CONTROL INTERNO Y AUDITORIA INFORMÁTICA
INTRODUCCIÓN
Tradicionalmente en materia de control interno se adoptaba un enfoque bastante restringido limitados a los controles contables internos.
Durante el ultimo decenio la prensa a informado sobre escándalos relacionados con errores en el otorgamiento de créditos con garantia de inmuebles inexistentes o sobrevalorados, la manipulacion de información privilegiada y otro fallos de los controles que han afectado a las empresas de diferentes sectores.
Por ello hay ambios en las empresas que comprometen los controles internos existentes:
La restructuración de los procesos empresariales.
La gestion de la calidad total.
El redimencionamiento por reducción y/o aumento del tamañphasta el nivel correcto.
La contratación externa
La descntralización
El mundo en general esta cambiando y somete a las empresas a la acción de muchas fuerzas externas tales como la creciente necesidad de acceder a los mercados mundiales de consolidación industrial la intensificación de la competencia y las nuevas tecnologias.
Tendencias externas que influyen en las empresas:
La globalización
La diversificación de actividades
La alimentación de ramas de negocio no rentable o antiguas
La introducción de nuevas productos como respuesta a la competencia
Las fusiones y la formación de alianzas estratégicas
Ante la rapidez de los cambieos los directivos tomam conciencia que para evitar fallos de control signficativos deben revaluar de manera proactiva antes de que surjan los, problemas tomando medidas audaces para su tranquilidad asi como para garntizar el consejo de administración, accionistas, comites y publico que los controles, que los controles internos de la empresa estan adecuadamente diseñada para hacer frente a los retos del futuron y asegurar la integridad en el momento actual.
Un centro de informática de una empresa suele tener una importancia crucial por soportar los sistema de información del negocio por el volumen de recursos y prpuestos que maneja. Por lo tanto aumenta las necesidades de control y auditoria, surgiendo en las organizaciones como medidas organizativas las figuras de control interno y auditoria informaticos.
La auditoráa a cambiado notablemente en los ultimos años con el enorme impacto que ha venido cobrando las técnicas informáticas en la forma de procesar la información para la gerencia. La necesidad de adquirir y mantener conocimientos actualizados de los sistemas informáticos cad vez más acuciante.
Los auditores informáticos aportan conocimientos especializados, asi como su familiaridad con la tecnología informática. Se siguen tratando las mismas las mismas cuestiones de control de auditoría, pero los especialistas en auditoría informática de sistemas basados en ordenadores prestan ayuda valiosa a la organización y a los otros auditores en todo los relativo en los controles sobre dicho temas.
En muchas organizaciones el auditor a dejado de centrarse en la evaluación y la comprobación de resultados de proceos, desplazando su atención a la evaluación de riesgos y comprobación de controles.
Muchos de los controles se incorporan en programas de sistemas o se realizan por parte de la función informática de la organización, representado por el control interno informático.
El enfoque centrado en controles normalmente exige conocimientos informáticos a nivel de la tecnología utilizando en el área o la organización que se examina.
LAS FUNCIONES DE CONTROL INTERNO Y AUDITORÍA INFORMÁTICA
CONTROL INTERNO INFORMÁTICO C.I.I:
Controla diariamente que todas las actividades de sistemas de información sean realizadas cumpliendo los procedimientos, estándares y normas fijados por la dirección de la organización y/o dirección de informática, así como los requerimientos legales.
La misión del C.I.I es asegurarse que las medidas que se obtienen de los mecanismos implantados por cada responsable sean correctas y válidas.
Las función se le asigna a una unidad orgánica perteneciente al staff de la Gerencia de informática y debe estar dotada de las personas y medios materiales requeridos para el cumplimiento de su misión.
En los tratados de auditoría se le denomina CONTROL INTERNO INFORMÁTICO (C.I.I), definición que a nuestro concepto debe ser reemplazado por rl titulo de ADMINISTRACIÓN DE LA SEGURIDAD Y CONTROL DE SISTEMAS (ASYCS), en concordancia a los criterios y conceptos actualizados de las funciones especializadas de control y administración de riesgos.
C.I.I. PRINCIPALES OBJETIVOS
Controlar que todas las actividades se realicen cumpliendo los procedimientos y normas fijadas, evaluar su bondad y asegurarse del cumplimiento de las normas legales.
Asesorarse sobre el conocimiento de las normas.
Colaborar y apoyar el trabajo de Auditoría Informática, así como de las auditorias externas.
Definir, implantar y ejecutar mecanismos y controles para comprobar el logro de los grados adecuados del servicio informático.
C.I.I. PRINCIPALES FUNCIONES
Realizar en los diferente sistemas (centrales, departamentales, redes locales, pc's, etc) y entornos informáticos (producción, desarrollo o pruebas) el control de las diferentes actividades operativas sobre:
Cumplimiento de diferentes procedimientos, normas y controles dictados, Ejemplo Control de cambio y versiones de software.
Controles sobre la producción diaria.
Controles sobre la calidad y eficiencia del desarrollo y mantenimiento del software y del servicio informático.
Controles de las redes de comunicaciones.
Controles sobre el software de base.
Controles en los sistemas microinformáticos.
La seguridad informática:
Usuarios responsables y perfiles de uso de archivos y bases de datos.
Normas de seguridad.
Control de información clasificada.
Control dual de la seguridad informática
Licencias
Contratos con terceros.
Asesorar y transmitir cultura sobre el riesgo informático.
AUDITOR INFORMÁTICO (AI):
Evalúa y comprueba en determinados momentos del tiempo, los controles y procedimientos informáticos más complejos, desarrollando y aplicando técnicas mecanizadas de auditoría, incluyendo el uso de software
En muchos casos ya no es posible verificar manualmente los procedimientos informatizados que resumen, calculan y clasifican datos, por lo que se deberá emplear software de auditoria y otras técnicas asistidas por ordenador.
Es responsable de revisar e informar a la dirección de la empresa, sobre el diseño y funcionamiento de los controles implantados y sobre la fiabilidad de la información suministrada.
EL AUDITOR INFORMÁTICO: Funciones principales
Se puede establecer tres grupos de funciones principales
1.- Participar en las revisiones durante y despues del diseño, realización, implantación y explotación de aplicaciones informaticas, así como es las fases análogas de realización de cambios importantes.
2.-Revisar y juzgar controles implantados en los sistemas informáticos, para verificar su adecuación a las órdenes y instrucciones de la Dirección, requisitos legales, protección de confidencialidad y cobertura ante errores y fraudes.
3.- Revisar y juzgar el nivel de eficacia, utilidad, fiabilidad y seguridad de los equipos e información.
CAMPOS ANÁLOGOS:
La evolución de ambas funciones ha sido espectacular en la ultima década. Muchas de los funcionarios de controles internos informáticos, fueron auditores. Han recibido formación en seguridad informática tras su paso por la formación en auditoría.
Hay una similitud de los objetivos profesionales de control y auditoría, campos análogos que propician una transición natural.
DASYCS - AI:ANALOGÍA
SISTEMA DE CONTROL INFORMÁTICO
DEFINICIÓN Y TIPOS DE CONTROLES INTEROS
Se puede definir el control interno como "cualquier actividad o acción realizada" manual y/o automáticamente para prevenir, corregir errores o irregularidades que puedan afectar al funcionamiento de un sistema para conseguir sus objetivos.
Los controles cuando se diseñen, desarrollen y implanten han de ser al menos completos, simples, fiable, revisables, adecuados y rentables.
Los controles internos que se utilizan en el entorno informático continúan evolucionando hoy en día a medida que los sistemas informáticos se vuelven complejos.
Los progresos que se producen en la tecnología de soportes físicos y de software han modificado de manera significativa los procedimientos que se empleaban tradicionalmente para controlar los procesos de aplicaciones y para gestionar los sistemas de información.
CONTROL INTERNOS INFORMÁTICOS:CLASIFICACIÓN
Controles Preventivos.- Para tratar de evitar el hecho, como un software de seguridad que impida los accesos no autorizados al sistema.
Controles Detectivos:- Cuando fallan los preventivos, para tratar de conocer cuando antes el evento. Por ejemplo, el registro de intentos de acceso no autorizados, el registro de la actividad diaria para detectar errores u omisiones, etc.
Controles Correctivos:- Facilitan la buelta a la normalidad cuando se han producido incidencias. Por ejemplo, la recuperación de un fichero dañado a partir de las copias de seguridad.
RELACIÓN EXISTENTE ENTRE LOS MÉTODOS DE CONTROL, LOS OBJETIVOS DE CONTROL Y LOS OBJETIVOS DE AUDITORÍA.
A medida que los sistemas se han vuelto más complejos, los controles informáticos han evolucionado hasta convertise en procesos integrados en los que se atenúan las diferencias entre las categorias tradicionales de controles informáticos.
Por ejemplo, en los actuales sistemas informáticos pueden resultar dificil ver la diferencia entre seguridad de los programas, de los datos y objetivos de control del software del sistema, porque el mismo grupo de métodos de control satisface casi totalmente los tres objetivos de control.
La relación entre los métodos de control y los objetivos de control puede demostrarse en el siguiente. Ejemplo, en el que un mismo conjunto de métodos de control se utiliza para satisfacer objetivos de control tanto de mantenimiento como de seguridad de programas:
Objetivo de control de mantemiento: Asegurar que las modificaciones de los procedimientos programados estén adecuadamente diseñadas, probadas, aprobadas e implantadas.
Objetivo de control de seguridad de programas: Garantizar que no se puedan efectuar cambios no autorizados en los procedimientos programados.
IMPLANTACIÓN DE UN SISTEMA DE CONTROL INTERNO INFORMÁTICO
CRITERIO BÁSICO
Los controles pueden implantarse a varios niveles.
La evaluación de controles de tecnología de la información exige analizar diversos elementos interdependientes. Por ello es importante conocer bien la configuración del sistema, para poder identificar los elementos, productos, herramientas que existen para saber donde puedan implantarse los controles, asi como para identificar los posibles riesgos.
CONOCER LA CONFIGURACIÓN DEL SISTEMA
Para llegar a conocer la configuración del sistema es necesario documentar los detalles de la red, así como los distintos niveles de control y elementos relacionados:
Entorno de red.- Esquema de la red descripsión de la configuración de hardware de comunicaciones, descripción de software que se utiliza como acceso a las telecomunicaciones, control de red, situación general de los ordenadores de enternos de base que soportan las aplicaciones críticas y consideraciones relativas a la seguridad de la red.
Configuración del ordenador base:- Configuración del soporte físico, entorno del sistema operativo, software con particiones, entornos (Pruebas y real), bibliotecas de programas y conjunto datos.
Entorno de aplicaciones:- Proceso de transacciones, sistemas de gestión de base de datos y entornos de procesos distribuidos.
Procesos y herramientas:- Software para desarrollo de programas, software de gestión de bibliotecas y para operaciones automáticas.
Seguridad del ordenador base:_ Identificar y verificar usuarios, control de acceso, registro e información, integridad del sistema, controles de supervisión, etc.
PARA LA IMPLANTACIÓN DE UN SISTEMA DE CONTROL INTERNO INFORMÁTICO DEBE DEFINIRSE:
Gestión de sistemas de informacón.- Política, Pautas y normas técnicas que sirvan para el diseño y la implantación de los sistemas de información y de los controles correspondientes.
Administración de sistemas.- controles sobre la actividad de los centros de datos y otras funciones de apoyo al sistema, incluyendo la administración de las redes.
Seguridad.- incluye las tres clases de controles fundamentales implantados en el software del sistema, integridad del sistema, confidencialidad (control de acceso) y disponibilidad.
Gestión de cambio.- separación de las pruebas y la producción a nivel de software y controles de procedimientos para la migración de programas software aprobados y probados.
RESPALDO PARA LA IMPLANTACIÓN DE UNA POLÍTICA Y CULTURA DE SEGURIDAD
Dirección de Negocio o Dirección de Sistemas de Información (S.I).- Define la política y/o directrices para los sistemas de información en base a las exigencias del negocio, que podrán ser internas o externas.
Dirección de Informática.- Ha de definir las normas de funcionamiento del entorno informático y de cada una de las funciones de informática mediante la creación y publicación de procedimientos, estándares, metodología y normas, aplicables a todas las áreas de informática así como a los usuarios, que establezcan el marco de funcionamiento.
Control Interno Informático.- ha de definir los diferentes controles periódicos a realizar en cada una de las funciones informáticas, de acuerdo al nivel de riesgo de cada una de ellas, y ser diseñados conforme a los objetivos de negocio y dentro del marco legal aplicable. Estos se plasmarán en los oportunos procedimientos de control interno y podrán ser preventivos o de detección. Periódicamente realizará la revisión de controles establecidos de Control Interno Informático informando las desviaciones a la Dirección de Informática y sugiriendo cuantos cambios crea convenientes en los controles, así como trasmitirá constantemente a toda la organización de Informática la cultura y políticas de riesgo informático.
Auditor interno/externo informático.- ha de revisar los diferentes controles internos definidos en cada una de las funciones informáticas y el cumplimiento de normativa interna y externa, de acuerdo al nivel de riesgo, conforme a os objetivos definidos por la Dirección de Negocio y la Dirección de Informática. Informará a la Alta Dirección de los hechos observados y al detectarse deficiencias o ausencias de controles recomendarán acciones que minimicen los riesgos que puedan originarse.
La creación de un sistema de control informático es una responsabilidad de la Gerencia y un punto destacable de la política en el entorno informático
CONTROL INTERNO Y AUDITORÍA
CONTROLES INTERNOS PARA SISTEMAS DE INFORMACIÓN
AGRUPADOS POR SECCIONES FUNCIONALES Y QUE SERÍAN LOS QUE CONTROL INTERNO INFORMÁTICO Y AUDITORÍA INFORMÁTICA DEBERÍAN VERIFICAR PARA DETERMINAR SU CUMPLIMIENTO Y VALIDEZ
CONTROLES DE DESARROLLO, ADQUISICIÓN Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN
Para que permitan alcanzar la eficacia del sistema, economía y eficiencia, integridad de los datos, protección de los recursos y cumplimiento con las leyes y regulaciones.
Metodología del ciclo de vida del desarrollo de sistemas. Principales controles:
La Alta Dirección debe publicar una normativa sobre el uso de metodología de ciclo de vida de desarrollo de sistemas y revisar ésta periódicamente.
La metodología debe establecer los papeles y responsabilidades de las distintas áreas del Departamento de Informática y de los Usuarios, así como la composición y responsabilidades del equipo del proyecto.
Las especificaciones del nuevo sistema deben ser definidas por los usuarios y quedar escritas y aprobadas antes e que comience el proceso de desarrollo.
Debe establecerse un estudio tecnológico de viabilidad en el cual se formulen formas alternativas de alcanzar los objetivos acompañadas de un análisis costo-beneficio de cada alternativa.
Cuando se seleccione una alternativa debe formularse el plan director del proyecto. En dicho plan deberá existir una metodología de control de costos.
CONTROLES EN LA METODOLOGÍA DE DESARROLLO DE SISTEMAS
Procedimientos para la definición y documentación de especificaciones de: diseño, de entrada, de salida, de ficheros, de procesos, de programas, de controles de seguridad, de pistas de auditoría, etc.
Plan de validación, verificación y pruebas.
Estándares de prueba de programas, de pruebas de sistemas.
Plan de conversión: prueba de aceptación final.
Los procedimientos de adquisición de software deberán seguir las políticas de adquisición de la organización y dichos productos deberán ser probados y revisados antes de pagar por ellos y ponerlos en uso.
La contratación de outsourcing debe estar justificada mediante una petición escrita de un director del proyecto.
Deberán prepararse manuales de operación y mantenimiento como parte de todo proyecto de desarrollo o modificación de sistemas de información, así como manuales de usuario.
EXPLOTACIÓN Y MANTENIMIENTO
El establecimiento de controles asegurará que los datos se traten de forma congruente y exacta y que el contenido de sistemas sólo será modificado mediante autorización adecuada.
Algunos controles que deben implantarse:
Procedimiento de control de explotación.
Sistema de contabilidad para asignar usuarios de costos asociados con la explotación de un sistema de información.
Procedimientos para realizar un seguimiento y control de los cambios de un sistema de información.
CONTROLES DE EXPLOTACIÓN DE SISTEMAS DE INFORMACIÓN
Planificación y Gestión de recurso: definir el presupuesto operativo del Departamento, Plan de adquisición de equipos y gestión de la capacidad de los equipos.
Controles para usar de manera efectiva los recursos en ordenadores:
Calendario de carga de trabajo.
Programación de personal.
Mantenimiento preventivo del material.
Gestión de problemas y cambios.
Procedimientos de facturación a usuarios.
Sistemas de gestión de la biblioteca de soportes.
Procedimientos de selección del software del sistema, de instalación, de mantenimiento, de seguridad y control de cambios.
SEGURIDAD FÍSICA Y LÓGICA
Definir un grupo de seguridad de la información, siendo una de sus funciones la administración y gestión del software de seguridad, revisar periódicamente los informes de violaciones y actividad de seguridad para identificar y resolver incidentes.
Controles físicos para asegurar que el acceso a las instalaciones del Dpto. de Informática quede restringido a las personas autorizadas.
• Control de visitas: personas externas a la organización.
• Instalación de medidas de protección contra el fuego.
• Formación y concientización en procedimientos de seguridad y evacuación del edificio.
• Control de acceso restringido a los ordenadores.
• Normas que regulen el acceso a los recursos informáticos.
• Existencia de un plan de contingencias para el respaldo de recursos de ordenador críticos y para la recuperación de los servicios del Dpto. Informático después de una interrupción imprevista de los mismos.
CONTROLES DE APLICACIONES
Cada aplicación debe llevar controles incorporados para garantizar la entrada, actualización, validez y mantenimiento completos y exactos de los datos.
Aspectos más importantes en el control de datos:
– Control de entrada de datos: procedimientos de conversión y de entrada, validación y corrección de datos.
– Control de tratamientos de datos para asegurar que no se dan de alta, modifican o borran datos no autorizados para garantizar la integridad de los mismos mediante procesos no autorizados.
– Controles de salidas de datos: sobre el cuadre y reconciliación de salidas, procedimientos de distribución de salidas, de gestión de errores en las salidas, etc.
CONTROLES ESPECÍFICOS DE CIERTAS TECNOLOGÍAS
Controles en sistemas de Gestión de Base de datos.
Sobre el software de gestión de BD para preveer el acceso a la estructuración de y el control sobre los datos compartidos, deberá instalarse y mantenerse de modo tal que asegure la integridad del software, las bases de datos y las instrucciones de control que definen el entorno.
Que están definidas las responsabilidades sobre la planificación, organización, dotación y control de los activos de datos, es decir, un administrador de datos.
Que existen procedimientos para la descripción y los cambios de datos así como para el mantenimiento del diccionario de datos.
Sobre el acceso de datos y la concurrencia.
Para minimizar fallos, recuperar el entorno de las bases de datos hasta el punto de la caída y minimizar el tiempo necesario para la recuperación
Controles para asegurar la integridad de los datos: programas de utilidad para comprobar los enlaces físicos – punteros – asociados a los datos, registros de control para mantener los balances transitorios de transacciones para su posterior cuadre con totales generados por el usuario o por otros sistemas.
CONTROLES ESPECÍFICOS DE CIERTAS TECNOLOGÍAS
Planes adecuados de implantación, conversión y pruebas de aceptación para la red.
Existencia de un grupo de control de red.
Controles para asegurar la compatibilidad de conjunto de datos entre aplicaciones cuando la red es distribuida.
Procedimientos que definan las medidas y controles de seguridad a ser usados en la red de informática en conexión con la distribución del contenido de bases de datos entre los departamentos que usan la red.
Que se identifiquen todos los conjuntos de datos sensibles de la red y que se han determinado las especificaciones para su seguridad.
Existencia de inventario de todos los activos de la red.
Existencia de mantenimiento preventivo de todos los activos.
Que existen controles que verifican que todos los mensajes de salida se validan de forma rutinaria para asegurar que contienen direcciones de destino válidas.
Controles de seguridad lógica: control de acceso a la red, establecimiento de perfiles de usuario.
Procedimientos de cifrado de información sensible que se transmite a través de la red.
Procedimientos de cifrado de información sensible que se transmite a través de la red.
Procedimientos automáticos para resolver cierres del sistema.
Monitorización para medir la eficiencia de la red.
Diseñar el trazado físico y las medidas de seguridad de las líneas de comunicación local dentro de la organización.
Detectar la correcta o mala recepción de mensajes.
Identificar los mensajes por una clave individual de usuario, por terminal y por el número de secuencia del mensaje.
Revisar los contratos de mantenimiento y el tiempo medio de servicio acordados con el proveedor.
Determinar si el equipo multiplexor/concentrador/procesador frontal remoto tiene lógica redundante y poder de respaldo con realimentación automática para casos de fallas.
Asegurarse de que haya procedimientos de recuperación y reinicio.
Asegurarse de que existan pistas de auditoría que puedan usarse en la reconstrucción de los archivos de datos y de las transacciones de los diversos terminales. Debe existir la capacidad de rastrear los datos entre el terminal y el usuario.
Considerar circuitos de conmutación que usen rutas alternativas para diferentes paquetes de información provenientes del mismo mensaje; esto ofrece una forma de seguridad en caso alguien intercepte los mensajes.
FUNCIÓN CONTROL EN LOS SISTEMAS
Función control esparcida en la empresa.
Consecuencia del desarrollo empresarial.
Especialización de sus áreas con infraestructura tecnológica.
Decisiones basadas en información confiable, adecuado en tiempo y forma.
Administración de empresas apoyada en tecnología.
Persona encargadas de control: cómo hacer para obtener efectividad en sus funciones, si no participan en el desarrollo de los sistemas.
Tendencia se invierte con activa participación de la función de control en el desarrollo, implementación y seguimiento de los sistemas de informática.
CONTROL INTERNOS INFORMÁTICOS:CLASIFICACIÓN
Controles Preventivos.- Para tratar de evitar el hecho, como un software de seguridad que impida los accesos no autorizados al sistema.
Controles Detectivos:- Cuando fallan los preventivos, para tratar de conocer cuando antes el evento. Por ejemplo, el registro de intentos de acceso no autorizados, el registro de la actividad diaria para detectar errores u omisiones, etc.
Controles Correctivos:- Facilitan la buelta a la normalidad cuando se han producido incidencias. Por ejemplo, la recuperación de un fichero dañado a partir de las copias de seguridad.
RELACIÓN EXISTENTE ENTRE LOS MÉTODOS DE CONTROL, LOS OBJETIVOS DE CONTROL Y LOS OBJETIVOS DE AUDITORÍA.
A medida que los sistemas se han vuelto más complejos, los controles informáticos han evolucionado hasta convertise en procesos integrados en los que se atenúan las diferencias entre las categorias tradicionales de controles informáticos.
Por ejemplo, en los actuales sistemas informáticos pueden resultar dificil ver la diferencia entre seguridad de los programas, de los datos y objetivos de control del software del sistema, porque el mismo grupo de métodos de control satisface casi totalmente los tres objetivos de control.
La relación entre los métodos de control y los objetivos de control puede demostrarse en el siguiente. Ejemplo, en el que un mismo conjunto de métodos de control se utiliza para satisfacer objetivos de control tanto de mantenimiento como de seguridad de programas:
Objetivo de control de mantemiento: Asegurar que las modificaciones de los procedimientos programados estén adecuadamente diseñadas, probadas, aprobadas e implantadas.
Objetivo de control de seguridad de programas: Garantizar que no se puedan efectuar cambios no autorizados en los procedimientos programados.
IMPLANTACIÓN DE UN SISTEMA DE CONTROL INTERNO INFORMÁTICO
CRITERIO BÁSICO
Los controles pueden implantarse a varios niveles.
La evaluación de controles de tecnología de la información exige analizar diversos elementos interdependientes. Por ello es importante conocer bien la configuración del sistema, para poder identificar los elementos, productos, herramientas que existen para saber donde puedan implantarse los controles, asi como para identificar los posibles riesgos.
CONOCER LA CONFIGURACIÓN DEL SISTEMA
Para llegar a conocer la configuración del sistema es necesario documentar los detalles de la red, así como los distintos niveles de control y elementos relacionados:
Entorno de red.- Esquema de la red descripsión de la configuración de hardware de comunicaciones, descripción de software que se utiliza como acceso a las telecomunicaciones, control de red, situación general de los ordenadores de enternos de base que soportan las aplicaciones críticas y consideraciones relativas a la seguridad de la red.
Configuración del ordenador base:- Configuración del soporte físico, entorno del sistema operativo, software con particiones, entornos (Pruebas y real), bibliotecas de programas y conjunto datos.
Entorno de aplicaciones:- Proceso de transacciones, sistemas de gestión de base de datos y entornos de procesos distribuidos.
Procesos y herramientas:- Software para desarrollo de programas, software de gestión de bibliotecas y para operaciones automáticas.
Seguridad del ordenador base:_ Identificar y verificar usuarios, control de acceso, registro e información, integridad del sistema, controles de supervisión, etc.
PARA LA IMPLANTACIÓN DE UN SISTEMA DE CONTROL INTERNO INFORMÁTICO DEBE DEFINIRSE:
Gestión de sistemas de informacón.- Política, Pautas y normas técnicas que sirvan para el diseño y la implantación de los sistemas de información y de los controles correspondientes.
Administración de sistemas.- controles sobre la actividad de los centros de datos y otras funciones de apoyo al sistema, incluyendo la administración de las redes.
Seguridad.- incluye las tres clases de controles fundamentales implantados en el software del sistema, integridad del sistema, confidencialidad (control de acceso) y disponibilidad.
Gestión de cambio.- separación de las pruebas y la producción a nivel de software y controles de procedimientos para la migración de programas software aprobados y probados.
RESPALDO PARA LA IMPLANTACIÓN DE UNA POLÍTICA Y CULTURA DE SEGURIDAD
Dirección de Negocio o Dirección de Sistemas de Información (S.I).- Define la política y/o directrices para los sistemas de información en base a las exigencias del negocio, que podrán ser internas o externas.
Dirección de Informática.- Ha de definir las normas de funcionamiento del entorno informático y de cada una de las funciones de informática mediante la creación y publicación de procedimientos, estándares, metodología y normas, aplicables a todas las áreas de informática así como a los usuarios, que establezcan el marco de funcionamiento.
Control Interno Informático.- ha de definir los diferentes controles periódicos a realizar en cada una de las funciones informáticas, de acuerdo al nivel de riesgo de cada una de ellas, y ser diseñados conforme a los objetivos de negocio y dentro del marco legal aplicable. Estos se plasmarán en los oportunos procedimientos de control interno y podrán ser preventivos o de detección. Periódicamente realizará la revisión de controles establecidos de Control Interno Informático informando las desviaciones a la Dirección de Informática y sugiriendo cuantos cambios crea convenientes en los controles, así como trasmitirá constantemente a toda la organización de Informática la cultura y políticas de riesgo informático.
Auditor interno/externo informático.- ha de revisar los diferentes controles internos definidos en cada una de las funciones informáticas y el cumplimiento de normativa interna y externa, de acuerdo al nivel de riesgo, conforme a os objetivos definidos por la Dirección de Negocio y la Dirección de Informática. Informará a la Alta Dirección de los hechos observados y al detectarse deficiencias o ausencias de controles recomendarán acciones que minimicen los riesgos que puedan originarse.
La creación de un sistema de control informático es una responsabilidad de la Gerencia y un punto destacable de la política en el entorno informático
CONTROL INTERNO Y AUDITORÍA
CONTROLES INTERNOS PARA SISTEMAS DE INFORMACIÓN
AGRUPADOS POR SECCIONES FUNCIONALES Y QUE SERÍAN LOS QUE CONTROL INTERNO INFORMÁTICO Y AUDITORÍA INFORMÁTICA DEBERÍAN VERIFICAR PARA DETERMINAR SU CUMPLIMIENTO Y VALIDEZ
CONTROLES DE DESARROLLO, ADQUISICIÓN Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN
Para que permitan alcanzar la eficacia del sistema, economía y eficiencia, integridad de los datos, protección de los recursos y cumplimiento con las leyes y regulaciones.
Metodología del ciclo de vida del desarrollo de sistemas. Principales controles:
La Alta Dirección debe publicar una normativa sobre el uso de metodología de ciclo de vida de desarrollo de sistemas y revisar ésta periódicamente.
La metodología debe establecer los papeles y responsabilidades de las distintas áreas del Departamento de Informática y de los Usuarios, así como la composición y responsabilidades del equipo del proyecto.
Las especificaciones del nuevo sistema deben ser definidas por los usuarios y quedar escritas y aprobadas antes e que comience el proceso de desarrollo.
Debe establecerse un estudio tecnológico de viabilidad en el cual se formulen formas alternativas de alcanzar los objetivos acompañadas de un análisis costo-beneficio de cada alternativa.
Cuando se seleccione una alternativa debe formularse el plan director del proyecto. En dicho plan deberá existir una metodología de control de costos.
CONTROLES EN LA METODOLOGÍA DE DESARROLLO DE SISTEMAS
Procedimientos para la definición y documentación de especificaciones de: diseño, de entrada, de salida, de ficheros, de procesos, de programas, de controles de seguridad, de pistas de auditoría, etc.
Plan de validación, verificación y pruebas.
Estándares de prueba de programas, de pruebas de sistemas.
Plan de conversión: prueba de aceptación final.
Los procedimientos de adquisición de software deberán seguir las políticas de adquisición de la organización y dichos productos deberán ser probados y revisados antes de pagar por ellos y ponerlos en uso.
La contratación de outsourcing debe estar justificada mediante una petición escrita de un director del proyecto.
Deberán prepararse manuales de operación y mantenimiento como parte de todo proyecto de desarrollo o modificación de sistemas de información, así como manuales de usuario.
EXPLOTACIÓN Y MANTENIMIENTO
El establecimiento de controles asegurará que los datos se traten de forma congruente y exacta y que el contenido de sistemas sólo será modificado mediante autorización adecuada.
Algunos controles que deben implantarse:
Procedimiento de control de explotación.
Sistema de contabilidad para asignar usuarios de costos asociados con la explotación de un sistema de información.
Procedimientos para realizar un seguimiento y control de los cambios de un sistema de información.
CONTROLES DE EXPLOTACIÓN DE SISTEMAS DE INFORMACIÓN
Planificación y Gestión de recurso: definir el presupuesto operativo del Departamento, Plan de adquisición de equipos y gestión de la capacidad de los equipos.
Controles para usar de manera efectiva los recursos en ordenadores:
Calendario de carga de trabajo.
Programación de personal.
Mantenimiento preventivo del material.
Gestión de problemas y cambios.
Procedimientos de facturación a usuarios.
Sistemas de gestión de la biblioteca de soportes.
Procedimientos de selección del software del sistema, de instalación, de mantenimiento, de seguridad y control de cambios.
SEGURIDAD FÍSICA Y LÓGICA
Definir un grupo de seguridad de la información, siendo una de sus funciones la administración y gestión del software de seguridad, revisar periódicamente los informes de violaciones y actividad de seguridad para identificar y resolver incidentes.
Controles físicos para asegurar que el acceso a las instalaciones del Dpto. de Informática quede restringido a las personas autorizadas.
• Control de visitas: personas externas a la organización.
• Instalación de medidas de protección contra el fuego.
• Formación y concientización en procedimientos de seguridad y evacuación del edificio.
• Control de acceso restringido a los ordenadores.
• Normas que regulen el acceso a los recursos informáticos.
• Existencia de un plan de contingencias para el respaldo de recursos de ordenador críticos y para la recuperación de los servicios del Dpto. Informático después de una interrupción imprevista de los mismos.
CONTROLES DE APLICACIONES
Cada aplicación debe llevar controles incorporados para garantizar la entrada, actualización, validez y mantenimiento completos y exactos de los datos.
Aspectos más importantes en el control de datos:
– Control de entrada de datos: procedimientos de conversión y de entrada, validación y corrección de datos.
– Control de tratamientos de datos para asegurar que no se dan de alta, modifican o borran datos no autorizados para garantizar la integridad de los mismos mediante procesos no autorizados.
– Controles de salidas de datos: sobre el cuadre y reconciliación de salidas, procedimientos de distribución de salidas, de gestión de errores en las salidas, etc.
CONTROLES ESPECÍFICOS DE CIERTAS TECNOLOGÍAS
Controles en sistemas de Gestión de Base de datos.
Sobre el software de gestión de BD para preveer el acceso a la estructuración de y el control sobre los datos compartidos, deberá instalarse y mantenerse de modo tal que asegure la integridad del software, las bases de datos y las instrucciones de control que definen el entorno.
Que están definidas las responsabilidades sobre la planificación, organización, dotación y control de los activos de datos, es decir, un administrador de datos.
Que existen procedimientos para la descripción y los cambios de datos así como para el mantenimiento del diccionario de datos.
Sobre el acceso de datos y la concurrencia.
Para minimizar fallos, recuperar el entorno de las bases de datos hasta el punto de la caída y minimizar el tiempo necesario para la recuperación
Controles para asegurar la integridad de los datos: programas de utilidad para comprobar los enlaces físicos – punteros – asociados a los datos, registros de control para mantener los balances transitorios de transacciones para su posterior cuadre con totales generados por el usuario o por otros sistemas.
CONTROLES ESPECÍFICOS DE CIERTAS TECNOLOGÍAS
Planes adecuados de implantación, conversión y pruebas de aceptación para la red.
Existencia de un grupo de control de red.
Controles para asegurar la compatibilidad de conjunto de datos entre aplicaciones cuando la red es distribuida.
Procedimientos que definan las medidas y controles de seguridad a ser usados en la red de informática en conexión con la distribución del contenido de bases de datos entre los departamentos que usan la red.
Que se identifiquen todos los conjuntos de datos sensibles de la red y que se han determinado las especificaciones para su seguridad.
Existencia de inventario de todos los activos de la red.
Existencia de mantenimiento preventivo de todos los activos.
Que existen controles que verifican que todos los mensajes de salida se validan de forma rutinaria para asegurar que contienen direcciones de destino válidas.
Controles de seguridad lógica: control de acceso a la red, establecimiento de perfiles de usuario.
Procedimientos de cifrado de información sensible que se transmite a través de la red.
Procedimientos de cifrado de información sensible que se transmite a través de la red.
Procedimientos automáticos para resolver cierres del sistema.
Monitorización para medir la eficiencia de la red.
Diseñar el trazado físico y las medidas de seguridad de las líneas de comunicación local dentro de la organización.
Detectar la correcta o mala recepción de mensajes.
Identificar los mensajes por una clave individual de usuario, por terminal y por el número de secuencia del mensaje.
Revisar los contratos de mantenimiento y el tiempo medio de servicio acordados con el proveedor.
Determinar si el equipo multiplexor/concentrador/procesador frontal remoto tiene lógica redundante y poder de respaldo con realimentación automática para casos de fallas.
Asegurarse de que haya procedimientos de recuperación y reinicio.
Asegurarse de que existan pistas de auditoría que puedan usarse en la reconstrucción de los archivos de datos y de las transacciones de los diversos terminales. Debe existir la capacidad de rastrear los datos entre el terminal y el usuario.
Considerar circuitos de conmutación que usen rutas alternativas para diferentes paquetes de información provenientes del mismo mensaje; esto ofrece una forma de seguridad en caso alguien intercepte los mensajes.
FUNCIÓN CONTROL EN LOS SISTEMAS
Función control esparcida en la empresa.
Consecuencia del desarrollo empresarial.
Especialización de sus áreas con infraestructura tecnológica.
Decisiones basadas en información confiable, adecuado en tiempo y forma.
Administración de empresas apoyada en tecnología.
Persona encargadas de control: cómo hacer para obtener efectividad en sus funciones, si no participan en el desarrollo de los sistemas.
Tendencia se invierte con activa participación de la función de control en el desarrollo, implementación y seguimiento de los sistemas de informática.
