Una muestra para ver como se hace una auditoria informatica

Controles y su Clasificación

Conjunto de disposiciones metódicas, cuyo fin es vigilar las funciones y actitudes de las empresas y para ello permite verificar si todo se realiza conforme a los programas adoptados, ordenes impartidas y principios admitidos. Su clasificación general en:

• Controles Preventivos

Son aquellos que reducen la frecuencia con que ocurren las causas del riesgo, permitiendo cierto margen de violaciones .

Ejemplos: Letrero "No fumar" para salvaguardar las instalaciones

Sistemas de claves de acceso

• Controles Detectivos

Son aquellos que no evitan que ocurran las causas del riesgo sino que los detecta luego de ocurridos. Son los mas importantes para el auditor. En cierta forma sirven para evaluar la eficiencia de los controles preventivos.

Ejemplo: Archivos y procesos que sirvan como pistas de auditoría

Procedimientos de validación

• Controles Correctivos

Ayudan a la investigación y corrección de las causas del riesgo. La corrección adecuada puede resultar dificil e ineficiente, siendo necesaria la implantación de controles detectivos sobre los controles correctivos, debido a que la corrección de errores es en si una actividad altamente propensa a errores.

Justificativos para Efectuar una Auditoria de Sistemas

Aumento considerable e injustificado del presupuesto del PAD (Departamento de Procesamiento de Datos).

Desconocimiento en el nivel directivo de la situación informática de la empresa.

Falta total o parcial de seguridades lógicas y fisicas que garanticen la integridad del personal, equipos e información.

Descubrimiento de fraudes efectuados con el computador.

Falta de una planificación informática.

Organización que no funciona correctamente, falta de políticas, objetivos, normas, metodología, asignación de tareas y adecuada administración del Recurso Humano.

Descontento general de los usuarios por incumplimiento de plazos y mala calidad de los resultados.

Falta de documentación o documentación incompleta de sistemas que revela la dificultad de efectuar el mantenimiento de los sistemas en producción.

Objetivos Especificos de la Auditoria de Sistemas

1._ Participación en el desarrollo de nuevos sistemas:

• evaluación de controles
• cumplimiento de la metodología.

2._ Evaluación de la seguridad en el área informática.

3._ Evaluación de suficiencia en los planes de contingencia.

• respaldos, preveer qué va a pasar si se presentan fallas.

4._ Opinión de la utilización de los recursos informáticos.

• resguardo y protección de activos.

5._ Control de modificación a las aplicaciones existentes.

• fraudes
• control a las modificaciones de los programas.

6._ Participación en la negociación de contratos con los proveedores.

7._ Revisión de la utilización del sistema operativo y los programas

• utilitarios.
• control sobre la utilización de los sistemas operativos
• programas utilitarios.

8._ Auditoría de la base de datos.

• estructura sobre la cual se desarrollan las aplicaciones...

9._ Auditoría de la red de teleprocesos.

10._ Desarrollo de software de auditoría.

Es el objetivo final de una auditoría de sistemas bien implementada, desarrollar software capaz de estar ejerciendo un control continuo de las operaciones del área de procesamiento de datos.

Pasos del Auditor y Del Auditado

Auditoria

Tendencias que Afectan a los Sistemas de Información

Al considerar un Sistema de Información como un conjunto de normas y procesos generales de una determinada, se deben considerar algunos puntos negativos y positivos que afectan directamente al sistema así por ejemplo:

Actualizaciones: Se refiere a que los sistemas de información de cualquier empresa, debe ser revisado periódicamente; no con una frecuencia continua, si no mas bien espaciada, se recomienda las revisiones bi – anuales (No se recomienda que se actualice en una empresa paulatinamente, por ejemplo el software, cuadros estadísticos, es recomendable dentro de un año cambiarlo, todo lo que es máquinas y software; por que si no realizaríamos esto, se cambiaría toda la estructura organizacional de la misma).

Reestructuración Organizacional: (Puede ser una reestructuración con los mismos puestos)

Una reestructuración organizacional con cualquier empresa, implica cambios siempre en vista a buscar un mejor funcionamiento, evitar la burocracia, agilitar trámites o procesos, la reestructuración puede ser de varios tipos, así por ejemplo. Aumentar o disminuir departamentos, puestos, reestructuración de objetivos, etc. Siempre la reestructuración afecta a los sistemas de información de la empresa.

Revisión y Valorización del escalafón: (No es para bien si no también para mal)

La revisión y la revalorización del escalafón se espera que afecte a favor de los sistemas de información de las empresas, si el efecto es contrario el auditor informático deberá emitir un informe del empleado a los empleados (Específicamente de departamentos), que están boicoteando la información de la empresa.

Cambios en el flujo de Información: (Datos para el sistema de Información)

Se refiere al cambio de flujo de datos exclusivamente en el área informática, esto afecta directamente en sistema informático y por tanto al sistema de información. En lo que respecta a la Auditoría informática, el efecto puede ser positivo y negativo, dependiendo a los resultados obtenidos en cuanto al proceso de datos (menos seguridad, mas seguridad, backup).