UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
AUTOEVALUACION 4
Conteste ...
UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
AUTOEVALUACION 5
Conteste ...
UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
2. Exponga el concepto de ...
UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
7. ¿Qué experto cree que d...
UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
AUTOEVALUACION 6
Conteste ...
UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
Ventajas:
- Cualitativas: ...
UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
- Diferencias: la corporat...
UNIVERSIDAD TECNICA PARTICULAR DE LOJA
ALEXANDRA CAGUANA
AUDITORIA INFORMATICA
AUTOEVALUACIONES
7- ¿Cuáles son las dos met...
Próxima SlideShare
Cargando en…5
×

Alexandra caguana autoevaluaciones_ii_bimestre_auditoriainformática

169 visualizaciones

Publicado el

Autoevaluacion II Bimestre

Publicado en: Educación
0 comentarios
0 recomendaciones
Estadísticas
Notas
  • Sé el primero en comentar

  • Sé el primero en recomendar esto

Sin descargas
Visualizaciones
Visualizaciones totales
169
En SlideShare
0
De insertados
0
Número de insertados
3
Acciones
Compartido
0
Descargas
5
Comentarios
0
Recomendaciones
0
Insertados 0
No insertados

No hay notas en la diapositiva.

Alexandra caguana autoevaluaciones_ii_bimestre_auditoriainformática

  1. 1. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES AUTOEVALUACION 4 Conteste correctamente las preguntas según sea el caso (V si es Verdadero o F si es falso): 1. (F) El outsourcing es una simple contratación de servicios que una empresa busca para cubrir una necesidad. 2. (F) La auditoría de outsorcing de TI se presenta como una herramienta de especial utilidad para asegurar la discontinuidad del negocio. 3. (V) El servicio de aseguramiento de la calidad que desee una empresa se lo puede tomar como un proceso independiente. (outsourcing). 4. (V) Para auditar el Outsourcing se debe conocer el entorno en que se desarrolla el proceso y los agentes que participaron en ello. 5. (V) Un elemento dentro del acuerdo de Outsourcing son los Acuerdos de nivel de servicio SLA’s. 6. (V) Contrato de Outsourcing es un contrato profesional, donde cada cláusula es importante. 7. (F) La herramienta básica para comunicar los resultados del servicio en outsourcing es el informe de gestión. 8. (V) Los elementos de gestión en un SLA describen los pasos a dar para asegurar la efectividad del servicio y resolver cualquier problema que pudiera darse. 9. (F) Si no se cumple con el acuerdo de nivel de servicios no existen penalizaciones. 10. (F) Una de las acciones indispensables en la Auditoría del Outsourcing de TI es identificar claramente la relación entre el tercero, el cliente y los usuarios de la empresa. 11. (V) Mantener una relación estrecha y de comunicación continua con el proveedor para verificar las necesidades del servicio es una política, procedimiento o control del modelo ITIL. 12. (F) El modelo CMMI se centra sólo en las políticas, dejando de lado los procesos de los diferentes elementos a gestionar para ser certificado.
  2. 2. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES AUTOEVALUACION 5 Conteste correctamente las preguntas según sea el caso (V si es verdadero o F si es falso): 1. (V) Seguridad física son todos los mecanismos destinados a proteger físicamente cualquier recurso de un sistema. 2. (V) Los recursos de un sistema pueden ser desde un simple mouse hasta un disco duro con toda la información de la empresa. 3. (F) La Seguridad Física está enfocada a cubrir solo amenazas ocasionadas por la naturaleza del medio físico en que se encuentra la empresa. 4. (F) No es necesario instalaciones adecuadas para que un sistema informático de cierta empresa funcione correctamente. 5. (V) Uno de los objetivos de la auditoría de la seguridad física es: tener medidas para atender los riesgos de fallos, local o general de la seguridad física de la organización. 6. (F) Una medida para atender riesgos de fallos de seguridad durante el desastre es mantener un adecuado nivel de seguridad física sobre los activos, por ejemplo: ubicación del edificio. 7. (V) Una medida para atender riesgos de fallos de seguridad después del desastre es hacer efectivo el aseguramiento de la empresa. 8. (F) Existen solamente 3 áreas de seguridad física que el auditor debe tomar en cuenta a la hora de evaluar y dar su opinión. 9. (F) La fase de la auditoría de la seguridad física donde se realiza una verificación de los procedimientos, políticas, materiales y otros requerimientos es el alcance de la auditoría. 10. (V) La etapa final de la auditoría de la seguridad física es presentar el informe final donde se recogen todos los hallazgos encontrados en la misma. CUESTIONARIO DE REPASO 1. Comente las cuatro normas básicas de la seguridad física tradicional Las cuatro normas tradicionales son : evitar, retrasar, detectar y defender (entendiéndose por defender una respuesta activa contra el hecho) siendo estas de aplicación a la protección física de los sistema de información.
  3. 3. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES 2. Exponga el concepto de defensa en profundidad Estrategia de seguridad usando distintas técnicas para limitar los daños en el caso de intrusión en la primera línea de defensa. Es útil contra un ataque de día cero, ya que pone las máximas trabas posibles al atacante 3. Explique lo que se entiende por protección de perímetro La métodos o sistemas que se implante para proteger el área donde se almacenan soportes de información o que albergan instalaciones de proceso de datos 4. ¿Qué indicadores se utilizan para medir la eficacia de los controles de seguridad física? La eficacia de cualquier perímetro de seguridad dependerá en gran medida del nivel de seguridad de los puntos de acceso y del tipo de control de acceso que se establezca, entendiendo por control de acceso todo aquello que abarca la necesidad de un pase o sistema de reconocimiento personal, incluyendo los sistemas de control y el acompañamiento de visitas autorizadas. 5. ¿Qué medida de seguridad implantaría para poder cumplir el objetivo de control “Seguridad del cableado” de la norma ISO- 27002? a) Disponer de líneas de fuerza (energía) y de telecomunicaciones subterráneas protegidas, en cuanto sea posible. b) Proteger el cableado de la red contra la interceptación o daño. c) Separar los cables de energía de los cables de comunicaciones. 6. Explique como las medidas que tomaría para aplicar el criterio de MAP “Se deben ubicar los terminales que manejen información y datos sensibles en lugares donde se reduzca el riesgo de que aquellos estén a la vista” El indicador de riesgos ofrece un valor al proceso que permite establecer un orden de prioridad a su supervisión y monitoreo. Este indicador permite jerarquizar los riesgos ya que ofrece información a la administración para tomar decisiones acerca de cuáles procesos tienen un indicador de riesgo mayor y requieren de atenciones inmediatas y cuales son de menor importancia que pueden ser atendidos posteriormente.
  4. 4. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES 7. ¿Qué experto cree que deben formar parte de un equipo que va a realizar una auditoria física de unas instalaciones de TI? Experto que maneja hardware y software 8. Mejore y complete el cuestionario de seguridad física que se incluye en el capítulo. 1. ¿El lugar donde se ubica el centro de cómputo está seguro de inundaciones, robo o cualquier otra situación que pueda poner en peligro los equipos? Si ______No ______ 2. ¿El centro de cómputo da hacia el exterior? Si ______No ______ 3. ¿El material con que está construido el centro de cómputo es confiable? Si ______No ______ 4. ¿Dentro del centro de cómputo existen materiales que puedan ser inflamables o causar algún daño a los equipos? Si _____ ¿Cuál?_________No______ 5. ¿Existe lugar suficiente para los equipos? Si ______No ______ 6. ¿Aparte del centro de cómputo se cuenta con algún lugar para almacenar otros equipos de cómputo, muebles, suministros, etc.? Si _____ ¿Dónde? _________________________________________ No 7. ¿Se cuenta con una salida de emergencia? Si ______No ______ 8. Existen señalamientos que las hagan visibles? Si _____ ¿Dónde? __________________________________________No
  5. 5. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES AUTOEVALUACION 6 Conteste o seleccione la pregunta según sea el caso V o F: 1. (F) Un actor que genera una amenaza sólo pueden ser los humanos. 2. (V) Un activo es cualquier objeto de valor de la organización que puede ser afectado por un evento y crear un impacto en la organización. 3. (V) Para identificar un riesgo primero debemos visualizar una vulnerabilidad o amenaza. 4. (V) El impacto debe traducirse a términos del negocio. 5. (V) Cada riesgo debe tener asociada una probabilidad de ocurrencia. 6. (F) La magnitud del riesgo es igual a la probabilidad de ocurrencia únicamente. 7. (V) El impacto es un indicador que compone el riesgo y que indica las consecuencias en caso de que se materialice un riesgo. 8. (V) La probabilidad e impacto son los 2 componentes que definen al riesgo. 9. (V) COBIT define los objetivos de control que componen el proceso de administración de riesgos de TI. 10. (F) El impacto puede definirse con métodos cuantitativos únicamente. CUESTIONARIO DE REPASO 1. ¿Qué diferencias y similitudes existen entre las metodologías cualitativas y cuantitativas? ¿Qué ventajas y que inconvenientes tienen? Diferencias: Las cuantitativas se basan en un modelo matemático numérico que ayuda a la realización del trabajo, y las cualitativas se basan en el razonamiento humano capaz de definir un proceso de trabajo. Similitudes: Ambas van encaminadas a establecer y mejorar un entramado de contramedidas que garanticen que la probabilidad de que las amenizas se materialicen, sea lo más baja posible o al menos quede reducida de una forma razonable en costo-beneficio, y también dependen de un profesional.
  6. 6. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES Ventajas: - Cualitativas: enfoca lo más amplio, plan de trabajo flexible y reductivo, se concentra en la identificación de eventos, incluye factores intangibles. - Cuantitativas: enfoca pensamientos mediante uso de números, facilita la comparación de vulnerabilidades muy distintas, proporciona una cifra justificante para cada contramedida. Desventajas: - Cualitativas: depende fuertemente de la habilidad y calidad del personal involucrado, puede excluir riesgos significantes desconocidos, identificación de eventos reales más claros al no tener que aplicar probabilidades complejas de calcular, dependen de un profesional. - Cuantitativas: la estimación de probabilidades dependen de estadísticas fiables inexistentes, estimación de las pérdidas potenciales solo si son valores cuantificables, metodologías estándares difíciles de mantener o modificar. 2. ¿Cuáles son los componentes de una contramedida o control (pirámide de la seguridad)? ¿Qué papel desempeñan las herramientas de control? ¿Cuáles son las herramientas de control más frecuentes? Componentes: la normativa, la organización, las metodologías, los objetivos de control, los procedimientos de control, tecnologías de seguridad, las herramientas de control. - El papel que desempeñan las herramientas de control que permite definir uno o varios procedimientos de control para cumplir una normativa y un objetivo de control. Herramientas de control más frecuentes: seguridad lógica del sistema, seguridad lógica complementaria al sistema, seguridad lógica para entornos distribuidos, control de acceso físico, control de copias, gestión de soporte magnético, gestión y control de impresión y envío de listados por red, control de proyectos, control de versiones, control y gestión de incidencias, control de cambio. 3- ¿Qué tipo de metodologías de plan de contingencia existen? ¿en que se diferencian? ¿Qué es un plan de contingencia? -Existen dos tipos de metodología plan de contingencia, que son contingencia informática y contingencia corporativa.
  7. 7. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES - Diferencias: la corporativa cubre no sola la informática sino todos los departamentos de una entidad, y puede incluir también el informativo como un departamento más. -Un plan de contingencia es una estrategia planificada por un conjunto de recursos de respaldo, una organización de emergencia y unos procedimientos de actuación encaminada a conseguir una restauración progresiva y ágil de los servicios de negocios afectados por una paralización total o parcial de la capacidad operativa de la empresa. 4- ¿Qué metodologías de auditoria informática existen? ¿Para qué se usa cada una? Existen dos familias distintas, las auditorias de controles generales y las metodologías de los auditores internos. Las auditorias de controles generales se usan para obtener una opinión sobre la fiabilidad de los datos, basadas en pequeños cuestionarios estándares que dan como resultados informes muy generalistas. Por otro lado la metodología de auditor interno también cumple la misma función pero son diseñadas por el propio auditor. 5- ¿Qué es el nivel de exposición y para qué sirve? El nivel de exposición es un indicativo definido subjetivamente que permite en base a la evaluación final de la última auditoría realizada definir la fecha de la repetición de la misma auditoria. 6- ¿Qué diferencias existen entre las figuras de auditoria informática y control interno informático? ¿Cuáles son las funciones más importantes de este? La clara diferencia entre ambos elementos es que, el control interno monta los controles del proceso informático, mientras que la auditoria informática evalúa el grado de control. Funciones principal: - Control interno informático: funciones de control dual con otros departamentos normativa y del cumplimiento del marco jurídico, responsable del desarrollo y mantenimiento del plan de contingencias, controles de coste, controles de medida de seguridad física o corporativa en la información.
  8. 8. UNIVERSIDAD TECNICA PARTICULAR DE LOJA ALEXANDRA CAGUANA AUDITORIA INFORMATICA AUTOEVALUACIONES 7- ¿Cuáles son las dos metodologías más importantes para control interno informático? ¿Para qué sirve cada una? Cuantitativa: sirve para la realización de un trabajo. Cuantitativa: sirve para definir un proceso de trabajo y seleccionar en base las experiencias acumuladas. 8- ¿Qué papel tienen las herramientas de control en los controles? Las herramientas de control son elementos software que por sus características funcionales permiten vertebrar el control de una manera más actual y más automatizadas. 9- ¿Cuáles son los objetivos de control en el acceso lógico? Segregación de funciones entre los usuarios, integridad de los “log” e imposibilidad de desactivarlos por ningún perfil para poder revisarlos, gestión centralizada de la seguridad o al menos única, contraseña única para los distintos sistemas de la red, la contraseña y archivos con perfiles y derechos inaccesibles a todos, el sistema debe rechazar a los usuarios que no usan la clave, separación de entornos, el log o los log’s de actividad no podrán desactivarse a voluntad, el sistema debe obligar a los usuarios a cambiar la contraseña y es frecuente encontrar mecanismos de auto-loguot. 10-¿Qué es la certificación de seguridad? ¿Qué aporta la ISO 17799? ¿Qué metodología se utiliza en el desarrollo de un SGSI? Es una medida adicional de confianza a los usuarios que visitan y realizan actividades o transacciones en una página web. Permite el cifrado de los datos entre el servidor representante a la página y los datos del ordenador del usuario. Un concepto más preciso sería que un certificado de seguridad logra que los datos personales de los usuarios queden en citados y de esta forma sea imposible por los demás usuarios interceptarlos.

×