Auditoría Informática

Controles y las Medidas de

Revisión Seguridad que se Aplican Evaluación
a los Recursos de un
Sistema de Información
Auditoría Informática
Objetivos
• Presentar recomendaciones en función
de las fallas detectadas.
• Determinar si la información que brindan
los Sistemas de Informáticos es útil.
• Inspeccionar el Desarrollo de los Nuevos
Sistemas.
• Verificar que se cumplan las normas y
políticas de los procedimientos.
Auditoría Informática

Tipos

Interna: Aplicada con el personal que labora

en la empresa.

Externa: Se contrata a una firma especiali-

zada para realizar la misma.
Auditoría Informática Externa

Las empresas recurren a la auditoría externa

cuando existen:
• Síntomas de Descoordinación
• Síntomas de Debilidades Económicas
• Síntomas de Mala Imagen
• Síntomas de Inseguridad
Aspectos Fundamentales
en la
Auditoría de los
Sistemas de Información
Auditoría Informática de Desarrollo de
Aplicaciones

Cada una de las fases del desarrollo de las

nuevas aplicaciones informáticas deben ser
sometidas a un minucioso control, a fin de
evitar un aumento significativo de los
costos, así como también insatisfacción de
los usuarios.
Auditoría de los Datos de Entrada
Se analizará la captura de la información en soporte
compatible con los Sistemas, el cumplimiento de
plazos y calendarios de tratamientos y entrega de
datos; la correcta transmisión de datos entre
entornos diferentes. Se verificará que los controles
de integridad y calidad de datos se realizan de
acuerdo a las Normas
establecidas.
Auditoría Informática de Sistemas

Se audita:
•Sistema Operativo: Verificar si la versión instalada
permite el total funcionamiento del software que
sobre ella se instala, si no es así determinar la
causa
•Software de Aplicación: Determinar el uso de las
aplicaciones instaladas.
•Comunicaciones: Verificar que el uso y el
rendimiento de la red sea el más adecuado .
Técnicas de Auditoría

Existen varias técnicas de Auditoría Informática

de Sistemas, entre las cuales se mencionan:
• Lotes de Prueba: Transacciones simuladas
que se introducen al Sistema a fin de
verificar el funcionamiento del mismo. Entre
los datos que se deben incluir en una prueba
se tienen:
• Datos de Excepción.
• Datos Ilógicos.
• Transacciones Erróneas
Técnicas de Auditoría
...(Continuación)
• Auditoría para el Computador: Permite determinar
si el uso de los equipos de computación es el idó-
neo. Mediante esta técnica, se detectan
equipos sobre y subutilizados.

• Prueba de Minicompañía: Revisiones periódicas

que se realizan a los Sistemas a fin de determi-
nar nuevas necesidades.
Peligros Informáticos

• Incendios: Los recursos informáticos son

muy sensibles a los incendios, como por
ejemplo reportes impresos, cintas, discos.
• Inundaciones: Se recomienda que el Departamento
de computación se encuentre en un nivel alto. La
Planta Baja y el Sótano son lugares propensos a las
inundaciones.
• Robos: Fuga de la información confidencial de la
empresa.
• Fraudes: Modificaciones de los datos dependiendo
de intereses particulares.
Medidas de Contingencia
Mecanismos utilizados para contrarrestar la
pérdida o daños de la información, bien sea
intencionales o accidentales.
La más utilizada es la Copia de Seguridad
(Backup), en la cual se respalda la informa-
ción generada en la empresa .
Copias de Seguridad

Las copias pueden ser totales o parciales y la fre-

cuencia varía dependiendo de la importancia de
la información que se genere.

Se recomienda tener Backup

como mínimo dos (2)
respaldos de la información,
uno dentro de la empresa y otro fuera
de ésta (preferiblemente en un Banco en
Caja Fuerte).
Medidas de Protección

Medidas utilizadas para garantizar la Seguridad

Física de los Datos.

Aquellos equipos en donde se genera

información crítica, deben tener un
UPS. De igual forma, el suministro de
corriente eléctrica para el área informática,
debe ser independiente del resto de las áreas.
Medidas de Control y Seguridad

Mecanismos utilizados para garantizar la Seguridad

Lógica de los Datos.
En los Sistemas Multiusuarios se deben restringir
el acceso a la Información, mediante un nombre
de usuario (login) y una contraseña (password).
Del mismo modo, se debe restringir el acceso a
los Sistemas en horas no laborables salvo casos
excepcionales.