Auditoría de Sistemas: Guía Completa para el Control y la Seguridad Informática

¿Qué es Auditoría en Sistemas?

Es una evaluación o revisión de carácter objetivo, crítico, sistemático y selectivo de las políticas, normas, prácticas, funciones, procesos, procedimientos e informes relacionados con los sistemas de información computarizados.

Proceso de Planificación de Auditoría en Sistemas

Para planificar una auditoría de sistemas, se deben seguir los siguientes pasos:

1. Entender el negocio.
2. Identificar las estrategias de la organización y los objetivos del negocio.
3. Reconocer el perfil de riesgo de la organización.
4. Determinar cómo está la estructura de las operaciones.
5. Entender el modelo de soporte TI.

Definir el Universo TI

Para definir el universo TI, se deben considerar los siguientes aspectos:

• Analizar los fundamentos del negocio.
• Aislar las aplicaciones significativas que sostienen las operaciones.
• Distinguir la infraestructura crítica para las aplicaciones.
• Determinar el papel de las tecnologías de apoyo.
• Categorizar grandes proyectos.

Objetivos de la Auditoría

Los objetivos de una auditoría de sistemas son:

• Evaluar controles.
• Cumplimiento de las metodologías.
• Verificación de la utilización de los recursos informáticos.

Además, nos ayuda a mejorar ciertas características en la empresa como:

• Desempeño.
• Fiabilidad.
• Eficacia.
• Rentabilidad.
• Seguridad.
• Privacidad.

Aspectos que Afectan el Enfoque de la Auditoría

• Complejidad de los sistemas.
• Uso de lenguajes.
• Metodologías.

¿Por Qué Realizar una Auditoría de Sistemas?

Existen varias razones para realizar una auditoría de sistemas, entre ellas:

• Aumento considerable e injustificado del presupuesto.
• Desconocimiento a nivel directivo de la situación informática.
• Falta total o parcial de seguridades lógicas o físicas.
• Descubrimiento de fraudes.
• Descontento general por incumplimiento de plazos y mala calidad de los resultados.

Controles Internos

Son políticas, procedimientos, prácticas y estructuras organizacionales implementadas para reducir riesgos.

Clasificación de los Controles

• Preventivos.
• Detectivos.
• Correctivos.

Tipos de Controles Internos

• Manuales.
• Manejados por recursos de información.

Instrumentos de Normalización de Administraciones Públicas

• IGAE
• ITIL
• NIST
• CNN

Prácticas y Recomendaciones del Ámbito de Asociaciones Internacionales

• COBIT
• ISACA
• CSE

Proceso de Auditoría

El proceso de auditoría se basa en tres preguntas principales:

• ¿Qué se debe auditar?
• ¿Cuándo auditar?
• ¿Cómo realizar las actuaciones?

Fases de la Auditoría

1. Planificación de las actuaciones.
2. Formalización del inicio.
3. Trabajo de campo.
4. Evaluación.
5. Comunicación de resultados.
6. Seguimiento.

Técnicas de Auditoría

• Revisión de documentos.
• Entrevistas.
• Pruebas.
• Observación del trabajo.
• Uso de herramientas.

Áreas de Conocimiento

• Técnicas o metodología de auditoría.
• Gestión y planificación.
• Recuperación de desastres.
• Desarrollo y adquisición.
• Evaluación de procesos.

Tipos de Auditorías Informáticas

• Dirección de las tecnologías de la información.
• Seguridad.
• Equipamiento informático.
• Desarrollo y mantenimiento.
• Calidad de los productos.
• Servicios de confianza.