Auditoria de Sistemas

MOMENTO INICIAL

RECONOCIMIENTO DEL CURSO

PRESENTADOR POR

José Gabriel Chima M. código: 1.027.998.887

Geide Barrios Chaverra código: 1045.493.032

Jorge Osorio Mejía código: 71618675

Edwin Alejandro Mora V. código

John Sepulveda O. código

GRUPO

90168_65

TUTOR:

Francisco Nicolás Solarte

UNIVERSIDAD ABIERTA Y A DISTANCIA

2015

DESARROLLO

1. APORTE JORGE OSORIO

Vulnerabilidad

En informática son puntos débiles del software que permiten que un ataque comprometa la

seguridad, confidencialidad, de un sistema.

Esto se debe a que el sistema no es lo demasiado robusto en su estructura que permite que sea

vulnerable.

Así como hay vulnerabilidades hay manera de corregir estos puntos débiles existentes en el

sistema.

Hay varios tipos de vulnerabilidades

1. Físicas: Se refiere principalmente a las instalaciones inadecuadas del espacio de trabajo,

desorganización de cables de energía y de red, falta de sistemas contra incendios.

2. Naturales: Son los relacionados con la naturaleza que puedan afectar la información, la

humedad, el polvo, la contaminación, instalaciones locativas próximas a ríos, todos

estos factores hacen que los sistemas o equipos sean vulnerables a daños.

3. Hardware: Los defectos de hardware, la falta de actualización por parte de los

fabricantes que los encargados del hardware no lo hacen regularmente. Otra

vulnerabilidad de hardware es la falta de contingencia o respaldo de equipos

4. Software: Cuando se generan aplicaciones hay puntos débiles que no son detectados en

su momento; la instalación de programas no autorizados en los equipos de cómputos hace

2

que una empresa tenga puntos débiles; también los sistemas operativos son el blanco de

ataques por personal no autorizado, estos sistemas también requieren actualizaciones de

seguridad periódicamente.

5. Medios de Almacenaje: Son los medios físicos o magnéticos que se utilizan para

almacenar la información, entre los que se encuentran Cd, Usb, Discos duros externos,

entre otros; sin condiciones adecuadas en su manipulación son vulnerables, si se guardan

en sitios insalubres o con alto nivel de humedad.

6. De Comunicación: Nos referimos al tránsito de la información el cableado Utp,

telefónico, fibra óptica, ondas de radio, equipos de protección, entre otros, cuando este

sistema es frágil las vulnerabilidades se hacen evidentes ya que por estos medios circula

mucha información valiosa

7. Humanas: Se relaciona mas con lo que las personas causan a la información ya que

puede ser mal intencionada o no, esto se puede deber a falta de conocimiento o falta de

capacitación.

Amenaza y Riesgo Informática

Son las personas que son capaces de detectar fallos de seguridad o los llamados puntos débiles

en los sistemas,

Las amenazas las podemos clasificar:

1. Amenazas Naturales: Son las provocadas por inundaciones, terremotos,

2. Intencionales: Deliberadas, robo, hurto de la información, espionaje, vandalismo, daño

de la información

3

3. Involuntarias: Divulgación de contraseñas, activación de un virus que llega en un formato

desconocido por el usuario.

Control Informático

Teniendo en cuenta el significado de control, es una actividad que se hace manual o automática

para corregir o prevenir errores informáticos. Internamente en una empresa también debe haber

una (s) personas dedicadas a la labor de revisar las principales actividades de la empresa tanto

de sistemas, como de otra índole ya que fueron fijadas con anterioridad por la organización.

Refiriéndonos al control informático que se le hace a una empresa se deben de tener en cuenta

los diferentes sistemas, entornos informáticos y actividades operativas.

2. QUE RELACIÓN HAY ENTRE RIESGO Y CONTROL INFORMÁTICO

Riesgo Control Informático

Incertidumbre sobre una amenaza Revisión

Inadecuada prevención Gestión adecuada

Sin autorización Políticas de seguridad

Vulnerabilidad Revisar - Corregir

Impacto Auditar

Evaluación de los riesgo Auditar - Revisar

4

Propuesta empresa Auditar:

Inversiones Forestales la Cabaña

2 APORTE: GEIDER BARRIOS H.

Vulnerabilidad

En Seguridad Informática, la palabra Vulnerabilidad hace referencia a una debilidad en un

sistema permitiéndole a un atacante violar la Confidencialidad, Integridad, Disponibilidad,

control de acceso y consistencia del sistema o de sus datos y aplicaciones. Estas

Vulnerabilidades son el resultado de Bugs o de fallos en el diseño del sistema. Aunque, en un

sentido más amplio, también puede ser el resultado de las propias limitaciones tecnológicas,

porque no existe un sistema 100 % seguro. Por lo tanto existen Vulnerabilidades teóricas y

Vulnerabilidades reales. Las Vulnerabilidades en las aplicaciones pueden corregirse con

parches, hotfixs o con cambios de versión. Otras requieren un cambio físico en el Sistema

Informático.

PRINCIPALES VULNERABILIDADES

Desbordes de pila y otros buffers.

Errores de validación de entradas.

Ejecución de código remoto.

AMENAZAS

5

Una vez que la programación y el funcionamiento de un dispositivo de almacenamiento de la

información se consideran seguras, todavía deben ser tenidos en cuenta las circunstancias no

informáticas que pueden afectar a los datos, las cuales son a menudo inevitables, de modo que la

única protección posible es la redundancia y la descentralización.

Causas

EL USUARIO: Es la causa mayor del problema de la seguridad de un sistema informático.

PROGRAMAS MALICIOSOS: Son programas destinados a perjudicar o a hacer uso ilícito de

los recursos del sistema.

INTRUSO: Es una persona que consigue acceder a los datos o programas de los cuales no tiene

acceso permitido.

Tipos de amenazas

Al conectar una red a un entorno externo, se le está dando la oportunidad al intruso de entrar a

ella, logrando hacer robo de la información o alterar el funcionamiento de la red. Sin embargo

no conectar la red a un entorno extorno no garantiza la seguridad de la red.

Existen dos tipos de amenazas:

AMENAZAS INTERNAS: Generalmente estas amenazas pueden ser más peligrosas que las

externas por las siguientes razones:

Los usuarios conocen la red y saben su funcionamiento.

Tienen nivel de acceso a la red por las necesidades de trabajo.

6

Los Firewalls son mecanismos no efectivos en las amenazas internas.

AMENAZAS EXTERNAS: Son aquellas amenazas que se originan afuera de la red. Al no tener

información específica de la red, un atacante debe realizar ciertos pasos para poder conocer que

es lo que hay en ella y buscar la manera de acceder para atacarla. La ventaja de este tipo de

amenaza es que el administrador de la red puede prevenir una buena parte de los ataques

externos.

Control informático

El Control Interno Informático puede definirse como el sistema integrado al proceso

administrativo, en la planeación, organización, dirección y control de las operaciones con el

objeto de asegurar la protección de todos los recursos informáticos y mejorar los índices de

economía, eficiencia y efectividad de los procesos operativos.

PROPUESTA EMPRESA AUDITAR: SECRETARIA DE TRÁNSITO Y TRANSPORTE

DE TURBO ANTIOQUIA

3. Aporte John Sepulveda O.

Vulnerabilidades

7

La Vulnerabilidad es la capacidad, las condiciones y características del sistema mismo

(incluyendo la entidad que lo maneja), que lo hace susceptible a amenazas, con el resultado de

sufrir algún daño. En otras palabras, es la capacidad y posibilidad de un sistema de responder o

reaccionar a una amenaza o de recuperarse de un daño. Las vulnerabilidades están en directa

interrelación con las amenazas porque si no existe una amenaza, tampoco existe la

vulnerabilidad o no tiene importancia, porque no se puede ocasionar un daño. Dependiendo del

contexto de la institución, se puede agrupar las vulnerabilidades en grupos:

Ambiental, Física, Económica, Social, Educativo, Institucional y Política.

Amenazas

Una Amenaza es la posibilidad de ocurrencia de cualquier tipo de evento o acción que puede

producir un daño (material o inmaterial) sobre los elementos de un sistema, en el caso de

la Seguridad Informática, los Elementos de Información. Debido a que la Seguridad Informática

8

tiene como propósitos de garantizar la

confidencialidad, integridad, disponibilidad y autenticidad de los datos e informaciones, las

amenazas y los consecuentes daños que puede causar un evento exitoso, también hay que ver en

relación con la confidencialidad, integridad, disponibilidad y autenticidad de los datos e

informaciones.

Desde el punto de vista de la entidad que maneja los datos, existen amenazas de origen externo

como por ejemplo las agresiones técnicas, naturales o humanos, sino también amenazas de

origen interno, como la negligencia del propio personal o las condiciones técnicas, procesos

operativos internos (Nota: existen conceptos que defienden la opinión que amenazas siempre

tienen carácter externo!)

Generalmente se distingue y divide tres grupos:

Criminalidad: son todas las acciones, causado por la intervención humana, que violan la ley y

que están penadas por esta. Con criminalidad política se entiende todas las acciones dirigido

desde el gobierno hacia la sociedad civil.

9

Sucesos de origen físico: son todos los eventos naturales y técnicos, sino también eventos

indirectamente causados por la intervención humana.

Negligencia y decisiones institucionales: son todas las acciones, decisiones u omisiones por

parte de las personas que tienen poder e influencia sobre el sistema. Al mismo tiempo son las

amenazas menos predecibles porque están directamente relacionado con el comportamiento

humano.

Análisis de Riesgo

El primer paso en la Gestión de riesgo es el análisis de riesgo que tiene como propósito

determinar los componentes de un sistema que requieren protección, sus vulnerabilidades que

los debilitan y las amenazas que lo ponen en peligro, con el fin de valorar su grado de riesgo.

Clasificación y Flujo de Información

10

La clasificación de datos tiene el propósito de garantizar la protección de datos (personales) y

significa definir, dependiendo del tipo o grupo de personas internas y externas, los diferentes

niveles de autorización de acceso a los datos e informaciones. Considerando el contexto de

nuestra misión institucional, tenemos que definir los niveles de clasificación como por ejemplo:

confidencial, privado, sensitivo y público. Cada nivel define por lo menos el tipo de persona que

tiene derecho de acceder a los datos, el grado y mecanismo de autenticación.

Una vez clasificada la información, tenemos que verificar los diferentes flujos existentes de

información internos y externos, para saber quiénes tienen acceso a qué información y datos.

Clasificar los datos y analizar el flujo de la información a nivel interno y externo es importante,

porque ambas cosas influyen directamente en el resultado del análisis de riesgo y las

consecuentes medidas de protección. Porque solo si sabemos quiénes tienen acceso a qué datos

y su respectiva clasificación, podemos determinar el riesgo de los datos, al sufrir un daño

causado por un acceso no autorizado.

Análisis de Riesgo

11

Existen varios métodos de como valorar un riesgo y al final, todos tienen los mismos retos -las

variables son difíciles de precisar y en su mayoría son estimaciones- y llegan casi a los mismos

resultados y conclusiones.

En el ámbito de la Seguridad Informática, el método más usado es el Análisis de Riesgo.

La valoración del riesgo basada en la fórmula matemática

Riesgo = Probabilidad de Amenaza x Magnitud de Daño

Para la presentación del resultado (riesgo) se usa una gráfica de dos dimensiones, en la cual, el

eje-x (horizontal, abscisa) representa la “Probabilidad de Amenaza” y el eje-y (vertical,

ordenada) la “Magnitud de Daño”. La Probabilidad de Amenaza y Magnitud de Daño pueden

tomar condiciones entre Insignificante (1) y Alta (4). En la práctica no es necesario asociar

valores aritméticos a las condiciones de las variables, sin embargo facilita el uso de

herramientas técnicas como hojas de cálculo.

Nota: La escala (4 condiciones) de la Probabilidad de Amenaza y Magnitud de Daño no es fijo y

puede ser adaptada y afinada a las necesidades propias. En diferentes literaturas, particularmente

la Probabilidad de Amenaza puede tomar hasta seis diferentes condiciones.

El reto en la aplicación del método es precisar o estimar las condiciones (valores) de las dos

variables, porque no basen en parámetros claramente medibles. Sin embargo, el análisis de

riesgo nos permite ubicar el riesgo y conocer los factores que influyen, negativa- o

positivamente, en el riesgo.

12

En el proceso de analizar un riesgo también es importante de reconocer que cada riesgo tiene sus

características:

Dinámico y cambiante (Interacción de Amenazas y Vulnerabilidad)

Diferenciado y tiene diferentes caracteres (caracteres de Vulnerabilidad)

No siempre es percibido de igual manera entre los miembros de una institución que tal vez

puede terminar en resultados inadecuados y por tanto es importante que participan las personas

especialistas de los diferentes elementos del sistema (Coordinación, Administración financiera,

Técnicos, Conserje, Soporte técnico externo etc.)

El modelo se pude aplicar a los diferentes elementos de manera aislada, sino también a los

sistemas completos, aunque en el primer caso, el resultado final será más preciso pero también

requiere más esfuerzo.

Entre más alta la Probabilidad de Amenaza y Magnitud de Daño, más grande es el riesgo y el

peligro al sistema, lo que significa que es necesario implementar medidas de protección.

Control de Riesgo

El propósito del control de riesgo es analizar el funcionamiento, la efectividad y el

cumplimiento de las medidas de protección, para determinar y ajustar sus deficiencias.

Las actividades del proceso, tienen que estar integradas en el plan operativo institucional, donde

se define los momentos de las intervenciones y los responsables de ejecución.

13

Medir el cumplimiento y la efectividad de las medidas de protección requiere que levantemos

constantemente registros sobre la ejecución de las actividades, los eventos de ataques y sus

respectivos resultados. Estos tenemos que analizados frecuentemente. Dependiendo de la

gravedad, el incumplimiento y el sobrepasar de las normas y reglas, requieren sanciones

institucionales para los funcionarios.

En el proceso continuo de la Gestión de riesgo, las conclusiones que salen como resultado del

control de riesgo, nos sirven como fuente de información, cuando se entra otra vez en el proceso

de la Análisis de riesgo.

EMPRESA PROPUESTA: INDUSTRIA DE ALIMENTOS ZENÚ S.A.S

4. Aporte JOSE GABRIEL CHIMA MOSQUERA

Vulnerabilidad

En un sistema informático lo que queremos proteger son sus activos, es decir, los recursos que

forman parte del sistema y que podemos agrupar en:

Hardware: elementos físicos del sistema informático, tales como procesadores,

electrónica y cableado de red, medios de almacenamiento (cabinas, discos, cintas, DVD).

Software: elementos lógicos o programas que se ejecutan sobre el hardware, tanto si es

el propio sistema operativo como las aplicaciones.

Datos: comprenden la información lógica que procesa el software haciendo uso del

hardware. En general serán informaciones estructuradas en bases de datos o paquetes de

información que viajan por la red.

14

Otros: fungibles, personas, infraestructuras,.. aquellos que se 'usan y gastan' como puede

ser la tinta y papel en las impresoras, los soportes tipo DVD o incluso cintas si las copias

se hacen en ese medio, etc.

De ellos los más críticos son los datos, el hardware y el software. Es decir, los datos que están

almacenados en el hardware y que son procesados por las aplicaciones software.

Datos.

Información.

Conocimiento.

Acción.

Resultado.

Valor.

Incluso de todos ellos, el activo más crítico son los datos. El resto se puede reponer con

facilidad y los datos. Sabemos que dependen de que la empresa tenga una buena política de

copias de seguridad y sea capaz de reponerlos en el estado más próximo al momento en que se

produjo la pérdida. Esto puede suponer para la empresa, por ejemplo, la dificultad o

imposibilidad de reponer dichos datos con lo que conllevaría de pérdida de tiempo y dinero.

También una vulnerabilidad informática es una debilidad de un sistema informático,

permitiendo o dejando espacios o entradas hacia el sistema por parte de personas ajenas al

sistema, mismos que pueden ocasionar daños severos al sistema así como violar la privacidad,

integridad etc. Del sistemas o de sus datos y aplicación. Estas vulnerabilidades en ocasiones son

ocasionadas por fallos del mismo diseño del sistema o incluso de configuración del mismo.

15

TIPOS DE VULNERABILIDADES EXISTENTES.

Error de diseño: Este tipo de vulnerabilidades se generan a partir de un error de diseño por parte

de los programadores que realizan el sistema, esto es debido al entorno de trabajo o bien por su

metodología de programación empleada.

configuración: Este tipo de vulnerabilidad ya no es causado por el diseño del sistema sino este

es generado por el usuario del sistema debido a la mala configuración realizada dentro del

sistema, dejando vulnerable el sistema.

Inyección de comandos en el sistema operativo: Este tipo de vulnerabilidades, es generada por

parte de un usuario con capacidades especiales y que tienen los conocimientos necesarios para

controlar la entrada del sistema mediante comandos para poder ejecutar instrucciones que

pueden comprometer la integridad del sistema este acción se realiza mediante una

herramienta especializada o a través de una terminal Linux o Windows.

¿Amenaza y Riesgo Informática?

Es importante en toda organización contar con una herramienta, que garantice la correcta

evaluación de los riesgos, a los cuales están sometidos los procesos y actividades que participan

en el área informática; y por medio de procedimientos informático. Viendo de control se pueda

evaluar el desempeño del entorno la necesidad en el entorno empresarial de este tipo de

herramientas y teniendo en cuenta que, una de las principales causas de los problemas dentro del

entorno informático, es la inadecuada administración de riesgos informáticos, esta información

sirve de apoyo para una adecuada gestión de la administración de riesgos, basándose en los

siguientes aspectos:

16

La evaluación de las amenazas o causas de los riesgos.

Los controles utilizados para minimizar las amenazas a riesgos.

La asignación de responsables a los procesos informáticos

La evaluación de los elementos del análisis de riesgos.

Se entiende como riesgo informático un estado de cualquier sistema que nos indica que ese

sistema está libre de peligro, daño o riesgo. Se entiende como peligro o daño todo aquello que

pueda afectar su funcionamiento directo o los resultados que se obtienen del mismo. Para que un

sistema se pueda definir como seguro debe tener estas cuatro características:

Integridad: La información sólo puede ser modificada por quien está autorizado.

Confidencialidad: La información sólo debe ser legible para los

Autorizados

Disponibilidad: Debe estar disponible cuando se necesita.

Irreductibilidad: (No-Rechazo o No Repudio) Que no se pueda negar la autoría. Dependiendo

de las fuentes de amenaza, la dividirse en seguridad lógica y seguridad física.

RIESGOS RELACIONADOS CON LA INFORMATICA

En efecto, las principales áreas en que habitualmente ha incursionado la seguridad en los

centros de cómputos han sido:

Seguridad física.

Control de accesos.

17

Protección de los datos.

Seguridad en las redes.

Por tanto se ha estado descuidando otros aspectos intrínsecos de la protección informática

y que no dejan de ser importantes para la misma organización, como por ejemplo

Organización y división de responsabilidades.

Cuantificación de riesgos.

Políticas hacia el personal.

Medidas de higiene, salubridad y ergonomía.

Selección y contratación de seguros.

Aspectos legales y delitos.

Estándares de ingeniería, programación y operación.

Función de los auditores tanto internos como externos.

Seguridad de los sistemas operativos y de red.

Plan de contingencia.

A los fines de llevar una revisión completa y exhaustiva de este tema, se propone que los

especialistas en seguridad informática apliquen un enfoque amplio e integral, que abarque todos

los aspectos posibles involucrados en la temática a desarrollar, identificando aquellos

concernientes a garantías y resguardos, y, después de haber efectuado un análisis exhaustivo de

los mismos, presentarlos en detalle y agrupados convenientemente.

¿CONTROL INFORMÁTICO?

Definiciones

18

El Control Interno Informático puede definirse como el sistema integrado al proceso

administrativo, en la planeación, organización, dirección y control de las operaciones con el

objeto de asegurar la protección de todos los recursos informáticos y mejorar los índices de

economía, eficiencia y efectividad de los procesos operativos automatizados.

El Informe COSO define el Control Interno como "Las normas, los procedimientos, las prácticas

y las estructuras organizativas diseñadas para proporcionar seguridad razonable de que los

objetivos de la empresa se alcanzarán y que los eventos no deseados se preverán, se detectarán y

se corregirán.

También se puede definir el Control Interno como cualquier actividad o acción realizada manual

y/o automáticamente para prevenir, corregir errores o irregularidades que puedan afectar al

funcionamiento de un sistema para conseguir sus objetivos.

OBJETIVOS PRINCIPALES:

Controlar que todas las actividades se realizan cumpliendo los procedimientos y normas

fijados, evaluar su bondad y asegurarse del cumplimiento de las normas legales.

Asesorar sobre el conocimiento de las normas

Colaborar y apoyar el trabajo de Auditoría Informática interna/externa

Definir, implantar y ejecutar mecanismos y controles para comprobar el grado de

cumplimiento de los servicios informáticos.

Realizar en los diferentes sistemas y entornos informáticos el control de las diferentes

actividades que se realizan.

19

Tipos

En el ambiente informático, el control interno se materializa fundamentalmente en controles de

dos tipos:

Controles manuales; aquellos que son ejecutados por el personal del área usuaria o de

informática sin la utilización de herramientas computacionales.

Controles Automáticos; son generalmente los incorporados en el software, llámense

estos de operación, de comunicación, de gestión de base de datos, programas de

aplicación, etc.

Los controles según su finalidad se clasifican en:

Controles Preventivos; para tratar de evitar la producción de errores o hechos

fraudulentos, como por ejemplo el software de seguridad que evita el acceso a personal

no autorizado.

Controles Detectivos; tratan de descubrir a posteriori errores o fraudes que no haya sido

posible evitarlos con controles preventivos.

Controles Correctivos; tratan de asegurar que se subsanen todos los errores identificados

mediante los controles detectivos.

CONTROL INTERNO INFORMÁTICO (FUNCIÓN)

El Control Interno Informático es una función del departamento de Informática de una

organización, cuyo objetivo es el de controlar que todas las actividades relacionadas a los

20

sistemas de información automatizados se realicen cumpliendo las normas, estándares,

procedimientos y disposiciones legales establecidas interna y externamente.

Entre sus funciones específicas están:

Difundir y controlar el cumplimiento de las normas, estándares y procedimientos al

personal de programadores, técnicos y operadores.

Diseñar la estructura del Sistema de Control Interno de la Dirección de Informática en

los siguientes aspectos:

Desarrollo y mantenimiento del software de aplicación.

Explotación de servidores principales

Software de Base

Redes de Computación

Seguridad Informática

Licencias de software

Relaciones contractuales con terceros

Cultura de riesgo informático en la organización

CONTROL INTERNO INFORMÁTICO (SISTEMA)

Un Sistema de Control Interno Informático debe asegurar la integridad, disponibilidad y eficacia

de los sistemas informáticos a través de mecanismos o actividades de control.

Estos controles cuando se diseñen, desarrollen e implanten, deben ser sencillos, completos,

confiables, revisables y económicos.

Para implantar estos controles debe conocerse previamente la configuración de todo el sistema

21

a fin de identificar los elementos, productos y herramientas que existen y determinar de esta

forma donde se pueden implantar, así como para identificar los posibles riesgos.

Para conocer la configuración del sistema se deberá documentar:

Entorno de Red: esquema, configuración del hardware y software de comunicaciones

y esquema de seguridad de la red.

Configuración de los computadores principales desde el punto de vista físico, sistema

operativo, biblioteca de programas y conjunto de datos.

Configuración de aplicaciones: proceso de transacciones, sistema de gestión de base

de datos y entorno de procesos distribuidos

Productos y herramientas: software de programación diseño y documentación,

software de gestión de biblioteca.

Seguridad del computador principal: sistema de registro y acceso de usuarios,

identificar y verificar usuarios, integridad del sistema

Una vez que se posee esta documentación se tendrá que definir:

Políticas, normas y técnicas para el diseño e implantación de los sistemas de

información y sus respectivos controles.

Políticas, normas y técnicas para la administración del centro de cómputo y redes de

computadores y sus respectivos controles.

Políticas y normas que aseguren la integridad, confidencialidad y disponibilidad de

los datos y sus respectivos controles.

22

Políticas y normas que rijan los procedimientos de cambios, pruebas actualización de

programas y sus respectivos controles.

Políticas y normas de instalación, actualización y uso de licencias del software de

base, de red y de usuario y sus respectivos controles.

Políticas y normas que permitan implantar en la organización una cultura de riesgo

informático, la misma que comprenderá los siguientes entornos:

Dirección General, a través de políticas generales sobre los sistemas de información

respecto al tipo de negocio de la misma.

Dirección de informática, a través de la creación y difusión de procedimientos,

estándares, metodologías y normas aplicables a todas las áreas de informática así

como de usuarios.

Control Interno Informático, definirá los controles periódicos a realizar en cada una

de las funciones informáticas, de acuerdo al nivel de riesgo de cada una de ellas y

serán de carácter preventivo, detectivos y correctivo.

Auditoría Informática Interna; revisará periódicamente la estructura de control

interno tanto en su diseño como en su cumplimiento por parte de cada una de las

áreas definidas en él y de acuerdo al nivel de riesgo.

¿Qué Relación hay entre Riesgo y Control informático?

Riesgo Control Informático

Procesamiento de errores Planificación

23

Riesgos de choque de eléctrico Resolución de riesgos

Riesgos mecánicos Monitorización de riesgos

Cambio de la prestación del servicio Cumplimiento de normas y estándares

de sistema operativo.

Recorte de la calidad Redes de software no licenciado

Planificación demasiado optimista Modelos de seguridad informática

Problemas con el personal contratado Matriz de riesgos

Decisiones equivocadas Administración de sistemas de datos

Fraude Uso de recursos

Facturación de servicio web

5. Aporte Edwin Alejandro Mora

VULNERABILIDAD: Es una debilidad del sistema informático que puede ser utilizada para

causar daño. Las debilidades pueden aparecer en cualquiera de los elementos de una

computadora, tanto en el hardware, el sistema operativo, como el software.

24

Como ejemplo de vulnerabilidad podemos comentar el siguiente. En su casa hay una

computadora conectada a Internet, donde además tiene configurada una cuenta de correo

electrónico a través de la que recibe mensajes diariamente. También tiene instalado un antivirus

que es capaz de chequear los mensajes electrónicos, incluidos los archivos que están adjuntos.

Pero el antivirus lo instaló cuándo compró el equipo hace más de un año y no lo ha vuelto a

actualizar. En este caso su equipo es vulnerable a los virus más recientes que puedan llegar

mediante su correo electrónico, ya que el antivirus no está actualizado y no sabe que estos

nuevos virus existen.

Pero una cosa sí que es cierta; que exista una vulnerabilidad no significa que se produzca un

daño en el equipo de forma automática, es decir, la computadora tiene un punto flaco, pero no

por eso va a fallar, lo único que ocurre es que es posible que alguien ataque al equipo

aprovechando este punto débil.

AMENAZA: Una amenaza a un sistema informático es una circunstancia que tiene el potencial

de causar daño o una pérdida. Es decir, las amenazas pueden materializarse dando lugar a un

ataque en el equipo.

Como ejemplos de amenaza están los ataques por partes de personas, al igual que los desastres

que puedan afectar a su computadora. También se puede considerar amenazas los fallos

cometidos por los usuarios al utilizar el sistema, o los fallos internos tanto del hardware como

del software.

RIESGO: Es la posibilidad de que una amenaza se produzca, dando lugar a un ataque al equipo.

Esto no es otra cosa que la probabilidad de que ocurra el ataque por parte de la amenaza.

25

El riesgo se utiliza sobretodo el análisis de riesgos de un sistema informático. Este riesgo

permite tomar decisiones para proteger mejor al sistema. Se puede comparar con el riesgo límite

que acepte para su equipo, de tal forma que si el riesgo calculado es inferior al de referencia,

éste se convierte en un riesgo residual que podemos considerar como riesgo aceptable.

CONTROL INTERNO INFORMÁTICO

Puede definirse como el sistema integrado al proceso administrativo, en la planeación,

organización, dirección y control de las operaciones con el objetivo de asegurar la protección de

todos los recursos informáticos y mejorar los índices de economía, eficiencia y efectividad de

los procesos operativos automatizados.

El informe COSO define el control interno como “Las normas, los procedimientos, las prácticas

y las estructuras organizativas diseñadas para proporcionar seguridad razonable de que los

objetivos de la empresa se alcanzarán y que los eventos no deseados se preverán, se detectarán y

se corregirán.

También se puede definir el control interno como cualquier actividad o acción realizada manual

y/o automáticamente para prevenir, corregir errores o irregularidades que puedan afectar al

funcionamiento de un sistema para conseguir sus objetivos.

TIPOS: En el ambiente informático, el control interno se materializa fundamentalmente en

controles de dos tipos:

Controles Manuales: Aquellos que son ejecutados por el personal del área usuaria o de

informática sin la utilización de herramientas computacionales.

26

Controles Automáticos: Son generalmente los incorporados en el software, llámense estos de

operación, de comunicación, de gestión de base de datos, programas de aplicación, etc.

Los controles según su finalidad se clasifican en:

Controles Preventivos: Para tratar de evitar la producción de errores o hechos fraudulentos,

como por ejemplo el software de seguridad que evita el acceso a personal no autorizado.

Controles Detectivos: Trata de descubrir a posteriori errores o fraudes que no haya sido posible

evitarlos con controles preventivos.

Controles Correctivos: Tratan de asegurar que subsanen todos los errores identificados

mediante los controles detectivos.

OBJETIVOS PRICIPALES

*Controlar que todas las actividades se realicen cumpliendo los procedimientos y normas

fijados, evaluar su bondad y asegurarse del cumplimiento de las normas legales.

*Asesorar sobre el conocimiento de las normas.

*Colaborar y apoyar el trabajo de Auditoría Informática interna/externa.

*Definir, implantar y ejecutar mecanismos y controles para comprobar el grado de

cumplimiento de los servicios informáticos.

*Realizar en los diferentes sistemas y entornos informáticos el control de las diferentes

actividades que se realizan.

27

FUNCIÓN DEL CONTROL INTERNO INFORMÁTICO

El control interno informático es una función del departamento de informática de una

organización, cuyo objetivo es el de controlar que todas las actividades relacionadas a los

sistemas de información automatizados se realicen cumpliendo las normas, estándares,

procedimientos y disposiciones legales establecidas interna y externamente.

Entre sus funciones específicas están:

*Difundir y controlar el cumplimiento de las normas, estándares y procedimientos al personal de

programadores, técnicos y operadores.

*Diseñar la estructura del sistema de control interno de la dirección de informática en los

siguientes aspectos:

Desarrollo y mantenimiento del software de aplicación, explotación de servidores principales,

software de base, redes de computación, seguridad informática, licencias de software, relaciones

contractuales con terceros, cultura de riesgo informático en la organización.

Áreas de Aplicación

Controles Generales Organizativos

Son la base para la planificación, control y evaluación por la Dirección General de las

actividades del departamento de informática, y debe contener la siguiente planificación:

*Plan Estratégico de Información realizado por el Comité de Informática.

28

*Plan Informático, realizado por el Departamento de Informática.

*Plan General de Seguridad (física y lógica).

*Plan de Contingencia ante Desastres.

Controles de Desarrollo y Mantenimiento de Sistemas de Información

Permiten alcanzar la eficacia del sistema, economía, eficiencia, integridad de datos, protección

de recursos y cumplimiento con las leyes y regulaciones a través de metodologías como las del

ciclo de vida de desarrollo de aplicaciones.

Controles de Explotación de Sistemas de Información

Tienen que ver con la gestión de los recursos tanto a nivel de planificación, adquisición y uso

del hardware así como los procedimientos de instalación y ejecución del software.

Controles en Aplicaciones

Toda aplicación debe llevar controles incorporados para garantizar la entrada, actualización,

salida, validez y mantenimiento completos y exactos de los datos.

Controles en Sistemas de Gestión de Base de Datos

Tienen que ver con la administración de los datos para asegurar su integridad, disponibilidad y

seguridad.

Controles Informáticos sobre Redes

Tienen que ver sobre el diseño, instalación, mantenimiento, seguridad y funcionamiento de las

redes instaladas en una organización sean estas centrales y/o distribuidos.

29

Controles sobre Computadores y Redes de Área Local

Se relacionan a las políticas de adquisición, instalación y soporte técnico, tanto del hardware

como del software de usuario, así como la seguridad de los datos que en ellos se procesan.

Participante Propuesta empresa Auditar Definitiva

José G. Chima M.

Ind. de alimentos Zenú

S.A.S.

Jhon Sepulveda O. Ind. de alimentos Zenú

S.A.S.

Jorge E. Osorio M. Inv. Forestales la Cabaña

Geider B. Haverra SECRETARIA DE

TRÁNSITO Y

TRANSPORTE DE TURBO

ANTIOQUIA

Edwin Alejandro Mora Servi.com

Con los aportes enviados por los compañeros el consolidado de las definiciones es:

Vulnerabilidad

30

En informática hay puntos débiles del software que permiten que un ataque comprometa la

seguridad, confidencialidad, de un sistema.

queremos proteger son sus activos, es decir, los recursos que forman parte del sistema

Amenaza y Riesgo Informática

Cuando se escucha el termino amenaza o riego informático, nos preocupamos.

Control Informático

Es el control que se hace en la empresa por personal de auditoría de la misma empresa, se

revisan procesos como actividades del área de Operaciones, pueden ser flujos de Hardware

como de software, se debe hacer el control interno periódicamente.

31

32

CONCLUSIONES

Con este trabajo nos damos cuenta que tanto en el ambiente tecnológico como en la vida

normal, hay amenazas y somos vulnerables.

En el campo tecnológico estas pueden ser más menos perceptibles, hay tanto amenazas

como vulnerabilidades, como: robo de información, hacker sitios web, perdida

deliberada o no de datos, entre otros.

Podemos tomar medidas para que esto no sea tan traumático, en la parte de equipos,

instalar programas antivirus, firewall, no comentar ni dar la contraseña, revisar

periódicamente la pagina del fabricante y actualizar los parches de seguridad sugeríos

tanto para hardware, software y Bios, entre otros.

Las empresas deben invertir más en seguridad tanto en equipos especializados como en

software, que en la actualidad hay mucho, y pueden ser tanto licenciados como libres.

33

BIBLIOGRAFIA

http://es.slideshare.net/carolcols/amenazas-y-vulnerabilidades-en-la-informtica

http://es.slideshare.net/Vita1985/control-informatico

http://101plissken.blogspot.com/2013/03/control-interno-y-auditoria-informatica.html

https://protejete.wordpress.com

http://www.peru.gob.pe/docs/PLANES/10018/PLAN_10018_MOF%20GERENCIA%20DE

%20INFORMATICA%20Y%20PLANEAMIENTO_2009.pdf

http://www.zarpele.com.ar/2009/06/descripcion-de-las-distintas-funciones-del-area-de-sistemas/

http://exa.unne.edu.ar/matematica/metodos/8-sitios-material-interes/

GUIA_00001__Guia_Perfiles_Area_Inform_tica__v1.pdf

34