Identificacion del entorno de auditoria: Identificacion del entorno de auditoria

Identificación del entorno de auditoria

Las organizaciones informáticas forman parte de lo que se ha denominado el "management" o gestión de la empresa. Debido a su importancia en el funcionamiento de una empresa, existe la Auditoria Informática.

La palabra auditoría proviene del latín auditorio, y de esta proviene la palabra auditor, que se refiere a todo aquel que tiene la virtud de oír.

Conceptos de Auditoria Informática

Es un examen que se realiza con carácter objetivo, crítico, sistemático y selectivo con el fin de evaluar la eficacia y eficiencia del uso adecuado de los recursos informáticos, de la gestión informática y si estas han brindado el soporte adecuado a los objetivos y metas del negocio. Estos son unos conceptos de la auditoria informática:

La Auditoria de Tecnología de Información (T.I.) como se le conoce actualmente, (Auditoria informática o Auditoria de sistemas en nuestro medio), se ha consolidado en el mundo entero como cuerpo de conocimientos cierto y consistente, respondiendo a la acelerada evolución de la tecnología informática de los últimos 10 años.
La INFORMACIÓN es considerada un activo tan o más importante que cualquier otro en una organización.

OBJETIVOS DE LA AUDITORIA INFORMÁTICA

La Auditoria Informática deberá comprender no sólo la evaluación de los equipos de cómputo, de un sistema o procedimiento específico, sino que además habrá de evaluar los sistemas de información en general desde sus entradas, procedimientos, controles, archivos, seguridad y obtención de información.

Esta es de vital importancia para el buen desempeño de los sistemas de información, ya que proporciona los controles necesarios para que los sistemas sean confiables y con un buen nivel de seguridad. Además debe evaluar todo: informática, organización de centros de información, hardware y software.

Control de la función informática

Consiste en examinar los recursos, las operaciones, los beneficios y los gastos de las producciones (servicios y/o productos de los Sistemas Informáticos), de los Organismos sujetos a control, con al finalidad de evaluar la eficacia y eficiencia Administrativa Técnica y/u Operacional de los Organismos, en concordancia con los principios, normas, técnicas y procedimientos normalmente aceptados. Asimismo de los Sistemas (Planes, Programas y Presupuestos, Diseño, Software, Hardware, Seguridad, Respaldos y otros) adoptados por la Organización para su dinámica de Gestión en salvaguarda de los Recursos del Estado.

Existe otra definición sobre el "control técnico" en materia de Sistemas e Informática, y esta se orienta a la revisión del Diseño de los Planes, Diseños de los Sistemas, la demostración de su eficacia, la Supervisión compulsa de rendimientos, Pruebas de Productividad de la Gestión - Demanda llamada "Pruebas intermedias", el análisis de resultados, niveles y medios de seguridad, respaldo, y el almacenamiento. Así mismo medición de la vida útil del Sistema Informático adoptado por la Organización bajo control.
Los Procedimientos Específicos Informáticos. Igualmente, se revisara su existencia en las áreas fundamentales. Así, Explotación no debería explotar una Aplicación sin haber exigido a Desarrollo la pertinente documentación. Del mismo modo, deberá comprobarse que los Procedimientos Específicos no se opongan a los Procedimientos Generales. En todos los casos anteriores, a su vez, deberá verificarse que no existe contradicción alguna con la Normativa y los Procedimientos Generales de la propia empresa, a los que la Informática debe estar sometida.

Análisis de la eficiencia de los sistemas informática

El sistema informático es considerado como un sistema con componentes (recursos) que acepta entradas, las procesa y produce salidas. el proceso de análisis examina la adecuación de las salidas a lo que son las entradas y el proceso.

El sistema informático es el objeto de análisis: se utilizan los datos del funcionamiento del s.i. para comprobar la correcta utilización del mismo, no la adecuación entre entradas y salidas, si no el uso de los recursos: la memoria central y virtual, los discos, las comunicaciones, el procesador central, etc.

Verificación del cumplimiento de la normatividad

Una definición que es correcta y a la cual representa el valor de la Función del Control es la de ayudar a los Funcionarios que tienen responsabilidad Administrativa, Técnica y/u Operacional a que no incurran en falta. Y es por ello que aquí el Control es Creativo - Inteligente, y Constructivo de asesoramiento oportuno a todas las Direcciones o Gerencias a fin de que la Toma de Decisiones sea acertada, segura y se logren los objetivos, con la máxima eficiencia. De que, en dicha entidad, antes de realizarse la auditoría, ya se habían detectado fallas.

Revisión de la eficaz gestión de los recursos informáticos

También permiten detectar de forma sistemática eluso de los recursos y los flujos de informacióndentro de una organización y determinar qué información es critica para el cumplimiento de su misión y objetivos, identificando necesidades, duplicidades, costes, valor y barreras, que obstaculizan flujos de información eficientes.

La Auditoria Integral Informática consiste principalmente en estudiar los sistemas de información que están implantados en una empresa u organización, determinando si los mismos son adecuados y cumplen unos determinados objetivos o estrategias, estableciendo los cambios que se deberían realizar para la consecución de los mismos. Los mecanismos de control pueden ser directivos, preventivos, de detección, correctivos o de recuperación ante una contingencia.

Mejora de características de la empresa de la auditoria

En la primera fase de los negocios, las empresas se veían enfrentadas a una demanda de productos y servicios superior a los ofrecidos por las empresas, con ello la principal preocupación de las empresas y sus auditorías internas era proteger la efectividad y eficiencia de las operaciones, la confiabilidad de la información financiera, el acatamiento de las leyes y regulaciones, y por sobre todas las cosas proteger los activos físicos y financieros de laempresa.

En la segunda fase, ante una oferta que supera la demanda de los consumidores, cuidar de activos tales como la clientela, la calidad, los niveles de satisfacción y ahora ante los problemas ambientales el cuidado de la ecología resultan cruciales.

Una forma de hacer auditoría que era propia de una era de escasos cambios se vió sacudida en primera instancia por la llegada de los procesos informáticos a la empresa, y luego, ante la competencia global, por la necesidad de reducir costos, afianzar la calidad, mejorar la prestación de servicios, aumentar los niveles de satisfacción de los clientes, reducir los tiempos de respuesta y mejorar de manera continua la performance en cada uno de los indicadores antes expuestos.

El salto de la Segunda Ola a lo que Alvin Tofler ha dado en llamar la Tercer Ola significó la aparición de nuevos activos. Los activos intangibles y lagestión del conocimiento poseen cada día mayor importancia y trascendencia, llevando con ello a la auditoría interna a nuevas y más sofisticadas líneas de acción.

Auditoria de eficiencia

En la mayoría de las empresas existe la obligación de mantener en todo momento unos registros contables adecuados y el auditor tendrá que informar si no fuera así.

Lo más probable es que el estudio completo de la seguridad y la planificación de emergencia de los sistemas mecanizados se incluyan entre las atribuciones de la mayoría de los departamentos de auditoría interna. Por ello cuando se realice un análisis de seguridad informática y de planificación de emergencia, el auditor:

* Examinará sistemáticamente todos los riesgos que intervengan y acotarán las pérdidas probables en cada caso. -

* Considerará las maneras de aumentar la seguridad para reducir los riesgos.

* Recomendará todas las acciones necesarias de protección encaminadas a reducir el riesgo de que se produzca una interrupción, en caso de que se produzca.

* Cuando corresponda, estudiará la cobertura de seguros de la empresa.

Cuando se hable de eficiencia, los auditores tendrán que tener en cuenta las bases de referencia del grupo de auditoria, que considera lo siguiente:

* A que nivel informan los auditores.

* El apoyo que la dirección presta a los auditores.

* El respeto que tenga la unidad informática hacia el grupo de auditoría.

* La competencia técnica del equipo de auditoría.

Auditoria de eficacia

También llamada auditoría de efectividad o de resultados de los programas, en una auditoría de eficacia se investiga si se han alcanzado los resultados deseados o se han cumplido los objetivos propuestos o impuestos por unaautoridad con facultades para ello, cuantificando las desviaciones y analizando sus posibles causas. En una auditoría de eficacia, a diferencia de una deeconomía y eficiencia, se presta mayor atención al grado de cumplimiento de losobjetivos y demás prescripciones del plan o programa que a la economía de losmedios utilizados para alcanzarlos.

Auditoria de rentabilidad

Una auditoria externa le dará información sobre la viabilidad técnica y/o económica de su explotación

Son muchas los factores a tener en cuenta en una correcta dirección agrícola, no deje ninguno al azar, controle su explotación.

Auditoría de seguridad

Una auditoría de seguridad informática o auditoría de seguridad de sistemas de información (SI) es el estudio que comprende el análisis y gestión de sistemas llevado a cabo por profesionales para identificar, enumerar y posteriormente describir las diversas vulnerabilidades que pudieran presentarse en una revisión exhaustiva de las estaciones de trabajo, redes de comunicaciones o servidores.

Una vez obtenidos los resultados, se detallan, archivan y reportan a los responsables quienes deberán establecer medidas preventivas de refuerzo y/o corrección siguiendo siempre un proceso secuencial que permita a los administradores mejorar la seguridad de sus sistemas aprendiendo de los errores cometidos con anterioridad.

Las auditorías de seguridad de SI permiten conocer en el momento de su realización cuál es la situación exacta de sus activos de información en cuanto a protección, control y medidas de seguridad.

Auditoria de seguridad física

Se refiere a la protección de hardware y los soportes de datos, así también como la seguridad de los edificios y las instalaciones que lo albergan. Esto contempla situaciones de incendios, inundaciones, sabotajes, robos, catástrofes naturales, etc.

Consiste en la "aplicación de barreras físicas y procedimientos de control, como medidas de prevención y contramedidas ante amenazas a los recursos e información confidencial".

Objetivo Principal

Este tipo de seguridad está enfocado a cubrir las amenazas ocasionadas tanto por el hombre como por la naturaleza del medio físico en que se encuentra ubicado el centro.

Los objetivos de la seguridad física se basan en prioridades con el siguiente orden:

Edificio
Instalaciones
Equipamiento y Telecomunicaciones
Datos y
Personal

Auditoria de ofimatica y desarrollo de sistemas

Partiendo de la definición realizada por SCHILL acerca de la ofimática, que dice que, como el sistema informatizado que genera, procesa, almacena, recupera, comunica y presenta datos relacionados con el funcionamiento de la oficina.

Las primeras aplicaciones de la ofimática se realizan o se desarrollaron sobre los ordenadores centrales de las organizaciones.

La evolución sufrida en el entorno microinformático ha condicionado el desarrollo de los sistemas ofimáticos actuales. El aumento de la potencia de calculo, la alta calidad de los productos y la reducción de costos de los ordenadores personales y las estaciones de trabajo; ha desplazado el desarrollo de aplicaciones ofimáticas a plataformas microinformáticas y redes de área local.

Auditoria de mantenimiento

El propósito de la Auditoria del Mantenimiento es determinar donde la organización creada para el mantenimiento del activo de la organización está bien implementada, a fin de fortalecer este aspecto y donde quedan áreas que deben ser mejoradas para que los servicios sean entregados con la calidad y oportunidad que son requeridos. Este instrumento provee una visión de la estructura, relaciones, procedimientos y personal, relativo a una buena práctica del mantenimiento. Este es el primer paso para decidir e implementar mejoramientos en la gestión del mantenimiento.

Auditoria de bases de datos

Solución para el Monitoreo y auditoria de las bases de datos en tiempo real, generando alertas, ofuscando los datos, generación de informes de cumplimiento, envío a cuarentena de usuarios y bloqueo de transacciones. Adicionalmente permite realizar un análisis de vulnerabilidades sobre las bases de datos.

Auditoria de tecnicas de sistemas

Los Sistemas Informáticos se han constituido en las herramientas más poderosas para materializar uno de los conceptos más vitales y necesarios para cualquier organización empresarial, los Sistemas de Información de la empresa.

La Informática hoy, está subsumida en la gestión integral de la empresa, y por eso las normas y estándares propiamente informáticos deben estar, por lo tanto, sometidos a los generales de la misma. En consecuencia, las organizaciones informáticas forman parte de lo que se ha denominado la gestión de la empresa. Cabe aclarar que la Informática no gestiona propiamente la empresa, ayuda a la toma de decisiones, pero no decide por sí misma. Por ende, debido a su importancia en el funcionamiento de una empresa, existe la auditoria Informática.

El término de Auditoria se ha empleado incorrectamente con frecuencia ya que se ha considerado como una evaluación cuyo único fin es detectar errores y señalar fallas. A causa de esto, se ha tomado la frase "Tiene Auditoria" como sinónimo de que, en dicha entidad, antes de realizarse la auditoria, ya se habían detectado fallas.

El concepto de auditoria es mucho más que esto.

La palabra auditoria proviene del latín auditorius, y de esta proviene la palabra auditor, que se refiere a todo aquel que tiene la virtud de oír.

Por otra parte, también se define como: Revisor de Cuentas colegiado. En un principio esta definición carece de la explicación del objetivo fundamental que persigue todo auditor: evaluar la eficiencia y eficacia.

"La auditoria no es una actividad meramente mecánica que implique la aplicación de ciertos procedimientos cuyos resultados, una vez llevado a cabo son de carácter indudable", de esta manera es definido el termino auditor según las Normas de auditoria del Instituto mexicano de contadores.

Auditoria de calidad

La norma ISO 9000: 2000 define una Auditoría de Calidad como:
“Proceso sistemático, independiente y documentado para obtener evidencias y evaluarlas de manera objetiva con el fin de determinar el alcance al que se cumplen los criterios de auditoría”.
El objetivo de la auditoría es evaluar la suficiencia y efectividad de las disposiciones de calidad de una organizacion mediante la recolección y uso de evidencia objetiva, e identiricxar y registrar las instanancias de no cumplimiento con las disposiciones de calidad e indicar, donde sea posible, las razones.

Normalmente se realizan las auditorías para los siguientes propósitos:

- Determinar la conformidad o no conformidad del sistema de calidad con los requisitos especificados.

- Determinar la efectividad del sistema en el cumplimiento de objetivos.

- Identiricar el potencia para el mejoraminto del sistema de calidad.

Auditoria de redes informaticas

Desde el momento en que se realiza una acción que reúna las características que delimitan el concepto de delito, y sea llevada a cabo utilizando un elemento informático o vulnerando los derechos del titular de un elemento informático, ya sea de hardware o de software, estamos en presencia de un delito informático.

Estos delitos informáticos pueden adoptar alguna de las siguientes formas:

-Robos, hurtos, vaciamientos, desfalcos, estafas o fraudes cometidos mediante manipulación y uso de computadoras.

-Apropiación no autorizada de los datos de entrada o de salida.

-Cambios no autorizados en programas, que consiste en modificar los programas existentes en el sistema de computadoras o en insertar nuevos programas o nuevas rutinas.

-Sabotaje Informático.

-Falsificaciones informáticas.

-Violación de la privacidad.

-Interceptación de comunicaciones.

-Robo de servicios.- se alude a las conductas que tienen por objeto el acceso ilícito a los equipos físicos o a los programas informáticos, para utilizarlos en beneficio del delincuente.

-Hurto por transacciones electrónicas de fondos.- Hurto que se comete mediante la utilización de sistemas de transferencia electrónica de fondos, de la telemática en general, o también cuando se viola el empleo de claves secretas.

Auditoria jurídica de entornos informáticos

La Auditoría Jurídica es la revisión independiente del uso del material, de la información y de sus manipuladores desde la perspectiva de la normativa legal (civil, penal, laboral), efectuada por un jurista experto independiente con al finalidad de emitir un dictamen sobre su adecuación a la legalidad vigente.
La Auditoría jurídica comprende cuatro áreas: Auditoría del Entorno Informático, Auditoría de las personas que manipulan la información, Auditoría de la Información, auditoría de los archivos.

• AUDITORIA DEL ENTORNO

Definimos como entorno a los programas y soporte físico que sirven de receptáculo a la información y los datos objeto último de la auditoría jurídica. La auditoría jurídica del entrono se divide en tres partes
o Auditoria de los elementos del hardware: Comprobación de elementos del hardware como de los contratos que lo soportan. Es preciso el examen de los contratos (sea con transmisión de la propiedad o no), así como de los contratos de mantenimiento. Ejemplo: compraventa, alquiler, leasing, renting, reposición.
o Auditoria de los elementos del software: Incluye el control de las licencias de uso personalizado, licencias de uso no personalizadas, licencia de uso de código fuente, desarrollo de software y mantenimiento de los programas.

Mejora de características de la empresa de la auditoria.

Características.

- La auditoria informática sirve para mejorar ciertas características en la empresa como :

Eficiencia.

Eficacia.

Rentabilidad.

Seguridad.

- Generalmente se puede desarrollar en alguna o combinación de las siguientes áreas.

Gobierno corporativo.

Administración del ciclo de vida de los sistemas.

Servicios de entrega y soporte.

Protección y seguridad.

Planes de continuidad y recuperación de desastres.

Controles Administrativos en un ambiente Informático

El control es una actividad trivial, que forma parte de la vida cotidiana del ser humano, consciente o inconscientemente. La finalidad básica del control es la modificación del comportamiento de la persona u objeto que se controla. En el caso del control administrativo, se mira básicamente el comportamiento humano. Esto significa que el control es una función dinámica, no sólo porque admite ajustes, sino también por estar presente en cada actividad humana, renovándose ciclo tras ciclo.

Función del Control: Su función es la de ayudar a los Funcionarios que tienen responsabilidad Administrativa, Técnica y/u Operacional a que no incurran en falta. Y es por ello que aquí el Control es Creativo, Inteligente, y Constructivo de asesoramiento, oportuno a todas las Direcciones o Gerencias a fin de que la Toma de Decisiones sea acertada, segura y se logren los objetivos, con la máxima eficiencia.

La máxima autoridad del Área de Informática de una empresa o institución debe implantar los siguientes controles:

CONTROLES DE PREINSTALACIÓN

Hacen referencia a procesos y actividades previas a la adquisición e instalación de un equipo de computación y obviamente a la automatización de los sistemas existentes.

Objetivos:

Garantizar que el hardware y software se adquieran, siempre y cuando tengan la seguridad de que los sistemas computarizados proporcionaran mayores beneficios que cualquier otra alternativa.
Garantizar la selección adecuada de equipos y sistemas de computación
Asegurar la elaboración de un plan de actividades previo a la instalación

Acciones a seguir:

· Elaboración de un informe técnico en el que se justifique la adquisición del equipo, software y servicios de computación, incluyendo un estudio costo-beneficio.

· Formación de un comité que coordine y se responsabilice de todo el proceso de adquisición e instalación.

· Elaborar un plan de instalación de equipo y software (fechas, actividades, responsables), el mismo debe contar con la aprobación de los proveedores del equipo.

· Elaborar un instructivo con procedimientos a seguir para la selección y adquisición de equipos, programas y servicios computacionales. Este proceso debe enmarcarse en normas y disposiciones legales.

· Efectuar las acciones necesarias para una mayor participación de proveedores.

· Asegurar respaldo de mantenimiento y asistencia técnica.

CONTROLES DE ORGANIZACIÓN Y PLANIFICACIÓN

Se refiere a la definición clara de funciones, línea de autoridad y responsabilidad de las diferentes unidades del área PAD, en labores tales como:

Diseñar un sistema
Elaborar los programas
Operar el sistema
Control de calidad

Se debe evitar que una misma persona tenga el control de toda una operación.

Es importante la utilización óptima de recursos en el PAD mediante la preparación de planes a ser evaluados continuamente.

Acciones a seguir

La unidad informática debe estar al más alto nivel de la pirámide administrativa de manera que cumpla con sus objetivos, cuente con el apoyo necesario y la dirección efectiva.
Las funciones de operación, programación y diseño de sistemas deben estar claramente delimitadas.
Deben existir mecanismos necesarios a fin de asegurar que los programadores y analistas no tengan acceso a la operación del computador y los operadores a su vez no conozcan la documentación de programas y sistemas.
Debe existir una unidad de control de calidad, tanto de datos de entrada como de los resultados del procesamiento.
El manejo y custodia de dispositivos y archivos magnéticos deben estar expresamente definidos por escrito.

· Las actividades del PAD deben obedecer a planificaciones a corto, mediano y largo plazo sujetos a evaluación y ajustes periódicos "Plan Maestro de Informática".

· Debe existir una participación efectiva de directivos, usuarios y personal del PAD en la planificación y evaluación del cumplimiento del plan.

· Las instrucciones deben impartirse por escrito.

CONTROLES DE SISTEMA EN DESARROLLO Y PRODUCCIÓN

Se debe justificar que los sistemas han sido la mejor opción para la empresa, bajo una relación costo-beneficio que proporcionen oportuna y efectiva información; que los sistemas se han desarrollado bajo un proceso planificado y se encuentren debidamente documentados.

Acciones a seguir:

Los usuarios deben participar en el diseño e implantación de los sistemas pues aportan conocimiento y experiencia de su área y esta actividad facilita el proceso de cambio.
El personal de auditoria interna/control debe formar parte del grupo de diseño para sugerir y solicitar la implantación de rutinas de control.
El desarrollo, diseño y mantenimiento de sistemas obedece a planes específicos, metodologías estándares, procedimientos y en general a normatividad escrita y aprobada.
Cada fase concluida debe ser aprobada documentadamente por los usuarios mediante actas u otros mecanismos a fin de evitar reclamos posteriores.
Los programas antes de pasar a Producción deben ser probados con datos que agoten todas las excepciones posibles.
Todos los sistemas deben estar debidamente documentados y actualizados. La documentación deberá contener:

Informe de factibilidad
Diagrama de bloque
Diagrama de lógica del programa
Objetivos del programa
Listado original del programa y versiones que incluyan los cambios efectuados con antecedentes de pedido y aprobación de modificaciones
Formatos de salida
Resultados de pruebas realizadas

Implantar procedimientos de solicitud, aprobación y ejecución de cambios a programas, formatos de los sistemas en desarrollo.

· El sistema concluido será entregado al usuario previo entrenamiento y elaboración de los manuales de operación respectivos

CONTROLES DE PROCESAMIENTO

Los controles de procesamiento se refieren al ciclo que sigue la información; desde la entrada hasta la salida de la información, lo que conlleva al establecimiento de una serie de seguridades para:

Asegurar que todos los datos sean procesados
Garantizar la exactitud de los datos procesados
Garantizar que se grabe un archivo para uso de la gerencia y con fines de auditoria
Asegurar que los resultados sean entregados a los usuarios en forma oportuna y en las mejores condiciones.

Acciones a seguir:

· Validación de datos de entrada, previo procesamiento, debe ser realizada en forma automática: clave, dígito autoverificador, totales de lotes, etc.

· Preparación de datos de entrada debe ser responsabilidad de usuarios y consecuentemente su corrección.

· Recepción de datos de entrada y distribución de información de salida debe obedecer a un horario elaborado en coordinación con el usuario, realizando un debido control de calidad.

· Adoptar acciones necesarias para correcciones de errores.

· Analizar conveniencia costo-beneficio de estandarización de formularios, fuente para agilitar la captura de datos y minimizar errores.

· Los procesos interactivos deben garantizar una adecuada interrelación entre usuario y sistema.

· Planificar el mantenimiento del hardware y software, tomando todas las seguridades para garantizar la integridad de la información y el buen servicio a usuarios.

CONTROLES DE OPERACIÓN

Abarcan todo el ambiente de la operación del equipo central de computación y dispositivos de almacenamiento, la administración de la cintoteca y la operación de terminales y equipos de comunicación por parte de los usuarios de sistemas on line.

Objetivos

Prevenir o detectar errores accidentales que puedan ocurrir en el Centro de Cómputo durante un proceso
Evitar o detectar el manejo de datos con fines fraudulentos por parte de funcionarios del PAD
Garantizar la integridad de los recursos informáticos.
Asegurar la utilización adecuada de equipos acorde a planes y objetivos.

Acciones a seguir:

El acceso al centro de computo debe contar con las seguridades necesarias para reservar el ingreso al personal autorizado
Implantar claves o password para garantizar operación de consola y equipo central (mainframe), a personal autorizado.
Formular políticas respecto a seguridad, privacidad y protección de las facilidades de procesamiento ante eventos como: incendio, vandalismo, robo y uso indebido, intentos de violación y como responder ante esos eventos.
Mantener un registro permanente (bitácora) de todos los procesos realizados, dejando constancia de suspensiones o cancelaciones de dichos procesos.
Los operadores del equipo central deben estar entrenados para recuperar o restaurar información en caso de destrucción de archivos.
Los backups no deben ser menores de dos (padres e hijos) y deben guardarse en lugares seguros y adecuados, preferentemente en bóvedas de bancos.
Se deben implantar calendarios de operación a fin de establecer prioridades de proceso.
Todas las actividades del Centro de Computo deben normarse mediante manuales, instructivos, normas, reglamentos, etc.
El proveedor de hardware y software deberá proporcionar lo siguiente:

Manual de operación de equipos
Manual de lenguaje de programación
Manual de utilitarios disponibles
Manual de Sistemas operativos

Las instalaciones deben contar con sistema de alarma por presencia de fuego, humo, así como extintores de incendio, conexiones eléctricas seguras, entre otras.
Instalar equipos que protejan la información y los dispositivos en caso de variación de voltaje como: reguladores de voltaje, supresores pico, UPS, generadores de energía.
Contratar pólizas de seguros para proteger la información, equipos, personal y todo riesgo que se produzca por casos fortuitos o mala operación.

CONTROLES EN EL USO DEL MICROCOMPUTADOR

Es la tarea más difícil, pues son equipos más vulnerables, de fácil acceso, de fácil explotación, pero los controles que se implanten ayudaran a garantizar la integridad y confidencialidad de la información.

Acciones a seguir:

Adquisición de equipos de protección como supresores de pico, reguladores de voltaje y de ser posible UPS previo a la adquisición del equipo.
Vencida la garantía de mantenimiento del proveedor se debe contratar mantenimiento preventivo y correctivo.
Establecer procedimientos para obtención de backups de paquetes y de archivos de datos.
Revisión periódica y sorpresiva del contenido del disco para verificar la instalación de aplicaciones no relacionadas a la gestión de la empresa.
Mantener programas y procedimientos de detección e inmunización de virus en copias no autorizadas o datos procesados en otros equipos.
Propender a la estandarización del Sistema Operativo, software utilizado como procesadores de palabras, hojas electrónicas, manejadores de base de datos y mantener actualizadas las versiones y la capacitación sobre modificaciones incluidas.

Caracteristicas de control de seguridad fisica y logica

Para definir los controles que se utilizan en auditoria de sistemas primero se debe saber que es auditoria de sistemas y las características principales.
La Auditoria de Sistemas consiste en evaluar la eficiencia y eficacia de los sistemas y procedimientos de informática utilizados en las empresas para detectar anomalías y deficiencias mediante controles, seguridad y obtención de información.
Los Controles son instrucciones metódicas con el fin de vigilar las funciones y actitudes de las organizaciones el cual permite verificar si todo se realiza eficazmente de acuerdo a las políticas y normas adoptadas por dicha organización protegiendo los recursos contra las amenazas a que están expuestos y contra los riesgos que éstas podrían generar. Los controles se clasifican en:
* Controles Preventivos
Son los que reducen las causas de riesgo que se presenta con frecuencia, permitiendo algún margen de incumplimiento
* Controles Detectivos
Son los que detectan las causas del riesgo después de ocurridas en un momento dado. En ocasiones ayudan a evaluar la eficiencia de los controles preventivos como los Sistemas de claves de acceso.
* Controles Correctivos
Son los que ayudan a investigar y corregir las causas del riesgo. La corrección apropiada puede resultar difícil e ineficiente, teniendo en cuenta la implantación de controles detectivos sobre los controles correctivos ya que la corrección de errores no se realiza con los debidos proceso de validación y es propensa a errores.

Exactitud

Todos nuestros capilares están preheparinizados con heparina sólida equilibrada electrolíticamente, lo que reduce significativamente el riesgo de coágulos y asegura la fiabilidad de los resultados sin causar sesgos en los electrólitos.

contabilidad

Los controles contables tienen como objetivos principales proporcionar a la dirección de la empresa la seguridad de que la información contable es veraz y digna de crédito.

Estos controles comprenden sistemas de autorizaciones y aprobaciones de transacciones, segregaciones de funciones en los diferentes departamentos, controles físicos sobre los activos, auditoría interna, manuales de políticas y procedimientos contables, etc.

Redundancia

Protecciones, en ANSI B11.TR3 siempre y cuando la reducción de riesgos baja/intermedia incluya sistemas de control con redundancia que puedan ser revisados de manera manual para verificar el rendimiento del sistema de seguridad. Teniendo en cuenta los requisitos puros, el sistema emplea redundancia simple. No se requiere el uso de una función de revisión. Sin revisión, uno de los componentes de seguridad redundantes puede fallar, y el sistema de seguridad no lo notaría. Esto resultaría en un sistema de canal individual. Este nivel de reducción de riesgos concuerda mejor con la categoría 2 cuando se utiliza la revisión.

Privasidad

El método de doble compartimento: se utiliza cuando los materiales son económicos. Se trata de un método sencillo y de mínimo trabajo. Dentro de los almacenes se establecen dos compartimentos. En uno de ellos, se coloca la cantidad de materiales que se consumen entre un pedido y otro. En el segundo, se mantienen los materiales que se pueden consumir entre que se tramita una orden de compra hasta que el pedido se recibe más el stock de seguridad.

Protección de archivos contra destrucción de información o de hardware

ANÁLISIS DE CASOS DE CONTROLES ADMINISTRATIVOS

A continuación se presentarán algunas situaciones hipotéticas planteadas como problemáticas en distintas empresas, con la finalidad de efectuar el análisis del caso e identificar las acciones que se deberían implementar.

Situación 1

Un empleado del grupo de control de datos obtuvo un formulario para modificaciones al archivo maestro de proveedores (en blanco) y lo completo con el código y nombre de un proveedor ficticio, asignándole como domicilio el número de una casilla de correo que previamente había abierto a su nombre.

Su objetivo era que el sistema emitiera cheques a la orden del referido proveedor, y fueran luego remitidos a la citada casilla de correo.

Cuando el listado de modificaciones al archivo maestro de proveedores (impreso por esta única modificación procesada en la oportunidad) le fue enviado para su verificación con los datos de entrada, procedió a destruirlo.