Planificación de una auditoria de sistemas

República Bolivariana de Venezuela Universidad Bicentenaria de Aragua Vicerrectorado académico Facultad de ingeniería Escuela de ingeniería en sistemas San Joaquín de Turmero, Edo. Aragua

Planificación de una auditoria de sistemas

Autor: Manuel Márquez

Febrero del 2024

Índice 3. Introducción.

4. Diagnóstico inicial.

5. Descripción de la organización.

6. Herramientas y técnicas para el levantamiento de la información.

8. Determinar el área y los recursos humanos.

10. Conclusiones.

11. Referencias.

Introducción En el entorno empresarial actual, donde la tecnología de la información desempeña un papel fundamental en la operación y gestión de las organizaciones, la auditoría de sistemas informáticos se ha convertido en una práctica indispensable. La auditoría informática tiene como objetivo evaluar la eficiencia, seguridad y cumplimiento normativo de los sistemas de información de una organización, identificando riesgos y recomendando mejoras para garantizar la integridad y confidencialidad de los datos.

Para llevar a cabo una auditoría de sistemas informáticos de manera efectiva, es esencial contar con el área y los recursos adecuados. En esta tarea, se debe determinar el área específica de la auditoría, que puede abarcar desde sistemas y aplicaciones específicas hasta redes completas, dependiendo del alcance y objetivos establecidos. Además, es fundamental disponer de recursos humanos competentes en auditoría informática, que posean los conocimientos y experiencia necesarios para evaluar los sistemas de manera rigurosa y precisa.

Además de los recursos humanos, los recursos materiales desempeñan un papel crucial en la auditoría. Es necesario contar con hardware, como computadoras, servidores y dispositivos de almacenamiento, para realizar análisis y pruebas.

Asimismo, se requiere de software especializado en auditoría informática, que incluye herramientas de escaneo de vulnerabilidades, análisis de registros y configuraciones de seguridad, entre otros.

Diagnóstico inicial Un diagnóstico inicial es fundamental para tener una mejor visión de la situación general y establecer los objetivos y alcances de la auditoría informática. El diagnóstico inicial debe ser personalizado y adaptado a la organización específica, considerando sus características, necesidades y regulaciones aplicables. Además, es recomendable contar con la participación y aprobación de los responsables de la organización antes de proceder con la auditoría.

1-. Objetivos de la Auditoría Informática: -Identificar y evaluar los riesgos y vulnerabilidades en el entorno informático de la organización.

-Evaluar la eficacia de los controles y medidas de seguridad implementadas.

-Verificar el cumplimiento de las políticas y normativas internas y externas relacionadas con la seguridad informática.

-Recomendar mejoras y acciones correctivas para fortalecer la seguridad y protección de la información.

2. Alcance de la Auditoría Informática: -Determinar los sistemas, aplicaciones y redes que serán objeto de la auditoría.

-Identificar los departamentos y áreas involucradas en el proceso de auditoría.

-Establecer el periodo de tiempo en el cual se llevará a cabo la auditoría.

-Definir los límites de acceso y alcance de la auditoría, incluyendo la información y recursos que serán evaluados.

Descripción de la organización La misión, la visión, los valores y los objetivos de una empresa son los pilares de la organización, estos pilares no son solo para tenerlos colgados en un cuadro en la pared, son las leyes de la empresa, es por lo que se rige la empresa a la hora de tomar decisiones. La misión, visión, valores y objetivos de la empresa deben estar bien inculcados en todos los departamentos para remar todos en la misma dirección.

Misión: La misión es una declaración concisa que describe el propósito fundamental y la razón de ser de una organización. Expresa el enfoque principal de la organización, sus actividades principales y el valor que busca proporcionar a sus clientes o usuarios.

Objetivos: Los objetivos son metas específicas y medibles que una organización se propone alcanzar en un período determinado. Estos objetivos deben ser coherentes con la misión y visión de la organización y establecer los resultados deseados en diferentes áreas, como crecimiento, rentabilidad, calidad, satisfacción del cliente, entre otros.

Visión: La visión es una declaración que describe la imagen futura deseada de la organización. Representa una aspiración a largo plazo y define la dirección estratégica que la organización busca alcanzar. La visión debe ser inspiradora y motivadora, y reflejar los logros y el impacto que la organización desea tener en el futuro.

Organigrama: El organigrama es una representación gráfica de la estructura organizativa de una empresa u organización. Muestra la jerarquía de cargos y la relación entre diferentes departamentos, unidades o áreas funcionales.

El organigrama ayuda a visualizar la estructura de poder, la cadena de mando y la división de responsabilidades dentro de la

Herramientas y técnicas necesarias para el levantamiento de la información El levantamiento de información es una etapa esencial en la recopilación y medición de datos relacionados con variables de interés, con el propósito de utilizarlos en la toma de decisiones empresariales, la planificación estratégica, la investigación y otros fines. Este proceso implica recoger información de manera sistemática y siguiendo un plan predefinido, lo cual resulta fundamental en proyectos de investigación y en el análisis de datos.

Entrevistas: Realizar entrevistas con personal clave de la organización, incluyendo directivos, responsables de sistemas, usuarios y personal de TI. Las entrevistas permiten obtener información sobre los procesos, controles y riesgos existentes en el entorno informático.

Cuestionarios: Utilizar cuestionarios estructurados para recopilar información específica sobre políticas, procedimientos, controles y prácticas de seguridad. Estos cuestionarios pueden ser enviados a los responsables de los diferentes departamentos o áreas de la organización.

Análisis documental: Revisar documentos relevantes, como políticas, manuales, informes de auditoría anteriores, documentación técnica, contratos y acuerdos relacionados con sistemas y seguridad informática. Esto proporciona una comprensión más profunda de los controles existentes y las prácticas de la organización.

Observación directa: Realizar visitas a las instalaciones de la organización para observar los procesos, sistemas y controles en funcionamiento. Esto permite verificar la efectividad de los controles implementados y detectar posibles debilidades.

Pruebas de penetración: Utilizar herramientas y técnicas de hacking ético para evaluar la seguridad de los sistemas informáticos. Estas pruebas ayudan a identificar vulnerabilidades y evaluar la resistencia de los sistemas ante posibles ataques.

Revisión de registros y logs: Analizar los registros y logs de los sistemas y aplicaciones para detectar actividades sospechosas, errores o incidentes de seguridad. Esto proporciona evidencia de las actividades y eventos ocurridos en los sistemas informáticos.

Determinar el área y los recursos materiales 1. Área de la auditoría: -Identificar el alcance de la auditoría, es decir, los sistemas, aplicaciones, redes o servicios que serán objeto de la evaluación.

-Definir las áreas funcionales o departamentos de la organización que serán involucrados en la auditoría.

2. Recursos humanos: -Contar con un equipo auditor con conocimientos y experiencia en auditoría informática.

-Designar un líder o coordinador de la auditoría para supervisar y organizar el proceso.

-Colaboración de personal de la organización, como responsables de sistemas, administradores de bases de datos y usuarios clave, para proporcionar información y colaborar en la evaluación

3. Recursos materiales Hardware: -Computadoras y servidores para realizar análisis y pruebas.

-Dispositivos de almacenamiento y copias de seguridad para respaldar la información recolectada.

-Herramientas de hardware especializadas, como equipos de prueba de red o dispositivos de análisis forense, si son necesarios.

4. Recursos materiales Software: -Herramientas de auditoría informática, como software de escaneo de vulnerabilidades, herramientas de análisis de registros o herramientas de análisis de configuraciones de seguridad.

-Herramientas de análisis forense digital, en caso de ser relevante para la auditoría.

-Software de gestión de proyectos o herramientas de documentación para facilitar la organización y seguimiento de la auditoría.

Conclusión La auditoría de sistemas informáticos se ha convertido en una práctica imprescindible en el entorno empresarial actual, donde la tecnología de la información juega un papel crucial en la operación de las organizaciones. En esta tarea, hemos explorado la importancia de determinar el área y los recursos necesarios para llevar a cabo una auditoría efectiva.

Hemos aprendido que el área de la auditoría debe ser claramente definida, estableciendo el alcance y los objetivos específicos de la evaluación. Asimismo, hemos destacado la relevancia de contar con recursos humanos competentes en auditoría informática, que posean los conocimientos y experiencia necesarios para evaluar los sistemas de manera rigurosa y precisa.

Además, hemos subrayado la importancia de los recursos materiales, tanto en términos de hardware como de software. Los recursos materiales adecuados, como computadoras, servidores, herramientas de escaneo de vulnerabilidades y software especializado en auditoría informática, son fundamentales para llevar a cabo las pruebas y análisis necesarios.

En un entorno empresarial cada vez más digitalizado y sujeto a riesgos de seguridad, la auditoría de sistemas informáticos se convierte en una herramienta valiosa para proteger los activos de información y garantizar un funcionamiento óptimo de los sistemas. Al invertir en los recursos necesarios y en un equipo de auditoría capacitado, las organizaciones pueden mantenerse a la vanguardia de la seguridad informática y tomar decisiones informadas para proteger su información confidencial y cumplir con las regulaciones aplicables.

Referencias Adriana. (2021, 17 septiembre). Cómo hacer una auditoría de software paso a paso. Aplicaciones y Tecnologia. https://aplicacionesytecnologia.com/como-hacer-una-auditoria-de-s oftware/

Martínez-Casasola Hernández, L. (2023, 18 diciembre). Misión, visión y valores de una empresa: qué son, y ejemplos. Psicologia y Mente. https://psicologiaymente.com/organizaciones/mision-vision-valore s-empresa

Narvaez, M. (2023, 19 junio). Levantamiento de información: Qué es y cómo realizarlo. QuestionPro. https://www.questionpro.com/blog/es/levantamiento-de-informacio n/

Nuño, P., & Nuño, P. (2023, 9 agosto). Auditoría de sistemas.

Emprendepyme. https://emprendepyme.net/auditoria-de-sistemas.html Ortega, B. M. C. (2020, 2 junio). Auditoría de sistemas de información • gestiopolis. Gestiopolis. https://gestiopolis.com/ auditoria-de-sistemas-de-informacion/