Unidad IV - Metodologia para la elaboración de Informaticas - Thomas Rogers - 26.744.937

Auditores SEPTIEMBRE

DE

LA REVISTA SOBRE AUDITORIA PARA UNA NUEVA GENERACIÓN

De novato a experto THOMAS

ROGERS

NOS

HABLA

PREPARADO

DE

PARA

COMO EL

SER

UN

LABOR

CIUDAD BOLIVAR 14 DE SEPTIEMBRE DE 2021

AUDITOR

2021

Resumen AUDITORES - METODOLOGIAS PARA LA AUDITORIA

Las Auditorías Informáticas que se realizan en las organizaciones empresariales deben utilizar metodologías de apoyo, sin embargo, no existe una metodología única o una que sea reconocida de manera generalizada, su uso depende de la experiencia del auditor y del conocimiento de esta. Varios autores proponen metodologías de Auditoría Informática, y si bien, existen similitudes, se requiere complementarlas con buenas prácticas y estándares mundialmente aceptados. Estos apoyarían su uso en ¿cómo cumplir con los aspectos solicitados?, el fin es robustecerlas y minimizar la parte subjetiva que tienen de manera general las Auditorías, al ser ejecutadas.

El objetivo de este artículo es realizar una revisión y descripción de las buenas prácticas para la gestión de las Tecnologías de Información que sirven para fortalecer las metodologías de las Auditorias Informáticas.

Planeación de Aditoria Informatica AUDITORES - METODOLOGIAS PARA LA AUDITORIA

Es el proceso que sigue una serie de pasos previos que permitirán dimensionar el tamaño y características del área dentro del organismo a auditar, sus sistemas, organización y equipo.

Determinar el número y características del personal de auditoría, las herramientas necesarias, el tiempo y costo, así como definir los alcances de la auditoría para, en caso necesario, poder elaborar el contrato de servicios.

Planeación de Aditoria Informatica

La planeación de la auditoría deberá ser documentada e incluirá: El establecimiento de los objetivos y el alcance del trabajo.La obtención de información de apoyo sobre las actividades que se auditarán.

La determinación de los recursos necesarios para realizar la auditoría.El establecimiento de la comunicación necesaria con todos los que estarán involucrados en la auditoría.

La realización, en la forma más apropiada, de una inspección física para familiarizarse con las actividades y controles a auditar, así como identificación de las áreas en las que se deberá hacer énfasis al realizar la auditoría y promover comentarios y la promoción de los auditados.

La preparación por escrito del programa de auditoría.La determinación de cómo, cuándo y a quien se le comunicarán los resultados de la auditoría.La obtención de la aprobación del plan de trabajo de la auditoría.

En el caso de la auditoría en informática, la planeación es fundamental, pues habrá que hacerla desde el punto de vista de varios objetivos: Evaluación administrativa del área de procesos electrónicos.Evaluación de los sistemas y procedimientos.Evaluación de los equipos de cómputo.Evaluación del proceso de datos, de los sistemas y de los equipos de cómputo (software, hardware, redes, bases de datos, comunicaciones).Seguridad y confidencialidad de la información.Aspectos legales de los sistemas de la información.

PRUEBAS

Definición de pruebas.

El equipo de auditoría debe realizar pruebas para verificar la consistencia de los controles existentes o bien para medir el riesgo existente. Toda opinión o evaluación de un auditor debe estar basada en pruebas realizadas de acuerdo con mina normativa profesional. Las pruebas pueden ser de cumplimiento, que seutilizan para comprobar si el riesgo potencial es real.

Los resultados de cada prueba deben valorarse para obtener una conclusión, siempre teniendo en cuenta los objetivos y el alcance de la auditoria.

Las conclusiones obtenidas deben comentarse y discutirse con los responsables directos del área afectada por las razones que se expresan a continuación: • Puede haber limitaciones en la realización de las pruebas.

• Puede haber controles alternativos que no hayan detectado en el proceso.

Todas las deficiencias o riesgos deben ser objeto de comentarios individuales y deben incluir: • Descripción de la situación.

• Riesgo existente y deficiencia a solucionar.

• Si es preciso, sugerencia de solución.

PRUEBAS

Pasos para realizar las pruebas.

Estas especificaciones son cruciales a la hora de diseñar las pruebas de verificación. Note que el diseño de estas pruebas requiere los siguientes pasos: Revisar la verificabilidad del requerimiento; Especificar el criterio de verificación; Hacer visible las propiedades o elementos del software necesarios para verificar el cumplimiento del requerimiento; Hacer controlable los elementos del software necesarios para llevar a cabo las pruebas; Elaborar el plan de pruebas; Ejecutar el plan de pruebas y reportar sus resultados.

PRUEBAS

Tipos datos de prueba.

Análisis de requerimientos: Pruebas de sistema, pruebas de verificación (de requerimientos) Diseño: Pruebas de integración, pruebas de subsistema.

Codificación: Pruebas unitarias

TIPOS DE PRUEBAS

Prueba de enlace: También se le conoce como prueba en cadena. La prueba de enlace revisa para ver si los programasque son interdependientes trabajan, de hecho, como se planeó.

Una pequeña cantidad de datos de prueba, para probar las especificaciones del sistema, así como los programas, se usan para la prueba de enlace.

La prueba de todas las combinaciones puede llevarse varios pasos a través del sistema, debido a que es mucho muy difícil describir los problemas si se trata de probar todo en una sola vez.

El analista crea datos de prueba especiales que cubren una diversidad de situaciones de procesamiento para la prueba de enlace.

Primero, se procesan datos de prueba típicos para ver si el sistema puede trabajar las transacciones normales, aquellas que conformarán la mayor parte de su carga.

Si el sistema trabaja con las transacciones normales, luego se añaden variaciones, incluyendo losdatos inválidos usados para asegurarse de que el sistema pueda detectar errores adecuadamente

TIPOS DE PRUEBAS

Prueba de aceptación.

La prueba de aceptación se relaciona y define la aceptación formal de un producto acabado.

Comprueba si el producto satisface los requerimientos originales del negocio. Es realizado por los representantes del negocio, usando los documentos originales de los requerimientos como referencias y no por el personal técnico.

Estas pruebas las realiza el cliente. Son básicamente pruebas funcionales, sobre el sistema completo, y buscan una cobertura de la especificación de requisitos y del manual del usuario.

Estas pruebas no se realizan durante el desarrollo, pues sería impresentable de cara al cliente; sino una vez pasada todas las pruebas de integración por parte del desarrollador

TIPOS DE PRUEBAS

Prueba de caja blanca Se denomina cajas blancas a un tipo de pruebas de software que se realiza sobre las funciones internas de un módulo.

Así como las pruebas de caja negra ejercitan los requisitos funcionales desde el exterior del módulo, las de caja blanca están dirigidas a las funciones internas. Entre las técnicas usadas se encuentran; la cobertura de caminos (pruebas que hagan que se recorran todos los posibles caminos de ejecución), pruebas sobre las expresiones lógico-aritméticas, pruebas de camino de datos (definición-uso de variables), comprobación de bucles (se verifican los bucles para 0,1 y n iteraciones, y luego para las iteraciones máximas, máximas menos uno y más uno.

Las pruebas de caja blanca se llevan a cabo en primer lugar, sobre un módulo concreto, para luego realizar las de caja negra sobre varios subsistemas (integración).

En los sistemas orientados a objetos, las pruebas de caja blanca pueden aplicarse a los métodos de la clase, pero según varias opiniones, ese esfuerzo debería dedicarse a otro tipo de pruebas más especializadas (un argumento podría ser que los métodos de una clase suelen ser menos complejos que los de una función de programación estructurada)

TIPOS DE PRUEBAS Prueba de caja negra Se denomina caja negra a aquel elemento que es estudiado desde el punto de vista de las entradas que recibe y las salidas o respuestas que produce, sin tener en cuenta su funcionamiento interno. En otras palabras, de una caja negra nos interesará su forma de interactuar con el medio que le rodea (en ocasiones, otros elementos que también podrían ser cajas negras) entendiendo qué es lo que hace, pero sin dar importancia a cómo lo hace.

Por tanto, de una caja negra deben estar muy bien definidas sus entradas y salidas, es decir, su interfaz; en cambio, no se precisa definir ni conocer los detalles internos de su funcionamiento.

Un sistema formado por módulos que cumplan las características de caja negra será más fácil de entender ya que permitirá dar una visión más clara del conjunto. El sistema también será más robusto y fácil de mantener, en caso de ocurrir un fallo, éste podrá ser aislado y abordado más ágilmente.

En programación modular, donde un programa (o un algoritmo) es divido en módulos, en la fase de diseño se buscará que cada módulo sea una caja negra dentro del sistema global que es el programa que se pretende desarrollar, de esta manera se consigue una independencia entre los módulos que facilita su implementación separada por un equipo de trabajo donde cada miembro va a encargarse de implementar una parte (un módulo) del programa global; el implementador de un módulo concreto deberá conocer como es la comunicación con los otros módulos (la interfaz), pero no necesitará conocer cómo trabajan esos otros módulos internamente; en otras palabras, para el desarrollador de un módulo, idealmente, el resto de módulos serán cajas negras.

TIPOS DE PRUEBAS

Prueba de Sensibilidad Tratan de descubrir combinaciones de datos dentro de las clases de entrada válidas que causan inestabilidad o procesamiento inapropiado. Una variante de las pruebas de resistencias es una técnica denominada prueba de sensibilidad.

Prueba de Huracán Se utilizan para simular efectos cíclicos dentro de una tarea, o sea hacen referencias a algunos tipos de pruebas en sistemas en forma de ciclos repetitivos para contemplar el diagnostico. El espécimen puede ser cualquier tipo de elemento usado en cualquier tipo de subcomponente o modulo del sistema auditado. Normalmente las pruebas de huracanes se hacen en módulos, sub módulos y partes de o componentes de un sistema.

Prueba en Paralelo Se conoce como el proceso de introducir datos de prueba en dos sistemas: el sistema modificado y un sistema alternativo (usualmente el sistema original) y comparar los resultados

TIPOS DE PRUEBAS

Prueba ascendente y descendente.

La estrategias de pruebas descendentes y ascendentes refleja diferente enfoques de la integración del sistema. En la integración descendente, los componentes de los niveles altos de un sistema se integran y prueban antes de que se complete su diseño e implementación. En la integración ascendente, los componentes de los niveles bajos se integran y prueban antes de que se desarrollen los componentes de los niveles altos.

Las pruebas descendentes son una parte integral del proceso de desarrollo descendente en el cual este último inicia con los componentes de los niveles altos y descienden en la jerarquía de los componentes.

Estos tienen la misma interfaz que los componentes pero funcionalidad muy limitada. Después de que se programa y prueba el primer componente de nivel alto, se implantan y prueban sus subcomponentes, de la misma forma.

Este proceso continúa hasta que los componentes de nivel bajo se implanten.

De esta forma queda completamente probado el sistema completo.

En contraste, las pruebas ascendentes comprenden integrar y probar los módulos en los niveles bajos de la jerarquía, y después asciende por la jerarquía de los módulos hasta que el módulo final se prueba. Este enfoque no requiere que el diseño arquitectónico del sistema este completo por lo que se puede mcomenzar en una etapa inicial del proceso de desarrollo. Se emplea donde el sistema reutiliza y modifica componentes de otros sistemas.

Evaluación del procesamiento de datos a nivel organizacional

Evaluación del procesamiento de datos a nivel organizacional Un Centro de Procesamiento de Datos (CPD) o Centro de cómputo, es el conjunto de recursos físico, lógicos, y humanos necesarios para la organización, realización y control de las actividades informáticas de una empresa.

La evaluación del desempeño del centro de cómputo consiste en llevar a cabo juicios acerca del avance y progreso de las actividades realizadas por el personal del centro, en donde se mide: la eficiencia, calidad del servicio prestado, el nivel de productividad, el mínimo de errores en los sistemas, en general el día a día de todos los integrantes. Los objetivos son evaluar la configuración actual, tomando en consideración las aplicaciones y el nivel de uso del sistema, evaluar el grado de eficiencia con el cual el sistema operativo satisface las necesidades de la instalación y revisar las políticas seguidas por la unidad de informática en la conservación de su programa.

Las funciones de gestión y administración de un Centro de Procesamiento de Datos engloban operaciones de supervisión planificación y control de proyectos, seguridad general de las instalaciones y equipos, gestión financiera y gestión de los propios recursos humanos.

Evaluación del procesamiento de datos a nivel organizacional Control El control el proceso de ejercitar una influencia directiva o restrictiva, es decir, las posibilidades de dirigir actividades hacia objetivos buscados o de evitar que se produzcan resultados no deseados.

Una vez conseguida la Operatividad de los Sistemas, el segundo objetivo de la auditoría es la verificación de la observancia de las normas teóricamente existentes en el departamento de Informática y su coherencia con las del resto de la empresa. Para ello, habrán de revisarse sucesivamente y en este orden: 1.-Las Normas Generales de la Instalación Informática. Se realizará una revisión inicial sin estudiar a fondo las contradicciones que pudieran existir, pero registrando las áreas que carezcan de normativa, y sobre todo verificando que esta Normativa General Informática no está en contradicción con alguna Norma General no informática de la empresa.

2-.Los Procedimientos Generales Informáticos. Se verificará su existencia, al menos en los sectores más importantes. Por ejemplo, la recepción definitiva de las máquinas debería estar firmada por los responsables de Explotación. Tampoco el alta de una nueva Aplicación Podría producirse si no existieran los Procedimientos de Backup y Recuperación correspondientes.

3.-Los Procedimientos Específicos Informáticos. Igualmente, se revisara su existencia en las áreas fundamentales. Así, Explotación no debería explotar una Aplicación sin haber exigido a Desarrollo la pertinente documentación.

Del mismo modo, deberá comprobarse que los Procedimientos Específicos no se opongan a los Procedimientos Generales. En todos los casos anteriores, a su vez, deberá verificarse que no existe contradicción alguna con la Normativa y los Procedimientos Generales de la propia empresa, a los que la Informática debe estar sometida.

Evaluación del procesamiento de datos a nivel organizacional Organización en el centro de cómputo Esta etapa del proceso administrativo encargada de coordinar y ordenar los recursos y tareas del centro de cómputo con el fin de facilitar el logro de objetivos, para que estos tengan significado y contribuyan a la eficiencia organizacional.

PRINCIPALES DEPARTAMENTOS: Producción y control: verifica que los programas o sistemas que producen en el departamento de sistema de cómputo estén correctamente estructurados. Operación: opera y manipula el sistema, los datos del mismo, y el equipo con que cuenta la empresa; en otras palabras el software y hardware.

Administración de sistemas: administra los suplementos del software, dotar o instalar en cada departamento del centro de cómputo, los requerimientos que para un buen desempeño sean necesarios.

Programación: capturar, codificar y diseñar los programas, sistemas, base de datos. Soporte: verificar que el software y hadware funcionen correctamente y en caso de que se localice algún error, deberán repararlo.

Implementación: implementar el software necesario de manera que cada área del centro de cómputo se le destine el material que requiere para el buen desempeño de sus funciones de la empresa.

Evaluación de la configuración del sistema de cómputo

Evaluación de la configuración del sistema de cómputo Los objetivos son evaluar la configuración actual tomando en consideración las aplicaciones y el nivel de uso de sistema.

Productividad: La tecnología debería jugar un papel fundamental en el esfuerzo necesario para aumentar la productividad, ya que permitiría abaratar la producción de bienes y la oferta de servicios.