Auditoría de Sistemas de Información: Mejores Prácticas y Controles Clave

Evaluación de Controles en Auditoría de TI

Durante esta fase, el auditor debe determinar si los controles declarados realmente existen y si funcionan de manera confiable. Esto se puede realizar mediante pruebas de cumplimiento.

Debilidades en los Controles Internos

Si el auditor interno encuentra serias debilidades en los controles internos, no deberá continuar con la fase de revisión detallada. En su lugar, deberá reportar las debilidades encontradas y proponer recomendaciones para su corrección.

Retos del Gobierno de TI

• Generar valor al negocio.
• Mitigar los riesgos de TI.

Estrategias para Mitigar el Riesgo en TI

• Realizar un análisis exhaustivo de los privilegios y derechos a conceder.
• Exigir un cambio periódico y forzado de la contraseña.
• Las contraseñas deben estar compuestas por caracteres alfanuméricos, con mayúsculas y minúsculas, y con una longitud mínima de 6 caracteres.

Segregación de Funciones en TI

Tres funciones que deben ser segregadas son:

• Custodia de los activos.
• Otorgamiento de autorización.
• Registro de transacciones.

Ejemplos de Políticas de Seguridad de la Información

• Política de uso aceptable.
• Política de cómputo.
• Política de control de acceso.

Deberes Típicos del Administrador de Sistemas

• Agregar y configurar nuevas estaciones de trabajo.
• Establecer cuentas de usuario.
• Instalar software en todo el sistema.

Controles de Seguridad en Instalaciones Externas

Al evaluar la seguridad en instalaciones externas, se deben considerar los siguientes controles:

• Pisos elevados.
• Controles de humedad.
• Controles de temperatura.

Prácticas de la Gestión de TI

• Prácticas de aprovisionamiento.
• Acuerdos y controles.
• Procesos de benchmarking.

Controles de Segregación de Funciones

• Autorización de transacciones.
• Custodia de activos.
• Control de acceso a los datos.

Responsabilidades del Comité de Estrategias de TI

• Revisar los planes de TI.
• Revisar y aprobar las adquisiciones importantes de hardware y software.
• Reportar al consejo de dirección sobre las actividades de Sistemas de Información (SI).

Preocupaciones del Auditor de SI en el Funcionamiento de los Sistemas

• Costos excesivos.
• Gastos por encima del presupuesto.
• Proyectos atrasados.

Revisión del Plan Estratégico por el Auditor

El auditor debe revisar los siguientes aspectos del plan estratégico:

• Su congruencia con la estrategia del negocio.
• Su nivel de actualización.
• Su plan de comunicación.

Valores del Gobierno de TI

Los valores específicos que deben existir dentro del gobierno de TI son:

• Confidencialidad, integridad y disponibilidad de la información.
• Continuidad en los servicios.
• Protección de los activos de información.