
• 3 clases de controles implantadas en el software
• Integridad, confidencialidad y disponibilidad
Gestión del cambio

• Separación de las privas y la productividad a nivel de software.
• Controles de procedimientos para la migración de programas
Implantación de un sistema de controles
internos informáticos
EJEMPLO:
Para llega a conocer la configuración del sistema es necesario documentar los

detalles de la red:
• Entorno de red
• Configuración del ordenador base
• Entorno de la aplicación
• Productos y herramientas
• Seguridad del ordenador base
Implementación del SCI Informático
Fase: Planificación
Ejecución
Fase: Evaluación
Bibliografía
Piattinni, G. M &Peso del E.Auditoría Informática. Un enfoque práctico.

Alfaomega
Echenique G. J.A.(2001). Auditoría en Informática.2da.Ed.Mc Graw-Hil

Control Interno Informático

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Control Interno Informático

Cargado por

Copyright:

Formatos disponibles

Control Interno Informático Jorge Fernando

2.2. Riesgos y amenazas Informáticas. Normas de control Interno

2.3. Estándares, certificación (ISO, COBIT, ITIL)

2.4. Implantación de un sistema de control interno

• eficacia y eficiencia de las operaciones,

• cumplimiento de las leyes y normas aplicables.

Sistema integrado por el esquema de organización y el

Resguardar los recursos de la empresa o negocio evitando

 Aumenten la productividad del

El Control Interno debe de convertirse en una parte de la cultura organizacional

Cualquier actividad o acción realizada manual y/o

Sistema integrado al proceso administrativo, en la planeación,

Controla diariamente que todas las

Prevenir errores de operaciones por seguir un control

Previene manipulación fraudulenta de la información

Implementa seguridad en sus operaciones y mantiene la confiabilidad,

Controlar que todas las actividades

 Difundir y controlar el cumplimiento de las normas, estándares y procedimientos

• Asesorar sobre el conocimiento de las normas.

• Colaborar y apoyar el trabajo de Auditoria

• Definir, implantar y ejecutar mecanismos y

 Análisis de los controles en el día a día.  Análisis de un momento informático determinado

 Controles generales organizativos.

 Controles de desarrollo, adquisición y mantenimiento de sistemas

 Controles en sistemas de gestión de base de datos

 Controles informáticos sobre redes

 Controles sobre computadores y redes de área local

 Controles generales organizativos.

 Plan Estratégico de Información realizado por el

Según el ambiente informático

De organización área informática

Control de acceso al Sistema a las

Existencia de manuales e instructivos,

Controles para el seguimiento de las Controles

Palabras claves de acceso

Establecimiento de niveles de acceso

Dígitos verificadores y cifras de

Controles para los procedimientos de

Controles para el mantenimiento del

Controles para el procesamiento de

Controles para el almacenamiento de la

Controles para la emisión de resultados

Inventario de hardware, mobiliario y

Resguardo del equipo de cómputo

Contratos de actualización, asesoría y

Seguros y fianzas para el personal,

Rutinas de monitoreo y evaluación de

Controles de acceso a las bases de datos

Respaldo periódico de la información

Planes y programas para prevenir

Controles para evitar modificar la

Controles parra el mantenimiento y

Implementar herramientas de gestión de la

Existencia de un grupo de control de red

 Controles administrativos del personal

 Verificación de protocolos de comunicación, Controles de seguridad

• Riesgo Informático: Son exposiciones tales como atentados y

• Amenaza: Un incidente nuevo o recién descubierto que tiene

• Vulnerabilidad: Es una debilidad o fallo en un sistema de

• Seguridad: Es una forma de protección contra los riesgos.

• Información: Se refiere a los datos que han sido procesados

• Control: Medidas, normas y procedimientos que se

En la actualidad gracias a la infinidad de posibilidades que se tiene

Conjunto de factores que ponen en peligro la integridad, la