CLASE 2

PROCESO DE AUDITORÍA DE
SISTEMAS
M.A. INGENIERA BRENDA AMARILIS GRAMAJO GONZÁLEZ
bgramajog3@miumg.edu.gt

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 AGENDA
✓ Proceso de auditoría.
✓ Programa de auditoría.
✓ Plan Do Check Act.
✓ Definición de controles internos. (establecer la
frontera tecnológica y de negocio)
✓ Aporte de la Auditoría de Sistemas al negocio en
función de Optimizar la gestión de TI, Elevar el nivel
de madurez de los procesos, cierre de brechas entre
IT/Negocio, Detección de Fraudes.
✓ Auditoría Remota y su entrega de valor.
✓ Auditoría Ágil.
✓ Auditoría de la computación en la nube.

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

PROCESO DE AUDITORIA DE SISTEMAS

¿Qué es el Proceso de Auditoria

de Sistemas?
✓Reunir evidencia
✓Evaluar las fortalezas
✓Evaluar las debilidades
✓Elaboración de un informe
Objetivo de gerencia

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 Obtener información general sobre la
organización.

¿QUÉ SE Objetivos de la auditoria a corto, mediano

y largo plazo.
TOMA EN
CUENTA EN
Tener recursos materiales y técnicos.

UNA Conocimiento del Negocio.

AUDITORÍA?
Conocimiento de los sistemas de la
organización.

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 VISIÓN GLOBAL DE LA AUDITORIA

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 PROCESO
DE
AUDITORÍA

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 • Fase 1: Iniciación/Inicio del Proyecto
FASES DE • Fase 2: Planificación/Organización y Preparación
LA • Fase 3: Ejecución/Realización de la Obra
AUDITORÍA
• Fase 4: Cierre/Finalización del proyecto

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

PROGRAMA DE AUDITORÍA DE SISTEMAS

Recursos:
✓ Humanos
✓ Físicos
✓ Tecnológicos

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 PLAN DO CHECK ACT

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 PLAN
Verificar los objetivos de negocio

Identificar el propósito de la auditoria de sistemas

Impacto que va tener la auditoria de sistemas

Alcance identificar las conclusiones y recomendación

Recursos técnicos a utilizar

Elaboración de cronograma de actividades con fechas

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 DO (HACER)

Uso de las
Entrevistas y Identificar el uso de
metodología Desarrollo de guías
antecedentes de la políticas,
estándar de de evaluación
organización procedimientos
auditoria de sistemas

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 CHECK (verificar)

Evaluación de herramientas

Verificación de análisis de información

Documentación de los hallazgos

Dictamen auditoria de sistemas

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 ACT (Actuar)

Completar informe de • Hallazgos

auditoría de sistemas • Conclusiones
• Recomendaciones

• Resultado de la auditoria
Comunicar • Aceptar y resolver los hallazgos

• Bitácora de acciones a tomar

Registrar • Fechas de cumplimiento

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 CONTROLES INTERNOS
Confidencialidad

Integridad

Disponibilidad

Seguridad de los procesos

Asegurar la eficacia

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 TIPOS DE CONTROLES

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 ✓Un buen sistema no
garantiza el fraude.
LIMITACIONES
✓Requiere de programas d
EN CONTROL prevención.
INTERNO
✓Los riesgos no son únicos
ni estáticos.

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 ENFOQUE DE RIESGOS

Identificar Objetivos
Organizacionales

Plan de
Inventariar Activos de
Mitigación/Tratamiento
Información
del Riesgo

Realizar Evaluación de
Riesgos

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 CICLO DE RIESGO

ACTOR TIPO DE AMENAZA EVENTO ACTIVO/RECURSO TIEMPO

• Interno • Ataque malicioso • Revelación • Personas y • Duración

• Externo • Accidente • Interrupción habilidades • Momento en que
• Error • Modificación • Estructuras ocurre el evento
• Falla • Robo organizativas • Detección
• Eventos naturales • Destrucción • Proceso • Desfase temporal
• Requisito Externo • Diseño erróneo • Infraestructura
(instalaciones)
• Ejecución errónea
• Infraestructura de
• Normas y
TI
regulaciones
• Información
• Uso inapropiado
• Aplicaciones

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

AUDITORÍA
REMOTA

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 PROCESO DE AUDITORÍA ÁGIL

Fuente: Ilustrado por Carmen Catlin. Adaptado de Scrum Alliance de Scrum de un

vistazo (2020)
Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala
AUDITORÍA
PARA
PROCESOS
EN LA NUBE

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 ✓ Comprender el alcance del entorno de computación en la nube
DESAFÍOS ✓ ¿Utiliza la misma matriz para nubes públicas que para
AUDITORÍA nubes privadas? (interno vs externo)
EN LA NUBE ✓ El concepto de perímetro en un entorno multiinquilino ya
no tiene sentido
✓ ¿Dónde comienza y termina la nube?
✓ ¿Puede su evaluación de riesgos actual capturar los riesgos
correctamente?
✓ Selección de muestras
✓ ¿Cuál es la población universal de la cual tomar una
muestra?
✓ ¿Cuál sería su metodología de selección de muestras en un
entorno muy dinámico?
✓ Una instantánea en el tiempo puede depender de si se
trata de un punto máximo alto o bajo en el tiempo
✓ Pistas de auditoría

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 FUENTES DE INFORMACIÓN

✓ Estévez, C. (5 de Junio de 2012). Macro. Obtenido de Macro Auditoria de sistemas:

http://www.iuai.org.uy/uploads/presentaciones/jornadas/7/Carmen%20Estevez.%20El%20rol%20del%20AI%20en%20la%20eval
uacion%20del%20reisgo%20de%20fraude%20interno.pdf
✓ Auditoria en Informática CUN. (23 de Julio de 2015). Obtenido de
https://sites.google.com/site/auditoriaeninformaticacun/planeacion/investigacion-preliminar
✓ Europa INTERNATIONAL. (01 de Mayo de 2015). https://ec.europa.eu/europeaid/node/44367_en. Obtenido de
https://ec.europa.eu/europeaid/node/44367_en: https://ec.europa.eu/europeaid/node/44367_en
✓ Auditoria de Sistemas . (6 de Mayo de 2016). Auditoria de sistemas blog spot. Obtenido de Auditoria de sistemas blogspot:
http://auditordesistemas.blogspot.com/2012/02/memorando-de-planeacion-auditoria.html
✓ Auditoria de Sistemas 014. (6 de Julio de 2014). Auditoria de los sistemas de información. Obtenido de Auditoria de los sistemas
de información: https://auditoriadesistemas2014.wordpress.com/
✓ MAINARDI, Robert L. Beyond Audit: Auditing Remotely and Delivering Value. 2021
✓ CATLIN,Raven and WATKINS, Ceciliana. Agile Auditing: Fundamentals and Applications. 2021

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 PRÁTICA No. 2 – (GRUPAL)
INSTRUCCIONES:
Deberán leer el documento denominado:” PRÁCTICA 2-AUDITORÍA
INFÓRMATICA Y APLICACIÓN A UN CASO EN UNA EMPRESA REAL y realizar un
cuadro sinóptico, de los siguientes puntos: 4.1, 4.2 y 4.3

Asimismo, realizar una presentación en Power Point o formato similar, la misma

debe contener una caratula que describa el número de grupo, número de
carné de los integrantes, nombres completos, fecha de entrega y número de
práctica. Es imprescindible que deje evidencia de las referencias
documentales que utilizó para esta práctica.
La presentación se realizará en grupo en la tercera hora de la clase. (13:00
horas), y no debe durar más de 6 minutos. (todos deben participar)
El documento final deberá estar en formato PDF, grabado e identificado
solamente con el número de grupo, el mismo deberá ser subido a la
plataforma de CANVAS en la tarea denominada: ENTREGA DE PRÁCTICA 2 –
28/01/2023, hasta las 15:00 horas.

Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala

 TAREA No. 2 – (GRUPAL)

Deberán leer el documento denominado:” TAREA 2 - AUDITORÍA

INFÓRMATICA Y APLICACIÓN A UN CASO EN UNA EMPRESA REAL y
realizar un resumen que contenga lo más relevante para cada
integrante del grupo. (el número de hojas a entregar queda a su
discreción)

El documento final deberá contar con caratula, conteniendo el

número de grupo, número de carné de los integrantes y nombres
completos, fecha de entrega y número de tarea.

El documento final deberá estar en formato PDF, grabado e

identificado solamente con el número de grupo, el mismo deberá
ser subido a la plataforma de CANVAS en la tarea denominada:
ENTREGA DE TAREA 2 – 28/01/2023, hasta las 23:59 horas.
Maestría en Seguridad Informática – Universidad Mariano Gálvez de Guatemala