1. REPÚBLICA BOLIVARIANA DE VENEZUELA
MINISTERIO DEL PODER POPULAR PARA LA EDUCACIÓN UNIVERSITARIA
INSTITUTO UNIVERSITARIO POLITECNICO “SANTIAGO MARIÑO”
BARCELONA – EDO ANZUATEGUI
PROFESORA:
AMELIA VASQUEZ
ALUMNO:
RAYMON SUAREZ
V-26.449.277
Barcelona, febrero de 2019
2. INTRODUCCIÓN
El término auditoria, en su acepción más amplia, significa verificar que la
información financiera, administrativa y operacional que se genera es
confiable, veraz y oportuna.
La auditoria le da certeza a esa persona física o moral sobre la forma y el
estado que guarda el negocio. Cualquier actividad, requiere de pasos a
seguir o procedimientos, así como un doctor debe seguir ciertos pasos,
como anestesiar, verificar los signos vitales, para proceder a operar, un
auditor, debe seguir ciertos pasos para lograr su objetivo.
3. AUDITORÍA DE SEGURIDAD
Una auditoría de seguridad informática o auditoría de
seguridad de sistemas de información (SI) es el estudio que
comprende el análisis y gestión de sistemas llevado a cabo por
profesionales para identificar, enumerar y posteriormente
describir las diversas vulnerabilidades que pudieran
presentarse en una revisión exhaustiva de las estaciones de
trabajo, redes de comunicaciones o servidores.
4. CARACTERISTICAS DE LA AUDITORÍA
Estratégicas. Se enfocan en los aspectos que señala la resolución y en
los otros críticos o relevantes del prestador que se identifiquen en el
desarrollo de la auditoría.
Objetivas. Al desarrollarlas se debe asegurar que los hallazgos y las
conclusiones se fundamenten, en lo posible, en evidencia verificable.
Confiables. La información que presente y reporte la auditoría debe
ser veraz y exacta, de manera que minimice los riesgos de
interpretación.
Diligentes. Se deben atender, con diligencia y oportunidad, los
requerimientos del organismo competente de control.
Efectivas. La auditoría de gestión y resultados debe recomendar a sus
conclusiones las acciones correctivas, preventivas o de mejoramiento a
aplicar, respecto de las situaciones detectadas.
5. FUNCIÓN DE LA AUDITORÍA DE
SEGURIDAD
• Esta función permite establecer identificadores (nombres o códigos)
para cada usuario y recursos del sistema. Su propósito es proporcionar
evidencia la realidad. Esta función identifica por algunos medios
aceptables a las personas, el hardware, el software y otros recursos
disponibles en el sistema.
IDENTIFICACIÓN
• Es el acto de seleccionar con un nivel aceptable de riesgo, de la validez
de la identidad declarada. Es la validación aceptable de la identidad.
Proporciona la capacidad del sistema para verificar el usuario o recurso
identificado.
AUTENTICACIÓN
• El propósito de una función de autorización es establecer lo que esta
permitido hacer a alguien a un recurso dado. Generalmente relaciona a
un usuario con un recurso a través de reglas de autorización definidas.
AUTORIZACIÓN
• Suministra la generación, registro y mantenimiento, de las reglas de
acceso. Determina quien y bajo que circunstancias, puede habilitar o
cambiar reglas de autorización.
DELEGACIÓN
• Los journals proporcionan evidencias escritas del uso de los registros
del sistema. Ofrecen tres beneficios destacables.
•Proporcionan lo necesario para reconstrucción, backup/ recovery.
•Fijan responsabilidades- rastrea e identifica
•Cana visibilidad permite ver que esta ocurriendo
JOURNALING
• Alguien debe examinar las actividades registradas y establecer las
variaciones con respecto al rendimiento esperado, uso y contenido.
Esta es la función de vigilancia.
VIGILANCIA
6. IMPORTANCIA DE LA AUDITORÍA DE
SEGURIDAD
Cada vez son más los medios a través de los cuales accedemos a la
información y paralelamente por cada medio de acceso tenemos un posible
vector de ataque o exposición a una amenaza.
¿Qué empresa no está ya presente en Internet a través de una Web
corporativa? Además de que es necesario estar presente en la Web, también
hay que cuidar que nuestra página sea segura y no sea vulnerable.
Vulnerabilidades podrían permitir a un atacante infectar la Web, alterar la
información o incluso tener un control absoluto del servidor.
Una auditoría de seguridad informática nos dará información acerca de
cómo están nuestros sistemas a nivel de seguridad informática y de la
información. En el informe final redactado por los auditores, éstos
indicarán, además de las brechas de seguridad encontradas, las
contramedidas y defensas que se deberían de aplicar para mitigar los riesgos
a los que la empresa pueda estar.
7. APLICACIÓN
La primera implica la identificación de las
vulnerabilidades. A continuación, estas se
enumeran como forma de organizarlas,
comprobando la existencia de topologías,
redes y los distintos protocolos que se estén
utilizando. Esta es una parte fundamental
del proceso, dado que marcará el camino a
seguir en la auditoría.
Lo siguiente a realizar será asegurarse que se están
cumpliendo los distintos estándares de categoría
internacional que se vean implicados dentro de la
auditoría. Algunos de los más habituales son
COBIT e ISO. A continuación los profesionales que
estén llevando a cabo el proceso se asegurarán de
comprobar cuáles son los sistemas
operativos que se encuentran instalados dentro
del entorno informático de la empresa.
Después de esto se deberá realizar un
análisis exhaustivo sobre las aplicaciones y
los diferentes servicios que estén instalados
en la empresa y a partir de aquí con toda esta
información en perspectiva, habrá que ver
cuáles son las vulnerabilidades
existentes.
Una vez hecho esto, quedará implementar
dos acciones. La primera de ellas será
introducir medidas de corrección
específicas que se puedan utilizar en la
empresa para reparar las vulnerabilidades
y que no vuelvan a ocurrir. Y en último
lugar será necesario pautar unas
recomendaciones acerca de cuáles pueden
ser las medidas de prevención.
Se divide en una serie de
fases fáciles de entender,
pero no tan sencillas de
aplicar:
8. SEGURIDAD FÍSICA
La seguridad física es uno de los aspectos más olvidados a la hora del diseño de un
sistema informático. Si bien algunos de los aspectos de seguridad física básicos se
prevén, otros, como la detección de un atacante interno a la empresa que intenta
acceder físicamente a una sala de cómputo de la misma, no. Esto puede derivar en
que para un atacante sea más fácil lograr tomar y copiar una cinta de backup de la
sala de cómputo, que intentar acceder vía lógica a la misma. Así, la Seguridad Física
consiste en la “aplicación de barreras físicas y procedimientos de control, como
medidas de prevención y contramedidas ante amenazas a los recursos e información
confidencial”.
9. AMENAZAS EN SEGURIDAD FISICA
1. Desastres naturales, incendios accidentales, tormentas e
inundaciones
2. Amenazas ocasionadas por el hombre
3. Disturbios, sabotajes internos y externos deliberados.
10. SEGURIDAD LÓGICA
La mayoría de los daños que puede sufrir un centro de cómputo no será sobre los
medios físicos sino contra información por él almacenada y procesada. Así, la
seguridad física sólo es una parte del amplio espectro que se debe cubrir para no
vivir con una sensación ficticia de seguridad.
Como ya se ha mencionado, el activo más importante que se posee es la información,
y por lo tanto deben existir técnicas, más allá de la seguridad física que la aseguren.
Estas técnicas las brinda la Seguridad Lógica. La Seguridad Lógica consiste en la
“aplicación de barreras y procedimientos que resguarden el acceso a los datos y sólo
se permita acceder a ellos a las personas autorizadas para hacerlo”.
11. OBJETIVOS DE LA SEGURIDAD LÓGICA
1. Restringir el acceso a los programas y archivos
2. Asegurar que los operadores puedan trabajar sin una supervisión minuciosa y no
puedan modificar los programas ni los archivos que no correspondan.
3. Asegurar que se estén utilizando los datos, archivos y programas correctos en y por
el procedimiento correcto.
4. Que la información transmitida sea recibida por el destinatario al cual ha sido
enviada y no a otro.
5. Que la información recibida sea la misma que ha sido transmitida.
6. Que existan sistemas alternativos secundarios de transmisión entre diferentes
puntos.
7. Que se disponga de pasos alternativos de emergencia para la transmisión de
información.
12. DELITOS INFORMATICOS
Un "delito informático" o "ciberdelito" es toda aquella acción antijurídica y
culpable a través de vías informáticas tiene como objetivo dañar por medios
electrónicos y redes de Internet. Existen conductas criminales por vías
informáticas que no pueden considerarse como delito, según la: "Teoría del
delito", por lo cual se definen como abusos informáticos y parte de la
criminalidad informática. La criminalidad informática consiste en la
realización de un tipo de actividades que, reuniendo los requisitos que
delimitan el concepto de delito, sean llevados a cabo utilizando un elemento
informático.
13. TIPOS DE DELITOS INFORMATICOS
Fraudes cometidos mediante manipulación de computadoras; en este se
reúne: la manipulación de datos de entrada (sustraer datos), manipulación de
programas (modificar programas del sistema o insertar nuevos programas o rutinas),
manipulación de los datos de salida (fijación de un objeto al funcionamiento de
sistemas de información, el caso de los cajeros automáticos) y fraude efectuado por
manipulación informática (se sacan pequeñas cantidades de dinero de unas cuentas
a otras).
Manipulación de datos de entrada; como objetivo cuando se altera
directamente los datos de una información computarizada. Como instrumento
cuando se usan las computadoras como medio de falsificación de documentos.
Daños o modificaciones de programas o datos computarizados; entran tres
formas de delitos: sabotaje informático (eliminar o modificar sin autorización
funciones o datos de una computadora con el objeto de obstaculizar el
funcionamiento) y acceso no autorizado a servicios y sistemas informáticos (ya sea
por curiosidad, espionaje o por sabotaje).
14. CONCLUSIONES
Las auditorias informáticas se conforman obteniendo información
y documentación de todo tipo. Los informes finales de los auditores
dependen de sus capacidades para analizar las situaciones de debilidad o
fortaleza de los diferentes medios. El trabajo del auditor consiste en lograr
obtener toda la información necesaria para emitir un juicio global objetivo,
siempre amparando las evidencias comprobatorias.
El auditor debe estar capacitado para comprender los mecanismos que se
desarrollan en un procesamiento electrónico. También debe estar preparado
para enfrentar sistemas computarizados en los cuales se encuentra la
información necesaria para auditar.
15. BIBLIOGRAFÍA
Hernández (1995) http://orion2020.org/archivo/performance/TI_SIAuditoria.html
Auditoria de sistemas e Informatica Ltda – AUDISIS – PROGRAMA DE ENTRENAMIENTO EN CONTROL
Y AUDITORIA DE SISTEMAS DE INFORMACION. MODULOS I Y II. 1989.
AUDITORÍA EN SEGURIDAD INFORMÁTICA. ISC.MEZTLI VALERIANO OROZCO. 09– SEPTIEMBRE -
2013 https://es.slideshare.net/meztli9/importancia-de-la-auden-seginfo
21/03/2018 universidad internacional de valencia Ciencia y Tecnología
Auditoría seguridad informática, fases y tipos principales
https://www.universidadviu.com/auditoria-seguridad-informatica-fases-tipos-principales/
DELITO INFORMATICO 29 de marzo de 2012. WIKIPEDIA
https://es.wikipedia.org/wiki/Delito_inform%C3%A1tico
CUERVO, José. “Delitos informáticos: Protección penal de la intimidad”. Publicado en
http://www.informatica-juridica.com/trabajos/delitos.asp (2008)
OSCAR MENDEZ, CIUDAD BOLIVAR (OCTUBRE DE 2016)
https://www.monografias.com/trabajos40/auditoria-informatica/auditoria-informatica2.shtml
