Mostrando entradas con la etiqueta Auditoria De La Seguridad En El Área De Producción. Mostrar todas las entradas
Mostrando entradas con la etiqueta Auditoria De La Seguridad En El Área De Producción. Mostrar todas las entradas

FORMULARIOS DE CONTROL

jueves, 22 de marzo de 2012 | | | 0 comentarios |
PART 03


FORMULARIOS DE CONTROL

Para efectos de registrar y controlar preventivamente el desarrollo e implantación del Sistema o evaluarlo posteriormente, es necesario utilizar formularios denominados de control, cuya relación se indica a continuación:

. Control de Cronograma del Proyecto.
. Control de Documentación de Sistemas.
. Control Técnico del Análisis del Sistema.
. Control Técnico del Diseño del Sistema.
. Benchmark o Prueba real del Sistema.
. Control de la Implantación.

En las siguientes páginas se incluyen los diseños de los Formularios de Control.

2.1 Control de Cronograma del Proyecto:

Para efectos de controlar o evaluar el cumplimiento de los plazos y la duración de las etapas del sistema y por razones de sencillez se recomienda utilizar el diagrama de GANTT, debiendo en el mismo cuadro registrar lo planeado y lo ejecutado con dos símbolos diferentes.

Se recomienda que se utilicen herramientas computarizadas de formulación y control de proyectos que permiten utilizar el PERT-PCM.................

INSTRUMENTOS DE CONTROL

martes, 20 de marzo de 2012 | | | 0 comentarios |
PART 02


INSTRUMENTOS DE CONTROL


Los Elementos e Instrumentos de Control a utilizar en forma individual o en forma conjunta son:


- Documentación de las Sub-etapas del Desarrollo e Implantación de Sistemas.
- Reuniones de Revisión Técnica.
- Benchmark o pruebas del sistema.
- Formularios de Control.


LA DOCUMENTACION DE LAS SUB-ETAPAS DEL DESARROLLO E IMPLANTACION DEL SISTEMA

La primera información que debe servir de base para efectuar un análisis para el control del sistema lo constituye la documentación generada en las diferentes fases de desarrollo e implantación del sistema.


La documentación debe leerse detenidamente con la finalidad de:


. Comprender la concepción del sistema.
. Planificar el contenido de las reuniones de revisión técnica.
. Determinar los vacios o carencias de información.
. Elaborar los cuestionarios de consultas.
. Efectuar el control del Sistema, con un conocimiento sólido del mismo.


El técnico que efectué el control del sistema debe tomar conocimiento completo de la documentación escrita existente, de tal forma de reducir el tiempo del proceso de auditoria del sistema y brindar resultados en corto plazo.


REUNIONES DE REVISION TECNICA


Un aspecto fundamental para efectuar un buen control del sistema son las Entrevistas de Revisión Técnica, ya que la documentación en la mayoría de los casos es muy escasa y deficiente y generalmente cubre solo una parte de la información y las entrevistas permiten complementar la información técnica y recabar opiniones sobre deficiencias del sistema.
Las reuniones de Revisión Técnica, debe estar debidamente planificadas y contar con formularios de los temas y consultas a tratar, para evitar olvidar cualquier aspecto fundamental para el análisis y la investigación.


Las reuniones de Revisión Técnica deben efectuarse con todas las personas que participaron en el desarrollo e implantación del sistema, as¡ como los que operan y utilizan el sistema.
Deben efectuarse reuniones de Revisión Técnica con cada participante en forma separada para lograr información y opiniones libres e independientes de cada uno de ellos, después de las reuniones individuales puede efectuarse una reunión global para determinar las conclusiones de consenso.


Las Entrevistas de Revisión Técnica deben efectuarse con la o las siguientes personas que llevaron o llevan a cabo las siguientes funciones:


. El Analista de Sistemas.
. El Programador.
. El Implementador.
. El/los Operadores del Sistema.
. Los Usuarios Operativos que utilizan el Sistema.
. Los Usuarios que utilizan la información para la toma de decisiones.


En todo caso deben consultarse los factores que limitaron el desarrollo, implantación, operación y uso del sistema, así como las deficiencias, aspectos de confiabilidad y seguridad, en función de cada persona.

ENCHMARK O PRUEBAS DEL SISTEMA


Instrumento vital para evaluar la confiabilidad del Sistema es lo que se denomina Benchmark o Pruebas del Sistema.


No basta con evaluar el sistema tomando conocimiento de su documentación y sosteniendo reuniones de revisión técnica con el personal involucrado, lo fundamental que demuestra la buena funcionalidad y confiabilidad del sistema es efectuar procesos de prueba simulando situaciones extremas de tal forma de determinar si el sistema responde a lo especificado y es confiable produciendo resultados correctos en los tiempos esperados.


Es por eso que se deben realizar Benchmark o procesos de prueba especiales tales como:


. Prueba de carga máxima.
. Prueba de almacenamiento.
. Prueba de tiempo de ejecución.
. Prueba de recuperación.

AUDITORIA

viernes, 16 de marzo de 2012 | | | 0 comentarios |
PART 01

ASPECTOS A CONTROLAR



Para lograr desarrollar e implantar un Sistema con Calidad, dentro de los plazos y costos previstos, cuyos beneficios sean los planificados, es necesario controlar que:




Ø El Proyecto de Desarrollo de Sistemas este‚ enmarcado dentro del Plan General de Sistemas.




Ø El Cronograma del Proyecto sea realista y el Sistema este‚ operativo en forma oportuna, de acuerdo a las necesidades de la Institución.




Ø Se aplique la Metodología de Desarrollo de Sistemas.




Ø Exista un control permanente de la consistencia y confiabilidad de los Sistemas Informáticos.




Ø La Calidad del Sistema producido, permita una óptima operatividad del mismo.



Ø La tecnología utilizada sea la más adecuada a los fines del sistema y permita una vida útil satisfactoria para la inversión realizada.




Ø Los Costos, tanto del desarrollo como de su operación y mantenimiento, sean los planificados y exista un retorno de la inversión.




Ø Se hayan logrado los beneficios esperados.




1.1 El Proyecto de Desarrollo de Sistemas este‚ enmarcado dentro del Plan General de Sistemas.
Para asegurar que el Sistema a desarrollar o desarrollado logre estar integrado y tenga todas las interfaces con los demás sistemas, es necesario se compruebe que es uno de los componentes del Sistema Global de Información de la Institución y este interrelacionado con otros sistemas, a través del intercambio de información o acceso a información comen.





1.2 El Cronograma del Proyecto permita o haya permitido que el Sistema este‚ operativo oportunamente.
Debe verificarse que exista un Cronograma del Desarrollo del Sistema, usando el m‚todo de Gantt como mínimo, siendo ideal utilizar adicionalmente el PERT-CPM.
Se evaluar , de acuerdo a la estacionalidad del ciclo operativo del sistema, si el inicio de la implantación y puesta en marcha es acorde con las necesidades de la Institución, debiendo empezar, de ser factible, simultáneamente al comenzar el ciclo administrativo, de tal forma que se evite la puesta al día de información




1.3 Se aplique la Metodología de Desarrollo de Sistemas. La forma más adecuada para asegurar que el Sistema se desarrolle de acuerdo a una metodología, consiste en verificar dos aspectos:




Que cuente con toda la documentación del Análisis, Diseño e Implantación del Sistema.
Que se hayan aplicado correctamente las técnicas de análisis y diseño de Sistemas.




Documentación de Sistemas:







Si el control es realizado preventivamente, la documentación deber ser revisada al finalizar cada sub-etapa, siendo recomendable que se revise internamente en la Dirección de Informática, previa a la entrega del mismo al Comité‚ del Sistema.




Deber llevarse un Registro de la Documentación generada, para efectos de seguimiento permanente y control posterior.




Deber contarse con la firma de conformidad del usuario de la documentación que ‚este deba aprobar.




Si el control es realizado posteriormente, deber verificarse la existencia de toda la documentación y la aprobación del usuario.




Con la documentación de sistemas generada, se debe verificar que todas las etapas y sub-etapas de la Metodología de Análisis, Diseño, Programación e Implantación de Sistemas se hayan ejecutado, con resultados satisfactorios.




Aplicación de Técnicas:




Se deber verificar que se hayan utilizado las técnicas adecuadas para cada etapa y sub-etapas del desarrollo e implantación del Sistema.




Para cada etapa se aplicar n las siguientes técnicas:




Análisis de Sistemas:




- Entrevistas.
- Diagrama de Flujo de Datos (D.F.D.).
- Modelización de Datos.
- Diagrama de Estructura de Datos (D.E.D.).
- Historia de Vida de la Entidad (H.E.V.).
- Análisis de Costo-Beneficio (A.C.B.).
- Prototipeo.




Diseño de Sistemas:




Diseño Estructurado.
Diagrama de Estructura de Cuadros.
Optimización del Diseño Físico.
Diseño de Pruebas.
Prototipeo.




Programación:




- Programación Estructurada.
- Pruebas Unitarias.
- Pruebas de Integración.
- Prueba del Sistema.




Implantación de Sistemas:




- Capacitación.
- Creación de archivos iníciales.
- Proceso en paralelo.

1.4 Exista un control permanente de la consistencia y confiabilidad de los Sistemas Informáticos.




Deben existir los controles específicos de:




Ø Detección de errores.
Ø Prevención de acceso no autorizado y mal uso de la información y del equipo.
Ø Controles ambientales y seguridad.




1.5 La Calidad del Sistema producido sea tal que permita una óptima operatividad del mismo.
Este aspecto, además de ser evaluado por un especialista en Sistemas, debe también ser verificado con el rea usuaria, ya que ella puede dar su apreciación del sistema, en forma real y responsable, porque se encargar de operarlo y administrarlo.

La información garantizar que:




Ø Cumpla con los requerimientos del usuario, establecido en la fase de Análisis y Diseño del Sistema.
Ø La secuencia de trabajo u operación del sistema, sea el mismo que el de proceso real.




El sistema sea totalmente operado con:




Ø Guía al usuario.
Ø Ayudas permanentes en línea.
Ø El tiempo de respuesta sea adecuado para el volumen real de datos.
Ø El consumo de recursos de computo sea razonable y este‚ dentro de lo previsto.
Ø Responda a todas las bifurcaciones posibles en la operación del sistema.
Ø La interface -usuario sea adecuada y de fácil manejo y comprensión
Ø Se disponga de todas las facilidades utilitarias de reorganización de archivos y copias de respaldo.
Ø Se disponga de procedimientos de respaldo ante caídas del sistema.




1.6 La tecnología utilizada sea la m s adecuada a los fines del sistema, y permita una vida útil satisfactoria para la inversión realizada.




Se debe verificar que los siguientes elementos sean los m adecuados:




- Equipos.
- Sistema de Red.
- Sistema de Base de Datos.
- Sistema de Comunicaciones.
- Lenguaje de Programación.



Es conveniente indicar que en algunas organizaciones se define en forma global toda la plataforma de Hardware y Software a utilizar como standard para la Institución, quedando en este caso tratar de aprovecharla al máximo.




Sin embargo, existen organizaciones en la que se dan soluciones departamentalizadas con interfaces entre ellas, manteniendo cierta independencia entre si. A continuación mencionamos algunas consideraciones que se deben tener en cuenta para evaluar si el equipamiento y software es adecuado para el sistema.

Equipos:




Se deber utilizar los equipos adecuados, de acuerdo al tipo de sistema desarrollado. Si la aplicación es mono usuario, se requerir un equipo que tenga independencia de operación, debiendo contar individualmente con la potencia del caso para soportar todo el procesamiento.
En caso de que el sistema sea multiusuario, deben utilizarse equipos terminales conectados a un servidor, debiendo estar balanceados adecuadamente los recursos entre ambos, de tal forma de contar con el tiempo de respuesta requerido.




Sistema de Red:




Dependiendo del tipo de Sistema, se deber utilizar el tipo de plataforma de Red que más convenga. Si el sistema es cerrado y netamente operativo con un criterio de procesamiento centralizado, pueden utilizarse los Sistemas orientados a la centralización y si el sistema es de filosofía abierta y descentralizada, se deben utilizar redes de este tipo.




Sistema de Base de Datos:




En función a las necesidades del sistema se debe utilizar la plataforma necesaria de Base de Datos. Para aplicaciones sencillas e independientes, se utiliza el manejador de base de datos del lenguaje. Sin embargo, para aplicaciones corporativas, se utilizan manejadores de base de datos relacionales de nivel, as como para aplicaciones de tipo cliente-servidor.



Sistema de Comunicaciones:




Este es un factor importante a evaluar en función a la naturaleza del sistema. Muchas veces el sistema debe instalarse en una tipología de comunicaciones pre-establecida y hay que tratar de aprovecharla al máximo. Sin embargo, si el diseño de las comunicaciones pudiera estar correlacionado con el sistema, permitirá un mejor desempeño de las mismas.
Se debe evaluar si el lenguaje a utilizar o ya utilizado es el más conveniente, dependiendo de las necesidades de eficiencia y facilidad de desarrollo y explotación, por lo que deben evaluarse los siguientes factores :



- Tiempos de procesamiento y respuesta.
- Facilidades en tiempos de programación y mantenimiento de sistemas.
- Rapidez en el desarrollo de sistemas a través de generadores de programas.
- Ambientes gráficos.

1.7 Que los Costos, tanto del desarrollo as¡ como de su operación y mantenimiento, sean los planificados y que exista un retorno de la inversión.





El proyecto para ser aprobado debe contar con un presupuesto general, el cual debe ser detallado en la fase de Análisis de Sistemas.




Los componentes de costos deben ser:




. Costos de Personal de Sistemas y del Usuario.
. Costo de Supervisión.
. Costos de Equipamiento.
. Costos de Originales de Software de Base.
. Costos de Instalaciones y Servicios.
. Costo de Relevamiento de Datos.
. Costo de Capacitación.
. Costo de Creación de Archivos Maestros.
. Costo de Procesamiento en Paralelo.
. Costo de Producción.
. Costo de Mantenimiento.



El control de costos debe efectuarse por etapas:




. Análisis y Diseño del sistema.
. Programación del sistema.
. Implantación del sistema.
. Operación del sistema.





1.8 Se hayan logrado los beneficios esperados.
Una vez puesto en operación el sistema, se debe esperar que transcurran por lo menos dos periodos de procesamiento para evaluar si los beneficios del sistema se han logrado, tanto en las ventajas esperadas por su implantación, como los beneficios económicos que estaban planificados.




AUDITORIA DE LA SEGURIDAD Y EL DESARROLLO DE APLICACIONES

jueves, 28 de octubre de 2010 | | | 0 comentarios |
AUDITORIA DE LA SEGURIDAD Y EL DESARROLLO DE APLICACIONES

Todos los desarrollos deben estar autorizados a distintos nivel según la importancia del proyecto a desarrollar, incluso autorizados por una comisión si los costos o riesgos superan ciertos umbrales.

Si la auditoria es externa se revisará la participación de los usuarios y de los auditores internos

     La metodología seguida

     Ciclos de vida

     Gestión de los proyectos, aplicaciones que traen términos

     De los contratos y cumplimiento

     Selección y uso de paquetes

     Realización de pruebas a varios niveles y mantenimiento posterior

El pase al entorno de la explotación real debe estar controlado, no descartándose la revisión de programas por parte de técnicos independientes, o por auditores preparados a fin de determinar los errores y la calidad de las aplicaciones

Auditoria De La Seguridad En El Área De Producción

Las organizaciones cuidan especialmente las medidas de protección en el caso de contratación de servicios: desde el posible marcado de datos, proceso, impresión de etiquetas, distribución, acciones comerciales, gestión de cobros, hasta el outsourcing mas completo.

AUDITORIA DE LA SEGURIDAD DE DATOS

I. INTRODUCCIÓN

Se propone una serie de aspectos para evaluar y mantener una adecuada seguridad de los datos que se requieran en una determinada organización, a fin de diferir en su funcionamiento y detectar las deficiencias, así como proponer los aspectos principales en los que se tiene que mejorar a fin de incrementar su eficiencia o mejorar su funcionalidad y su productividad.

Además de la seguridad física también implica una protección a los datos de nuestro sistema, tanto a la que esta almacenada y en él, cómo es que se transmite entre diferentes equipos.

Hay ciertos aspectos a tener en cuenta en la seguridad de los datos de nuestra organización; existen ataques cuyo objetivo no es destruir el medio físico de nuestro sistema, sino simplemente conseguir la información almacenada en dicho medio.

II. AUDITORIA A SISTEMAS DE BASES DE DATOS.

Los Sistemas de Gestión de Bases de Datos proveen mecanismos que garantizan la seguridad, consistencia y reglas de integridad. Es de gran importancia para el auditor de sistemas, conocerlos y apoyarse en ellos para verificar el ambiente de control establecido en la instalación.

Características en la seguridad en los sistemas de bases de datos:

• Claves primarias.

• Dominio de los atributos

• Reglas de integridad

• Reglas de integridad del negocio

• Vistas

• Perfiles de usuario y acceso a objetos de la base de datos

• Auditoría

• Criptografía de datos

• Disparadores o triggers

III. METODOLOGIA DE SEGURIDAD DE DATOS.

1. Análisis y Diagnóstico Previos.-

       A.- Conocimiento del negocio y del Sistema

       B.- Aspectos del SGBD en la empresa.

       C.- Alcance de Auditoria.

2. Definir grupos de riesgos:

       1. Objetos de la base de datos y reportes.

       2. Programas de aplicación y utilitarios.

       3. Auditoría y Seguimiento

       4. Planes de Respaldo y Contingencia.

       5. Seguridad en la Red.

       6. Acceso a través de Internet.

       7. Seguridad Instalaciones y acceso físico.

       8. Diseño de la Base de Datos.

       9. Eficiencia y economía de recursos.

       10. Almacenamiento.

II. AUDITORIA A SISTEMAS DE BASES DE DATOS.

Los Sistemas de Gestión de Bases de Datos proveen mecanismos que garantizan la seguridad, consistencia y reglas de integridad. Es de gran importancia para el auditor de sistemas, conocerlos y apoyarse

Características en la seguridad en los sistemas de bases de datos:

• Claves primarias.

• Dominio de los atributos

• Reglas de integridad

• Reglas de integridad del negocio

• Vistas

• Perfiles de usuario y acceso a objetos de la base de datos

• Auditoría

• Criptografía de datos

• Disparadores o triggers

III. METODOLOGIA DE SEGURIDAD DE DATOS.

1 . Análisis y Diagnóstico Previos.-

a. Conocimiento del negocio y del Sistema

b. Aspectos del SGBD en la empresa.

c. Alcance de Auditoria.

2. Definir grupos de riesgos:

1. Objetos de la base de datos y reportes.

2. Programas de aplicación y utilitarios.

3. Auditoría y Seguimiento

4. Planes de Respaldo y Contingencia.

5. Seguridad en la Red.

6. Acceso a través de Internet.

7. Seguridad Instalaciones y acceso físico.

8. Diseño de la Base de Datos.

9. Eficiencia y economía de recursos.

10. Almacenamiento.

3. Evaluación del estado de control existente (checklist)

Objetivos de la evaluación para cada grupo de riesgos

Preguntar para cada objetivo gravedad, probabilidad, impacto, referencias observaciones.

a. Problemas por seguridad en instalaciones y acceso físico.

b. Riesgos relacionados con el acceso lógico y la privacidad a las bases de datos.

c. Causado por la relación Sistema Operativo - DBMS.

d. Riesgos asociados a las aplicaciones y utilitarios.

e. Problemas relacionados con el Diseño de la Base de Datos.

f. Asuntos concernientes al Diccionario de datos y documentación

g. Problemas con el Respaldo y planes de contingencia

h. Riesgos por personal y organización.

i. Auditabilidad.

IV. ANÁLISIS DE RIESGOS.

1. Control del ambiente de login en Sistema Operativo

2. Asegúrese que cada usuario se autentica con la base de datos.

3. Si los usuarios se conectan a las bases de datos a través de interfaces de administración o desarrollo

4. Realice una detallada revisión de los login, procesos de autenticación, perfiles de usuario y roles y privilegios.

5. Si un programa es una aplicación Web a través de http:

a. Determine si el enrutador y/o firewall restringe el acceso a la Base de Datos.

b. Determine que son adecuados los controles de accesos al servidor web.

c. Que se realizan procesos de auditoría sobre los usuarios del sistema operativo y de la base de datos.

V. SEGURIDAD EN EL SISTEMA OPERATIVO

1. Usuario de base de datos y sistema operativo.

a. verifique que todos los usuarios creados en el sistema operativo representan un usuario valido.

b. Asegúrese que las conexiones remotas están controladas.

2. Seguridad de los archivos de bases de datos en el sistema operativo.

3. Auditoria a la seguridad de la base de datos para propietarios y grupos.

VI. PROCESOS DE CONEXIÓN Y AUTENTICACIÓN:

1. Sobre las tablas de usuarios:

a. Determine que todos los usuarios representan un usuario valido y autenticado.

b. Prueba que el passwords por defecto en las cuentas de administración del sistema han sido cambiadas.

c. Verifique que están definidos los procedimientos para cambios de claves periódicamente y que los passwords son seguros.

d. En caso de conexiones con parámetros string, verifique que a través de comandos como ps, no es posible ver la clave del usuario.

e. Si la conexión a la base de datos se hace a través de programas o utilidades, asegúrese que están protegidos por permisos de archivos y directorios.

2. En una impresión de la bitácora de sesiones de usuarios:

VII. CONTROL DE ACCESO A LA BASE DE DATOS.

1. Obtenga listado de todos los archivos de privilegios y roles de usuarios.

2. Obtenga listado de los archivos de logs:

VIII. DISPONIBILIDAD, RESPALDO Y RECUPERACIÓN.

1. Usando comandos

2. Obtenga un listado de los procedimientos de backup de la base de datos, cronogramas de backup y programas utilitarios de backup.

3. Evaluar los medios de almacenamiento, los procedimientos usados, la revisión de las copias, la correcta etiquetada (interna y externa), la seguridad del sitio de almacenamiento y la correcta rotación de las copias.

4. Obtenga y revise la documentación de los procesos de pruebas de recuperación.

IX. BASES DE DATOS EN RED:

1. Partiendo de un diagrama de red donde se especifique los servidores de bases de datos y sus conexiones físicas y lógicas al resto de la red:

a. Determine si los altos usos SQL entre componentes en la red (Servidor y aplicaciones) están soportados por canales de alta velocidad y alto ancho de banda.

b. Asegúrese que los enlaces redundantes son usados para soportar los sistemas de requerimientos de disponibilidad.

c. Usando comandos o aplicaciones tipo netstat (protocolo, dirección remota y local y estado) revise el ruteo y direccionamiento IP usado para los servidores de bases de datos.

d. Asegúrese que los dispositivos de control de acceso garantizan solo conexiones autorizadas.

AUDITORIA DE LA SEGURIDAD EN COMUNICACIONES – REDES Y

AUDITORIA DE LA SEGURIDAD DE LA CONTINUIDAD DE LAS OPERACIONES

Auditoria Informática de Comunicaciones y Redes:

Los auditores de sistemas deben, en las empresas actuales, obligatoriamente enfrentar su labor profesional en Redes de Computadores, por donde se transporta información sensitiva y vital para las organizaciones. etc.

• Para el informático y para el auditor informático, el entramado conceptual que constituyen las Redes Nodales, Líneas, Concentradores, Multiplexores, Redes Locales, etc. no son sino el soporte físico-lógico del Tiempo Real.

• El auditor tropieza con la dificultad técnica del entorno, pues ha de analizar situaciones y hechos alejados entre sí, y está condicionado a la participación del monopolio telefónico que presta el soporte.

• Como en otros casos, la auditoría de este sector requiere un equipo de especialistas, expertos simultáneamente en Comunicaciones y en Redes Locales (no hay que olvidarse que en entornos geográficos reducidos, algunas empresas optan por el uso interno de Redes Locales, diseñadas y cableadas con recursos propios).

• El auditor de Comunicaciones deberá inquirir sobre los índices de utilización de las líneas contratadas con información abundante sobre tiempos de desuso.

• Deberá proveerse de la topología de la Red de Comunicaciones, actualizada, ya que la desactualización de esta documentación significaría una grave debilidad. La inexistencia de datos sobre la cuantas líneas existen, cómo son y donde están instaladas, supondría que se bordea la Inoperatividad Informática.

PUNTOS CRITICOS

1. Diseño e implementación de la red

a. Análisis de necesidades

d. diseño y selección de la arquitectura.

Revisar el procedimiento seguido en la selección, adquisición e instalación de la red LAN ela

Evaluar los estándares soportados en la arquitectura seleccionada

2. Documentación de la Red

a. Revisar los manuales de diseño.

b. Verificar que exista un plano de las instalaciones correctamente documentados los centros de cableado, los servidores, el cableado y los puntos de red.

DEAJA TU COMENTARIO..........................