1. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
Introducción a la
Introducción a la
Auditoria y Seguridad
Auditoria y Seguridad
Informáticas
Informáticas
© Fundación DINTEL DOMINIO 0 – 1 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
La Seguridad
La Seguridad
de la Información
de la Información
PRIMERA PARTE
© Fundación DINTEL DOMINIO 0 – 2 © MIGUEL REGO, 2005

2. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SEGURIDAD DE LA INFORMACIÓN
Protección adecuada,
Protección adecuada,
proporcionada
proporcionada
y razonable de la Información
y razonable de la Información
Corporativa
Corporativa
Preservando su Preservando la
Preservando la
Preservando su
confidencialidad integridad y
integridad y
confidencialidad
integridad
integridad
disponibilidad
+
+
disponibilidad
disponibilidad
de los recursos
de los recursos
disponibilidad
que la soportan
que la soportan
© Fundación DINTEL DOMINIO 0 – 3 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
1. La Información es un recurso
estratégico.
© Fundación DINTEL DOMINIO 0 – 4 © MIGUEL REGO, 2005

3. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
La información es el
principal activo de
las organizaciones
© Fundación DINTEL DOMINIO 0 – 5 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
2. La Información debe ser
valorada en cuanto a los daños
que produciría una perdida de
los TRES requisitos básicos de
seguridad
© Fundación DINTEL DOMINIO 0 – 6 © MIGUEL REGO, 2005

4. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SEGURIDAD DE LA INFORMACIÓN
CONFIDENCIALIDAD
INTEGRIDAD DISPONIBILIDAD
© Fundación DINTEL DOMINIO 0 – 7 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
Decálogo
3. La Seguridad de la Información es la
aplicación de medidas para garantizar
y preservar la Confidencialidad,
Integridad y Disponibilidad de la
Información durante todo su ciclo de
vida, en cualquier formato que se
utilice y en cualquier lugar donde se
encuentre.
© Fundación DINTEL DOMINIO 0 – 8 © MIGUEL REGO, 2005

5. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SEGURIDAD DE LA INFORMACIÓN
Sistemas
Empleados Documentos
Clientes Instalaciones Proveedores
© Fundación DINTEL DOMINIO 0 – 9 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SEGURIDAD DE LA INFORMACIÓN
Sistemas
Personas Documentos
Empresas Instalaciones Proveedores
© Fundación DINTEL DOMINIO 0 – 10 © MIGUEL REGO, 2005

6. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SEGURIDAD DE LA INFORMACIÓN
Sistemas
Personas Documentos
Empresas Instalaciones Proveedores
© Fundación DINTEL DOMINIO 0 – 11 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
Decálogo
4. Las medidas de seguridad se
aplicarán en proporción a los daños
que produciría la pérdida de
confidencialidad, integridad o
disponibilidad.
© Fundación DINTEL DOMINIO 0 – 12 © MIGUEL REGO, 2005

7. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
CLASIFICACIÓN DE LA INFORMACIÓN
Por grados de sensibilidad
Integridad
Disponibilidad
Confidencialidad
Beneficios
Determinar los controles de acceso
Facilita asignación de medidas proporcionales
Como objetivo de control
Quien tiene derecho de acceso
Quien es responsable de establecer los derechos de
acceso
© Fundación DINTEL DOMINIO 0 – 13 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
5. El acceso a la información se
concederá en base a la necesidad
de conocer. Para información
clasificada se deberá contar además
con una habilitación personal.
© Fundación DINTEL DOMINIO 0 – 14 © MIGUEL REGO, 2005

8. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
CLASIFICACIÓN DE LA
INFORMACIÓN
Habilitación Personal
Confidencial Necesidad
de
Conocer
Uso Interno
Uso Público
© Fundación DINTEL DOMINIO 0 – 15 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
6. La Seguridad de la Información
es responsabilidad de todos los
miembros de la Organización,
los cuales deberán estar
adecuadamente formados y
concienciados.
© Fundación DINTEL DOMINIO 0 – 16 © MIGUEL REGO, 2005

9. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
Decálogo
7. Las medidas para la seguridad de la
Información deben ser coordinadas e
integradas con el resto de Áreas que
conforman la Seguridad de la
Organización, con el fin de conformar
un Sistema Integral de Seguridad
coherente y eficaz.
© Fundación DINTEL DOMINIO 0 – 17 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
ORGANIZACIÓN DE LA SEGURIDAD
Dirección de
Dirección de
Seguridad
Seguridad
Corporativa
Corporativa
Seguridad
X
X Seguridad
de la Información
de la Información
Y
Y
Seguridad
Seguridad
TIC
TIC
© Fundación DINTEL DOMINIO 0 – 18 © MIGUEL REGO, 2005

10. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
8. Los controles implantados serán
compatibles con la legislación vigente
vinculante a la Organización, tanto a
nivel nacional como internacional.
© Fundación DINTEL DOMINIO 0 – 19 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
Decálogo
9. Se establecerán auditorias internas
con el fin de comprobar la eficacia de
las medidas implantadas. Estas
auditorias, para poder actuar de
manera libre e independiente, no
deben estar bajo la autoridad de los
Organismos encargados de la
Dirección y Ejecución de la Seguridad
de la Información.
© Fundación DINTEL DOMINIO 0 – 20 © MIGUEL REGO, 2005

11. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DECÁLOGO
Decálogo
10. Se establecerá un Plan para gestionar
la continuidad de los procesos críticos
de la Organización que permita en
caso de un incidente de seguridad,
evaluar los daños, limitar sus
consecuencias y adoptar medidas de
reacción.
© Fundación DINTEL DOMINIO 0 – 21 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
DISEÑO DE LA SEGURIDAD
Política
Política
Análisis
Análisis Requisitos
Requisitos de
de
Principios
Principios de
de Legales
Legales Seguridad
Seguridad
y Objetivos
y Objetivos Riesgos
Riesgos Contractuales
Contractuales de la
de la
Información
Información
Seguridad
Seguridad
© Fundación DINTEL DOMINIO 0 – 22 © MIGUEL REGO, 2005

12. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
POLÍTICAS
Nivel 1 Política de la Seguridad de la Información
Seguridad Seguridad Seguridad Seguridad
Información Información Información Información
Nivel 2
PERSONAS DOCUMENTOS TIC INSTALACIONES
Nivel 3
© Fundación DINTEL DOMINIO 0 – 23 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
POLÍTICAS
Nivel 1 Política de la Seguridad de la Información
Seguridad Seguridad Seguridad Seguridad
Información Información Información Información
Nivel 2
PERSONAS DOCUMENTOS TIC INSTALACIONES
Nivel 3
© Fundación DINTEL DOMINIO 0 – 24 © MIGUEL REGO, 2005

13. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
1-Análisis de Riesgo ANALISIS Y
¿QUE RIESGO? GESTIÓN
DE
RIESGOS
¿COMO
REDUCIRLO?
2-Gestión del Riesgo
Plan de Plan de
Continuidad Seguridad
© Fundación DINTEL DOMINIO 0 – 25 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
ANALISIS DE RIESGOS
4 sub-procesos
Análisis de
1-Identificación/valoración Riesgo
de activos
Estrategia
2-Análisis 3-Análisis
Métodos
Amenazas Vulnerabilidades
Técnicas
Nivel de
4-Identificación y valoración de Riesgos
Seguridad
Riesgos Asumibles Riesgos No Asumibles
© Fundación DINTEL DOMINIO 0 – 26 © MIGUEL REGO, 2005

14. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
GESTIÓN DE RIESGOS
3 sub-procesos
Riesgos Riesgos
Gestión del Riesgo
asumibles NO asumibles
1-Reducción del riesgo
Riesgos Riesgos Negocio Legal
Residuales
Requisitos de Seguridad
2-Identificación y selección Controles
de controles Actuales
3-Aceptación del Riesgo residual
© Fundación DINTEL DOMINIO 0 – 27 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
Fijar GESTIÓN DE LA
objetivos SEGURIDAD
Evaluar riesgos
Requisitos legales
Principios,... Definir
controles
Política
Organización
PKI, Firewall,... Implantar controles
© Fundación DINTEL DOMINIO 0 – 28 © MIGUEL REGO, 2005

15. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SEGURIDAD
SEGURIDAD DE LA INFORMACION
SEGURIDAD DE LA INFORMACION
MEDIDAS
MEDIDAS
POLITICAS
POLITICAS ORGANIZACIÓN
ORGANIZACIÓN TECNICAS
TECNICAS
© Fundación DINTEL DOMINIO 0 – 29 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
La Auditoría
La Auditoría
de los
de los
Sistemas
Sistemas
de Información
de Información
SEGUNDA PARTE
© Fundación DINTEL DOMINIO 0 – 30 © MIGUEL REGO, 2005

16. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿QUÉ ES AUDITORÍA?
“Proceso sistemático, independiente y
documentado para obtener evidencias y
evaluarlas de manera objetiva con el fin de
determinar si cumplen con las disposiciones
previamente establecidas, y si estas
disposiciones se han aplicado efectivamente
y son adecuadas para alcanzar los objetivos”
(ISO 9000)
© FAST
© Fundación DINTEL DOMINIO 0 – 31 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITORIA T.I.
Objetivos de Protección:
Seguridad
Integridad
Disponibilidad
Objetivos de Gestión:
Eficacia
Eficiencia
Otros:
Cumplimiento
Calidad
© Fundación DINTEL DOMINIO 0 – 32 © MIGUEL REGO, 2005

17. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITORIA T.I.
Participar en las revisiones durante el ciclo
de vida de los Sistemas
Revisar y juzgar los controles implantados en
los sistemas
Revisar y juzgar la eficacia, eficiencia y
seguridad de los sistemas.
© Fundación DINTEL DOMINIO 0 – 33 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 34 © MIGUEL REGO, 2005

18. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 35 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
PLANIFICAR
Identificar el Área a auditar
Fijar objetivos y alcance
Análisis del entorno
Elaborar un programa y un calendario de
trabajo
Seleccionar y definir el equipo de trabajo
Definir las pruebas de auditoria y las
herramientas
© Fundación DINTEL DOMINIO 0 – 36 © MIGUEL REGO, 2005

19. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 37 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
TECNICAS DE EVALUACIÓN
Revisar la Estructura de la Organización
Una adecuada segregación de tareas es un
control general clave
Revisar la Documentación de SI
Requerimientos funcionales, estudios de
viabilidad, diseños técnicos, manuales, planes de
seguridad
Entrevistas al Personal
Observación
De los procesos
De los procedimientos
© FAST
© Fundación DINTEL DOMINIO 0 – 38 © MIGUEL REGO, 2005

20. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 39 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
EVIDENCIAS
La Evidencia es cualquier información utilizada por el
Auditor para determinar si se están cumpliendo los
criterios establecidos en las entidades auditadas.
Las evidencias obtenidas deberán cumplir las siguientes
características:
Competentes (válidas y relevantes)
Identificará la Calidad de las evidencias
Suficientes
Identificará la Cantidad suficiente de evidencias
© FAST
© Fundación DINTEL DOMINIO 0 – 40 © MIGUEL REGO, 2005

21. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
Obtener pruebas
Evidencias:
Evidencias:
Relevantes
Relevantes
Fiables
Fiables
Suficientes
Suficientes Papeles de Trabajo
Papeles de Trabajo
Adecuadas
Adecuadas
© Fundación DINTEL DOMINIO 0 – 41 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 42 © MIGUEL REGO, 2005

22. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
INFORMAR
Informes preliminares
Borrador que se comenta al cliente o a la
organización auditada para sus posibles
comentarios y observaciones
Informe final de opinión
Informe de auditoria final que se envía a la
dirección del cliente u organización.
© Fundación DINTEL DOMINIO 0 – 43 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 44 © MIGUEL REGO, 2005

23. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
PLAN DE ACCION
Debe ser propuesto e implementado por la dirección
del servicio informático auditado
El auditor deberá incluir en su informe una opinión
sobre las acciones correctoras propuestas y el plazo
de ejecución
El auditor deberá considerar la necesidad de verificar
la ejecución de dichas acciones correctoras
(programa de seguimiento)
© FAST
© Fundación DINTEL DOMINIO 0 – 45 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 46 © MIGUEL REGO, 2005

24. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
AUDITAR
PLANIFICAR
CUMPLIENDO
EVALUAR
CODIGO
DIRECTRICES
DEONTOLOGIGO OBTENER
PRUEBAS
INFORMAR
SEGUIMIENTO
© Fundación DINTEL DOMINIO 0 – 47 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
El Programa
El Programa
CISA de ISACA
CISA de ISACA
TERCERA PARTE
© Fundación DINTEL DOMINIO 0 – 48 © MIGUEL REGO, 2005

25. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿QUÉ ES CISA?
Certified Information System Auditor-Auditor
de Sistemas de Información Certificado
Título internacional emitido por ISACA
(Informatión System Audit and Control
Association) que acredita como Auditor de
Sistemas de Información.
CISA es una titulación prestigiosa que se ha
tomado como referencia para acreditar la
capacidad y fiabilidad de los auditores
© Fundación DINTEL DOMINIO 0 – 49 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿CÓMO SE OBTIENE EL CISA?
CISA
Aprobar el examen (75%)
Acreditar 5 años de experiencia
reciente en auditoria/seguridad
Adherirse al código deontológico de
ISACA
Acreditar que se sigue la política de
formación continuada.
Pagar las cuotas.
© Fundación DINTEL DOMINIO 0 – 50 © MIGUEL REGO, 2005

26. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿CÓMO ES EL EXAMEN CISA?
200 preguntas de múltiples respuestas,
abarcando todos los dominios de
conocimiento.
El número de cuestiones de cada dominio
es proporcional a la importancia de éste.
Hay que superar el 75% de aciertos en
cada dominio.
Duración: 4 horas
© Fundación DINTEL DOMINIO 0 – 51 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿CÓMO ES EL EXAMEN CISA?
Única convocatoria anual
11 de junio de 2005
Idioma: Español, Inglés otros...
© Fundación DINTEL DOMINIO 0 – 52 © MIGUEL REGO, 2005

27. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿CÓMO ES EL EXAMEN CISA?
DOMINIO 1. Gestión, planificación y 11%
organización de los Sistemas de
Información
DOMINIO 2. Infraestructura técnica y 13%
prácticas operacionales
© Fundación DINTEL DOMINIO 0 – 53 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿CÓMO ES EL EXAMEN CISA?
DOMINIO 3. Protección de los activos 25%
de la información
DOMINIO 4. Recuperación de 10%
desastres y continuidad del negocio
© Fundación DINTEL DOMINIO 0 – 54 © MIGUEL REGO, 2005

28. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿CÓMO ES EL EXAMEN CISA?
DOMINIO 5. Desarrollo, adquisición, 16%
implantación y mantenimiento de los
Sistemas de Aplicaciones de Negocio
DOMINIO 6. Evaluación de los 15%
procesos de negocio y gestión del
riesgo
DOMINIO 7. El proceso de auditoria de 10%
los Sistemas de Información
© Fundación DINTEL DOMINIO 0 – 55 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
¿CÓMO ES EL EXAMEN CISA?
PESO PREGUNTAS FALLOS
DOMINIO 1 11% 22 6
DOMINIO 2 13% 26 7
DOMINIO 3 25% 50 13
DOMINIO 4 10% 20 5
DOMINIO 5 16% 32 8
DOMINIO 6 15% 30 8
DOMINIO 7 10% 20 5
© Fundación DINTEL DOMINIO 0 – 56 © MIGUEL REGO, 2005

29. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SUSTITUCIÓN DE LA EXPERIENCIA CISA
Un máximo de un año puede ser
sustituido por:
Un año de experiencia en auditoria
financiera.
Un año de experiencia en sistemas de
información (desarrollo, operación,
sistemas, etc.).
Una carrera universitaria de grado
medio (diplomatura).
© Fundación DINTEL DOMINIO 0 – 57 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SUSTITUCIÓN DE LA EXPERIENCIA CISA
Dos años de experiencia pueden ser
sustituidos por una carrera universitaria de
grado superior (ingeniería, licenciatura,
etc.)
Un año de experiencia puede ser
sustituido por cada dos años como
instructor universitario a tiempo completo
en un campo relacionado con la auditoria,
contabilidad o sistemas de información
© Fundación DINTEL DOMINIO 0 – 58 © MIGUEL REGO, 2005

30. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
SUSTITUCIÓN DE LA EXPERIENCIA
La experiencia debe haber sido adquirida
en los 10 años previos a la solicitud de la
certificación o en los 5 años siguientes a
la aprobación del examen
Toda la experiencia laboral será
verificada con las empresas donde se
haya trabajado
© Fundación DINTEL DOMINIO 0 – 59 © MIGUEL REGO, 2005
Programa Formativo para el EXAMEN CISM
Convocatoria 2005
POLÍTICA DE FORMACIÓN CONTINÚA
Realizar cada año un mínimo de 20 horas
de formación continua
Realizar un mínimo de 120 horas de
formación continua cada tres años
consecutivos
Responder y enviar la documentación
requerida sobre la formación continua
realizada, si se es seleccionado
© Fundación DINTEL DOMINIO 0 – 60 © MIGUEL REGO, 2005

31. Programa Formativo para el EXAMEN CISM
Convocatoria 2005
MAS INFORMACIÓN
Mas información sobre el programa
formativo de
www.dintel.org
Información adicional sobre las
certificaciones CISA/CISM:
´ www.isaca.org
© Fundación DINTEL DOMINIO 0 – 61 © MIGUEL REGO, 2005