Auditoria Informática.

Instituto tecnológico de las américas (ITLA).

Auditoria Informática

Profesor: Simeón Clase Ulloa

Evaluación de la seguridad de los sistemas de información.

Evaluación De La Seguridad Física De Los Sistemas. La seguridad de los sistemas de información envuelve la protección de la información, así como la de los sistemas computacionales usados para grabar, procesar y almacenar la información. También está involucrada en esta sección la seguridad equipamiento adicional necesario y las personas designadas al manejo de la información. La seguridad física, se refiere por lo tanto a la protección del Hardware y de los soportes de datos, así como a la de los edificios e instalaciones que los albergan. Contempla las situaciones de incendios, sabotajes, robos, catástrofes naturales, etc. El equipamiento de las organizaciones debe estar debidamente protegido de factores físicos que los puedan dañar o mermar su capacidad de trabajo.

Evaluación De La Seguridad Lógica Del Sistema: La seguridad lógica, se refiere a la seguridad de uso del software, a la protección de los datos, procesos y programas, así como la del ordenado y autorizado acceso de los usuarios a la información.

Auditoria De La Seguridad Lógica: Es necesario verificar que cada usuario solo pude acceder a los recursos que se le autorice el propietario, aunque sea de forma genérica, según su función, y con las posibilidades que el propietario haya fijado: lectura, modificación, borrado, ejecución, traslado a los sistemas lo que representaríamos en una matriz de accesos. En cuanto a autenticación, hasta tanto no se abaraten más y generalicen los sistemas basados en la biométrica, el método más usado es la contraseña, Cuyas características serán acordes con las normas y estándares de la entidad, que podrían contemplar diferencias para según que sistemas en función de la criticidad de los recursos accedidos. Aspectos a evaluar respecto a las contraseñas pueden ser:

1) Quien asigna la contraseña inicial y sucesivas.

2) Longitud mínima y composición de caracteres.

3) Vigencia, incluso puede haberlas de un solo uso o dependientes de una función tiempo.

4) Control para no asignar las “x” ultimas.

5)  Numero de intentos que se permiten al usuario. 6) Controles existentes para evitar y detectar caballos de Troya.

Evaluación De La Seguridad Del Personal Del Área De Sistemas. La seguridad del personal puede ser enfocada desde dos puntos de vista, la seguridad del personal al momento de trabajar con los sistemas informáticos, estos deben estar en óptimas condiciones para que no causen daño a las personas, y la seguridad de los sistemas informáticos con respecto al mal uso de los mismos por parte de los empleados. Ambos puntos de vista deben ser considerados al momento de diseñar un sistema de seguridad.

Evaluación De La Seguridad De La Información Y Las Bases De Datos: La protección de los datos puede tener varios enfoques respecto a las características citadas: la confidencialidad, disponibilidad e integridad. Puede haber datos críticos en cuanto a su confidencialidad, como datos médicos u otros especialmente sensibles para la libertad (sobre religión, sexo, raza), otros datos cuya criticidad viene dada por la disponibilidad; si se pierden o se pueden utilizar a tiempo pueden causar perjuicios graves y en los casos más extremos, poner en peligro la comunidad de la entidad y finalmente otros datos críticos atendiendo a su integridad, especialmente cuando su perdida no puede detectarse fácilmente o una vez detectada no es fácil reconstruirlos.

Los datos son el corazón de los sistemas informáticos por tanto estos deben ser celosamente cuidados y manejados. La protección de la integridad, disponibilidad y confidencialidad de los mismos debe ser el objetivo principal de todo sistema de seguridad informático.

Evaluación De La Seguridad En El Acceso Y Uso Del Software. Cuando buscamos evaluar la seguridad en la operación del software, debemos identificar las principales vulnerabilidades del software de la entidad, entre los cuales, mencionamos los aspectos siguientes: Errores de aplicaciones. Errores de sistemas operativos. Rutinas de acceso no autorizados. Servicios no autorizados. A continuación, se presenta un cuestionario que podría ser resuelto al momento de evaluar la seguridad en cuanto al software utilizado en los sistemas de información: 1. Se tienen políticas y procedimientos relativos al uso y protección del software existentes? 2. Si las hay, indique si los siguientes aspectos de seguridad están formalmente identificados. Administración del software. Sistemas operativos, utilerías, paquetes, etc. Cuantificación del software (Original y copias).

Evaluación De La Seguridad En La Operación Del Hardware. Cuando buscamos evaluar la seguridad en la operación del hardware, debemos identificar las principales vulnerabilidades de hardware, las cuales podemos mencionar a continuación: Inapropiada operación. Fallas en mantenimiento. Inadecuada seguridad física. Uso del hardware: desarrollo, operación, mantenimiento, monitoreo y toma de decisiones.

Evaluación De La Seguridad En Las Telecomunicaciones. Auditoria De La Seguridad En Comunicaciones Y Redes: En las políticas de entidad debe reconocerse que los sistemas, redes y mensajes transmitidos y procesados son propiedad de la entidad y no deben usarse para otros fines no autorizados, por seguridad y por productividad, talvez salvo emergencias concretas si allí se ha especificado y más bien para comunicaciones con voz. Los usuarios tendrán restricción de accesos según dominios, únicamente podrán cargar los programas autorizados, y solamente podrán variar las configuraciones y componentes los técnicos autorizados.