informe de los resultados del diagnostico … inform… · web viewla norma 302.04 políticas...

MINISTERIO DE GOBERNACIÓN Y POLICIA AUDITORIA INTERNA AI-750-2005 [email protected] - Telefax 222-35-97

ESTUDIO DEL AMBIENTE INFORMÁTICO DE LA DIRECCIÓN NACIONAL DE DESARROLLO DE LA COMUNIDAD

1. INTRODUCCIÓN

1.1. Origen

El estudio se realizó como parte del Plan de Trabajo de esta Auditoría, para la Dirección Nacional de Desarrollo de la Comunidad, dentro del tiempo destinado para el Área de auditoría de sistemas.

1.2. Objetivos

Verificar el establecimiento, suficiencia, validez y cumplimiento de los controles para proteger los equipos y sistemas.

Comprobar el cumplimiento de la normativa legal y técnica.

1.3. Alcance y Naturaleza

El estudio se centró en el análisis de los recursos informáticos disponibles al mes de Agosto del 2004, se amplió en los casos en que se consideró necesario, con fecha de corte del 20 de Mayo del 2005 y se actualizó en cuanto a hechos subsecuentes.

Se evaluó el estado de los sistemas, el control interno existente en la seguridad, resguardo y acceso físico al hardware, software, comunicaciones y electricidad de los equipos; se analizaron los controles y estándares para la adquisición y desarrollo del hardware y software; se revisó el inventario de activos tecnológico con que cuenta la Institución y su control; se comprobó el software disponible en los equipos de cómputo y la existencia de sus respectivas licencias, además los programas que se manejan.

Como parte del proceso citado, se revisó el cumplimiento de la normativa que regula el uso del equipo, el desarrollo de tecnología informática y la eficiencia en el uso de los recursos, se visitó oficinas centrales y regionales que cuentan con equipo de cómputo, se realizaron chequeos del sistema operativo utilizando una herramienta denominada ADVISOR (software libre, para determinar el sistema operativo con el que trabaja la máquina, entre otros) y se solicitó los manuales de mantenimiento, seguridad y desarrollo de sistemas.

El área de estudio está normada en cuanto al tema de control interno, por la Ley General de Control Interno, Manual de Normas Generales de Control Interno (Manual de normas CI) y el Manual sobre normas técnicas de control interno relativas a los sistemas de información computadorizados (Manual sobre normas SIC); los dos últimos, emitidos por la Contraloría General de la República.

A nivel general, es regulada por la Ley de Derechos de Autor (No. 6683), en cuanto al cumplimiento de directrices internacionales para la protección de la Propiedad Intelectual, los

mailto:[email protected]


Derechos de Autor y Derechos Conexos, asimismo, por la “Directriz No. 30 Prohibición para accesar a material pornográfico”.

1.4. Antecedentes

La Dirección Nacional de Desarrollo de la Comunidad, es un órgano del Poder Ejecutivo, adscrito al Ministerio de Gobernación y Policía, creada por Ley No.3859, del 07 de abril de 1976 y reglamentado en el Decreto Ejecutivo No.26935-G; Gaceta No.97, del 21 de mayo de 1998 y sus reformas, cubriendo sus gastos de operación mediante el Programa 049, establecido en el Presupuesto Nacional. Dentro de sus funciones están el fomentar, orientar, coordinar y evaluar la organización de las comunidades del país como parte del Plan Nacional de Desarrollo Económico, atendiendo las necesidades de apoyo técnico a Asociaciones de Desarrollo Comunal.

1.5. Limitaciones

Una de las limitaciones que se presentó en la ejecución de este estudio, fue el no poder analizar el sistema de control de asociaciones, comprado al señor Gustavo Flores Richmond, por la falta de datos reales en el sistema e inventarios actualizados.

1.6. Presentación resultados

De acuerdo con el artículo 36, de la Ley General de Control Interno Nº. 8232, del 04 de setiembre del 2002, el titular subordinado, en un plazo improrrogable de diez días hábiles después de recibido el informe, ordenará la implantación de las recomendaciones, si discrepa de ellas, en el mismo plazo, elevará el informe al jerarca, con copia a la auditoria interna, expondrá por escrito las razones por las cuales objeta las recomendaciones del informe y propondrá soluciones alternas para los hallazgos detectados.

El contenido del presente informe, se presentó a la Bachiller Anabelle Lang Ortiz, Directora Nacional de DINADECO; el Msc. Alejandro Elizondo Castillo, Director Administrativo; al Ing. Irving Rodríguez Vargas, Jefe de Unidad Informática y al señor Fernando Ruíz Villalobos, funcionario de la Unidad Informática el día 11 de Agosto del 2005, quienes manifestaron que aceptan los resultados expuestos en este informe, de igual forma se exteriorizó que la Institución no cuenta con los recursos necesarios para solventar algunas debilidades, sin embargo, se plantearán alternativas para encontrar la mejor solución en el menor tiempo posible

2. RESULTADOS

2.1 Sin oficializar la ubicación de la Unidad de Informática.

La Unidad Informática no esta formalmente aprobada dentro de la estructura orgánica institucional, la cual está vigente desde el año 1996 y autorizada por MIDEPLAN.

Con oficio PI-031-05, del 20 de Mayo del 2005; la encargada de la Unidad de Planificación Susana Páez Vásquez reafirma esta condición, indicando que el proyecto de Reordenamiento Institucional no ha sido aprobado.

2



La norma “302.06 Ubicación de la Unidad Informática” señala que la Unidad deberá estar ubicada en un nivel jerárquico adecuado dentro de la organización, que le permita realizar de manera independiente y objetiva, la función de servicio que le corresponde.

Según el exjefe Administrativo, Lic. Rahudy Esquivel Irsen en oficio DA-310-04, del 31 de agosto del 2004, se presentó una propuesta a MIDEPLAN en donde aparece la Unidad Informática; sin embargo, esta fue devuelta con observaciones de fondo y forma, ya que uno de los requerimiento de ese Ministerio, es el análisis detallado de los componentes del Área Administrativa, para que estos sean eficientes y evitar que se convierta en cuellos de botella para la modernización institucional, asegurando así la coherencia entre los niveles administrativos y los sustantivos. Las modificaciones sugeridas fueron realizadas, sin embargo aún no se aprueba esta propuesta.

La condición descrita afecta la independencia y objetividad de operación, de las funciones que ejerce la unidad, como son: Centralización de los recursos informáticos, elaboración y mantenimiento de manuales de adquisición de hardware y software, definición de la plataforma de trabajo, de equipos, base de datos y software informático (procesador de texto, Office, entre otros); protección de información confidencial, mediante políticas de seguridad para acceso a los datos y los equipos; plan de contingencia, que establezca las acciones a seguir en desastres naturales (inundaciones, tormentas eléctricas, terremotos, ente otros); procesos sin los cuales se incrementa el riesgo de adquirir tecnologías incompatibles, enfrentar pérdidas económicas y de información, desuso o subutilización de equipos y sistemas; lo cual indica el uso ineficiente de recursos estatales, que afectan negativamente el cumplimiento de los objetivos institucionales.

2.2 Falta de asignación formal de funciones y responsabilidades del personal de la Unidad Informática.

La Unidad de Informática oficialmente cuenta con cuatro funcionarios, el señor Fernando Ruíz Villalobos, la señora Giselle Vindas, el señor Junior Aguilar y recientemente se incorporó como Jefe, el Ing. Irving Rodríguez, según oficio UI-2005-050 del 8 de Julio del 2005; cabe indicar que no se encontró evidencia escrita de la asignación y periodicidad de las actividades que ejecuta dicho personal a nivel general o individual, conforme el cargo que desempeña.

La norma “4.5.-Instrucciones por escrito”, del Manual de Normas Generales de Control Interno, indica que: “Es necesario que las instrucciones sean emitidas de manera clara, concisa y por escrito, independientemente de que se encuentren impresas o disponibles en medios magnéticos, estas deben ordenarse en un compendio de operaciones o manual y deben ser actualizados periódicamente para ajustarlo a los cambios en las necesidades y procesos organizacionales”.

La falta de definición y formalización de funciones, limita su interpretación y adecuado entendimiento; además dificulta la inducción del personal nuevo y la determinación de responsabilidades cuando sea requerido.

Esto aumenta los riesgos directos de olvido de asignaciones, omisión de prácticas importantes, control de actividades, ejecución de tareas erróneas, entre otros. Situaciones que pueden producir resultados insatisfactorios o adversos, con respecto al logro de los objetivos institucionales.

2.3 Falta de un marco regulador de la función Informática.

3



No se ha desarrollado, documentado ni promulgado políticas internas sobre tecnologías de

información (TI), control interno, minimización de riesgos, derechos de propiedad intelectual en el desarrollo de software, restricciones para el acceso a Internet (ingreso a páginas pornográficas), mantenimiento de equipos y sistemas propios de la Institución.

Si bien se han emitido algunas directrices por parte de la Dirección Administrativa y la Unidad de Informática, no han sido oficializadas por la Dirección General, no cubren todo el ambiente informático, ni están recopiladas en un sólo documento, a saber:

Circular UI-12-03, del 25 de Junio del 2003, de la Unidad Informática, en la que trata las obligaciones de los usuarios de equipo de cómputo; basándose en la publicación de La Gaceta 181, del 21 de setiembre del 2000; las cuales son de acatamiento para el Ministerio de Seguridad Pública.

Circular-DA-116-03 del 28 de julio del 2003, de la Dirección Administración referida a “compartir el uso de Internet en algunos departamentos de DINADECO y el manejo de las claves de acceso para ello.

Circular DA-133-03, del 06 de Agosto del 2003, de la Dirección Administrativa, referente a la Directriz Presidencial No. 30, publicada en La Gaceta 160, del 22 de agosto del 2001 y el Decreto Ejecutivo DC-3051-J, de febrero del 2002, relativa a la prohibición del uso de INTERNET para asuntos personales.

Oficio DA-289-04 del 17 de Agosto del 2004, de la Dirección administrativa, sobre la conveniencia de que la Unidad Informática tenga la descripción de los activos, que conforman cada estación de trabajo.

Con respecto a las políticas del ambiente informático, emitidas por el Ministerio de Seguridad Pública; según entrevista del 20 de Abril del 2005, el Ing. Manuel E. Bolaños Mata, jefe en ese entonces del Departamento de Cómputo de este Ministerio, afirmó que, no existe convenio que señale la responsabilidad de esa Dirección con las dependencias de Gobernación, en relación con el equipo de cómputo y su entorno. Por lo tanto, los lineamientos emitidos por la citada instancia, no serían de acatamiento para Gobernación; excepto que expresamente sean adoptados y oficializados por los Jerarcas de las dependencias que correspondan.

La norma 302.04 Políticas relativas al SIA (SIG o SIC), del Manual Sobre Normas Técnicas Relativas a los sistemas de información computadorizados, indica que las políticas y lineamientos o criterios generales dictados por la autoridad superior, tienen como propósito orientar la acción, en este caso, de los sistemas de información. Las mismas deben ser documentadas y divulgadas en todos los niveles de la organización y deben ser actualizadas permanentemente. La omisión de disposiciones internas completas, claras y formales, genera la inexistencia de acciones para salvaguardar las tecnologías de información; incrementa la posibilidad de que se les dé un mal uso, se pierdan o se dañen por el desconocimiento de lo que se debe o no hacer;

4



ocasiona desperdicio de recursos en desarrollo de aplicaciones, por no tenerse guías o metodologías; de igual forma adquirir hardware y software, sin las especificaciones necesarias o requeridas por la organización.

2.4. Carencia de un Comité Gerencial de Informática.

No se cuenta con un Comité de Informática en DINADECO y aunque la actividad del área de cómputo es relativamente incipiente, dentro de ese panorama, es conveniente considerar la creación de dicho órgano.

El Exdirector Administrativo, Lic. Rahudy Esquivel Irsen, indicó que la Institución es pequeña

para tener dicho comité y que se buscaría asesoría de la Comisión Informática de Seguridad Pública, por lo que presentó a ese órgano para su aprobación, el Proyecto Informático de DINADECO. Sin embargo, el 20 de Abril del 2005, el señor Luis Guerrero Fowlg, Presidente de esa Comisión, haciendo referencia al Decreto Nº 26683-SP-Reglamento Interno de la Comisión de informática del Ministerio de Seguridad Pública y al Reglamento de Normas y Políticas de Informática del Ministerio de Seguridad Pública; informó que no se tiene ingerencia sobre DINADECO y que el proyecto no se llevó a discusión; manifestando que siempre se ha brindado colaboración a Gobernación en materia Informática, pero que no existe un convenio entre ambos ministerios, para afianzar ese apoyo.

La norma 302.09-Comité Gerencial de Informática, del Manual sobre normas SIC, establece la obligación de constituir dicho comité como una instancia técnica ente el máximo jerarca y la unidad de informática, que brinde asesoría al primero en la administración del sistema de información gerencial y de los recursos humanos, materiales y financieros que se destinen para su desarrollo; dentro de sus funciones están: dictar las especificaciones necesarias para los estudios preliminares y de factibilidad de los proyectos de TI (Tecnología de Información); asesorar al nivel jerárquico superior en la aprobación de los resultados de los estudios de factibilidad, de los planes estratégicos y operativos de la función informática y la emisión de políticas relativas a la tecnología de información; controlar y evaluar la ejecución de los planes aprobados; evaluar la necesidad de disponer de hardware y software adicional y establecer las prioridades documentadas para cada desarrollo o proyecto de sistemas de información.

El hecho de que la Administración no considerara necesario la creación del Comité Gerencial de Informática, esperando asesoría del existente en Seguridad Pública; incrementa los riesgos de que se den adquisiciones en tecnología de información, sin criterios de oportunidad y con una relación inadecuada de beneficio-costo, dándose gastos injustificados, innecesarios o superfluos en las inversiones en T.I.

2.5 Carencia de una metodología para el desarrollo y compra de los Sistemas de Información. No se cuenta con una metodología para el desarrollo de los sistemas (ciclo de vida de desarrollo de los sistemas–CVDS); que defina un modelo de lenguaje de programación a seguir, regule y oriente los procesos de desarrollo, adquisición, implementación y mantenimiento, tanto de sistemas de información computadorizados como de tecnologías afines.

De los cuatro sistemas de información de la Institución, sólo dos están funcionando, siendo que:

5



A) El Sistema para el control de las organizaciones comunales, es utilizado para consultar los datos de las organizaciones creadas por la Ley sobre Desarrollo de la Comunidad (No.3859), fue programado en el lenguaje de Visual Fox, por el funcionario Fernando Ruiz Villalobos y está instalado en el equipo ubicado en el Área Legal y de Registro.

Dicho programa no cuenta con documentación que indique las actividades seguidas en su desarrollo, carece de Manual del Usuario, estudios preliminares, controles de seguridad en el acceso a la información, además muchos de los listados que genera este sistema no son utilizados y algunos son poco conocidos por la Licda. Yamileth Camacho Marín, funcionaria del Departamento de Legal y Registro, que maneja la aplicación.

B) EL Sistema de Control de Asistencia (TIME LOG), actualmente esta fuera de servicio; fue adquirido junto con el reloj marcador electrónico comprado a la empresa INTRADE ABC S.A.; sin obtenerse un manual de usuario, ni documentos de cómo se opera el sistema o cuales son los requerimientos que éste debía tener, para que fuera usado en DINADECO.

El Jefe de la Unida Informática en ese entonces, Sr. Jonathan Gómez Benavides, en memorando Nº 2005-029, del 18 de Abril del 2005, indica que ese Departamento no participó en la formulación de requerimientos para adquisición del reloj marcador, no se tienen los archivos fuentes del programa y se desconocen los requerimientos técnicos de este equipo, no pudiendo emitir un criterio acerca de la posibilidad de habilitarlo.

C) El Sistema de Control de Asociaciones Inscritas, comprado y desarrollado en el lenguaje de programación Oracle, no está funcionando y tuvo un costo de ¢1.380.000,00; está ubicado en un servidor de la Unidad de Informática y nunca fue utilizado por falta del software que administrara la base de datos, conforme al lenguaje de programación empleado.

Ese sistema presenta debilidades, como el no poseer bitácora de acceso; no hay evidencia del Manual de Usuario; carece de documentación de desarrollo; la capacitación no fue impartida a los usuarios del sistema, únicamente se le dio al Jefe de la Unidad Informática de ese entonces; no existen actas en las que se haga constar la participación de los usuarios y fue realizado fuera de las instalaciones de DINADECO.

Sobre este caso en particular, se determinó que la Administración nombró el Órgano Director para llevar a cabo el procedimiento administrativo respectivo; no obstante, el mismo no ha tenido avances positivos, razón por la que se envió una advertencia a la Directora Nacional, para que atendiera oportunamente tal situación.

D) El Sistema de Control de cupones de Combustible, es manejado con una base de datos en Access; no cuenta con toda la documentación del desarrollo del sistema (CVDS). Según oficio UI-2005-033, del 28 de Abril del 2005, remitido por el Exjefe de la Unidad Informática, Sr. Jonathan Gómez Benavides, la solicitud de su desarrollo se hizo verbalmente, por la necesidad reflejada en un estudio que la Dirección Administrativa realizó al Departamento Financiero-Contable.

6



Los aspectos que se controlan con este sistema son: determinar quienes tienen asignado cupones de combustible; controlar los cupones liquidados con la presentación de la respectiva factura comercial y vigilar los cupones con que cuenta la Administración, para ser utilizados por los funcionarios.

En el manejo de este sistema, se encontraron los oficios UC-768-2004, UC-717-2004; UC-695-2004; UC-619-2004; UC-565-2004, suscritos por el Jefe de la Unidad Financiero-Contable, en los cuales solicita a Informática; registrar varios funcionarios en el sistema, para que puedan retirar cupones. Según lo dispuesto en el documento titulado Manual de Mantenimiento del sistema de Control de Cupones, esa inclusión solo procede con la autorización de la Dirección Administrativa; no obstante, en los mencionados trámites, no se evidencia la obtención de esa aprobación.

Con oficios UC-239-2005, del 21 de Abril del 2005, DF-223-2005, del 13 de Abril del 2005, DF-219-2005, del 08 de Abril del 2005 y DF-207-2005, del 05 de Abril del 2005, el Jefe del Departamento Financiero Contable, Lic. Adrián Arias Marín; solicitó modificaciones; sin embargo, no se conoce si se realizaron por falta de notas de aceptación de los cambios requeridos o de cualquier otra documentación que lo evidenciara.

Al respecto, las normas 304.02-Documentación del sistema; 304.03-Documentación del programa; 304.04-Documentación del usuario; 303.05.02-Estudio de Factibilidad Técnico; 303.05.03-Análisis y determinación de los requerimientos de información; 303.10 Modificaciones a los SIC y 303.05-Ciclo de Vida de Desarrollo de Sistemas (CVDS), del Manual Sobre Normas del SIC, indican que los documentos del usuario, del programa, del diseño físico y las pruebas del SIC, deben fundamentar y explicar en forma detallada el servicio que brinda el programa a la institución; estos deben ser elaborados en forma adecuada, suficiente y mantenerlos actualizados; los estudios de factibilidad se confeccionarán con las especificaciones determinadas, en donde se establecerán los requerimientos de información del sistema en desarrollo. Con respecto a las modificaciones a los SIC en operación, deberán ser justificadas, autorizadas, controladas, aprobadas y documentadas adecuadamente.

El desconocimiento de la Unidad Informática sobre las políticas para el buen desarrollo de Sistemas de Información, ha producido debilidades que pueden incrementan el riesgo de que el proceso o adquisición de sistemas, sean proyectos fallidos o de baja calidad, que generen pérdidas económicas, retrasos en el procesamiento de datos, inoportunidad en la puesta en marcha de los sistemas, ineficiencia o falta de información institucional, entre otros.

2.6. Falta de políticas y controles de Seguridad Informática.

No existen políticas que regulen la seguridad informática para controlar, salvaguardar y verificar el uso adecuado del equipo y programas de las oficinas centrales y regionales, ya que no hay designación formal de funciones en la Unidad Informática, procedimientos por escrito para la actualización de los respaldos de información, mantenimiento preventivo de los equipos de cómputo, como planes para instalación y actualización de antivirus, medios preventivos contra contingencias; seguros actualizados de los equipos; mecanismos de seguridad para el acceso a los activos, baterías (UPS) en todos los equipos; cableado estructurado; tomas polarizados y bitácoras de las caídas del sistema eléctrico; todo esto en oficinas centrales de la Institución.

7



En cuanto a los equipos de las oficinas regionales, se refleja la falta de controles de seguridad de

acceso al equipo de cómputo, no se respalda la información, las instalaciones eléctricas no son las adecuadas, no existe un ágil servicio de mantenimiento correctivo y el preventivo no existe.

Las normas 305.02.-Seguridad física; 305.09-Mantenimiento del equipo de cómputo; 305.06-Respaldo de archivos magnéticos y 305.03 Seguridad lógica, del Manual Sobre Normas del SIC, incorporan los métodos y procedimientos que deben ponerse en práctica para la operación del equipo de los SIC, orientados a crear un ambiente que procure la efectividad y el control en la producción de la unidad de operaciones, así como proporcionar seguridad física sobre los archivos magnéticos de manera que sea factible mantener la operación continua del equipo y de los sistemas de información computadorizados.

Según el Exjefe del Departamento de Informática, Jonathan Gómez Benavides, indicó en fecha del 28 de Abril 2005, que se estaban estableciendo las políticas para la seguridad de TI y que los retrasos se debían a la falta de personal para desarrollar el Manual; siendo a que esa fecha, se tenían solo dos funcionarios en esa unidad.

La función de seguridad de los equipos y del software, es vital para garantizar el adecuado resguardo y uso de los recursos, la continuidad de las actividades y el cumplimiento de los objetivos institucionales; existiendo el riesgo de que ante eventos como el fuego, inundaciones, terremotos, robos, desperfectos del equipo, entre otros, no existan acciones planificadas para lograr la recuperación de la información; que personas no autorizadas tengan acceso a los archivos de datos y a los programas de los sistemas de información computadorizados (SIC), obteniendo información confidencial sobre proyectos, oficios, datos de asociaciones y sus integrantes.

2.7. Carencia de licencia de programas en algunos equipos de cómputo.

En el mes de marzo del 2005, se revisó aleatoriamente el equipo de cómputo de la Institución y todas las licencias del software existente; determinándose que en 56 computadoras de oficinas centrales se utiliza Windows y MS-Office; pero la Institución sólo cuenta con 26 licencias del primero y 25 de la segunda; también se localizaron 4 programas sin licencia, para creaciones de dibujo y animaciones (Photoshop, Ilustrador, Print Artis 4.5 y Core Draw 8). En cuanto a software preventivo, en 9 máquinas se encontró el Norton Antivirus, con su respectiva licencia; quedando los demás desprotegidos contra virus (Ver anexo 1).

El anterior Jefe de Informática, Jonathan Gómez Benavides, informó que muchas de las máquinas fueron donadas por el Triángulo de la Solidaridad y no traían licencia.

El Decreto No.30151-J, del 21-024-02, a nivel de Gobierno Central, señala en el artículo 1, que se debe prevenir y combatir el uso ilegal de programas de cómputo, con el fin de cumplir con las disposiciones que establece la Ley N° 6683, sus reformas y la Ley Nº 8039; requiriendo en los artículos del 2 al 9; realizar los inventarios iniciales de los equipos y programas, establecer controles para garantizar la utilización de sus computadoras con software legal; desarrollar y mantener un sistema de información que registre los resultados del inventario inicial de equipos y programas. El licenciamiento del software, está regulado en el artículo N° 1 de la Ley sobre

8



Derechos de Autor y Derechos Conexos (No.6683), indica que los autores tienen todos los derechos patrimoniales y morales. La violación de estos dará lugar al ejercicio de las acciones administrativas ante el registro de la propiedad o el Registro Nacional de Derechos de Autor.

Lo anterior se dió por la falta de recursos para la compra de licencias de todos los equipos de cómputo y la carencia de políticas para la aceptación de donaciones de equipo de cómputo, sin las respectivas licencias de software (ofimática). Situación que expone a la Institución a posibles demandas y sanciones en el campo administrativo, civil o penal. Además el riesgo de la interrupción de los servicios, por pérdida de datos en los sistemas de información, inhabilitación de los medios de procesamiento requeridos y carencia de medidas correctivas oportunas, por la falta de antivirus, lo cual eventualmente generaría mayores gastos.

2.8. Omisión de estudios para evaluar la factibilidad tecnológica y económica para la adquisición de equipo y software.

Se carece de un plan formulado y aprobado, relacionado con la adquisición de infraestructura tecnológica en materia de equipo, sistemas y telecomunicaciones, esto de conformidad con los objetivos que haya establecido la Dirección Nacional de la Institución, basado en el análisis de costo beneficio.

La Institución acostumbra que el Jefe del Departamento de Cómputo, haga sugerencias verbales sobre la compra de equipos de TI, sin que se evidencie la realización de un análisis de necesidades de los usuarios, compatibilidad entre programas, entre otros..

En el Manual Sobre Normas Técnicas de Control Interno Relativas a los Sistemas de Información Computadorizados, específicamente en las normas 301.01 y 301.02, se trata de la necesidad de elaborar un estudio preliminar para la adquisición de hardware y software y para el desarrollo de nuevos SIC, con la finalidad de determinar su viabilidad técnica y económica; así como definir los alcances del proyecto, las áreas de aplicación, las alternativas de solución a los problemas existentes y realizar el análisis de costo/beneficio para su implantación.

La omisión de un Plan estratégico de infraestructura tecnológica, incrementa el riesgo de aplicar recursos en equipos y programas que no son los más adecuados para las necesidades de la Institución, con su consecuente subutilización o falta de rendimiento; como en el caso de la compra de las licencias de software para red “Windows NT Server” y “Windows NT 4.0”, por un valor de ¢339.827,00 cada una; las cuales actualmente no están siendo utilizadas, fueron almacenadas en la Unidad de Informática y tienen la agravante de que con el vertiginoso cambio tecnológico, están obsoletas.

2.9 Falta de un inventario tecnológico e institucional completo y actualizado.

No se cuenta con un inventario completo, actualizado y oficializado del equipo de cómputo, el cual contenga datos confiables que permitan mantener un adecuado control de los activos.

En la revisión del documento proporcionado por el Jefe del Departamento de Bienes y Suministros, con oficio B.S. 042-2005, del 3 febrero del 2005, correspondiente a la verificación realizada en el mes de enero del 2005; existen inexactitudes sobre la ubicación de equipo de

9



cómputo, causado en parte, porque no todos los traslados de bienes están respaldados con notas y en consecuencia dichas cambios no son incorporados en el inventario del Departamento de Bienes y Suministros. El Inventario refleja la existencia de 80 componentes de cómputo, entre ellos: UPS, teclados, monitores, CPU, mouse e impresoras, que no poseen número de patrimonio, los que lo poseían estaban pegados con una calcomanía la cual no es muy segura, estando algunas casi despegadas.

Asimismo, existen diferencias entre el inventario que maneja la Institución y el que fue entregado por la Sección de Activos del Ministerio de Seguridad Pública, ya que mediante oficio 0243-206SCFA, del 15 de Febrero del 2005, el Lic. Marvin Rodríguez Li, Jefe de esta Unidad, indica que el inventario correspondiente a DINADECO del período 2004, no se envió a Bienes Nacionales, ya que carecía de datos correctos preestablecidos por el Ministerio de Hacienda para la migración de datos al SIBINET.

En las visitas efectuadas entre los meses de junio y septiembre del 2003 a oficinas Regionales que en ese entonces contaban con equipo informático, se evidenció que las sedes de Alajuela, Puntarenas, Guápiles y Cañas, no cuentan con documentación que indique la asignación, procedimientos sobre la utilización del equipo de cómputo, procedimientos de respaldos y recuperación de información en caso de desastres.

Específicamente, se encontraron las siguientes condiciones:

Regional de Cartago . Según la encargada de la oficina, Sra. Marta Avendaño Mata, los dos equipos disponibles, estaban en calidad de préstamo por la Federación de Uniones Cantonales de Cartago, sin embargo, no se evidencio la suscripción de un convenio, en donde se establezcan las responsabilidades y deberes de las partes involucradas, ya que la información que se maneja en los equipos es de la Dirección Nacional de Desarrollo de la Comunidad.

Regional de Guápiles: Cuenta con una computadora, impresora y fueron asignados apróximadamente en abril del 2003, de acuerdo al Director Regional, Lic. Ricardo Ching Calvo. En el momento de la verificación apenas tenía tres meses de la entrega de ese equipo y no estaba registrado en el inventario de la Institución, ni contaba con números de patrimonio, o marcas de seguridad.

Regional de Cañas: Se tiene una computadora sin número de activo y no se tienen boletas de asignación del mismo; el sitio es inseguro; los tomas no son polarizados; no se efectúan respaldos de información, mantenimiento preventivo y no se cuenta con las licencias de los programas.

Regional de Puntarenas : Tiene una computadora, que no cuenta con número de patrimonio y no coinciden sus características con las especificadas en nota No D.P223-2003, del 05-08-03 suscrita por el señor Randall Granados Cáseres, encargado de la Unidad de Suministros en ese entonces y dirigida a esta Auditoria.

Regional de Alajuela: Tiene una computadora que no cuenta con número de patrimonio, sólo tiene una calcamonía que dice “Triángulo de la Solidaridad”.

10



El artículo No.1 Identificación de Bienes y Nº 6 inciso d) del Decreto 30720-H, así como las normas “4.15-Inventarios periódicos”, del Manual de Normas de CI y las normas “305.02.-Seguridad física”; “305.09-Mantenimiento del equipo de cómputo”; “305.06-Respaldo de archivos magnéticos” y “305.03 Seguridad lógica”, del Manual de Normas del SIC; desarrollan que los inventarios deben contener tipo o nombre del bien; número de patrimonio; características específicas y estado; que todo bien que ingrese a la Administración deberá ser identificado por un sistema de rotulado (placa de metal o plástica o cualquier otro sistema de seguridad), en el que se indique el número de patrimonio asignado por la Dirección General de Administración de Bienes y Contratación Administrativa; esto tomando en cuenta que cada Ministerio deberá realizar un inventario inicial de los equipos existentes y de los programas que tengan las computadoras. En cuanto a la seguridad se deben mantener los dispositivos suficientes para resguardar la información y los activos, para ello además se debe dar mantenimiento preventivo y correctivo para asegurar la continuidad de los procesos.

El jefe del Departamento de Bienes y Suministros, Lic. Alex Arias Arguello, en su oficio B.S. 042-2005, indica que: muchos activos no cuentan con placa porque son donados por el Triángulo de la Solidaridad; por lo que se realizaron gestiones para conseguir placas con las que se identificaría el equipo informático.

La falta de recursos para completar las visitas a oficinas regionales con el fin de contabilizar el total de los activos dificulta ejercer control y protección del patrimonio institucional contra el uso ineficiente o irregular, responsabilidad que le corresponde a la administración y cuya inobservancia podría traer consecuencias de índole administrativa, civil y hasta penal; indiscutiblemente, expone a la Administración a mayores riesgos de pérdida y sustracción; sin que sean detectadas oportunamente, dificultando la toma de medidas correctivas, la definición de responsables y el resarcimiento económico si corresponde.

3. CONCLUSIONES

La Dirección Nacional de Desarrollo de la Comunidad, carece de una adecuada y suficiente estructura de control interno, que garantice la existencia y operación de un sistema de información institucional eficaz y eficiente, siendo requerido una unidad informática organizada, con recursos suficientes e idóneos, con un marco técnico definido, infraestructura tecnológica, con metodología y estándares de desarrollo o adquisición de sistemas y equipos establecida, políticas de gestión, seguridad y contingencia en TI adecuadas; con medidas regulatorias para integrar los esfuerzos administrativos e informáticos para alcanzar los objetivos institucionales de forma eficiente; implementando controles como registros completos, instrucciones escritas, asignación de equipos, inventarios periódicos, mantenimientos oportunos, entre otros; cumpliendo con las disposiciones técnico-legales que correspondan.

4. RECOMENDACIONES.

11



A la Directora Nacional

4.1 En un plazo que no exceda los 10 días hábiles, girar las instrucciones para que se apliquen las recomendaciones introducidas en este informe o las soluciones alternas que eventualmente propongan, en caso de que se discrepara de las emitidas por esta Auditoría; conforme lo define el artículo 36 de la Ley General de Control Interno.

4.2 Preparar y remitir a esta Auditoría, en un plazo no mayor a 10 días hábiles, un cronograma que incorpore las actividades, responsables y fechas en las que se espera cumplir las recomendaciones giradas o propuestas, de manera que se programe el proceso de seguimiento institucional.

4.3 Continuar ante MIDEPLAN con el trámite de aprobación, de la estructura organizativa de la institución, a la Unidad Informática, como una unidad orgánica y funcional existente y en ejercicio; con funciones claramente definidas en los documentos institucionales respectivos y oficialmente comunicadas y respaldadas, por esa Dirección General. (Resultado 2.1).

4.4 Definir y oficializar las funciones que le corresponden a la Unidad de informática en general y a cada uno de sus integrantes, lo que se debe hacer con base en un plan de trabajo a corto, mediano y largo plazo, adaptado a los requerimientos y recursos de la institución; con la que se asegure llegar a cubrir las necesidades básicas en las áreas de tecnologías de información, considerando:

a) Ubicación de la función de TI, en niveles de autoridad e independencia diferentes a las demás unidades de la organización.

b) Segregar funciones y responsabilidades, de manera que evite que un sólo funcionario

resuelva un proceso de forma completa.

d) Evaluar y gestionar si corresponde, lo idóneo y la suficiencia del Recurso Humano disponible y del requerido. (Resultado 2.2)

4.5 Establecer, promulgar y mantener actualizadas políticas internas sobre tecnologías de información, relacionadas con control interno, minimización de riesgos, derechos de propiedad intelectual en el desarrollo de software, directrices tecnológicas en general y para el desarrollo de programas, mantenimientos propios de la Institución, entre otros. (Resultado 2.3)

4.6 Constituir y garantizar la operación del Comité Gerencial de Informática de DINADECO, apoyándolo con los recursos humanos, materiales y financieros necesarios para su organización y el cumplimiento de las funciones establecidas en el Manual sobre normas de los SIC, siendo recomendable que esté integrado por un representante tanto del máximo jerarca, Planificación Institucional, Unidad Financiera y Unidad Informática, este último como secretaría técnica. (Resultado 2.4)

4.7 Solicitar al Comité de Informática de DINADECO, que defina las políticas que correspondan para que la Unidad Informática prepare, presente a su aprobación y mantenga actualizado, el Plan estratégico institucional del área de Tecnología de Información, que sirva de eje para el

12



desarrollo tecnológico de DINADECO, durante los siguientes 5 años.( Resultado 2.4)

4.8 Definir y mantener actualizada por parte del Comité de Informática, una metodología para el desarrollo de sistemas de información de la institución, oficializada por esa dirección y que incluya la normativa interna que se requiera en concordancia con el Manual sobre Normas del SIC y el Manual de CI, para que se puedan cumplir las funciones técnicas propias de dicha unidad y las de asesoría en materia informática cuando se requiera. (Resultado 2.5 )

4.9 Definir un cronograma de trabajo para el plan de desarrollo tecnológico de TI, que señalen las personas y/o dependencias responsables, así como los tiempos estimados, de acuerdo con las capacidades institucionales de la administración; para la generación, aprobación, divulgación e implementación de los siguientes componentes: Plan estratégico de TI, Modelo de la Arquitectura de los SIC, Sistemas de Información Gerencial, Planes de adquisición de infraestructura tecnológica, Políticas de tecnología de información, Marco de referencia de administración de proyectos, Plan gerencial de calidad, Plan de aseguramiento de la continuidad del servicio, Plan de capacitación del personal de TI y Marco de referencia de evaluación de sistemas en riesgo. (Resultado 2.6)

4.10 Solicitar al Comité de informática conformar un manual de seguridad para el acceso físico y lógico de los equipos informáticos basados en estándares internacionales de seguridad como son Cobit, BS-7799; ISO 14001 entre otros; en el cual se indiquen las condiciones mínimas para uso de los equipos y software, con el fin de controlar y normar la seguridad informática (Resultado 2.6).

4.11 Buscar soluciones alternas como software gratuito, desinstalación de programas no imprescindibles y/o planificar y presupuestar a corto, mediano y largo plazo, los recursos para adquirir las licencias de los programas, que de acuerdo con un estudio realizado por el Departamento Informático, sean los efectivamente requeridos por DINADECO para el cumplimiento de sus objetivos, la protección de su información y el cumplimiento de las leyes que tutelan los derechos de propiedad intelectual, derechos de autor y conexos y el Decreto 30151-J del 21-02-2002 (Resultado 2.7).

4.12 Requerir que en toda solicitud de adquisición de equipo o software, que se le presente para autorización, contenga el estudio de factibilidad tecnológica y económica, que debe estar fundamentado y referenciado en el Plan de infraestructura tecnológica que debe elaborar y fundamentar la Unidad Informática, de acuerdo con los lineamientos técnicos del Manual de normas del SIC y los dictados al respecto, por la Contraloría General de la República. (Resultado 2.8).

Al Director Administrativo

4.13 Coordinar con las unidades solicitantes y las del Ministerio de Gobernación encargadas de las compras de DINADECO, para que verifiquen y evalúen los estudios de factibilidad que se les presenten para los trámites de compras de Software y Hardware y que los carteles de contratación que se generen al respecto; se analicen por un experto en la materia, sea el equipo de la unidad especializada o el Comité Informático de DINADECO o sus homólogos en el

13



Ministerio de Seguridad Pública; instancia que entre otros aspectos revise que lo que se desea adquirir corresponde a la plataforma informática definida, las necesidades institucionales, la factibilidad y oportunidad del proyecto, que se haya efectuado la debida planificación, que lo requerido sea compatible con las características de las aplicaciones y/o equipos existentes, etc.; con lo que se asegure que se aprovechen eficientemente los recursos invertidos, el cumplimiento de la normativa que rige la materia y sobre todo el adecuado cumplimiento de los objetivos de DINADECO.(Resultado 2.8)

4.14 Girar las instrucciones pertinentes para que el Departamento de Bienes y Suministros, complete y mantenga actualizado el inventario institucional, para que ejecute un control efectivo sobre los mismos; con ello logren la asignación y ubicación de los bienes de manera efectiva. (Resultado 2.9)

4.15 Girar las instrucciones al Departamento de Bienes y Suministros, para que documenten todos los movimientos de equipo de cómputo que se den en la Institución, tanto de oficinas Centrales como Regionales, usando formularios preestablecidos y numerados, en los que se describan las características del activo, el movimiento ocurrido y consten las firmas, y nombres de los funcionarios que reciben o entregan. (Resultado 2.9).

14



ANEXO NO.1 DIRECCIÓN NACIONAL DE DESARROLLO DE LA COMUNIDAD

DETALLE DE LA CANTIDAD DE PROGRAMAS EN USO Y LA EXISTENCIA DE LAS RESPECTIVAS LICENCIAS AL 30 DE MARZO DEL 2005

Programa Instalado en Número de computadoras

Licencias Sin licencia

WINDOWS 95 5 0 5WINDOWS 98 8 2 6WINDOWS ME 7 2 5WINDOWS XP 31 22 9Windows 2000 5 0 5

Total 56 26 30

OFFICE 2000 10 5 5OFFICE XP 34 19 15

Office 97 12 1 11Total 56 25 31

Norton 2000 4 4 0Norton 2001 1 1 0Norton 2003 4 4 0

Total 9 9 47

Licencias de Windows para redes

Windows NT 4.0 1 1 0Windows NT Server 1 1 0

Total 2 2 0

Otros software encontradosPhotoshop 1 0 1Ilustrador 1 0 1

Print Artist 4.5 1 0 1Core Draw 8 1 0 1

Total 4 0 4

Software administrador de

base de datosOracle 1 0 1Total 1 0 1

Fuente: Control de Licencias Oficinas Centrales de DINADECO y cédula de verificación efectuada por la Auditoria interna.

15


informe de los resultados del diagnostico … inform… · web viewla norma 302.04 políticas...

Documents