Diapositiva 1

1

ÍNDICE
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
1.- INTRODUCCIÓN 2.- OBJETIVOS DE LA ASI 3.-
CONTROL INTERNO 4.- METODOLOGÍAS DE ASI 5.- ÁREAS
DE REVISIÓN 6.- NORMAS Y REGULACIONES
2


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
METODOLOGIA TRADICIONAL CUESTIONARIO
El auditor revisa los controles con la ayuda de
una lista de control que consta de una serie de
preguntas o cuestiones a verificar La
evaluación consiste en identificar la existencia
de unos controles establecidos o estandarizados
3


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
METODOLOGIA basada en la EVALUACIÓN de RIESGOS

• El auditor realiza una evaluación del RIESGO
  POTENCIAL EXISTENTE
• Como consecuencia de la ausencia de controles o
  bien por ser un sistema deficiente, estos riesgos
  deben ser
• cuantificados y
• valorados
• de tal forma que permita determinar el nivel de
  fiabilidad que brinda el sistema sobre la
  exactitud, integridad y procesamiento de la
  información

4


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ELEMENTOS PRINCIPALES
OBJETIVOS de CONTROL EVALUACIÓN de
RIESGOS TECNICAS de CONTROL PRUEBAS
INDEPENDIENTES CONCLUSIONES SUSTENTADAS
5


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
OBJETIVO de CONTROL
El objetivo de todo control es la REDUCCIÓN del
RIESGO
6


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
TECNICAS de CONTROL
(Políticas y Procedimientos) Por cada objetivo
de control/riesgo potencial se deben identificar
las técnicas de control existentes que deben
minimizar el riesgo, logrando cumplir así, el
objetivo de control
7


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
ENTORNO GENERAL de CONTROL
CONTROLES en determinadas APLICACIONES
Procesos de negocio automatizados
8


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
CONTROLES de APLICACIÓN
ENTRADA
PROCESO
SALIDA
9


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
CONTROLES PREVENTIVOS
CONTROLES DETECTIVOS
CONTROLES CORRECTIVOS
10


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PRUEBAS
Permiten obtener evidencia y verificar la
consistencia de los controles existentes
y también medir el riesgo por deficiencia de
estos o por su ausencia
11


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PRUEBAS
de CUMPLIMIENTO
SUSTANTIVAS
12


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
TÉCNICAS GENERALES

• .ENTREVISTAS

• .REVISIONES de DOCUMENTOS

• .EVALUACION de RIESGOS y CONTROLES

• .MUESTREO ESTADISTICO

• .VERIFICACIONES de CALCULOS

• .PRUEBAS de CUMPLIMIENTO y SUSTANTIVAS

• .HERRAMIENTAS de AUDITORIA y SOFTWARE ESPECIFICO

13


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
TÉCNICAS ESPECÍFICAS
Son productos de software que permiten al auditor
OBTENER INFORMACIÓN de los sistemas
automatizados como evidencias de las pruebas que
diseñen
14


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
HERRAMIENTAS PROPIAS del AUDITOR y bajo su CONTROL

• Software de auditoría o de revisión de productos
  determinados o plataformas

Permiten obtener una diagnosis de la situación de
parámetros y otros aspectos y su relación con
respecto a la seguridad y protección del software
y de la información
15


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
HERRAMIENTAS PROPIAS del AUDITOR y bajo su CONTROL

• Software de auditoría que permiten extraer
  información para su revisión, comparación, etc.

Estos productos utilizados habitualmente por los
auditores operativos o financieros, permiten
extraer datos concretos o en base a muestras
estadísticas
16


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
UTILIDADES del SOFTWARE o PLATAFORMA a auditar,
bajo el CONTROL de la INSTALACIÓN AUDITADA
Utilidades provistas por el software auditado
revisión de registros lógicos de actividades,
edición de parámetros, etc.
Productos específicos de rendimiento, control,
calidad instalados en la plataforma a auditar
lenguajes de interrogación, software de
librerías, depuradores de software, etc.
17


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
SECUENCIA del PROCESO de una AUDITORÍA de
SISTEMAS de INFORMACIÓN
18


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
I
OBJETIVO de la AUDITORÍA
DEFINICION del ALCANCE
RECURSOS y TIEMPO
RECOPILACION de INFORMACIÓN BÁSICA
IDENTIFICACIÓN y EVALUACIÓN de RIESGOS
POTENCIALES
19


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PROGRAMA de AUDITORÍA
II
IDENTIFICACION de ÁREAS CRÍTICAS y CONTROLES
FUERTES
PRUEBAS y TÉCNICAS a UTILIZAR
REALIZACION de PRUEBAS y OBTENCIÓN de RESULTADOS
20


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
EVALUACIÓN de RESULTADOS y CONCLUSIONES
III
CONSIDERACIÓN de OTROS CONTROLES COMPENSATORIOS o
PRUEBAS ADICIONALES
REVISIÓN y CIERRE de PAPELES de TRABAJO
INFORME
21


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
EVIDENCIAS, RESULTADOS y CONCLUSIONES
Los resultados de cada prueba deben VALORARSE,
obtener UNA CONCLUSIÓN, siempre teniendo en
cuenta los OBJETIVOS y el ALCANCE de la auditoría
EVIDENCIAS PERTINENTES y SUFICIENTES FEHACIENTES
VERIFICACIÓN de resultados INTERRELACIÓN con
otros resultados
22


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• Las conclusiones obtenidas deben comentarse y
  discutirse con los responsables directos del área
  afectada
• POR EJEMPLO
• Puede haber limitaciones de recursos, en la
  realización de pruebas, en la disponibilidad de
  la evidencia.........
• Puede haber controles alternativos que el auditor
  no haya detectado..............

23


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• Deben incluir
• DESCRIPCION de la situación
• RIESGO existente,
• DEFICIENCIA a solucionar
• si corresponde, SUGERENCIA
• de solución

CONEXIÓN con objetivo y otras deficiencias
CUANTIFICACIÓN del riesgo
24


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
PAPELES de TRABAJO de la Auditoría de SI
25


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• Se deben realizar de ACUERDO a
• NORMAS de AUDITORÍA, y deben reflejar
• METODOLOGÍA utilizada
• COBERTURA del OBJETIVO de
• auditoría
• PRUEBAS realizadas y
• CRITERIOS utilizados
• RESULTADOS de las pruebas

26


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• LIMITACIONES en las tareas realizadas
• DEFICIENCIAS en pruebas realizadas que puedan
  requerir alguna EXTENSIÓN ESPECIAL de la revisión
  y
• FALTA de CONSISTENCIA o claridad en las
  conclusiones

27


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN
INFORME
Es necesario elaborar CONCLUSIONES GENERALES en
base a los resultados obtenidos Todo informe
incluirá ALCANCE y OBJETIVO de la auditoría,
METODOLOGÍA UTILIZADA, POSIBLES LIMITACIONES
y CONCLUSIONES Es recomendable obtener junto con
la presentación del borrador, una contestación o
confirmación del área auditada /cliente
/organización
28


METODOLOGÍAS
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• Reglas en la preparación de Informes
• el vocabulario debe ser preciso,
• objetivo, cuidadoso, respetuoso,...
• NO incluir juicios de valor, nombres propios,
  abreviaturas o iniciales de productos, ......
• y
• frases con contenido y breves......

29


DEBATE
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• Cuál de las siguientes opciones brinda mejor
  control de acceso a los datos de nómina que se
  están procesando en un servidor local?
• Bitácora (log) de todos los accesos a la
  información personal
• Contraseña separada para las transacciones
  sensitivas
• Que el software restrinja las reglas de acceso al
  personal autorizado
• Acceso al sistema, restringido a horas hábiles

30


DEBATE
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• El control más efectivo para un antivirus es
• Escasear los archivos adjuntos de correo
  electrónico en el servidor de correo
• Restaurar sistemas a partir de copias limpias
• Deshabilitar las unidades de diskettes
• Un escaneo en línea con definiciones actualizadas
  de virus

31


DEBATE
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• Cuál de las siguientes es una función de control
  de acceso al sistema operativo?
• Registrar las actividades del usuario
• Registrar las actividades de acceso a la
  comunicación de datos
• Verificar la autorización de usuario a nivel de
  campo
• Cambiar los archivos de datos

32


DEBATE
AUDITORÍA DE SISTEMAS DE INFORMACIÓN

• Una organización está proponiendo instalar una
  facilidad de clave única (single sign-on) que de
  acceso a todos los sistemas. La organización debe
  ser consciente de que
• sería posible un acceso máximo no autorizado si
  se revelara una contraseña
• los derechos de acceso a usuario estarían
  restringidos por los parámetros adicionales de
  seguridad
• aumentaría la carga de trabajo del administrador
  de seguridad
• aumentarían los derechos de acceso del usuario