Desde los orígenes de la humanidad siempre ha existido la necesidad de contabilizar y administrar los recursos disponibles. Se tienen evidencias descubiertas por arqueólogos que comprueban, como en la antigua Grecia realizaban listas que reflejaban con tildes, puntos y círculos la disponibilidad y los movimientos de mercancías, finanzas y alimentos. Siglos después la metodología fue mejorando hasta nuestros días, donde se le conoce con el nombre de auditoría, existiendo diferentes modalidades, pero siempre con el mismo fin. La auditoría informática reviste vital importancia en el correcto desempeño de los sistemas de información, así como de los niveles de seguridad. Los avances tecnológicos en informática y computación están en continua mejora. Condición que genera limitaciones para desarrollar nuevas oportunidades comerciales y conlleva a cometer posibles errores. Si necesitas mayor información para diseñar e implementar estrategias de ciberseguridad, redes inteligentes, infraestructura y datos.
¿Qué es la Auditoría Informática?
La auditoría informática es la que se realiza a lo interno de la empresa. También permite realizar inventarios, revisar los mecanismos de control y gestión. En cuanto al hardware, se puede conocer qué tipo de procesador tiene las computadoras, la memoria, service packs, capacidad de almacenamiento, particiones y medios usados.
Importancia de la Auditoría Informática
La auditoría informática reviste vital importancia en el correcto desempeño de los sistemas de información, así como de los niveles de seguridad. Los avances tecnológicos en informática y computación están en continua mejora. Condición que genera limitaciones para desarrollar nuevas oportunidades comerciales y conlleva a cometer posibles errores.
Tipos de Auditoría Informática
Existen diversas clasificaciones de auditoría informática, dependiendo del criterio que se utilice. A continuación, se presentan algunos tipos comunes:
- Auditoría Interna: Es la que se realiza a lo interno de la empresa.
- Auditoría de Hardware: Permite conocer el tipo de procesador, memoria, capacidad de almacenamiento, entre otros aspectos del hardware.
- Auditoría de Software: Involucra la revisión de licencias, versiones y uso adecuado del software.
Metodología de la Auditoría Informática
Antes de iniciar cualquier proceso, se realiza un análisis general de la organización objeto de la auditoría. Las personas que realizan la auditoría han de conocer con la mayor exactitud posible los objetivos a los que su tarea debe llegar. Deben comprender los deseos y pretensiones del cliente, de forma que las metas fijadas puedan ser cumplidas. Una vez definidos los objetivos específicos, éstos se añadirán a los objetivos generales y comunes de toda auditoría informática: la operatividad de los sistemas y los controles generales de gestión informática. Para realizar dicho estudio ha de examinarse las funciones y actividades generales de la informática. Para el equipo auditor, el conocimiento de quién ordena, quién diseña y quién ejecuta es fundamental.
Lea también: Auditoría de Calidad: Ejemplo y Guía
Fases de la Metodología
- Análisis Preliminar: Antes de iniciar cualquier proceso, se realiza un análisis general de la organización objeto de la auditoría.
- Definición de Objetivos: Las personas que realizan la auditoría han de conocer con la mayor exactitud posible los objetivos a los que su tarea debe llegar. Deben comprender los deseos y pretensiones del cliente, de forma que las metas fijadas puedan ser cumplidas.
- Estudio de Funciones y Actividades: Para realizar dicho estudio ha de examinarse las funciones y actividades generales de la informática. Para el equipo auditor, el conocimiento de quién ordena, quién diseña y quién ejecuta es fundamental.
- Recopilación de Información: En esta etapa se recaba toda la información relevante referente a la organización a auditar. La información es de todo tipo, pero se deberá hacer hincapié en las áreas relacionadas con los SI.
- Análisis de Datos: Cuando se ha terminado la recopilación de datos se procede al análisis de los mismos, con el fin de efectuar la identificación de los puntos débiles y los fuertes. El diagnóstico debe basarse en datos objetivos, presentados en forma de cifras, medidas estadísticas, casos extraídos tal cual de la vida de la organización, sucesos concretos, etc.
- Presentación de Conclusiones: La presentación de conclusiones es un proceso a realizar en pasos sucesivos, de menor a mayor alcance. Primeramente se efectuarán rondas por áreas, informando de las conclusiones provisionales a las personas afectadas, de forma que puedan dar su opinión y que ésta se vea reflejada en la conclusión final.
- Plan de Acciones Correctivas: El responsable del área auditada deberá preparar un plan de acciones correctivas que presentará al auditor en un plazo no superior a 15 días tras la presentación del informe. Este plan será la base para la definición y puesta en marcha de acciones correctivas.
- Seguimiento y Verificación: El auditor realizará el seguimiento de las acciones correctivas abiertas hasta su resolución final con el objeto de verificar que se han tomado las medidas oportunas para corregir las desviaciones detectadas.
Elementos Clave para el Auditor
Para realizar esto el auditor deberá fijarse en:
- Organigrama: El organigrama expresa la estructura oficial de la organización a auditar.
- Departamentos: Se entiende como departamento a los órganos que siguen inmediatamente a la Dirección. El equipo auditor describirá brevemente las funciones de cada uno de ellos.
- Relaciones Jerárquicas y Funcionales: El equipo auditor verificará si se cumplen las relaciones funcionales y jerárquicas previstas por el organigrama, o por el contrario, detectará, por ejemplo, si algún empleado tiene dos jefes.
- Número de Puestos de Trabajo: El equipo auditor comprobará que los nombres de los puestos de trabajo de la organización corresponden a las funciones reales distintas.
- Número de Personas por Puesto de Trabajo: Es un parámetro que los auditores informáticos deben considerar. La inadecuación del personal determina que el número de personas que realizan las mismas funciones rara vez coincida con la estructura oficial de la organización.
- Situación Geográfica de los Sistemas: Se determinará la ubicación geográfica de los distintos centros de proceso de datos en la empresa.
- Arquitectura y Configuración de Hardware y Software: Cuando existen varios equipos, es fundamental la configuración elegida para cada uno de ellos, ya que los mismos deben constituir un sistema compatible e intercomunicado.
- Inventario de Hardware y Software: El auditor recabará información escrita, en donde muestran todos los elementos físicos y lógicos de la instalación.
- Comunicación y Redes de Comunicación: En el estudio inicial los auditores dispondrán del número, situación y características principales de las líneas, así como de los accesos a la red pública de comunicaciones.
- Metodología del Diseño: Se clasificará globalmente la existencia total o parcial de metodología en el desarrollo de las aplicaciones.
- Documentación: La existencia de una adecuada documentación de las aplicaciones proporciona beneficios tangibles e inmediatos muy importantes.
- Cantidad y Complejidad: El auditor recabará información de tamaño y características de las bases de datos, clasificándolas en relación y jerarquías.
Herramientas Utilizadas en la Auditoría
Las herramientas software propias del equipo van a utilizarse igualmente en el sistema auditado, por lo que han de convenirse en lo posible las fechas y horas de uso entre el auditor y cliente.
- Software: Programas propios de la auditoría: Son muy potentes y flexibles. Habitualmente se añaden a las ejecuciones de los procesos del cliente para verificarlos.
- Hardware: Los procesos de control deben efectuarse necesariamente en las computadoras del auditado.
Planificación de la Auditoría
La fase de planificación comienza por una evaluación de los problemas y/o resistencias que se hayan podido encontrar en la toma de contacto. Es importante esta reflexión para identificar aquellas áreas problemáticas a las que probablemente haya que dedicar más tiempo y recursos. El primer resultado de esta fase es la enunciación de los objetivos y alcance de la auditoría, que será recogido en un documento formal denominado plan de auditoría. Se puede limitar el alcance del proceso auditor por razones como indisponibilidad de recursos, cercanía a otros procesos auditores o imposibilidad de perturbar en un momento crítico una determinada área.
Captación de Información
Para evitar en lo posible que la información se vea empañada por las opiniones personales del auditor, éste posee una serie de herramientas para sistematizar el proceso de observación.
- Cuestionarios.
- Modelos de entrevistas.
- Técnicas psicológicas de grupos.
- Modelos matemáticos, ejemplo: CPE (Computer Performance Evaluation).
- Simulaciones del comportamiento de sistemas a construir.
- Programas de registro de actividad de dispositivos y redes de comunicaciones.
- Modelos de comportamiento y de análisis organizacional.
Informe de Auditoría
El trabajo de desarrollo será recogido en un documento formal denominado informe de auditoría.
Lea también: Auditoría y las Líneas de Defensa
Acciones Correctivas y Preventivas
Eliminar las causas que producen las no-conformidades o deficiencias detectadas en la explotación del SI. Su alcance deberá implicar a todos los procesos y actividades que definan el sistema de calidad de todos los productos o servicios que proporcione la administración como base del servicio. Estas acciones serán aplicadas con carácter correctivo si surgen a raíz de las no-conformidades reales, definiendo la implantación de las medidas necesarias, su seguimiento y registro. O serán aplicadas con carácter preventivo si surgen con base en la política establecida por la administración para la continua mejora de la calidad, basadas en la información que el sistema de aseguramiento de la calidad dispone, definiendo los pasos necesarios para la detección, análisis y eliminación de las causas potenciales de las no-conformidades.
Técnicas de Recopilación de Información
Las auditorías informáticas se materializan recabando información y documentación de todo tipo. Los informes finales de los auditores dependen de sus capacidades para analizar las situaciones de debilidad o fortaleza de los diferentes entornos.
- Cuestionarios: Para esto, suele ser lo habitual comenzar solicitando las respuestas de cuestionarios preimpresos que se envían a las personas concretas que el auditor cree adecuadas, sin que sea obligatorio que dichas personas sean las responsables oficiales de las diversas áreas a auditar.
- Entrevistas: El auditor comienza a continuación las relaciones personales con el auditado. Mediante "entrevistas" en las que no se sigue un plan predeterminado ni un método estricto de sometimiento a un cuestionario.
Alcance de la Auditoría
El alcance de la auditoría expresa los límites de la misma. Debe existir un acuerdo muy preciso entre auditores y clientes sobre las funciones, las materias y las organizaciones a auditar. A los efectos de acotar el trabajo, resulta muy beneficioso para ambas partes expresar las excepciones de alcance de la auditoría, es decir, cuáles materias, funciones u organizaciones no van a ser auditadas. Tanto los alcances como las excepciones deben aparecer al comienzo del informe final.
Lea también: Auditorías Ambientales: Una Guía
tags: #auditoria #en #sistemas #informaticos #definicion #tipos