REPÚBLICA BOLIVARIANA DE VENEZUELA.

MINISTERIO DEL PODER POPULAR PARA LA

EDUCACIÓN.
I. U. P. “SANTIAGO MARIÑO”.
MATURÍN – EDO. MONAGAS.

AUDITORIA DE LA SEGURIDAD INFORMÁTICA

(AUDITORIA Y EVALUACIÓN DE SISTEMAS)

Autor: Br. Romero, Brianna

CI: 30.117.350

Asesor: Ing. Norjelis Gutierrez

Maturín, Julio de 2023

 Índice

Págs.

Introducción……………………………………………………………. 3

Desarrollo………………………………………………………………. 4 – 16

1. Políticas de seguridad informática……………………………... 4

2. Elementos de la políticas de seguridad informática…………. 4–5
3. Activos y factores de riesgos de la seguridad informática…. 6-7
4. Seguridad física en el área de informática…………………… 7-8
5. Impacto en la organización…………………………………….. 9 - 10
6. Consideraciones en caso de desastres naturales e intrusos 10 -11
7. Seguridad de datos e información…………………………….. 11 - 13
8. Controles de datos e información……………………………… 13 - 15
9. Importancia del sistema operativo…………………………….. 15
10. Programas………………………………………………………… 15
11. Hardware………………………………………………………….. 15 - 16
12. Controles………………………………………………………….. 16

Conclusión…………………………………………………………….. 17
 Introducción

La auditoría de seguridad informática es un proceso que se utiliza para

evaluar la seguridad de los sistemas de información y los datos de una
organización. La auditoría de seguridad informática es un proceso crítico
para garantizar que los sistemas de información y los datos de una
organización estén protegidos contra amenazas y riesgos de seguridad.

La auditoría de seguridad informática se realiza utilizando una

variedad de técnicas y herramientas para evaluar la seguridad de los
sistemas de información, incluyendo la revisión de políticas de seguridad, la
evaluación de la infraestructura de seguridad de la red, la revisión de
registros de seguridad y la realización de pruebas de penetración.
 Políticas de Seguridad informática

Las políticas de seguridad informática son un conjunto de reglas y

procedimientos diseñados para proteger los sistemas informáticos y la
información que contienen de posibles amenazas y vulnerabilidades. Estas
políticas establecen las normas y los procedimientos que deben seguirse
para garantizar la seguridad de la información y los sistemas informáticos de
una organización.

Las políticas de seguridad informática pueden incluir directrices sobre

el uso adecuado de contraseñas, el acceso a los datos, la gestión de parches
y actualizaciones de software, la gestión de cuentas de usuario, la protección
contra virus y malware, la gestión de copias de seguridad y recuperación de
datos, la protección física de los equipos, la gestión de incidentes de
seguridad y la formación y concienciación de los empleados.

Las políticas de seguridad informática son esenciales para garantizar

la protección de los sistemas informáticos y la información de una
organización, y deben ser actualizadas regularmente para adaptarse a los
cambios en el entorno de amenazas y las necesidades de la organización.

Elementos de las políticas de seguridad informática

Las políticas de seguridad informática deben contener varios

elementos clave para ser efectivas. Algunos de los elementos más
importantes que deben incluirse son:

1. Objetivos: las políticas de seguridad informática deben establecer los

objetivos de seguridad que la organización desea alcanzar, como
proteger la confidencialidad, integridad y disponibilidad de la
información, proteger los sistemas de los ataques externos, o cumplir
con las regulaciones de seguridad aplicables.
 2. Alcance: las políticas de seguridad informática deben definir el alcance
de la política, incluyendo los sistemas, datos y usuarios que están
cubiertos por la política.

3. Responsabilidades: las políticas de seguridad informática deben

establecer las responsabilidades de los diferentes roles dentro de la
organización, como los administradores de sistemas, los usuarios
finales y los responsables de seguridad.

4. Procedimientos: las políticas de seguridad informática deben incluir

procedimientos detallados que describan cómo se implementará la
política, cómo se llevarán a cabo las tareas de seguridad, cómo se
gestionarán los incidentes de seguridad, etc.

5. Normas: las políticas de seguridad informática deben establecer

normas específicas que deben seguirse para cumplir con la política,
como las normas para la creación de contraseñas seguras o la gestión
de parches y actualizaciones de software.

6. Monitoreo y cumplimiento: las políticas de seguridad informática deben

describir cómo se supervisará el cumplimiento de la política y cómo se
tomarán medidas en caso de no cumplir con la política.

7. Revisión y actualización: las políticas de seguridad informática deben

ser revisadas y actualizadas regularmente para garantizar que sigan
siendo relevantes y efectivas en el entorno de amenazas actual.

Al incluir estos elementos en las políticas de seguridad informática, la

organización puede mejorar significativamente su capacidad para proteger
sus sistemas y datos de las amenazas de seguridad.
 Activos y factores de riesgos de la seguridad informática

Los activos de la seguridad informática son los recursos que una

organización necesita proteger para evitar la pérdida, el robo o la corrupción
de datos. Algunos de los activos más comunes que deben ser protegidos
incluyen:

1. Datos: incluyendo información confidencial, transacciones financieras,

propiedad intelectual, información de clientes, etc.

2. Sistemas: incluyendo servidores, estaciones de trabajo, dispositivos

móviles, redes, bases de datos, etc.

3. Software: incluyendo aplicaciones, sistemas operativos, firmware,

controladores, etc.

4. Instalaciones físicas: incluyendo edificios, salas de servidores, centros

de datos, etc.

Los factores de riesgo de la seguridad informática son las amenazas y

vulnerabilidades que pueden poner en peligro los activos de una
organización. Algunos de los factores de riesgo más comunes incluyen:

1. Amenazas internas: incluyendo empleados malintencionados, errores

humanos, negligencias, etc.

2. Amenazas externas: incluyendo hackers, virus, malware, ataques de

denegación de servicio (DDoS), etc.

3. Vulnerabilidades del software: incluyendo errores de programación,

problemas de seguridad del sistema operativo, etc.

4. Vulnerabilidades de hardware: incluyendo dispositivos defectuosos,

fallos de hardware, etc.
 5. Amenazas físicas: incluyendo robos, vandalismo, desastres naturales,
incendios, etc.

6. Amenazas legales y regulatorias: incluyendo leyes y regulaciones de

protección de datos, leyes de propiedad intelectual, leyes de
privacidad, etc.

Es importante que las organizaciones identifiquen y evalúen los

factores de riesgo asociados a sus activos de seguridad informática, y
adopten medidas adecuadas para mitigarlos y proteger sus activos. Esto
puede incluir la implementación de políticas de seguridad, la formación de los
empleados, la implementación de medidas de seguridad física, la
implementación de controles técnicos, y la realización de auditorías y
revisiones regulares de seguridad.

Seguridad física en el área de informática: aspectos y elementos

físicos

La seguridad física en el área de informática se refiere a las medidas

de protección necesarias para garantizar la integridad, confidencialidad y
disponibilidad de los activos de información y sistemas informáticos de una
organización mediante la prevención y disuasión de amenazas físicas.
Algunos de los aspectos y elementos físicos de la seguridad informática
incluyen:

1. Protección de las instalaciones: Las instalaciones que albergan los

sistemas informáticos y datos de la organización deben contar con
medidas de seguridad física adecuadas, como cámaras de vigilancia,
alarmas, controles de acceso, etc.
 2. Protección de los equipos: Los equipos informáticos, servidores y
otros dispositivos deben protegerse mediante cerraduras, jaulas,
gabinetes, etc.

3. Protección de los datos: Los datos deben protegerse mediante el uso

de copias de seguridad y técnicas de encriptación de datos, y el
acceso a los datos debe restringirse a aquellos usuarios autorizados.

4. Control de acceso: El acceso a las instalaciones y los sistemas

informáticos debe restringirse solo a los usuarios autorizados, y se
deben implementar controles de acceso, como tarjetas de
identificación, códigos de acceso, etc.

5. Vigilancia y monitoreo: Las instalaciones deben estar vigiladas y

monitoreadas de forma continua para detectar cualquier actividad
sospechosa o potencial amenaza.

6. Capacitación de los empleados: Los empleados deben recibir

capacitación sobre las medidas de seguridad física y deben estar
informados sobre los riesgos asociados a la seguridad física de los
sistemas informáticos y datos.

7. Protección contra desastres: Las organizaciones deben implementar

planes de contingencia y medidas de protección contra desastres
naturales, como inundaciones, terremotos, incendios, etc.

La seguridad física es una parte importante de la seguridad

informática, ya que puede proteger los sistemas y datos de una organización
de amenazas físicas, como robos, vandalismo, incendios, desastres
naturales, etc.
 Impacto en la organización

La falta de seguridad física adecuada en el área de informática puede

tener un impacto significativo en la organización. Algunos de los efectos
negativos que pueden producirse incluyen:

1. Pérdida de datos: si los sistemas y datos no se protegen

adecuadamente, pueden ser robados, dañados o destruidos, lo que
puede provocar la pérdida de información crítica para la organización.

2. Interrupción del negocio: un ataque físico a los sistemas informáticos o

instalaciones puede provocar la interrupción del negocio, lo que puede
generar pérdidas económicas significativas.

3. Responsabilidad legal: Si una organización no cumple con las leyes y

regulaciones de seguridad física, puede ser considerada legalmente
responsable en caso de incidentes de seguridad.

4. Pérdida de confianza del cliente: si una organización no protege

adecuadamente los datos de los clientes, puede perder la confianza
de los mismos, lo que puede afectar la reputación y la imagen de la
organización.

5. Costos de recuperación: si se produce un incidente de seguridad

física, la organización puede tener que dedicar recursos significativos
para recuperar los datos y sistemas afectados, lo que puede generar
costos adicionales.

Por lo tanto, es importante que las organizaciones tomen medidas

adecuadas para proteger sus sistemas y datos mediante la implementación
de medidas de seguridad física efectivas. Esto puede incluir la capacitación
de los empleados, la implementación de políticas de seguridad física, la
implementación de tecnologías de seguridad física, la realización de pruebas
de penetración y la revisión regular de la seguridad física.

Consideraciones en caso de desastres naturales e intrusos

La seguridad física de los sistemas informáticos y datos de una

organización es importante para protegerlos de amenazas tanto internas
como externas, incluyendo desastres naturales e intrusos. Algunas
consideraciones que deben tenerse en cuenta en caso de desastres
naturales e intrusos son:

Desastres naturales:

1. Planificación: Es importante que las organizaciones tengan planes de

contingencia y de recuperación ante desastres naturales, que incluyan
medidas de seguridad física adecuadas para proteger los sistemas y
datos de la organización.

2. Copias de seguridad: Las organizaciones deben realizar copias de

seguridad de los datos y sistemas críticos con regularidad y
almacenarlas en un lugar seguro y alejado de la ubicación principal.

3. Protección de los equipos: Los equipos informáticos deben protegerse

de los posibles daños causados por desastres naturales, como
inundaciones, terremotos, incendios, etc.

4. Capacitación de los empleados: Los empleados deben estar

capacitados para actuar en caso de desastres naturales y conocer los
procedimientos de seguridad física para proteger los sistemas y datos
de la organización.

Intrusos:
 1. Controles de acceso: Las organizaciones deben implementar controles
de acceso físicos adecuados, como tarjetas de identificación, códigos
de acceso, etc. para proteger los sistemas y datos de la organización
contra intrusos.

2. Vigilancia y monitoreo: Las instalaciones deben estar vigiladas y

monitoreadas de forma continua para detectar cualquier actividad
sospechosa o potencial amenaza.

3. Protección de los datos: Los datos deben protegerse mediante el uso

de copias de seguridad y técnicas de encriptación de datos, y el
acceso a los datos debe restringirse a aquellos usuarios autorizados.

4. Capacitación de los empleados: Los empleados deben recibir

capacitación sobre las medidas de seguridad física y deben estar
informados sobre los riesgos asociados a la seguridad física de los
sistemas informáticos y datos.

En general, es importante que las organizaciones tomen medidas

adecuadas para proteger sus sistemas y datos contra amenazas internas y
externas, incluyendo desastres naturales e intrusos, mediante la
implementación de medidas de seguridad física efectivas y la capacitación de
los empleados.

Seguridad de datos e información: Aspectos. Elementos.

Vigilancia. Condiciones.

La seguridad de datos e información es un aspecto crítico en el área

de informática, ya que la información es un activo valioso para las
organizaciones y debe protegerse adecuadamente. Algunos aspectos,
elementos, vigilancia y condiciones importantes para la seguridad de datos e
información incluyen:
Aspectos:

1. Confidencialidad: La información debe protegerse de accesos no

autorizados y divulgación no autorizada.

2. Integridad: La información debe protegerse de modificación no

autorizada, garantizando que los datos sean precisos y completos.

3. Disponibilidad: La información debe estar siempre disponible para los

usuarios autorizados.

4. Autenticidad: La información debe ser auténtica y verificable.

Elementos:

1. Políticas de seguridad: Las políticas de seguridad deben ser

establecidas y comunicadas a todo el personal de la organización.

2. Control de acceso: Se debe establecer quiénes pueden acceder a la

información y bajo qué condiciones.

3. Encriptación: La información debe ser encriptada para protegerla de

accesos no autorizados.

4. Copias de seguridad: Se deben realizar copias de seguridad de la

información de forma regular para protegerla de pérdidas accidentales
o intencionales.

Vigilancia:

1. Monitoreo: Se debe monitorear el acceso a la información para

detectar posibles accesos no autorizados.

2. Auditoría: Se deben llevar a cabo auditorías para detectar posibles

vulnerabilidades en la seguridad de la información.
Condiciones:

1. Actualización: Las políticas y procedimientos de seguridad deben

actualizarse regularmente para garantizar que se aborden los riesgos
emergentes.

2. Capacitación: El personal debe recibir capacitación regular para

garantizar que comprendan los riesgos de seguridad y cómo
abordarlos.

3. Evaluación de riesgos: Se deben realizar evaluaciones periódicas de

riesgos para identificar posibles vulnerabilidades en la seguridad de la
información.

En general, la seguridad de datos e información es esencial para

proteger la información y los datos críticos de una organización. Los
aspectos, elementos, vigilancia y condiciones mencionados anteriormente
son fundamentales para garantizar la seguridad de la información de una
organización.

Controles de los datos e información

Los controles de los datos e información son medidas que se

implementan para proteger la confidencialidad, integridad y disponibilidad de
la información y datos de una organización. Algunos controles comunes de
los datos e información son:

1. Control de acceso: El control de acceso se refiere a las medidas para

proteger la información de accesos no autorizados. Esto puede incluir
la implementación de contraseñas seguras, autenticación de usuarios,
controles de acceso físico, etc.
2. Encriptación: La encriptación es el proceso de codificación de la
información para protegerla de accesos no autorizados. La
encriptación se utiliza para proteger la información en tránsito y en
reposo.

3. Copias de seguridad: Las copias de seguridad son una medida de

protección importante para garantizar que la información crítica esté
disponible en caso de una pérdida de datos. Las copias de seguridad
deben realizarse con regularidad y almacenarse en un lugar seguro.

4. Políticas y procedimientos de seguridad: Las políticas y

procedimientos de seguridad describen las medidas de seguridad que
deben implementarse en la organización. Estas políticas y
procedimientos deben establecerse, comunicarse y actualizarse con
regularidad.

5. Auditoría y monitoreo: La auditoría y el monitoreo son medidas para

detectar posibles vulnerabilidades en la seguridad de la información.
Estas medidas pueden incluir revisiones periódicas de la seguridad de
la información, monitoreo del tráfico de red, monitoreo de registros de
auditoría, etc.

6. Protección contra malware: La protección contra malware es una

medida importante para proteger la información de ataques
informáticos. Esto puede incluir la instalación de software antivirus,
firewalls, y otras medidas de seguridad informática.

7. Capacitación del personal: La capacitación del personal es importante

para garantizar que los empleados comprendan los riesgos de
seguridad y cómo abordarlos. Los empleados deben estar capacitados
en la seguridad de la información y deben conocer las políticas y
procedimientos de seguridad de la organización.
 En general, los controles de los datos e información son esenciales
para garantizar la seguridad de la información y datos de una organización.
Los controles mencionados anteriormente son solo algunos ejemplos de las
medidas que se pueden implementar para proteger la información y datos
críticos de una organización.

Importancia del sistema operativo

El sistema operativo es una pieza fundamental del software en una

computadora, ya que es el software que controla y coordina todas las
funciones del hardware y otros programas que se ejecutan en la máquina. El
sistema operativo es esencial para el funcionamiento de la computadora y es
fundamental para garantizar la seguridad y confiabilidad de los sistemas
informáticos.

Programas

Un programa es un conjunto de instrucciones escritas en un lenguaje

de programación que se utiliza para realizar una tarea específica en una
computadora. Los programas pueden ser diseñados para realizar una amplia
variedad de tareas, desde simples cálculos matemáticos hasta complejas
operaciones de procesamiento de datos.

En general, los programas son esenciales para el funcionamiento de la

computadora y para realizar una variedad de tareas en la vida cotidiana y en
el ámbito empresarial. Los programas se utilizan en casi todas las áreas de la
vida, desde la educación y el entretenimiento hasta la investigación y la
industria.

Hardware

El hardware se refiere a los componentes físicos de una computadora

o dispositivo electrónico, que incluyen todo lo que se puede tocar y ver en la
computadora. El hardware es esencial para el funcionamiento de la
computadora y se compone de varios componentes que trabajan juntos para
procesar y almacenar datos.

En resumen, el hardware es esencial para el funcionamiento de una

computadora y se compone de varios componentes que trabajan juntos para
procesar y almacenar datos. Cada componente de hardware tiene una
función específica y es necesario para el correcto funcionamiento de la
computadora.

Controles

En el contexto de la informática y los sistemas de información, los

controles son medidas que se implementan para proteger la información y los
datos de una organización. Los controles pueden ser técnicos, físicos o
administrativos y se utilizan para garantizar la confidencialidad, integridad y
disponibilidad de la información.

En general, los controles son esenciales para garantizar la seguridad

de la información y los datos de una organización. Los controles
mencionados anteriormente son solo algunos ejemplos de las medidas que
se pueden implementar para proteger la información y datos críticos de una
organización.
 Conclusión

El objetivo de la auditoría de seguridad informática es identificar

posibles vulnerabilidades y debilidades en la seguridad de los sistemas de
información y los datos de la organización. Una vez que se han identificado
las vulnerabilidades, se pueden tomar medidas para corregirlas y mejorar la
seguridad de los sistemas de información y los datos de la organización.