INSTITUTO DE EDUCACION SUPERIOR TECNOLOGIA PUBLICA VICTOR RAUL

INSTITUTO DE EDUCACION SUPERIOR TECNOLOGIA PUBLICA «VICTOR RAUL HAYA DE LA TORRE» Auditoria de Sistemas

Introducción El continuo crecimiento de la dependencia hacia los sistemas tecnológicos que soportan los procesos de negocio de las organizaciones, hacen que las organizaciones comprendan y administren los riesgos asociados con la implantación y mantenimiento de las nuevas tecnologías, cada vez más complejas y cambiantes. La tecnología seguirá cambiando la forma de hacer negocios, la conectividad de Internet entrando cada día más a nuestras vidas y cambiando la forma de hacer negocios Estas nuevas tecnologías y la dinámica de cambio continuo que de ellas se deriva, requieren una función de auditoría informática o de sistemas calificada, competente y objetiva, que pueda entender y evaluar el riesgo en los sistemas de información y conlleve en el mejoramiento del control interno, la eficacia de los procesos y la aplicación de MEJORES PRACTICAS orientadas a una adecuada administración del riesgo tecnológico

Auditoria l Inicialmente, la auditoria se limitó a las verificaciones de los registros contables, dedicándose a observar si los mismos eran exactos. l Por lo tanto esta era la forma primaria: Confrontar lo escrito con las pruebas de lo acontecido y las respectivas referencias de los registros. l Con el tiempo, el campo de acción de la auditoria ha continuado extendiéndose; aun hay quienes creen y practican auditorias con el único objetivo de observar la veracidad y exactitud de los registros. l Tomando en cuenta los criterios anteriores podemos decir que la auditoria es la actividad por la cual se verifica la corrección contable de las cifras de los estados financieros; Es la revisión misma de los registros y fuentes de contabilidad para determinar la racionabilidad de las cifras que muestran los estados financieros emanados de ellos.

Tipos de Auditoria

Auditoria de Sistemas Revisión y evaluación de los Recursos Informáticos y de su ambiente. La auditoria de los sistemas de información se define como cualquier auditoria que abarca la revisión y evaluación de todos los aspectos (o de cualquier porción de ellos) de los sistemas automáticos de procesamiento de la información, incluidos los procedimientos no automáticos relacionados con ellos y las interfaces correspondientes. Recursos: l Software l Hardware Comunicaciones Personal (Organización) Políticas y Procedimientos Controles y Seguridad l l

Objetivos Generales l Buscar una mejor relación costo-beneficio de los sistemas automáticos o computarizados diseñados e implantados. l Incrementar la satisfacción de los usuarios de los sistemas computarizados. l Asegurar una mayor integridad, confidencialidad y confiabilidad de la información mediante la recomendación de seguridades y controles. l Conocer la situación actual del área informática y las actividades y esfuerzos necesarios para lograr los objetivos propuestos. l Seguridad de personal, datos, hardware, software e instalaciones. l Apoyo de función informática a las metas y objetivos de la organización. l Seguridad, utilidad, confianza, privacidad y disponibilidad en el ambiente informático. l Minimizar existencias de riesgos en el uso de Tecnología de información. l Decisiones de inversión y gastos innecesarios. l Capacitación y educación sobre controles en los Sistemas de Información.

Objetivos Específicos 1. Participación en el desarrollo de nuevos sistemas: l evaluación de controles l cumplimiento de la metodología. 2. Evaluación de la seguridad en el área informática. 3. Evaluación de suficiencia en los planes de contingencia. l respaldos, preveer qué va a pasar si se presentan fallas. 4. Opinión de la utilización de los recursos informáticos. l resguardo y protección de activos. 5. Control de modificación a las aplicaciones existentes. l fraudes l control a las modificaciones de los programas. 6. Participación en la negociación de contratos con los proveedores. 7. Revisión de la utilización del sistema operativo y los programas l utilitarios.

Objetivos Específicos (cont. ) control sobre la utilización de los sistemas operativos l programas utilitarios. 8. Auditoría de la base de datos. l estructura sobre la cual se desarrollan las aplicaciones. . . 9. Auditoría de la red de teleprocesos. 10. Desarrollo de software de auditoría. l

Normas de Auditoria Los objetivos de estas normas son los de informar a los auditores del nivel mínimo de rendimiento aceptable para satisfacer las responsabilidades profesionales establecidas en el Código de Ética Profesional y de informar a la gerencia y a otras partes interesadas de las expectativas de la profesión con respecto al trabajo de aquellos que la ejercen. l l l l S 1 Estatuto S 2 Independencia S 3 Ética y normas profesionales S 4 Competencia profesional S 5 Planeación S 6 Realización de labores de auditoría S 7 Reporte S 8 Actividades de seguimiento S 9 Irregularidades y acciones ilegales S 10 Gobernabilidad de TI S 11 Uso de la evaluación de riesgos en la planeación de auditoría S 12 Materialidad de la auditoría S 13 Uso del trabajo de otros expertos S 14 Evidencia de auditoría

Proceso de auditoria de Sistemas Un proceso de auditoria basado en riesgo normalmente incluiría las siguientes tareas: l Recopilar información y planificar. l l l Entender el Ambiente de Control Interno l l l Realizando un conocimiento del negocio. Revisando de auditorias anteriores. Información financiera reciente. Leyes y Normativa aplicable. Análisis de los riesgos Inherentes. Ambiente de control. Procedimientos de control. Análisis de riesgo de detección. Determinación del control de riesgo. Efectuar pruebas de cumplimiento. l l Comprobar las políticas y procedimientos. Comprobar la segregación de tareas.

Proceso de auditoria de Sistemas l Efectuar pruebas sustantivas. l l Procedimientos analíticos. Pruebas detalladas de balances de cuenta. Otros procedimientos sustantivos Concluir la Auditoría l Crear recomendaciones l Redactar el informe de auditoría

ASPECTOS DEL MEDIO AMBIENTE INFORMATICO QUE AFECTAN EL ENFOQUE DE LA AUDITORIA El auditor de sistemas podrá enfocar su revisión en distintos aspectos, algunos de los más críticos se describen a continuación l l l Administración del departamento de sistemas. Se debe comprobar la suficiencia de recursos humanos y la segregación de funciones. Control de actividades del área de sistemas. Verificar la existencia y seguimiento de un plan estratégico de sistemas que este alineado con el plan estratégico de la organización en su conjunto. Dicho plan debería ser reflejado en planes anuales del área de sistemas que incluirían detalle de las tareas a realizar por el área en función a determinados plazos y recursos. Control de tareas de desarrollo. Revisión de la existencia, calidad y cumplimiento de normas, políticas y procedimientos de desarrollo de software que permitan llevar a cabo tareas homogéneas entre diferentes proyectos.

ASPECTOS DEL MEDIO AMBIENTE INFORMATICO QUE AFECTAN EL ENFOQUE DE LA AUDITORIA l Control sobre las tareas de mantenimiento y los cambios a programas. Muchas veces las organizaciones se ven afectadas por cambios propiciados por entes regulatorios, de fiscalización, por el ingreso de nuevos servicios y/o productos al mercado, los cuales generan la necesidad de adecuar el sistema a las nuevas necesidades. Esto implica la realización de cambios en los programas, los mismos que deben ser controlados, para lo cual se efectúa el diseño, la programación, las pruebas y la puesta en producción, estos aspectos deben ser controlados de manera adecuada.

ASPECTOS DEL MEDIO AMBIENTE INFORMATICO QUE AFECTAN EL ENFOQUE DE LA AUDITORIA l Seguridad lógica. La revisión de la seguridad lógica permitirá emitir una conclusión sobre: l l l l La administración de perfiles de usuario. La administración de passwords. Control de privilegios especiales La generación de Back. Ups (Respaldos de datos). La generación de Logs. (registro de actividades en el sistema) Los virus y otros malwares. La existencia y características de un plan de contingencia de la organización. Seguridad física. Verificar la existencia y eficiencia de elementos que permitan asegurar las condiciones mínimas para un buen funcionamiento de los equipos principales de la organización, inclusive en caso de emergencias, esto puede incluir UPS, generados de energía, aire acondicionado, piso falso, detector de humo y extintores. El acceso restringido a hardware y equipo de apoyo crítico.

ASPECTOS DEL MEDIO AMBIENTE INFORMATICO QUE AFECTAN EL ENFOQUE DE LA AUDITORIA Estructura de aplicaciones. identificación La sistemas de organización, críticos lade grado de el integración entre los diferentes sistemas, procesos en lote, oportunidades de automatización para mejorar eficiencia, etc. l Estructura de hardware. El auditor puede considerar el tipo y cantidad de servidores y equipos personales existentes en la organización, el sistema operativo utilizado y las características de los mantenimientos realizados a los equipos. l Estructura de comunicaciones. En caso de que la organización cuente con sucursales o que realice operaciones a través de Internet, entre los aspectos a ser considerados se destacan, el tipo de comunicación, la velocidad de transferencia, la topología de la red, la cantidad de usuarios y los servicios prestados / recibidos a través de la red. l Administración de problemas. En este caso se evaluaría la existencia de procedimientos o normas aplicables para la realización de cambios de emergencia, la existencia y evaluación del historial de problemas presentados, el uso de una base de conocimiento, etc. l

ASPECTOS DEL MEDIO AMBIENTE INFORMATICO QUE AFECTAN EL ENFOQUE DE LA AUDITORIA l l Control de proyectos El auditor debe verificar que para los proyectos de TI se lleve a cabo una adecuada técnica o metodología de administración de proyectos a fin de que se produzcan los resultados deseados en tiempo, forma y presupuesto. Continuidad de operaciones El auditor debe verificar el grado de preparación del área de tecnología ante situaciones contingentes o desastres, a fin de mantener la continuidad de las operaciones de forma aceptable y recuperar la normalidad en tiempos de respuesta adecuados.

REQUERIMIENTOS DEL AUDITOR DE SISTEMAS l 1. Entendimiento global e integral del negocio, de sus puntos claves, áreas críticas, entorno económico, social y político. l 2. Entendimiento del efecto de los sistemas en la organización. l 3. Entendimiento de los objetivos de la auditoría. l 4. Conocimiento de los recursos de computación de la empresa. l 5. Conocimiento de los proyectos de sistemas.

Alcance

¿Preocuparse por auditar SI? Auditor Estados Financieros Balanced Scorecard Control Interno Administración de riesgos Regulaciones Auditor de SI Firewalls Hackers VPNs Seguridad Virus Controles de TI Firma digital Riesgos de TI Gobierno Corporativo

¿Qué ha cambiado? No solo la tecnología, también los procesos de revisión a la misma. Antes Ahora

Conclusiones l Toda empresa, pública o privada, que posean Sistemas de Información medianamente complejos, debe someterse a un control estricto de evaluación. l El éxito de una empresa depende de la eficiencia de sus sistemas de información. Una empresa puede contar con personal altamente capacitado, pero si tiene un sistema informático propenso a errores, lento, frágil e inestable; la empresa nunca saldrá a adelante. l La auditoria de sistemas es la indicada para evaluar de manera profunda, una determinada organización a través de su sistema de información automatizado, es importante y relevante. l El auditor debe estar capacitado para comprender los mecanismos que se desarrollan en un procesamiento electrónico. También debe estar preparado para enfrentar sistemas computarizados en los cuales se encuentra la información necesaria para auditar.

Conclusiones l La auditoria de Sistemas debe hacerse por profesionales expertos, una auditoria mal hecha puede acarrear consecuencias drásticas para la empresa auditada, principalmente económicas. l El auditor de sistemas también tiene que correr para estar bien capacitado, necesita recursos de conocimiento al alcance de su mano, el éxito logrado es mejor aun si es acreditado por un tercero reconocido.

TAREA : 1. ¿Que es auditoria informática? 2. ¡Mencione los tipos de auditoria? 3. ¿Cuáles son los requerimientos del auditor de sistemas? ¿Cuáles son los procesos de auditoria de sistemas? 5. ¿Realice un mapa conceptual con respecto a lña auditoria de sistemas?

MUCHAS