José Alberto Redondo Lázaro

Francisco Simón Moreno Balaguer

Pedro Pablo Carrasco Cruz

SISTEMAS DE INFORMACIÓN CONTABLE

Primera cuestión
Creemos que deberían aparecer asociados a cada activo una identificación de los mismos
y, poner que tipo de activos son (activos de información, activos físicos, activos de servicios
de TI). También, junto a esta clasificación un análisis de las amenazas, riesgos y
vulnerabilidades de cada uno.

Segunda cuestión
Basándonos en el enunciado y nuestra experiencia hemos identificado los siguiente riesgos:

-Red única para todos los empleados. El acceso debería estar limitado a las funciones de
cada departamento/persona.

-Misma red wifi para invitados y trabajadores. Los invitados no deberían tener acceso a la
red que utilizan los trabajadores.

Debido a que si compartimos la misma red Wifi tanto para trabajadores como clientes existe
un riesgo de que alguien malintencionado pueda acceder fácilmente a datos confidenciales
de la entidad e interceptar sus comunicaciones, logrando espiar fácilmente. Otro punto
importante a destacar es que si un dispositivo de un cliente posee un malware este podría
propagarse a otros dispositivos que estén conectados a la red, por lo que afectaría a los
dispositivos de los clientes como los de la misma empresa.

Por lo que es importante basarse en el reglamento general de protección de datos (RGPD)

respecto a la gestión de redes Wifi compartidas.

Donde este hace un énfasis importante la utilización de un cifrado seguro (WPA2-PSK),

para la red y según lo mencionado anteriormente poseer 2 redes una para los trabajadores
y otra para el público general.

-Activos IT indocumentados y normativa no aplicada.

-Probar copia de seguridad con periodicidad.

-Pedidos efectuados por papel.

Tercera cuestión

Deberíamos realizar un análisis de sistemas de información contable y categorizar los

distintos apartados.
 - Autenticidad:Riesgo Alto. Ya que por lo observado podemos afirmar que faltan
mecanismos robustos de autenticación, debido a esto existe una vulnerabilidad que
facilita el acceso no autorizado.Otro factor también es la introducción manual de
entrada de pedidos lo que afectará el error humano o manipulación de datos.
Finalmente observamos en la entidad que existe un control de acceso muy
deficiente, prácticamente no existe dentro de esta. Además de no existir una
trazabilidad en su sistema ERP permitiendo modificaciones fraudulentas.
- Integridad: riesgo alto. Dado que comparte una misma red wifi para trabajadores e
invitados, no se puede asegurar que la información que maneja la empresa no esté
manipulada ni existan filtraciones de información confidencial de la entidad debido a
manipulaciones de terceros. Según nuestros conocimientos deberemos ser
conscientes de que, compartir una red WiFi entre empleados y clientes expone a la
empresa a riesgos de seguridad, vulnerabilidades cibernéticas y problemas de
rendimiento de internet (Muchos usuarios conectados en una misma red la vuelven
lenta), por lo que recomendamos poseer redes separadas para mitigar esto.
- Trazabilidad: Riesgo alto, ya que según entendemos del enunciado, hay situaciones
en las que la empresa no es capaz de rastrear los cambios realizados en su sistema
de pedidos.
- Confidencialidad: Riesgo alto, puesto que existe una red de usuario única para todos
los trabajadores.
- Disponibilidad: riesgo medio, ya que tal y como se menciona en el enunciado, en
una ocasión la empresa en cuestión no tuvo la posibilidad de utilizar el sistema de
facturación y eso no derivó en consecuencias importantes.

Como la categorización mayor ha sido “riesgo alto”, el sistema tiene un nivel alto de riesgo,
así que le daríamos la misma categorización que el responsable de seguridad.

Cuarta cuestión
Deberíamos hablar con el responsable del sistema para que nos informe de:
-La política de seguridad.
-De los análisis y gestión de riesgos.
-Procedimientos de seguridad.

Quinta cuestión

Desde nuestro punto de vista, además del antivirus y el cortafuegos, sería conveniente que
la empresa utilizara un sistema de doble autenticación tanto para entrar en la red WiFi de
los trabajadores, como para acceder a la red de usuarios de los trabajadores. Además,
también recomendamos implementar registros de auditoría para rastrear actividades de
usuarios y detectar posibles amenazas, concienciar a los empleados sobre buenas
prácticas de seguridad informática, así como realizar pruebas para garantizar que las copias
de seguridad funcionan de manera correcta.
Además de lo mencionado, sería conveniente instalar un sistema IDS o IPS con el objetivo
de detectar intrusiones fraudulentas en el sistema de la empresa.