AMENAZAS Y PROBLEMAS EN EL USO DE LAS TECNOLOGÍAS DE INFORMACIÓN. SEGURIDAD CONTROL Y AUDITORIA
Actualmente, las organizaciones modernas necesitan dotar sus sistemas e infraestructuras informáticas de las políticas y medidas de protección más adecuadas que garanticen el continuo desarrollo y sostenibilidad de sus actividades, en este sentido cobra especial importancia que puedan contar con profesionales especializados en las nuevas tecnologías de seguridad que implementen y gestionen de manera eficaz sus sistemas. Las universidades o instituciones abocadas a preparar personal profesional persiguen como uno de sus máximos objetivos, poder convertir al participante en un auténtico experto en seguridad, con lo que pueda hacer frente a una de las profesiones más demandadas y competitivas del mercado laboral actual.
El empresario desea cada día más, que la persona contratada afronte desde el primer momento los problemas que se le plantean, dándoles una solución rápida y eficaz.
Seguridad es un concepto asociado a la certeza, falta de riesgo o contingencia. Conviene aclarar que no siendo posible la certeza absoluta, el elemento de riesgo esta siempre presente, independiente de las medidas que tomemos, por lo que debemos hablar de niveles de seguridad. La seguridad absoluta no es posible y en adelante entenderemos que la seguridad informática es un conjunto de técnicas encaminadas a obtener altos niveles de seguridad en los sistemas informáticos. Además, la seguridad informática precisa de un nivel organizativo, por lo que diremos que:
Sistema de Seguridad = TECNOLOGIA + ORGANIZACION
Lo importante es proteger la información…!
Si bien es cierto que todos los componentes de un sistema informático están expuestos a un ataque (hardware, software y datos) son los datos y la información los sujetos principales de protección de las técnicas de seguridad. La seguridad informática se dedica principalmente a proteger la Confidencialidad, la Integridad y Disponibilidad de la información.
Confidencialidad: La confidencialidad se refiere a que la información solo puede ser conocida por individuos autorizados. Existen infinidad de posibles ataques contra la privacidad, especialmente en la comunicación de los datos. La transmisión a través de un medio presenta múltiples oportunidades para ser interceptada y copiada: las líneas "pinchadas" la intercepción o recepción electromagnética no autorizada o la simple intrusión directa en los equipos donde la información está físicamente almacenada
Integridad: La integridad se refiere a la seguridad de que una información no ha sido alterada, borrada, reordenada, copiada, etc., bien durante el proceso de transmisión o en su propio equipo de origen. Es un riesgo común que el atacante al no poder descifrar un paquete de información y, sabiendo que es importante, simplemente lo intercepte y lo borre.
Disponibilidad: La disponibilidad de la información se refiere a la seguridad que la información pueda ser recuperada en el momento que se necesite, esto es, evitar su pérdida o bloqueo, bien sea por ataque doloso, mala operación accidental o situaciones fortuitas o de fuerza mayor.
Otros problemas comunes:
Otros problemas importantes de seguridad son la autentificación, es decir la prevención de suplantaciones, que se garantice que quien firma un mensaje es realmente quien dice ser; el no repudio, o sea que alguien niegue haber enviado una determinada información (que efectivamente envió) y los controles de acceso, esto es quien tiene autorización y quien no para acceder a una parte de la información.
Finalmente se tiene el problema de la verificación de la propiedad de la información, es decir que una vez que se ha detectado un fraude determinar la procedencia de la información.
Daños no intencionados:
No todos los riesgos que amenazan la información son de origen dañino. Es por ello que las medidas de seguridad no deben limitarse a la mera protección contra ataques e intrusiones de terceros, pues dentro de la misma organización y por parte de individuos de confianza existen riesgos contra la disponibilidad de la información ya sea por negligencia, descuido, ignorancia o cualquier otro tipo de mala práctica, la información puede ser alterada, sustituida o permanentemente borrada. Además están siempre presentes los riesgos de pérdida o alteración por virus o situaciones fortuitas de fuerza mayor, tales como incendios, inundaciones o catástrofes naturales.
- Las técnicas de respaldo y los sistemas redundantes
Los sistemas de respaldo (backup) y los sistemas redundantes son dos técnicas para proteger los datos contra pérdida por borrado accidental o desastres fortuitos. Ambos sistemas son complementarios en cuanto a la seguridad que ofrecen ya que tanto los respaldos como la redundancia, por si solos, no cubren toda la necesidad.
Redundancia: los sistemas RAID
Un RAID es un conjunto de unidades de disco que aparecen lógicamente como si fueran un solo disco. Así los datos, distribuidos en bandas, se dividen entre dos o más unidades. Esta técnica incrementa el rendimiento y proporciona una redundancia que protege contra el fallo de uno de los discos de la formación. Existen varios niveles RAID a partir del nivel 0, en el que los datos se dispersan en varias unidades pero no hay redundancia (gran rendimiento pero nula seguridad). Luego el nivel 1 o mirroring (espejo) en el cual los datos se escriben duplicados en distintas unidades, este método no incrementa el rendimiento pero si la seguridad y es, de hecho uno de los más utilizados. Los demás niveles RAID son una combinación de los conceptos anteriores y buscan aumentar la seguridad y el rendimiento simultáneamente.
Existen sistemas operativos, que ofrecen administración RAID incorporada, como por ejemplo Windows NT que ofrece los niveles 0, 1 y 5. Como es obvio si se implementa el nivel 1 (discos espejo, donde todo lo que se escribe en un disco es duplicado automáticamente), la duplicación debe ser en un disco físico diferente.
Tolerancia a fallos: La tolerancia a fallos es la capacidad de un sistema a responder a un suceso inesperado, como puede ser un fallo de suministro eléctrico o un fallo de hardware de forma que no se pierdan datos. Cabe señalar que la redundancia no protege contra el borrado accidental, la operación negligente, etc. ya que cualquier operación (aún las erróneas) es automáticamente duplicada en todas las unidades. Así, la redundancia, junto con los sistemas de alimentación ininterrumpida (UPS y grupos electrógenos) proporcionan seguridad solamente en caso de cortes de suministro o fallos del hardware.
- El "backup"
El "backup" consiste en realizar copias de seguridad de la información. Estas copias pueden realizarse de forma manual y periódica. Pero, ¿cual es el objeto de hacer copias manualmente si tenemos un sistema redundante?. La ventaja de los "backups" es que por efectuarse según ciertos períodos, la información respaldada no es exactamente igual a la actual. Esto permite cierta protección contra los errores humanos, borrado accidental o uso negligente ya que si nos damos cuenta a tiempo (esto es, antes de que se haga un "backup" del error) podremos recuperar los datos con cierto desfase de tiempo y solo será necesario actualizar ese desfase.
Hay multitud de sistemas de copia de seguridad. Las más recomendables son las que dejan dos desfases (diarios y semanales por ejemplo) ya que proporcionan una mejor seguridad, i.e. si se copió el error en el primer período aún nos queda un segundo para recuperar.
- Virus:
Finalmente tenemos las amenazas de los virus y programas troyanos. Los mecanismos conocidos hasta el momento para la propagación de virus son los archivos ejecutables (con extensión .exe, .com o .bat) y los componentes de Microsoft Office que aceptan macros con el lenguaje Visual Basic para Aplicaciones (principalmente Word y Excel con macros). Los troyanos se propagan a través de archivos ejecutables. Así la única forma conocida en que un virus puede instalarse en un equipo es:
1.- Ejecutando un programa infectado, ya sea directamente desde un diskette, bajado desde Internet o abierto desde un "attach" recibido por correo electrónico
2.- Abriendo un documento de MS-Office 97 (o superior) teniendo deshabilitada o haciendo caso omiso a la alerta contra macrovirus habilitada por defecto en Office.
Es decir que las precauciones elementales contra la adquisición de un virus son:
1.- No usar programas grabados en diskette (particularmente juegos o utilidades) de procedencia desconocida.
2.- No usar programas bajados de sitios poco confiables de Internet.
3.- No abrir attach de correo electrónico cuyo contenido o remitente se desconozcan o no sean de confianza.
- Diferencia entre virus y troyanos
-Existe una gran variedad de virus (varios miles, de hecho) cuyos efectos van desde los simplemente molestos hasta los que destruyen información específica o bien toda la contenida en el disco duro. Lo característico de los virus es que una vez que se instalan en el ordenador pasan largo tiempo sin provocar ningún efecto, aparte de infectar a todos los demás programas que se ejecuten. Después de este período el virus actúa sobre el equipo en que estaba instalado.
-Los troyanos son programas que permiten a extraños intervenir en un ordenador remoto que está conectado a internet, es lo que se conoce como "hackear" un computador remoto. Existen una multitud de programas que permiten hacer esto como es netbus, mere, back oriffice, Backdoor.SubSeven.20, etc.
Pese a sus diferentes efectos, virus y troyanos comparten características comunes en su forma de operar y propagarse, pero cabe señalar que los antivirus actuales detectan indistintamente virus y troyanos.
- Métodos de Protección Contra Intrusiones Remotas :
En su aspecto más básico, la protección contra "cabayos de troya" se basa en el uso de antivirus que tienen la capacidad de detectar los troyanos más conocidos.
Sin embargo existe la posibilidad de ataques más sofisticados por lo que se hace necesario el uso de software del tipo cortafuegos (firewalls) o detectores de Intrusiones, que monitorizan los intentos de introducirse a un sistema sin la debida autorización (ataques a la Intranet).
Estos detectores pueden estar basados en los Host (Omni Guard, Stalker y otros) o en la red (Real Secure, Cyber Cop, Net Ranger). La detección de intrusos es bastante cara y constituye solo parte de un sistema completo de seguridad, que puede complementarse con sistemas de autentificación fuerte como Safeguard VPN
La Seguridad es un Problema Integral :
Los problemas de seguridad informática no pueden ser tratados aisladamente ya que la seguridad de todo el sistema es igual a la de su punto más débil. Al asegurar nuestra casa no sacamos nada con ponerle una puerta blindada con sofisticada cerradura si dejamos las ventanas sin protección. De manera similar el uso de sofisticados algoritmos y métodos criptográficos es inútil si no garantizamos la confidencialidad de las estaciones de trabajo.
Por otra parte existe algo que los hackers llaman "Ingenieria Social" que consiste simplemente en conseguir -mediante engaño- que los usuarios autorizados revelen sus passwords. Por lo tanto, la educación de los usuarios es fundamental para que la tecnología de seguridad pueda funcionar. Es evidente que por mucha tecnología de seguridad que se implante en una organización, si no existe una clara disposición por parte de la Dirección General y una cultura a nivel de usuarios, no se conseguirán los objetivos perseguidos con la implantación de un sistema de seguridad.
Controles
Conjunto de disposiciones metódicas, cuyo fin es vigilar las funciones y actitudes de las empresas y para ello permite verificar si todo se realiza conforme a los programas adoptados, ordenes impartidas y principios admitidos.
Clasificación General de los Controles:
Controles Preventivos
Controles Detectivos
Controles Correctivos
Controles Preventivos
Son aquellos que reducen la frecuencia con que ocurren las causas del riesgo, permitiendo cierto margen de violaciones.
Ejemplos: Letrero "No fumar" para salvaguardar las instalaciones
Sistemas de claves de acceso
Controles Detectivos
Son aquellos que no evitan que ocurran las causas del riesgo sino que los detecta luego de ocurridos. Son los mas importantes para el auditor. En cierta forma sirven para evaluar la eficiencia de los controles preventivos.
Ejemplo: Archivos y procesos que sirvan como pistas de auditoría
Procedimientos de validación
Controles Detectivos
Ayudan a la investigación y corrección de las causas del riesgo. La corrección adecuada puede resultar difícil e ineficiente, siendo necesaria la implantación de controles detectivos sobre los controles correctivos, debido a que la corrección de errores es en si una actividad altamente propensa a errores.
Principales Controles Físicos:
Controles particulares tanto en la parte física como en la lógica se detallan a continuación:
Autenticidad
Permiten verificar la identidad
Passwords
Firmas digitales
Exactitud
Aseguran la coherencia de los datos
Validación de campos
Validación de excesos
Totalidad
Evitan la omisión de registros así como garantizan la conclusión de un proceso de envió Conteo de registros
Cifras de control
Redundancia
Evitan la duplicidad de datos
Cancelación de lotes
Verificación de secuencias
Privacidad
Aseguran la protección de los datos
Compactación
Encriptación
Existencia
Aseguran la disponibilidad de los datos
Bitácora de estados
Mantenimiento de activos
Principales Controles Físicos :
- Protección de Activos
Destrucción o corrupción de información o del hardware
Extintores
Passwords
Efectividad
Aseguran el logro de los objetivos
Encuestas de satisfacción
Medición de niveles de servicio
ficiencia
Aseguran el uso óptimo de los recursos
Programas monitores
Análisis costo-beneficio
Controles Automáticos o Lógicos:
Periodicidad de cambio de claves de acceso
Los cambios de las claves de acceso a los programas se deben realizar periódicamente. Normalmente los usuarios se acostumbran a conservar la misma clave que le asignaron inicialmente.
El no cambiar las claves periódicamente aumenta la posibilidad de que personas no autorizadas conozcan y utilicen claves de usuarios del sistema de computación.
Por lo tanto se recomienda cambiar claves por lo menos semanalmente o quincenalmente.
Combinación de alfanuméricos en claves de acceso
No es conveniente que la clave este compuesta por códigos de empleados, ya que una persona no autorizada a través de pruebas simples o de deducciones puede dar con dicha clave
Para redefinir claves es necesario considerar los tipos de claves que existen:
Individuales
Pertenecen a un solo usuario, por tanto es individual y personal. Esta clave permite al momento de efectuar las transacciones registrar a los responsables de cualquier cambio.
Confidenciales
De forma confidencial los usuarios deberán ser instruidos formalmente respecto al uso de las claves.
No significativas
Las claves no deben corresponder a números secuenciales ni a nombres o fechas.
Verificación de datos de entrada
Incluir rutinas que verifiquen la compatibilidad de los datos mas no su exactitud o precisión; tal es el caso de la validación del tipo de datos que contienen los campos o verificar si se encuentran dentro de un rango.
Conteo de registros
Consiste en crear campos de memoria para ir acumulando cada registro que se ingresa y verificar con los totales ya registrados.
Totales de Control
Se realiza mediante la creación de totales de línea, columnas, cantidad de formularios, cifras de control, etc. , y automáticamente verificar con un campo en el cual se van acumulando los registros, separando solo aquellos formularios o registros con diferencias.
Verificación de límites
Consiste en la verificación automática de tablas, códigos, límites mínimos y máximos o bajo determinadas condiciones dadas previamente.
Verificación de secuencias
En ciertos procesos los registros deben observar cierta secuencia numerica o alfabética, ascendente o descendente, esta verificación debe hacerse mediante rutinas independientes del programa en si.
Dígito auto verificador:
Consiste en incluir un dígito adicional a una codificación, el mismo que es resultado de la aplicación de un algoritmo o formula, conocido como MODULOS, que detecta la corrección o no del código. Tal es el caso por ejemplo del decimo dígito de la cédula de identidad, calculado con el modulo 10 o el ultimo dígito del RUC calculado con el módulo 11.
Utilizar software de seguridad en los microcomputadores
El software de seguridad permite restringir el acceso al microcomputador, de tal modo que solo el personal autorizado pueda utilizarlo.
Adicionalmente, este software permite reforzar la segregación de funciones y la confidencialidad de la información mediante controles para que los usuarios puedan accesar solo a los programas y datos para los que están autorizados.
Programas de este tipo son: WACHDOG, LATTICE,SECRET DISK, entre otros.
Controles administrativos en un ambiente de Procesamiento de Datos
La máxima autoridad del Área de Informática de una empresa o institución debe implantar los siguientes controles que se agruparan de la siguiente forma:
1.- Controles de Preinstalación
2.- Controles de Organización y Planificación
3.- Controles de Sistemas en Desarrollo y Producción
4.- Controles de Procesamiento
5.- Controles de Operación
6.- Controles de uso de Microcomputadores
Controles de Preinstalación
Hacen referencia a procesos y actividades previas a la adquisición e instalación de un equipo de computación y obviamente a la automatización de los sistemas existentes.
Objetivos:
Garantizar que el hardware y software se adquieran siempre y cuando tengan la seguridad de que los sistemas computarizados proporcionaran mayores beneficios que cualquier otra alternativa.
Garantizar la selección adecuada de equipos y sistemas de computación
Asegurar la elaboración de un plan de actividades previo a la instalación
Acciones a seguir:
Elaboración de un informe técnico en el que se justifique la adquisición del equipo, software y servicios de computación, incluyendo un estudio costo-beneficio.
Formación de un comité que coordine y se responsabilice de todo el proceso de adquisición e instalación
-Elaborar un plan de instalación de equipo y software (fechas, actividades, responsables) el mismo que debe contar con la aprobación de los proveedores del equipo.
-Elaborar un instructivo con procedimientos a seguir para la selección y adquisición de equipos, programas y servicios computacionales. Este proceso debe enmarcarse en normas y disposiciones legales.
Efectuar las acciones necesarias para una mayor participación de proveedores.
Asegurar respaldo de mantenimiento y asistencia técnica.
Controles de Organización y Planificación: Se refiere a la definición clara de funciones, línea de autoridad y responsabilidad de las diferentes unidades del área PAD, en labores tales como:
Diseñar un sistema
Elaborar los programas
Operar el sistema
Control de calidad
Se debe evitar que una misma persona tenga el control de toda una operación.
Es importante la utilización óptima de recursos en el PAD mediante la preparación de planes a ser evaluados continuamente
La unidad informática debe estar al más alto nivel de la pirámide administrativa de manera que cumpla con sus objetivos, cuente con el apoyo necesario y la dirección efectiva.
Las funciones de operación, programación y diseño de sistemas deben estar claramente delimitadas.
Deben existir mecanismos necesarios a fin de asegurar que los programadores y analistas no tengan acceso a la operación del computador y los operadores a su vez no conozcan la documentación de programas y sistemas.
Debe existir una unidad de control de calidad, tanto de datos de entrada como de los resultados del procesamiento.
El manejo y custodia de dispositivos y archivos magnéticos deben estar expresamente definidos por escrito.
Las actividades del PAD deben obedecer a planificaciones a corto, mediano y largo plazo sujetos a evaluación y ajustes periódicos "Plan Maestro de Informática"
Debe existir una participación efectiva de directivos, usuarios y personal del PAD en la planificación y evaluación del cumplimiento del plan.
Las instrucciones deben impartirse por escrito
Controles de Sistema en Desarrollo y Producción
Se debe justificar que los sistemas han sido la mejor opción para la empresa, bajo una relación costo-beneficio que proporcionen oportuna y efectiva información, que los sistemas se han desarrollado bajo un proceso planificado y se encuentren debidamente documentados.
Acciones a seguir:
Los usuarios deben participar en el diseño e implantación de los sistemas pues aportan conocimiento y experiencia de su área y esta actividad facilita el proceso de cambio
El personal de auditoría interna/control debe formar parte del grupo de diseño para sugerir y solicitar la implantación de rutinas de control
El desarrollo, diseño y mantenimiento de sistemas obedece a planes específicos, metodologías estándares, procedimientos y en general a normatividad escrita y aprobada.
Cada fase concluida debe ser aprobada documentadamente por los usuarios mediante actas u otros mecanismos a fin de evitar reclamos posteriores.
Los programas antes de pasar a Producción deben ser probados con datos que agoten todas las excepciones posibles.
Todos los sistemas deben estar debidamente documentados y actualizados. La documentación deberá contener:
Informe de factibilidad
Diagrama de bloque
Diagrama de lógica del programa
Objetivos del programa
Listado original del programa y versiones que incluyan los cambios efectuados con antecedentes de pedido y aprobación de modificaciones
Formatos de salida
Resultados de pruebas realizadas
Implantar procedimientos de solicitud, aprobación y ejecución de cambios a programas, formatos de los sistemas en desarrollo.
El sistema concluido será entregado al usuario previo entrenamiento y elaboración de los manuales de operación respectivos
Controles de Procesamiento
Los controles de procesamiento se refieren al ciclo que sigue la información desde la entrada hasta la salida de la información, lo que conlleva al establecimiento de una serie de seguridades para:
• Asegurar que todos los datos sean procesados
• Garantizar la exactitud de los datos procesados
• Garantizar que se grabe un archivo para uso de la gerencia y con fines de auditoría
• Asegurar que los resultados sean entregados a los usuarios en forma oportuna y en las mejores condiciones.
Acciones a seguir:
Validación de datos de entrada previo procesamiento debe ser realizada en forma automática: clave, dígito autoverificador, totales de lotes, etc.
Preparación de datos de entrada debe ser responsabilidad de usuarios y consecuentemente su corrección.
Recepción de datos de entrada y distribución de información de salida debe obedecer a un horario elaborado en coordinación con el usuario, realizando un debido control de calidad.
Adoptar acciones necesarias para correcciones de errores.
Analizar conveniencia costo-beneficio de estandarización de formularios, fuente para agilitar la captura de datos y minimizar errores.
Los procesos interactivos deben garantizar una adecuada interrelación entre usuario y sistema.
Planificar el mantenimiento del hardware y software, tomando todas las seguridades para garantizar la integridad de la información y el buen servicio a usuarios
Controles de Operación
Abarcan todo el ambiente de la operación del equipo central de computación y dispositivos de almacenamiento, la administración de la cintoteca y la operación de terminales y equipos de comunicación por parte de los usuarios de sistemas on line.
Los controles tienen como fin:
Prevenir o detectar errores accidentales que puedan ocurrir en el Centro de Cómputo durante un proceso
Evitar o detectar el manejo de datos con fines fraudulentos por parte de funcionarios del PAD
Garantizar la integridad de los recursos informáticos.
Asegurar la utilización adecuada de equipos acorde a planes y objetivos
Acciones a seguir:
El acceso al centro de cómputo debe contar con las seguridades necesarias para reservar el ingreso al personal autorizado
Implantar claves o password para garantizar operación de consola y equipo central (mainframe), a personal autorizado.
Formular políticas respecto a seguridad, privacidad y protección de las facilidades de procesamiento ante eventos como: incendio, vandalismo, robo y uso indebido, intentos de violación y como responder ante esos eventos.
Mantener un registro permanente (bitácora) de todos los procesos realizados, dejando constancia de suspensiones o cancelaciones de procesos.
Los operadores del equipo central deben estar entrenados para recuperar o restaurar información en caso de destrucción de archivos.
Los backups no deben ser menores de dos (padres e hijos) y deben guardarse en lugares seguros y adecuados, preferentemente en bóvedas de bancos. Se deben implantar calendarios de operación a fin de establecer prioridades de proceso.
Todas las actividades del Centro de Computo deben normarse mediante manuales, instructivos, normas, reglamentos, etc.
El proveedor de hardware y software deberá proporcionar lo siguiente:
Manual de operación de equipos
Manual de lenguaje de programación
Manual de utilitarios disponibles
Manual de Sistemas operativos
Las instalaciones deben contar con sistema de alarma por presencia de fuego, humo, asi como extintores de incendio, conexiones eléctricas seguras, entre otras.
Instalar equipos que protejan la información y los dispositivos en caso de variación de voltaje como: reguladores de voltaje, supresores pico, UPS, generadores de energía.
Contratar pólizas de seguros para proteger la información, equipos, personal y todo riesgo que se produzca por casos fortuitos o mala operación.
Controles en el uso del Microcomputador
Es la tarea más difícil pues son equipos mas vulnerables, de fácil acceso, de fácil explotación pero los controles que se implanten ayudaran a garantizar la integridad y confidencialidad de la información.
Acciones a seguir:
Adquisición de equipos de protección como supresores de pico, reguladores de voltaje y de ser posible UPS previo a la adquisición del equipo
Vencida la garantía de mantenimiento del proveedor se debe contratar mantenimiento preventivo y correctivo.
Establecer procedimientos para obtención de backups de paquetes y de archivos de datos.
Revisión periódica y sorpresiva del contenido del disco para verificar la instalación de aplicaciones no relacionadas a la gestión de la empresa.
Mantener programas y procedimientos de detección e inmunización de virus en copias no autorizadas o datos procesados en otros equipos.
Propender a la estandarización del Sistema Operativo, software utilizado como procesadores de palabras, hojas electrónicas, manejadores de base de datos y mantener actualizadas las versiones y la capacitación sobre modificaciones incluidas.
Analizados los distintos tipos de controles que se aplican en la Auditoría de Sistemas efectuaremos a continuación el análisis de casos de situaciones hipotéticas planteadas como problemáticas en distintas empresas , con la finalidad de efectuar el análisis del caso e identificar las acciones que se deberían implementar .
Aseguran el uso óptimo de los recursos
Programas monitores
Análisis costo-beneficio
Controles Automáticos o Lógicos:
Periodicidad de cambio de claves de acceso
Los cambios de las claves de acceso a los programas se deben realizar periódicamente. Normalmente los usuarios se acostumbran a conservar la misma clave que le asignaron inicialmente.
El no cambiar las claves periódicamente aumenta la posibilidad de que personas no autorizadas conozcan y utilicen claves de usuarios del sistema de computación.
Por lo tanto se recomienda cambiar claves por lo menos semanalmente o quincenalmente.
Combinación de alfanuméricos en claves de acceso
No es conveniente que la clave este compuesta por códigos de empleados, ya que una persona no autorizada a través de pruebas simples o de deducciones puede dar con dicha clave
Para redefinir claves es necesario considerar los tipos de claves que existen:
Individuales
Pertenecen a un solo usuario, por tanto es individual y personal. Esta clave permite al momento de efectuar las transacciones registrar a los responsables de cualquier cambio.
Confidenciales
De forma confidencial los usuarios deberán ser instruidos formalmente respecto al uso de las claves.
No significativas
Las claves no deben corresponder a números secuenciales ni a nombres o fechas.
Verificación de datos de entrada
Incluir rutinas que verifiquen la compatibilidad de los datos mas no su exactitud o precisión; tal es el caso de la validación del tipo de datos que contienen los campos o verificar si se encuentran dentro de un rango.
Conteo de registros
Consiste en crear campos de memoria para ir acumulando cada registro que se ingresa y verificar con los totales ya registrados.
Totales de Control
Se realiza mediante la creación de totales de línea, columnas, cantidad de formularios, cifras de control, etc. , y automáticamente verificar con un campo en el cual se van acumulando los registros, separando solo aquellos formularios o registros con diferencias.
Verificación de límites
Consiste en la verificación automática de tablas, códigos, límites mínimos y máximos o bajo determinadas condiciones dadas previamente.
Verificación de secuencias
En ciertos procesos los registros deben observar cierta secuencia numerica o alfabética, ascendente o descendente, esta verificación debe hacerse mediante rutinas independientes del programa en si.
Dígito auto verificador:
Consiste en incluir un dígito adicional a una codificación, el mismo que es resultado de la aplicación de un algoritmo o formula, conocido como MODULOS, que detecta la corrección o no del código. Tal es el caso por ejemplo del decimo dígito de la cédula de identidad, calculado con el modulo 10 o el ultimo dígito del RUC calculado con el módulo 11.
Utilizar software de seguridad en los microcomputadores
El software de seguridad permite restringir el acceso al microcomputador, de tal modo que solo el personal autorizado pueda utilizarlo.
Adicionalmente, este software permite reforzar la segregación de funciones y la confidencialidad de la información mediante controles para que los usuarios puedan accesar solo a los programas y datos para los que están autorizados.
Programas de este tipo son: WACHDOG, LATTICE,SECRET DISK, entre otros.
Controles administrativos en un ambiente de Procesamiento de Datos
La máxima autoridad del Área de Informática de una empresa o institución debe implantar los siguientes controles que se agruparan de la siguiente forma:
1.- Controles de Preinstalación
2.- Controles de Organización y Planificación
3.- Controles de Sistemas en Desarrollo y Producción
4.- Controles de Procesamiento
5.- Controles de Operación
6.- Controles de uso de Microcomputadores
Controles de Preinstalación
Hacen referencia a procesos y actividades previas a la adquisición e instalación de un equipo de computación y obviamente a la automatización de los sistemas existentes.
Objetivos:
Garantizar que el hardware y software se adquieran siempre y cuando tengan la seguridad de que los sistemas computarizados proporcionaran mayores beneficios que cualquier otra alternativa.
Garantizar la selección adecuada de equipos y sistemas de computación
Asegurar la elaboración de un plan de actividades previo a la instalación
Acciones a seguir:
Elaboración de un informe técnico en el que se justifique la adquisición del equipo, software y servicios de computación, incluyendo un estudio costo-beneficio.
Formación de un comité que coordine y se responsabilice de todo el proceso de adquisición e instalación
-Elaborar un plan de instalación de equipo y software (fechas, actividades, responsables) el mismo que debe contar con la aprobación de los proveedores del equipo.
-Elaborar un instructivo con procedimientos a seguir para la selección y adquisición de equipos, programas y servicios computacionales. Este proceso debe enmarcarse en normas y disposiciones legales.
Efectuar las acciones necesarias para una mayor participación de proveedores.
Asegurar respaldo de mantenimiento y asistencia técnica.
Controles de Organización y Planificación: Se refiere a la definición clara de funciones, línea de autoridad y responsabilidad de las diferentes unidades del área PAD, en labores tales como:
Diseñar un sistema
Elaborar los programas
Operar el sistema
Control de calidad
Se debe evitar que una misma persona tenga el control de toda una operación.
Es importante la utilización óptima de recursos en el PAD mediante la preparación de planes a ser evaluados continuamente
La unidad informática debe estar al más alto nivel de la pirámide administrativa de manera que cumpla con sus objetivos, cuente con el apoyo necesario y la dirección efectiva.
Las funciones de operación, programación y diseño de sistemas deben estar claramente delimitadas.
Deben existir mecanismos necesarios a fin de asegurar que los programadores y analistas no tengan acceso a la operación del computador y los operadores a su vez no conozcan la documentación de programas y sistemas.
Debe existir una unidad de control de calidad, tanto de datos de entrada como de los resultados del procesamiento.
El manejo y custodia de dispositivos y archivos magnéticos deben estar expresamente definidos por escrito.
Las actividades del PAD deben obedecer a planificaciones a corto, mediano y largo plazo sujetos a evaluación y ajustes periódicos "Plan Maestro de Informática"
Debe existir una participación efectiva de directivos, usuarios y personal del PAD en la planificación y evaluación del cumplimiento del plan.
Las instrucciones deben impartirse por escrito
Controles de Sistema en Desarrollo y Producción
Se debe justificar que los sistemas han sido la mejor opción para la empresa, bajo una relación costo-beneficio que proporcionen oportuna y efectiva información, que los sistemas se han desarrollado bajo un proceso planificado y se encuentren debidamente documentados.
Acciones a seguir:
Los usuarios deben participar en el diseño e implantación de los sistemas pues aportan conocimiento y experiencia de su área y esta actividad facilita el proceso de cambio
El personal de auditoría interna/control debe formar parte del grupo de diseño para sugerir y solicitar la implantación de rutinas de control
El desarrollo, diseño y mantenimiento de sistemas obedece a planes específicos, metodologías estándares, procedimientos y en general a normatividad escrita y aprobada.
Cada fase concluida debe ser aprobada documentadamente por los usuarios mediante actas u otros mecanismos a fin de evitar reclamos posteriores.
Los programas antes de pasar a Producción deben ser probados con datos que agoten todas las excepciones posibles.
Todos los sistemas deben estar debidamente documentados y actualizados. La documentación deberá contener:
Informe de factibilidad
Diagrama de bloque
Diagrama de lógica del programa
Objetivos del programa
Listado original del programa y versiones que incluyan los cambios efectuados con antecedentes de pedido y aprobación de modificaciones
Formatos de salida
Resultados de pruebas realizadas
Implantar procedimientos de solicitud, aprobación y ejecución de cambios a programas, formatos de los sistemas en desarrollo.
El sistema concluido será entregado al usuario previo entrenamiento y elaboración de los manuales de operación respectivos
Controles de Procesamiento
Los controles de procesamiento se refieren al ciclo que sigue la información desde la entrada hasta la salida de la información, lo que conlleva al establecimiento de una serie de seguridades para:
• Asegurar que todos los datos sean procesados
• Garantizar la exactitud de los datos procesados
• Garantizar que se grabe un archivo para uso de la gerencia y con fines de auditoría
• Asegurar que los resultados sean entregados a los usuarios en forma oportuna y en las mejores condiciones.
Acciones a seguir:
Validación de datos de entrada previo procesamiento debe ser realizada en forma automática: clave, dígito autoverificador, totales de lotes, etc.
Preparación de datos de entrada debe ser responsabilidad de usuarios y consecuentemente su corrección.
Recepción de datos de entrada y distribución de información de salida debe obedecer a un horario elaborado en coordinación con el usuario, realizando un debido control de calidad.
Adoptar acciones necesarias para correcciones de errores.
Analizar conveniencia costo-beneficio de estandarización de formularios, fuente para agilitar la captura de datos y minimizar errores.
Los procesos interactivos deben garantizar una adecuada interrelación entre usuario y sistema.
Planificar el mantenimiento del hardware y software, tomando todas las seguridades para garantizar la integridad de la información y el buen servicio a usuarios
Controles de Operación
Abarcan todo el ambiente de la operación del equipo central de computación y dispositivos de almacenamiento, la administración de la cintoteca y la operación de terminales y equipos de comunicación por parte de los usuarios de sistemas on line.
Los controles tienen como fin:
Prevenir o detectar errores accidentales que puedan ocurrir en el Centro de Cómputo durante un proceso
Evitar o detectar el manejo de datos con fines fraudulentos por parte de funcionarios del PAD
Garantizar la integridad de los recursos informáticos.
Asegurar la utilización adecuada de equipos acorde a planes y objetivos
Acciones a seguir:
El acceso al centro de cómputo debe contar con las seguridades necesarias para reservar el ingreso al personal autorizado
Implantar claves o password para garantizar operación de consola y equipo central (mainframe), a personal autorizado.
Formular políticas respecto a seguridad, privacidad y protección de las facilidades de procesamiento ante eventos como: incendio, vandalismo, robo y uso indebido, intentos de violación y como responder ante esos eventos.
Mantener un registro permanente (bitácora) de todos los procesos realizados, dejando constancia de suspensiones o cancelaciones de procesos.
Los operadores del equipo central deben estar entrenados para recuperar o restaurar información en caso de destrucción de archivos.
Los backups no deben ser menores de dos (padres e hijos) y deben guardarse en lugares seguros y adecuados, preferentemente en bóvedas de bancos. Se deben implantar calendarios de operación a fin de establecer prioridades de proceso.
Todas las actividades del Centro de Computo deben normarse mediante manuales, instructivos, normas, reglamentos, etc.
El proveedor de hardware y software deberá proporcionar lo siguiente:
Manual de operación de equipos
Manual de lenguaje de programación
Manual de utilitarios disponibles
Manual de Sistemas operativos
Las instalaciones deben contar con sistema de alarma por presencia de fuego, humo, asi como extintores de incendio, conexiones eléctricas seguras, entre otras.
Instalar equipos que protejan la información y los dispositivos en caso de variación de voltaje como: reguladores de voltaje, supresores pico, UPS, generadores de energía.
Contratar pólizas de seguros para proteger la información, equipos, personal y todo riesgo que se produzca por casos fortuitos o mala operación.
Controles en el uso del Microcomputador
Es la tarea más difícil pues son equipos mas vulnerables, de fácil acceso, de fácil explotación pero los controles que se implanten ayudaran a garantizar la integridad y confidencialidad de la información.
Acciones a seguir:
Adquisición de equipos de protección como supresores de pico, reguladores de voltaje y de ser posible UPS previo a la adquisición del equipo
Vencida la garantía de mantenimiento del proveedor se debe contratar mantenimiento preventivo y correctivo.
Establecer procedimientos para obtención de backups de paquetes y de archivos de datos.
Revisión periódica y sorpresiva del contenido del disco para verificar la instalación de aplicaciones no relacionadas a la gestión de la empresa.
Mantener programas y procedimientos de detección e inmunización de virus en copias no autorizadas o datos procesados en otros equipos.
Propender a la estandarización del Sistema Operativo, software utilizado como procesadores de palabras, hojas electrónicas, manejadores de base de datos y mantener actualizadas las versiones y la capacitación sobre modificaciones incluidas.
Analizados los distintos tipos de controles que se aplican en la Auditoría de Sistemas efectuaremos a continuación el análisis de casos de situaciones hipotéticas planteadas como problemáticas en distintas empresas , con la finalidad de efectuar el análisis del caso e identificar las acciones que se deberían implementar .
No hay comentarios:
Publicar un comentario