Auditoría de Sistemas - Actualidad Empresarial

Área XI
Sistema Nacional de Control y Auditoría Gubernamental
Sistema Nacional de
Control y Auditoría
Gubernamental
Ficha Técnica
Autor : C.P.C. Juan Francisco Álvarez Illanes*
Título : Auditoría de Sistemas - TIC - Parte I
Fuente : Actualidad Gubernamental, Nº 23 - Setiembre 2010
Sumario
1. Auditoría de Sistemas
2. Síntomas de Necesidad de una Auditoría Informática
3. Objetivo de la Auditoría
4. Objetivos Específicos de la Auditoría de Sistemas
5. Procedimientos y Técnicas de Auditoría de
Sistemas
6. Las Normas Internacionales de Auditoría en
Apoyo a la Auditoría de Sistemas Objetivo de la
NIAS
7. Evaluación de Riesgos (Ver Amplia Información
en las Revistas Nos 8 y 9 de A. Gubernamental
de los Meses de Junio y Julio de 2009)
8. Técnicas de Auditoría Informática
9. ¿Qué Aspectos se Debe Verificar?
10. Verificar la Documentación de Sistemas
11. Evaluación del Diseño Lógico
12. Aplicación de Técnicas
1. Auditoría de Sistemas
La auditoría de sistemas se define como
un proceso integrado y secuencial de
evaluación y análisis objetivo de evidencias sobre los servicios informáticos,
información computarizada, evaluación
del sistema informático y aseveraciones
asociadas a los actos y eventos de carácter económico; con el fin de determinar
el grado de correspondencia entre esas
afirmaciones y los criterios establecidos,
para luego comunicar los resultados a la
* Asesor y consultor de Gobiernos Regionales y Locales
Asesor de Sociedades de Auditoría Externa, Conferencista a Nivel
Nacional
I
Parte
Alta Dirección, a los Organismos Rectores
y a los interesados.
Es una metodología de análisis, evaluación y
gestión de riesgos de los sistemas de informática e información computarizada de las
entidades del Estado y recoge los lineamientos de las Nagus en materia de auditoría y del
Cobit en materia de seguridad de sistemas
de información, evaluación de la calidad de
la información,
Se encarga de llevar acabo la evaluación del
cumplimiento de normas, controles establecidos, técnicas y procedimientos aplicados
en una entidad para lograr confiabilidad
oportunidad, seguridad y confidencialidad
de la información que se procesa a través
de los sistemas de información. La auditoría
de sistemas es una rama especializada de la
auditoría integral, que promueve y aplica
conceptos de auditoría en general, en el área
de sistemas de información a través de la cual
se evalúa y verifica. El funcionamiento de los
controles en el procesamiento de la información, desarrollo de sistemas e instalación
con el objetivo de evaluar su efectividad y
presentar recomendaciones a la Gerencia.
Se considera también como un examen
y evaluación de los procesos del área de
Procesamiento automático de Datos y de
la utilización de los recursos que en ellos
intervienen, para llegar a establecer el
grado de eficiencia, efectividad y economía de los sistemas computarizados en
una entidad y presentar conclusiones y
recomendaciones encaminadas a corregir
las deficiencias existentes y mejorarlas.
Por tanto, analiza el proceso de recolección y evalúa las evidencias detectadas
para determinar los riesgos en los sistemas
automatizados, si existen:
Daños, activos no operativos, Destrucción,
Uso no autorizado, Robo, Mantenimiento
Integral de la Información, Precisión en
los datos, los cuales deben ser completos, oportunos, confiables, que alcancen
las metas previstas; Contribución a la
organización, si la función informática
consume recursos, utiliza los recursos
adecuadamente, eficientemente, en el
procesamiento de la información.
Actualidad Gubernamental
En conclusión, la auditoría de los sistemas
de información y servicios automatizados se
define como el examen y análisis sistematizado que abarca la revisión y evaluación de
todos los aspectos (o de cualquier porción
de ellos) de los sistemas automáticos de
procesamiento de la información, incluidos los procedimientos no automáticos
relacionados con ellos y las interfaces
correspondientes.
2. Síntomas de Necesidad de una
Auditoría Informática
Las organizaciones acuden a las auditorías
externas cuando existen síntomas perceptibles de debilidad. Estos síntomas pueden
agruparse en Aspectos tales como:
-
Síntomas de descoordinación y
desorganización
No coinciden los objetivos de Informática del área con los objetivos estratégicos de la entidad (Plan operativo).
Los estándares de productividad se
desvían sensiblemente de los promedios conseguidos habitualmente.
-
Síntomas de mala imagen e insatisfacción de los usuarios
- No se atienden las peticiones de
cambios de los usuarios. Ejemplos: cambios de Software en los
terminales de usuario, refrescamiento de paneles, variación de
los ficheros que deben ponerse
diariamente a su disposición, etc.
- No se reparan las averías de Hardware ni se resuelven incidencias
en plazos razonables. El usuario
percibe que está abandonado y
desatendido permanentemente.
- No se cumplen en todos los casos
los plazos de entrega de resultados
periódicos. Pequeñas desviaciones
pueden causar importantes desajustes en la actividad del usuario,
en especial en los resultados de
Aplicaciones críticas y sensibles.
N° 23 - Setiembre 2010
XI 1
Informe Especial
Auditoría de Sistemas - TIC
XI
XI
-
-
-
Informe Especial
Síntomas de debilidades económico-financieras
- Incremento desmesurado de
costos operativos o de mantenimiento.
- Necesidad de justificación de Inversiones Informáticas (la entidad
no está absolutamente convencida
de tal necesidad y decide contrastar opiniones).
- Desviaciones Presupuestarias significativas.
- Costos y plazos de nuevos proyectos (deben auditarse simultáneamente a Desarrollo de Proyectos
y al órgano que realizó la petición).
Síntomas de inseguridad: evaluación de nivel de riesgos
- Seguridad Lógica
- Seguridad Física
- Confidencialidad
[Los datos son propiedad inicialmente
de la organización que los genera. Los
datos de personal son especialmente
confidenciales]
Centro de proceso de datos fuera
de control
Si tal situación llegara a percibirse,
sería prácticamente inútil la auditoría.
Esa es la razón por la cual, en este
caso, el síntoma debe ser sustituido
por el mínimo indicio.
3. Objetivo de la Auditoría
La Informática de hoy está integrando
en la gestión de la entidad, y por ello
las normas y estándares propiamente
informáticos deben estar sometidos a los
objetivos generales de la organización.
Esta metodología presenta un objetivo
general definido la evaluación de la eficiencia y eficacia con que está operando
el sistema, analizar y evaluar los riesgos
que afectan los sistemas de información y
el entorno de ellos, promoviendo mejoras
y recomendaciones correspondientes para
agregar valor y mejorar la calidad de la
información y de los servicios informáticos
que presta el sistema, examinar las medidas de seguridad apropiadas que deberían
adoptarse para conocer, prevenir, evaluar
y controlar los riesgos evaluados. Éste
tipo de auditoría desarrolla también el
concepto de evaluación del control interno
y de riesgos, evalúa también las guías de
procedimientos, técnicas, desarrollo de
aplicaciones, personal y cumplimiento de
normas legales.
Los principales objetivos específicos que
constituyen a la auditoría de Sistemas
son:
-
Control de la función informática.
El análisis de la eficiencia de los Sistemas Informáticos.
XI 2
La verificación del cumplimiento de
la Normativa en este ámbito.
- La revisión de la eficaz gestión de los
recursos informáticos.
- Buscar una mejor relación costobeneficio de los sistemas automáticos
o computarizados diseñados e implantados.
- Incrementar la satisfacción de los usuarios de los sistemas computarizados.
- Asegurar una mayor integridad, confidencialidad y confiabilidad de la información, mediante la recomendación
de seguridades y controles.
- Conocer la situación actual del área
informática y las actividades y esfuerzos necesarios para lograr los objetivos
propuestos.
Seguridad de personal, datos, hardware,
software e instalaciones
-
-
Apoyo de función informática a las
metas y objetivos de la organización.
- Seguridad, utilidad, confianza, privacidad y disponibilidad en el ambiente
informático.
- Minimizar existencias de riesgos en el
uso de Tecnología de información.
- Decisiones de inversión y gastos innecesarios.
Para proyectar el desarrollo de la estrategia a emplear durante el examen es
necesario elaborar un plan de trabajo que
permita medir el alcance de la auditoría
en puntos y áreas claves y administrar
eficientemente los recursos de tiempo, de
personal que sean asignados.
4. Objetivos Específicos de la
Auditoría de Sistemas
1. Participación en el desarrollo de nuevos
sistemas:
- evaluación de controles
- cumplimiento de la metodología
2. Evaluación de la seguridad en el área
informática.
3. Evaluación de suficiencia en los planes de
contingencia.
- respaldos, prever qué va a pasar si se
presentan fallas.
4. Opinión de la utilización de los recursos
informáticos.
- Resguardo y protección de activos
5. Control de modificación a las aplicaciones
existentes.
- Fraudes
- Control a las modificaciones de los
programas
6. Participación en la negociación de contratos con los proveedores.
7. Revisión de la utilización del sistema
operativo y los programas
- Utilitarios.
- Control sobre la utilización de los
sistemas operativos
- Programas utilitarios
8. Auditoría de la base de datos.
- Estructura sobre la cual se desarrollan
las aplicaciones.
Actualidad Gubernamental
N° 23 - Setiembre 2010
9. Auditoría de la red de teleprocesos.
10. Desarrollo de software de auditoría.
Es el objetivo final de una auditoría de
sistemas bien implementada, desarrollar
software capaz de estar ejerciendo un
control continuo de las operaciones del
área de procesamiento de datos.
Alcance de la Auditoría Informática
El alcance de auditoría debe definir con
precisión el entorno y los límites en que
va examinar o desarrollar la auditoría
de sistemas y debe estar integrada y
complementada con los objetivos de
ésta. El alcance ha de figurar expresamente en el el memo de planificación,
de modo que quede perfectamente
determinado no solamente hasta qué
puntos se debe llegar, sino qué aspectos,
materias, procesos, procedimientos han
de examinarse.
1. Definir el alcance de la auditoría: Análisis
Inicial y Plan de Auditoría.
2. Recopilación de información, identificación y realización de Pruebas de Auditoría, incluyendo, si se acuerda, acciones de
Hacking Ético o análisis de vulnerabilidad
de aplicaciones.
3. Análisis de los riesgos y evidencias, documentación de los resultados obtenidos y
conclusiones.
4. Informe de Auditoría en el que se recogen
las acciones realizadas a lo largo de la
auditoría y las deficiencias detectadas. El
informe contiene un resumen ejecutivo
en el que se resaltan los apartados más
importantes de la auditoría.
5. Plan de Mejora con el análisis y las recomendaciones propuestas para subsanar
las incidencias de seguridad encontradas
y mantener en el futuro una situación
estable y segura de los Sistemas de Información.
5. Procedimientos y Técnicas de
Auditoría de Sistemas
Se requieren varios pasos para realizar
una auditoría de sistemas. El auditor encargado debe evaluar los riesgos globales
en el ambiente de TIC y luego desarrollar
programas de auditoría que consta de objetivos de evaluación y control, así como
procedimientos de auditoría que deben
satisfacer esos objetivos. El proceso de
auditoría exige que el auditor de sistemas
reúna evidencia, evalúe fortalezas y debilidades de los controles establecidos en la
TIC, basado en la evidencia recopilada, y
que prepare un informe de control, que
presente esos temas en forma objetiva a
la Gerencia, Además deberá evaluar el
cumplimiento de las medidas correctivas
establecidas en auditorías anteriores
además de las revisiones de seguimiento
sobre las acciones correctivas emprendidas
por la Gerencia.
Sistema Nacional de Control y Auditoría Gubernamental
Planificación de la auditoría
La planificación adecuada es el primer
paso necesario para realizar auditorías
de sistema eficaces. El auditor de sistemas
debe comprender el ambiente TIC, en el
que se ha de realizar los exámenes, así
como los riesgos en el sistema operativo
y control asociado. A continuación se
menciona algunas de las áreas que deben
ser cubiertas durante la planificación de
la auditoría:
Comprensión del sistema operativo y
de su ambiente TIC
Al planificar una auditoría, el auditor de
sistemas debe tener una comprensión
suficiente del ambiente TIC que se revisa,
debiendo incluir una comprensión general
de los diversos procesos y procedimientos
ejecutados en el área, así como los tipos
de sistemas que se utilizan. El auditor de
sistemas también debe comprender el
ambiente normativo en el que operan
los sistemas; por ejemplo, una entidad
que maneja grandes volúmenes de información, por la magnitud se le exigirá
requisitos de integridad de sistemas de
información y de control que no están
presentes en una entidad pequeña.
6. Las Normas Internacionales de
Auditoría en Apoyo a la Auditoría de Sistemas Objetivo de
la NIAS
Tiene como objetivos de control la efectividad y eficiencia de las operaciones, la
integridad de la información financiera y
el cumplimiento de normas y regulaciones
que explica en el ambiente de control,
sistemas manuales y automatizados y
procedimientos de control.
NIAS Relacionadas
IFAC muestra en la NIA 15 (Auditoría en
Entornos Informatizados) una referencia
de controles para procesamiento electrónico de datos y la necesidad de éstos
cuando estamos en ambientes donde los
instrumentos tradicionales del papel y
demás pistas de auditoría no son visibles
para los contables en el momento de
realizar su trabajo.
La NIA (Técnicas de Auditoría Asistida
por Computador) describe técnicas y
procedimientos de auditoría que se pueden hacer en entornos informatizados
con ayuda de los computadores y otras
tecnologías.
La NIA nos presenta los efectos de un
entorno informatizado en la evaluación
de sistemas de información contables.
Junto con las demás normas dan una
guía al auditor de los controles en general a tener en cuenta en un ambiente
informatizado y en las aplicaciones que
procesan la información, así como técnicas
de auditoría asistidas por computador y
su importancia.
Metodología Estructurada para Desarrollar Todas las Fases del Trabajo
según las Normas Técnicas
- A nivel material, el comienzo se centra
en el trabajo de campo. trabajo realizado físicamente en las instalaciones de la
entidad.
- En el trabajo de campo se realizan pruebas
documentales, arqueos, inventarios físicos,
valoración de inventarios, examen físico de
las partidas de inmovilizado, etc.
Planificación de la Auditoría
Auditoría al Área de Informática___________
Objetivo General del Examen a realizar_____
_______________________________________
_______________________________________
_______________________________________
Alcance del Examen (Áreas de Revisión)
• Planificación y organización de sistemas.
• Seguridad física y lógica
• Plan de contingencias y documentación
• Origen, captura y validación de datos
• Procesamiento y actualización de datos
• Salidas, utilización y control de resultados
• Integridad y seguridad de los sistemas y de
los datos
• Terminales y comunicación de datos
Auditores Asignados
Supervisor_____________ Senior _______
Junior______________________________
Durac. Estimada___ Horas__ Días__ Semanas___
Fecha de Inicio____ Fecha Conclusión _________
Control Interno
Para verificar si se están aplicando las
medidas de control interno más apropiadas para salvaguardar la integridad
de la información y de los sistemas en
prevención de riesgos de fraude, pérdida,
manipulación, fallas en el sistema y en los
servicios de información, etc., el papel
del control interno en informática es muy
importante.
La auditoría informática consiste en una
revisión profunda y detallada de todos los
elementos de que dispone una entidad en
el área de sistemas de información.
Guía de Control Interno a la
Seguridad Informática
Aspectos a verificar, en su contenido destacan lo siguientes aspectos:
• Gestión global de la seguridad de la información
• Política de seguridad
• Organización y planificación de la seguridad
• Análisis y gestión de riesgos
• Identificación y clasificación de activos a
proteger
• Salvaguardas ligadas al personal
• Seguridad física
• Autenticación
• Confidencialidad
• Integridad
• Disponibilidad
• Control de acceso
Actualidad Gubernamental
XI
• Acceso a través de redes
• Firma electrónica
• Protección de soportes de información y
copias de respaldo
• Desarrollo y explotación de sistemas
• Gestión y registro de incidencias
• Plan de contingencias
• Auditoría y control de seguridad
7. Evaluación de Riesgos (Ver
Amplia Información en las
Revistas Nos 8 y 9 de A. Gubernamental de los Meses de
Junio y Julio de 2009)
Las siguientes interrogantes deben ser
consideradas de modo de identificar si
existe un adecuado proceso de Gestión
de Riesgos en su organización tales como:
Daños, Salvaguarda de activos, Destrucción
de archivos, Uso no autorizado, Robo, que
mantenga la Integridad de Información
Precisa, los datos Completos, Oportunidad
en la información, que ésta sea confiable
y alcance metas y contribuya a la organización en agregar valor, para la toma de
decisiones:
-
¿Se ha implementado en su organización un proceso que contribuya a una
gestión integral de riesgos en la TIC?
- ¿Forma la gestión de riesgos parte de
las actividades regulares del área de
informática?
- ¿Las habilidades para el manejo de
riesgos de su organización están en línea
con las necesidades de la misma?
- ¿Cómo está posicionada su entidad en
relación a sus pares y a la competencia
en lo que respecta a la gestión de
riesgos?
- ¿Se monitorea que los riesgos asumidos estén alineados con el apetito de
riesgo de la organización?
- ¿Existe una cultura de riesgos en la
entidad lo suficientemente reconocida
y valorada?
- ¿La gestión de riesgos de su organización tiene una performance elevada,
en cuanto a contribuir al logro de los
objetivos?
A través de la identificación y la valoración
de los riesgos se puede evaluar la vulnerabilidad de la administración de los riesgos,
requiriendo identificar todos los riesgos
estratégicamente relevantes:
-
Ponderar su riesgo inherente en función de su impacto y probabilidad de
ocurrencia.
- Evaluar la efectividad de controles
existentes y potenciales para mitigar
su impacto.
- Tomar decisiones respecto de los riesgos residuales.
El resultado final de la organización se
construye por su habilidad para lograr los
objetivos y evitar los riesgos.
N° 23 - Setiembre 2010
XI 3
XI
Informe Especial
8. Técnicas de Auditoría Informática
Cuestionario
- Simulación de datos (test- deck)
- Visita en local
- Mapeo estadístico
- Rastreabilidad
- Entrevista
-
Análisis reportes/pantallas
- Simulación paralela
- Análisis de log
- Análisis de programa fuente
-
necesario se compruebe que es uno de
los componentes del sistema global de
Información de la Institución y esté interrelacionado con otros sistemas, a través
del intercambio de información o acceso
a información común.
Se debe verificar que exista un cronograma del desarrollo del Sistema, usando el
método de Gantt como mínimo, siendo
ideal utilizar adicionalmente el PERTCPM.
Verificar que el cronograma del Proyecto
permita que el sistema esté operativo
oportunamente.
Deberá evaluarse el sistema de acuerdo
a la estacionalidad del ciclo operativo, si
el inicio de la implantación y puesta en
marcha es acorde con las necesidades de
la Institución, debiendo empezar, de ser
factible, simultáneamente al comenzar el
ciclo administrativo, de tal forma que se
evite la puesta al día de información.
La forma más adecuada para asegurar
que el Sistema se desarrolle de acuerdo
a una metodología, consiste en verificar
dos aspectos:
Que cuente con toda la documentación
del análisis, diseño e implantación del
Sistema.
Que se hayan aplicado correctamente
las técnicas de análisis y diseño de Sistemas.
-
9. ¿Qué Aspectos se Debe Verificar?
En esta etapa de la auditoría se deberán
evaluar los programas, su diseño, el lenguaje utilizado, interconexión entre los
programas y características del hardware
empleado (total o parcial) para el desarrollo del sistema. Al evaluar un sistema de
información se tendrá presente que todo
sistema debe proporcionar información
de calidad en tiempo real, para planear,
organizar y controlar de manera eficaz y
oportuna, para reducir la duplicidad de
datos y de reportes y obtener una mayor
seguridad en la forma más económica
posible. De ese modo contará con los
mejores elementos para una adecuada
toma de decisiones; al tener un proceso
distribuido, es preciso considerar la seguridad del movimiento de la información
entre nosotros. El proceso de planeación
de sistemas debe definir la red óptima
de comunicaciones, los tipos de mensajes requeridos, el tráfico esperado en las
líneas de comunicación y otros factores
que afectan el diseño. Es importante
considerar las variables que afectan a
un sistema: ubicación en los niveles de
la organización, el tamaño y los recursos
que utiliza. Las características que deben
evaluarse en los sistemas son:
-
-
-
Que exista un control permanente de la
consistencia y confiabilidad de los Sistemas Informáticos.
La Calidad del Sistema producido permita
una optima operatividad del mismo.
Que la tecnología utilizada sea la más
adecuada a los fines del sistema y permita
una vida útil satisfactoria para la inversión
realizada.
Que se evalúe el costo/beneficio, los
costos, tanto del desarrollo como de su
operación y mantenimiento, sean los
planificados y exista un retorno de la
inversión.
Que se haya logrado los beneficios esperados.
Que el Proyecto de Desarrollo de Sistemas
esté enmarcado dentro del Plan General
de Sistemas.
Comprobar si los sistemas desarrollados
están integrados para asegurar que el
Sistema a desarrollar o desarrollado
logre estar integrado y tenga todas las
interfases con los demás sistemas, es
XI 4
-
-
10. Verificar la Documentación
de Sistemas
Si el control es realizado preventivamente,
la documentación deber ser revisada al
finalizar cada subetapa, siendo recomendable que se revise internamente en la
dirección de Informática, previa a la entrega del mismo al Comité‚ el Sistema debe
llevar un registro de la documentación
generada, a efectos de seguimiento permanente y control posterior. Si el control es
realizado posteriormente, deber verificarse
la existencia de toda la documentación y
la aprobación del usuario.
Con la documentación generada por el
sistema, se debe verificar que todas las
etapas y subetapas de la metodología de
análisis, diseño, programación e implantación de sistemas se hayan ejecutado, con
resultados satisfactorios.
-
-
-
Verificar la existencia de un control
permanente de la consistencia y confiabilidad de los Sistemas Informáticos: detección de errores, prevención
de acceso no autorizado y mal uso de
la información y del equipo, controles
ambientales y seguridad.
Verificar que se cumpla con los requerimientos del usuario, establecido en
la fase de análisis y diseño del Sistema,
que las secuencias de trabajo u operación del sistema, sea el mismo que
el de proceso real.
Verificar que el Sistema esté totalmente operado con manuales de
procedimiento o Guías de usuario,
ayudas permanentes en línea, que los
tiempos de respuesta sea adecuado
para el volumen real de datos.
Actualidad Gubernamental
N° 23 - Setiembre 2010
-
Verificar que la tecnología utilizada
sea la más adecuada a los fines del
Sistema, y permita una vida útil satisfactoria para la inversión realizada.
Verificar que los siguientes elementos
del sistema sean los más adecuados:
- Equipos
- Sistema de Red
- Sistema de Base de Datos
- Sistema de Comunicaciones
- Lenguaje de Programación
-
11. Evaluación del Diseño Lógico
Al tener el análisis del diseño lógico del
sistema se deberá comparar lo planeado
o programado con lo que realmente se
está obteniendo.
Los puntos a evaluar son:
-
Entradas
Salidas
Procesos
Especificaciones de datos
Especificaciones de proceso
Métodos de acceso
Operaciones
Manipulación de datos (antes y después
del proceso electrónico de datos)
Proceso lógico necesario para producir
informes
Identificación de archivos, tamaño de los
campos y registros
Proceso en línea o lote y su justificación
Frecuencia y volúmenes de operación
Sistemas de seguridad
Sistemas de control
Responsables
Número de usuarios
12. Aplicación de Técnicas
Se debe verificar que se hayan utilizado
las técnicas adecuadas para cada etapa y
subetapas del desarrollo e implantación
del Sistema, para cada etapa se aplicarán
las siguientes técnicas:
-
Análisis de Sistemas
Entrevistas
Diagrama de Flujo de Datos (D.F.D)
Modelización de Datos
Diagrama de Estructura de Datos
(D.E.D.)
Historia de Vida de la Entidad (H.E.V.)
Análisis de Costo-Beneficio (A.C.B.)
Prototipo
Diseño de Sistemas
Diseño Estructurado
Diagrama de Estructura de Cuadros
Optimización del Diseño Físico
Diseño de Pruebas
Prototipo
Programación
Programación Estructurada
Pruebas Unitarias
Pruebas de Integración
Prueba del Sistema
Continuará en la siguiente edición...