SlideShare una empresa de Scribd logo
1 de 24
Descargar para leer sin conexión
Auditoría al centro de computo




      Politécnico Colombo Andino




Facultad de análisis y diseño de sistemas




     Auditoría al centro de computo




           Lady Rincon Torres

         Sergio Ramirez Bernal

         Camilo Urbina Ramirez




         Maria Mercedes Cobos




              V Semestre



              Bogotá D.C.


                  2010
Auditoría al centro de computo




                            INTRODUCCION

Realizaremos una auditoria de seguridad informática a la empresa Deportes
de Colombia S.A. con el fin de mirar cómo están funcionando los distintos
Controles de seguridad, para así nosotros como estudiantes y trabajadores
poder aportar a la compañía mejorando la seguridad de todo el sistema que
maneja.
Auditoría al centro de computo




                         OBJETIVOS GENERALES

Aplicar los conocimientos adquiridos en clase en la compañía donde se
realizara la auditoria, para así buscar las fallas principales que están
afectando la seguridad, Incrementar la satisfacción de los usuarios
Asegurando una mayor integridad, confidencialidad y confiabilidad de la
información. También mirar el funcionamiento de los Controles de
Seguridad que se tienen en funcionamiento, mirar sus fallas y así poder
mejorar estos de un modo que la compañía no se vea tan afectada a la
hora de sufrir daños tanto en el sistema como en la información.
Auditoría al centro de computo



                      OBJETIVOS ESPECIFICOS

•   Incrementar la satisfacción de los usuarios de los sistemas
    computarizados
•   Asegurar una mayor integridad, confidencialidad y confiabilidad de la
    información mediante la recomendación de seguridades y controles.
•   Conocer la situación actual del área informática y las actividades y
    esfuerzos necesarios para lograr los objetivos propuestos.
•   Seguridad de personal, datos, hardware, software e instalaciones
•   Apoyo de función informática a las metas y objetivos de la
    organización
•   Seguridad, utilidad, confianza, privacidad y disponibilidad en el
    ambiente informático
•   Minimizar existencias de riesgos en el uso de Tecnología de
    información
•   Decisiones de inversión y gastos innecesarios
•   Capacitación y educación sobre controles en los Sistemas de
    Información
Auditoría al centro de computo



1.ESTRUCTURA GENERAL DE LA ORGANIZACIÓN

1.1 Nombre de la Empresa: Deportes de Colombia

1.1.Localizacion: Zona industrial fontibon

1.2.Objetivo Social: venta de articulos deportivos

1.3.Organigrama de la Empresa


                              presidencia



            Genrencia                           Gerencia finaciera
          administrativa



Departamentoco                              Departamento       Departamento
                 Departamentorecur
  ntabilidad                                Despachos            sistemas
                   sos humanos


1.4.Funcion de cada Departamento

      Departamento contabilidad: Maneja todo lo relacionado con
       cartera, pago a proveedores, pago a bancos, cuentas por cobrar,
       entrega de balances generales, etc.
      Departamento de recursos humanos: Es el encargado de la
       gestion de talento en la empresa, se encarga de actividades como
       la celebracion de cumpleaños, informacion sobre noticias de las
       empresas afiliadoras de pensiones y salud, del pago de nomina,
       etc.
      Departamento de despachos: Administra las entregas de los
       productos en todo el pais, teniendo encuenta las solicitudes
       reservadas para cada dia.
      Departamento de sistemas: Se encarga de gestionar todo lo
       relacionado con el manejo de la informacion, de desarrollo de
       aplicaciones, de los contratos con las empresas prestadoras de
       servicio telefonico y de internet, administracion de harware,
       soporte al usuario final etc.
Auditoría al centro de computo



2.ESTRUCTURA ORGANIZACIONAL DEL DEPARTAMENTO DE
SISTEMAS

2.1. Informacion General del Departamento de Sistemas

   El departamento de sistemas se divide en dos partes, el area de
      desarrollo y el area de soporte y mantenimiento, esta compuesto
      por 5 personas que son las encargadas de llevar a cabo las tareas
      que se plantean; con un ambiente de trabajo sano y con valores
      humanos lograr superar las metas propuestas desde comienzos
      del año con el fin de mejorar la gestion de la informacion para la
      empresa.

2.2. Responsabilidades

     Cotizacion y adquisicion de hardware y software
     Revision de los recibos de las facturas de telefonia e internet
     desarrollo de aplicaciones empresariales
     soporte al usuario final en cada una de las apliaciones del sistema
     revision periodica y mantenimiento del harware
     mantenimiento de las paginas web de la empresa

2.3. Cargos de la Oficina de Sistemas

     Jefe de sistemas
     Desarrollador
     Auxiliar de desarrollo
     Jefe de soporte y mantenimiento
     Auxiliar de soporte y mantenimiento

2.4. Funciones de cada Empleado del Departamento

     Jefe de sistema: Encargado de encaminar el cumplimiento con
      calidad de los objetivos planteados por el departamento y a su vez
      presenta los informes ante las directivas de la organización sobre
      el avance en los mismos.
     Desarrollador. Encargado de el diseño y desarrollo de aplicaciones
      empresariales.
     Auxiliar de desarrollo: Encargado de la programacion en un nivel
      menor al del desarrollador, alimenta de informacion el sistema, y
      vigila la veracidad de la informacion consolidada.
     Jefe de soporte y mantenimiento: Encardo de las contrataciones
      con las compañias prestadoras de servicios de telefonia e internet,
      administrador del sistema de red de la compañía, organiza
      cronologicamente los casos a resolver para asignaselos a su
      auxiliar, cotiza y compra tanto hardware como software para la
      empresa.
     Auxiliar de sistemas: Encargado de llevar a cabo la solucionde los
      casos propuestos, el monitoreo a usuarios, mantenimiento de los
      equipos e instalacion de software, revision personalizada de los
      equipos de computo.
Auditoría al centro de computo




2.5. Coordinación

   la coordinacion del departamento de sistemas esta a cargo del
    jefe de sistemas quien monitorea cada uno de los procesos que
    cada persona realiza, esta coordinacion es periodica permitiendo
    evaluar con frecuencias los logros alcanzados por el
    departamento.

2.6. Capacitacion

   La capacitacion que brinda el departamento de sistemas se hace
    principalmente a los auxiliares de soporte que son por lo general
    estudiantes que hacen su practica laboral, aquines se les hace un
    repaso de los contenidos que debe tener encuenta para el
    desarrollo de las funciones dentro del departamento, contando
    con acompañamiento personalizado y con guias estandares sobre
    las tareas que desempeñara. Para los jefes de sistemas de area se
    esta analizando la posibilidad de hacer diplomados con el fin de
    apoyar el desarrollo intelectual del colaborador y el
    fortalecimiento del departamento.


2.7. Plano del Departamento

           otras                       areas                       areas
 Otras


 Area
 areas                               Auxiliares de mantenimiento
                   Otras areas         Auxiliar de desarrollo
                                                                      Otras areas
          En
          t
          r
          a Jefes de mantenimiento
Servers   d
          a    Jefe de desarrollo




2.8. Ubicación de los Controles sobre Seguridad Fisica

     existe actualmente una zona destindada a la seguridad fisica, en
      donde encontramos las UPS , este es un cuarto despejado,
      protegido contra la humedad y la lluvia y el sol, solo el
      administrador del sistema tiene acceso.
Auditoría al centro de computo




3.CENSO DEL HARDWARE SERVIDORES Y EQUIPOS)

3.1. Identificación de los equipos y configuración

         El centro de computo consta actualmente de 24 computadores
          de los cuales 6 son computadores portatiles y el resto son
          computadores de escritorio, estos ultimos poseen un monitor
          lcd, un teclado standart, un mouse optico, una torre.

3.2. Identificación del Sistema Operacional

      Los sistemas operativos que manejan las maquinas del centro de
       computo son: windows xp service pack 3 y linux en las
       distribuciones debian lenny y ubuntu 10.04.

3.3. Recursos del Software

   En los recursos de software encontramos procesadores de texto,
    hojas de calculo y gestor de presentaciones como office 2003,
    openoffice 3.2, paquete contable, antivirus, programas para la
    limpieza del equipo como ccleaner y navegador de internet como
    es Mozilla firefox 3.6.

4.CENSO DE LAS APLICACIONES Y DOCUMENTACION

4.1.Enumeración de las Aplicaciones

      Tenemos como aplicaciones utilizadas por la anterior empresa:
      kaspersky Internet Security-Anti Virus version 6.0
      Microsoft Office 2003 y 2007
      Paquete contable siigo

4.2.Objetivo de la Aplicación

   Kaspersky: Este software ofrece una protección óptima frente a
    virus, spam y hackers, teniendo en cuenta las necesidades
    específicas de cada cliente independientemente del sector de la
    actividad y de su tamaño. La tecnologia antivirus kaspersky lab
    combina la mas alta calidad en la detencion de programas
    maliciosos con un nivel minimo de “falsos positivos” lo que
    garantiza la proteción más efectiva contra todas las amenazas
    virales conocidas y la conservación de la información crítica.

   Office: ayuda a hacer el trabajo rapido y facilmentetanto a los
    usuarios del hogar como a los estudiantes. Aumenta el impacto
    individual en los resultados empresariales en las empresas buscan
    mejorarm el rendimiento y alcanzar objetivos estrategicos se
    centran cada vez mas en el impacto que cada persona tiene en el
    balance final. Optimiza la comunicación y las tareas diarias
    mantiene el control de la informacion.
Auditoría al centro de computo




        SIIGO es un Sistema Integrado de Información Gerencial
        Operativo, es un software genérico administrativo, que registra las
        operaciones de la empresa y en general, todos los aspectos
        relacionados con la Administración de Negocios. por ser un
        software totalmente integrado, solo requiere que los documentos
        y en si las transacciones sean registradas una sola vez, para
        obtener la información de su empresa. De esta manera la
        empresa se evita la doble o triple digitación de las cifras


4.3.Uso en

       Kaspersky: usado como proteccion para el equipo sobre un
        sistema operativo windows desde la version Xp, con las
        caracteristicas fisicas para poderse ejecutar de una memoria ram
        minimo de 256 MB. Se ejecuta al iniciar el sistema operativo y
        todo el dia esta en funcinamiento actuaizando las bases de datos.
        Al detectar un ataque muestra una ventana como esta, el usuario
        la observa y llama al auxiliar de mantenimiento para que el de la
        solucion. A esta aplicación se le deben actualizar las llaves de
        licencias periodicamente.

       Office: usado para procesar textos y hacer hojas de calculo (Word
        y Excel) se instala sobre un sistema operativo windows desde la
        version XP, dependiendo de la version que se use tiene diferentes
        caracteristicas por ejemplo la memoria ram varia, lo minimo para
        que se ejecute sin complicaciones es de 256 MB para la version
        2003, para la version 2007 el minimo es de 512 MB. Como office
        2003 no puede abrir documentos de office 2007, se instala un
        parche para solucionar este inconveniente.

       Siigo: Usado para todas las tareas contables, es un software
        robusto que se instala en un sistema operativo windows desde la
        version Xp, tiene coneccion directa al servidor donde se alojan las
        bases de datos, presenta en ocasiones problemas a los que ya se
        les ha puesto un solucion cuando ocurren, el minimo de memoria
        es de 256 MB.

4.4.Tipo de Procesamiento

     Kaspersky: Este software cuenta con un procesamiento oculto.

                           Procesos ocultos
     En la siguiente figura se muestra el Administrador de Procesos, que
no hace mención del proceso del rootkit, a pesar de que el proceso está
                                presente.
Auditoría al centro de computo




                 Llaves ocultas del registro del sistema
        En la siguiente figura se muestra el redactor del registro, que no
muestra las llaves de HackerDefender100 y HackerDefenderDrv100 creadas
                                por el rootkit.




                   Neutralización de Hacker Defender

             Detección del rootkit durante su instalación
      Durante el proceso de instalación del rootkit en el sistema, Kaspersky
Internet Security 6.0 intercepta cualquier intento del rootkit de implantarse
                              en los procesos.

       Intercepción de la inscripción de servicios y drivers NT
          Como ya lo habíamos mencionado en el punto 2.1, el rootkit se
    registra en calidad de servicio NT y registra su driver en el sistema.
      El módulo "Defensa proactiva" que forma parte de Kaspersky Internet
 Security 6.0 intercepta los intentos de inscripción en el registro y activa la
                              siguiente ventana:
Auditoría al centro de computo




Para recibir información más detallada sobre el proceso, use el enlace
         "Detalles…", que activa la siguiente ventana:




    Durante el intento de registrar el driver, el módulo "Defensa
        proactiva" muestra una ventana informativa:




Para recibir información más detallada sobre el proceso, use el enlace
         "Detalles…", que activa la siguiente ventana:
Auditoría al centro de computo




Intercepción de los intentos de implantarse en un proceso
  Como ya lo hemos descrito más arriba, el rootkit hace el intento de
             implantar su código en cada proceso.
     Durante el intento de implantación en un proceso, el módulo
      "Defensa proactiva" muestra la siguiente ventana:




Para recibir información más detallada sobre el proceso, use el enlace
         "Detalles…", que activa la siguiente ventana:
Auditoría al centro de computo




          Autodefensa de Kaspersky Internet Security 6.0
          Si el rootkit intenta implantar su código en Kaspersky Internet
Security 6.0, el producto ejecuta su procedimiento de autodefensa, como se
                         muestra en la siguiente figura:




                         Volumen total de registro

                    Detección de procesos ocultos
       El módulo "Defensa proactiva" encuentra absolutamente todos los
procesos ocultos, lo cual permite a Kaspersky Internet Security 6.0 detectar
            el código sin utilizar bases de datos de signaturas.
        Al detectar un proceso oculto, la "Defensa proactiva" activa una
        ventana especial, como se muestra en la siguiente figura:
Auditoría al centro de computo




              Escaneo y procedimiento de desinfección
         Si durante el proceso de escaneo de los objetos de autoinicio
 Kaspersky Internet Security 6.0 encuentra ficheros de rootkit, se inicia el
                         proceso de desinfección.




       Para obtener información más detallada sobre el procedimiento de
                      desinfección, vea el Anexo A.
        Si el usuario da su visto bueno a la ejecución del procedimiento de
desinfección, Kaspersky Internet Security 6.0 empieza el escaneo destinado
 a la detección de ficheros y procesos del rootkit, como se muestra en las
                              siguientes figuras:
Auditoría al centro de computo




   Al concluir el escaneo, Kaspersky Internet Security 6.0 reinicia el
  sistema operativo y elimina el fichero ejecutable del rootkit.
  En la siguiente figura se muestra el directorio que antes contenía los
ficheros del rootkit. Ahora el directorio contiene sólo el fichero de
                         configuración (.ini):
Auditoría al centro de computo




    Office: este aplicativo lo manejan los usuaris de la sala de
    informacion de manera correcta, los procesos que realiza son
    satisfactorios y permiten obtener resultados optimos a la hora de
    realizar un trabajo. Tiene diferentes partes de procesamiento,
    dependiendo de lo que se quiera hacer, si es una presentacion en
    power point, word o excel. El proceso general de trabajo con
    documentos electrónicos se puede dividir en tres fases básicas:
    creación, transmisión (envío a las personas designadas,
    publicación, etc.) y almacenamiento. Para la primera fase, el
    formato Word Document presenta ventajas claras. Es fácil de usar,
    tiene una amplia lista de funciones y se puede decir que, desde
    hace tiempo, se ha convertido en el estándar de facto.




   Siigo: Hace un procesamiento electrónico de datos de alto calibre,
    y el que se maneja en el centro de computo es capaz de efectuar
    varias consultas al mismo tiempo, los datos procesados son
    almacenados de manera correcta y la informacion consultada de
    igual manera es cierta.
Auditoría al centro de computo



4.5.Volumen total de Registros

     Kaspersky: No cabe duda mencionar que kaspersky cuenta con
      una herramienta que se encarga de mirar todos sus archivos del
      sistema y hace la evaluación de donde viene el virus y que esta
      infectado para estoel realiza un chequeo y aproximadamente
      guarda de 1248 documentos en adelante.

     Office : el volumen de resgistro en office es muy limitado, esta
      aplicación solo guarda los ultimos 20 registro de los archivos que
      se hayan guardado independientemente de cualquier cosa, el los
      borra.

     Siigo: el volumen de registro aproximadamente que maneja siigo
      al mes de 30.000 resgistros, debido a las multiples operaciones
      que se realizan.


4.6.Descripción del Archivo

     Kasperky: Este archivo tiene la fecha en la que ocurrio el
      incidente, tiene ademas el nombre de la acción que se ejecuto, el
      estado en el que quedo (completo, incompleto), y si es de una
      amenaza de virus, el nombre de este asi como la ruta en la que se
      encontro.

     Office: Office guarda en este archivo la fecha, el usuario y el
      nombre del trabajo.

     Siigo: guarda un consecutivo de las acciones que se realizan, el
      tipo de accion que se realizo, la fecha y la hora.

4.7.Usuarios

   Kasperky: Los usuarios de kaspersky lab disponen de una amplia
    gama de servicios que garantizan el correcto funcionamiento de
    los productos y soluciones de la compañía. Los usuarios también
    tienen acceso a una de las bases de antivirus más importantes y
    completas del mundo que se actualiza cada hora. Asimismo,
    pueden solicitar asistencia técnica en alemán, castellano, francés,
    inglés, y ruso.

   Ofiice: Los usuarios de Office disponen de una direccion web
    donde encontraran demasiada informacion acerca de como
    trabajar con el, como se bajan las plantillas y marcos para las
    presentaciones y bueno un manual donde explica lo que se quiera
    saber.

   Siigo: Los usuario de siigo poseen un nombre especial y una
    contraseña, en una interfaz de autenticacion la ejecutan, alli
    mismo eligen la fecha en la que desean trabajar los archivos, por
Auditoría al centro de computo



         dia y año. A cada usuario se le dan los permisos para acceder a las
         partes del programa y el apliacativo permite que los cambios que
         se hagan sobre un archivo otro usuario los pueda ver si este
         tambien tiene coneccion con el mismo.


4.8.Fuente

         El motor kaspersky Anti-Virus viene integrado en productos de
         safenet (EEUU), blue coat (EEUU), check point(israel) clearswift
         (inglaterra).

            El software office cuenta con soporte tecnico y las
             actualizaciones que se necesitan.

            Siigo solo cuenta con atencion telefonica para la cual se debe
             requerir de la licencia.

4.9.Censo de la Documentación

   MANUAL                 DEL           DE            DE             DE
APLICACION
                          PROGRAMA OPERACIÓN USUARIO                 DIGITACI
                                                                     ON
Kaspersky                 Si            Si            No             No

                          No            No            No             No
Office
                          No            No            No             No
Siigo



4.10.Criterios de Selección Analitica de las Aplicaciones

   Apliacacion evaluada: Kasperky
    1. tiempo vigente de la aplicación 3.0
    2. sistema de procesamiento 3.0
    3. organización del sistema 2.0
    4. tipo de archivos 3.0
    5. horas anuales estimadas del computador 2.8
    6. numero de usuarios que atiende 3.0
    7. lenguaje de programacion 2.2
    8. docuementacion 3.0
    9. cuantia estimada que maneja 3.0
    10.requerimientos de información 1.5
    11.desarrollo de la aplicación 3.0
    12.encadenamiento con otras apliaciones 1.8
    13.numero de programas por aplicación1.0
Auditoría al centro de computo



   Apliacacion evaluada: Office
    1. tiempo vigente de la aplicación: 1.0
    2. sistema de procesamiento 2.5
    3. organización del sistema 2.0
    4. tipo de archivos 2.0
    5. horas anuales estimadas del computador 2.8
    6. numero de usuarios que atiende 3.0
    7. lenguaje de programacion 3.0
    8. docuementacion 3.0
    9. cuantia estimada que maneja 1.0
    10.requerimientos de información 1.0
    11.desarrollo de la aplicación 3.0
    12.encadenamiento con otras apliaciones 1.3
    13.numero de programas por aplicación 1.0

   Apliacacion evaluada: Siigo
    1. tiempo vigente de la aplicación: 3.0
    2. sistema de procesamiento 2.5
    3. organización del sistema 3.0
    4. tipo de archivos 2.0
    5. horas anuales estimadas del computador 2.8
    6. numero de usuarios que atiende 3.0
    7. lenguaje de programacion 2.5
    8. docuementacion 3.0
    9. cuantia estimada que maneja 3.0
    10.requerimientos de información 3.0
    11.desarrollo de la aplicación 3.0
    12.encadenamiento con otras apliaciones 1.3
    13.numero de programas por aplicación 2.0


5.PLAN MAESTRO DE SISTEMATIZACION

El plan maestro de sistematizacion que tiene el departamento de
sistema actualmente se focaliza en dos aspectos que son de suma
importancia para fortalecer el sistema y son:

      1. Migracion a un sistema operativo de carácter libre que permita
         fortalecer la seguridad el sistema y que tenga compatibilidad
         con lo que se quiere. Este parte trae grandes beneficios como
         son la disminucion de gastos para la compañía.
      2. La culminacion del software empresarial que se viene
         desarrollando desde hace ya varios meses y que ha pasado
         diferentes pruebas que permiten comprobar que es la mejor
         opcion para la empresa.
Auditoría al centro de computo



6.CONTRATOS DE SERVICIO

El departamento de sistemas tiene actualmente tres contratos de
servicios que son.

      1. Contrato por concepto de servicio de internet.
      2. Contrato de telefonia celular
      3. contrato por concepto de alquiler de fotocopiadora e
         impresora.

7.ADMINISTRACION DE MEDIOS MAGNETICOS

La administracion de medios magneticos se limita al almacenamiento en
DVD's que son alamacenados en un cuarto al que los usuarios tienen
acceso, alli son almacenados y se utilizan cuando se necesiten, el
almacenamiento de información es periodico permitiendo tener un
control de las copias de seguridad que se utilizan.

8. PLANES DE CONTINGENCIA

8.1 Desastres
8.2 Daños en los Equipos
8.3 Caidas de Luz: El elemento que exite para este tipo de eventos es
la UPS.
8.4 Personal: Para el personal existe un bosquejo de plan aun en
proceso de definicion.
8.5 Huelgas
8.6 Otros


9.PLANES DE MANTENIMIENTO DE EQUIPOS

El plan de mantenimiento se divide en dos partes: la limpieza de equipos
y la reinstalacion de software. Para la primera parte se da un manual que
cosnta de limpiar todos los dispositivos de entrada y salida del equipo
con las herramientas que brinda el departamento (líquidos de limpieza,
toallas, destornilladores, etc.); Para la segunda parte se siguen pasos
como los siguientes:

1. Instalacion del sistema operativo
2. Instalacion de software
-> Winrar
-> Ccleaner
-> Windows media player 11
-> Office 2003
-> Net framework 1.1 SP1
-> Java RE version
-> Desactivar barra de idioma
-> Activar auto-arranque CD/USB
3. Configuracion del tema a clasico
4. Contraseña y usuario de red en la ventana emergente
Auditoría al centro de computo



5. Instalacion de otros programas
6. Instalacion de drivers.
7. Instalacion del Antivirus.
8.Instalacion del siigo.

10.SEGURIDAD LOGICA Y CONTROLES DE ACCESO

   1. ¿Asegura que los operadores puedan trabajar sin una supervisión
      minuciosa y no puedan modificar los programas ni los archivos
      que no correspondan?
      R:Si

   2. ¿Asegura que se estén utilizados los datos, archivos y programas
      correctos en y por el procedimiento correcto?
      R:Si

   3. ¿Asegura que la información transmitida sea recibida sólo por el
      destinatario al cual ha sido enviada y no a otro?
      R:Si

   4. ¿Asegura que la información recibida sea la misma que ha sido
       transmitida.?
       R:Si

   5. ¿Asegura que existan sistemas alternativos secundarios de
      transmisión entre diferentes puntos.?
      R:Si

   6. ¿Asegura que se disponga de pasos alternativos de emergencia
      para la transmisión de información.?
       R:Si

   7. ¿Asegura que los controles de acceso de cada apliacion funcionan
      de manera correcta.?
       R:Si

11.SEGURIDAD FISICA

      ¿posee usted algun plan contra Incendios?
       R: No
      ¿posee usted alguna medida de control para Climatológicas?
       R: No

      ¿posee usted alguna medida de control para Radar?
       R: No

      ¿ posee usted alguna medida de control para Eléctricas?
       R: No
Auditoría al centro de computo




   ¿ posee usted alguna medida de control para Ergometría?
    R: No
   ¿ posee usted alguna medida de control para Robo?
    R: No

   ¿ posee usted alguna medida de control para Fraude?
    R: No

   ¿posee usted alguna medida de control para Sabotaje?
    R: No
   ¿ posee la Utilización de Guardias ?
    R: No

   ¿ posee Utilización de Detectores de Metales?
    R: No

   ¿ posee Utilización de Sistemas Biométricos?
    R: No

 ¿ posee usted alguna medida de control para Seguridad con
  Animales ?
  R: No
 ¿ posee usted alguna medida de control para protección
  Electrónica?
Auditoría al centro de computo



  12.CONCLUSIONES

   El anterior trabajo deja como principio el como se trabaja día a día en
   nuestras empresas y como es tan importante tener normas y reglas para
   que no haya nongun tropiezo no cabe duda que cuando empezamos a
   investigar se conto con el apoyo de muchas personas las cuales
   valoraron y aprendimos mucho de ellas.



  13. RECOMENDACIONES

Vulnerabilidad de Seguridad en la Empresa Deportes de Colombia


Después de la auditoria desarrollada por nosotros encontramos que la
compañía no cuenta con un plan de contingencia, lo cual es muy crítico
porque no se podrá reponer al estado actual afectando a la compañía con
perdidas muy costosas y difíciles de superar, otro aspecto donde la empresa
tiene debilidad son las Redes y los Sistemas que se manejan desde el
exterior donde no comprometen su seguridad operacional, exponiendo al
sistema con vulnerabilidades provocando agujeros de seguridad en la red y
los sistemas que han sido implementados en ella pudiesen presentar
problemas graves. Gracias a el resultado de esta investigación y auditoria
se encamino a avisar y corregir aquellas vulnerabilidades, debilidades o
posibles agujeros de seguridad que pudieran existir y en consecuencia
frustrar a los intrusos maliciosos cuando planifican un asalto informático
desde el exterior hacia la organización.
Auditoría al centro de computo



14. ANEXOS

Más contenido relacionado

La actualidad más candente

Proceso de la auditoria de sistemas ti
Proceso de la auditoria de sistemas tiProceso de la auditoria de sistemas ti
Proceso de la auditoria de sistemas ti
Jose Alvarado Robles
 
Unidad 1 requerimientos del software
Unidad 1 requerimientos del softwareUnidad 1 requerimientos del software
Unidad 1 requerimientos del software
oemavarez
 
18646089 tipos-y-clases-de-auditorias-informaticas
18646089 tipos-y-clases-de-auditorias-informaticas18646089 tipos-y-clases-de-auditorias-informaticas
18646089 tipos-y-clases-de-auditorias-informaticas
yomito_2
 
Herramientas y técnicas para la auditoria informática
Herramientas y técnicas para la auditoria informáticaHerramientas y técnicas para la auditoria informática
Herramientas y técnicas para la auditoria informática
joseaunefa
 
Auditoria a un sistema de computo
Auditoria a un sistema de computoAuditoria a un sistema de computo
Auditoria a un sistema de computo
Dani Romero Cruz
 

La actualidad más candente (20)

Ensayo de auditoría en informatica
Ensayo de auditoría en informaticaEnsayo de auditoría en informatica
Ensayo de auditoría en informatica
 
Proceso de la auditoria de sistemas ti
Proceso de la auditoria de sistemas tiProceso de la auditoria de sistemas ti
Proceso de la auditoria de sistemas ti
 
Revisión preliminar y revisión detallada del Sistema - Auditoría Informática
Revisión preliminar y revisión detallada del Sistema - Auditoría InformáticaRevisión preliminar y revisión detallada del Sistema - Auditoría Informática
Revisión preliminar y revisión detallada del Sistema - Auditoría Informática
 
Unidad 1 requerimientos del software
Unidad 1 requerimientos del softwareUnidad 1 requerimientos del software
Unidad 1 requerimientos del software
 
Manuales Sistemas de Información
Manuales Sistemas de InformaciónManuales Sistemas de Información
Manuales Sistemas de Información
 
Valores eticos del auditor dentro de sistemas informáticos
Valores eticos del auditor dentro de sistemas informáticosValores eticos del auditor dentro de sistemas informáticos
Valores eticos del auditor dentro de sistemas informáticos
 
Alcance de la auditoría informática
Alcance de la auditoría informáticaAlcance de la auditoría informática
Alcance de la auditoría informática
 
Metodología de desarrollo de software (45 Preguntas)
Metodología de desarrollo de software (45 Preguntas)Metodología de desarrollo de software (45 Preguntas)
Metodología de desarrollo de software (45 Preguntas)
 
El impacto de las tic en as organizaciones
El impacto de las tic en as organizacionesEl impacto de las tic en as organizaciones
El impacto de las tic en as organizaciones
 
Normas y estándares aplicables a la auditoria informática
Normas y estándares aplicables a la auditoria informáticaNormas y estándares aplicables a la auditoria informática
Normas y estándares aplicables a la auditoria informática
 
18646089 tipos-y-clases-de-auditorias-informaticas
18646089 tipos-y-clases-de-auditorias-informaticas18646089 tipos-y-clases-de-auditorias-informaticas
18646089 tipos-y-clases-de-auditorias-informaticas
 
Herramientas y técnicas para la auditoria informática
Herramientas y técnicas para la auditoria informáticaHerramientas y técnicas para la auditoria informática
Herramientas y técnicas para la auditoria informática
 
Sistema de inventario y servicios
Sistema de inventario y serviciosSistema de inventario y servicios
Sistema de inventario y servicios
 
Enfoque estrategico para la prueba de software
Enfoque estrategico para la prueba de softwareEnfoque estrategico para la prueba de software
Enfoque estrategico para la prueba de software
 
Proyecto final de Curso de Seguridad Informatica
Proyecto final de Curso de Seguridad InformaticaProyecto final de Curso de Seguridad Informatica
Proyecto final de Curso de Seguridad Informatica
 
Ejemplo plan de_pruebas
Ejemplo plan de_pruebasEjemplo plan de_pruebas
Ejemplo plan de_pruebas
 
Auditoria a un sistema de computo
Auditoria a un sistema de computoAuditoria a un sistema de computo
Auditoria a un sistema de computo
 
Los controles de aplicacion
Los controles de aplicacionLos controles de aplicacion
Los controles de aplicacion
 
Unidad 5. calidad del software
Unidad 5. calidad del softwareUnidad 5. calidad del software
Unidad 5. calidad del software
 
Sqap ejemplos
Sqap ejemplosSqap ejemplos
Sqap ejemplos
 

Destacado

Introduccion Administracion De Un Centro De Computo
Introduccion Administracion De Un Centro De ComputoIntroduccion Administracion De Un Centro De Computo
Introduccion Administracion De Un Centro De Computo
djelektro
 
Ejemplo presentacion firma de auditoria
Ejemplo presentacion firma de auditoriaEjemplo presentacion firma de auditoria
Ejemplo presentacion firma de auditoria
alexaj
 
Manual de usuario para un centro de computo
Manual de usuario para un centro de computoManual de usuario para un centro de computo
Manual de usuario para un centro de computo
soldevilla1005
 
Planeación de los centros de computo
Planeación de los centros de computoPlaneación de los centros de computo
Planeación de los centros de computo
djelektro
 
Proyecto de-computacion-para-educacion-primaria
Proyecto de-computacion-para-educacion-primariaProyecto de-computacion-para-educacion-primaria
Proyecto de-computacion-para-educacion-primaria
Bernardita Naranjo
 

Destacado (20)

Auditoria en un Centro de Computo
Auditoria en un Centro de ComputoAuditoria en un Centro de Computo
Auditoria en un Centro de Computo
 
Auditoria Centro computo
Auditoria Centro computoAuditoria Centro computo
Auditoria Centro computo
 
Informe final de Auditoria Informatica
Informe final de Auditoria InformaticaInforme final de Auditoria Informatica
Informe final de Auditoria Informatica
 
018134 cap5
018134 cap5018134 cap5
018134 cap5
 
Administracion de centro de computo
Administracion de centro de computoAdministracion de centro de computo
Administracion de centro de computo
 
Propuesta
PropuestaPropuesta
Propuesta
 
Introduccion Administracion De Un Centro De Computo
Introduccion Administracion De Un Centro De ComputoIntroduccion Administracion De Un Centro De Computo
Introduccion Administracion De Un Centro De Computo
 
Propuesta de auditoria sistemas entrega
Propuesta de auditoria sistemas entregaPropuesta de auditoria sistemas entrega
Propuesta de auditoria sistemas entrega
 
Ejemplo presentacion firma de auditoria
Ejemplo presentacion firma de auditoriaEjemplo presentacion firma de auditoria
Ejemplo presentacion firma de auditoria
 
Proyecto del cine
Proyecto del cineProyecto del cine
Proyecto del cine
 
Propuesta del plan de auditoría informática
Propuesta del plan de auditoría informáticaPropuesta del plan de auditoría informática
Propuesta del plan de auditoría informática
 
Auditoria informatica
Auditoria informaticaAuditoria informatica
Auditoria informatica
 
Manual de usuario para un centro de computo
Manual de usuario para un centro de computoManual de usuario para un centro de computo
Manual de usuario para un centro de computo
 
Auditoria Informática o de Sistemas - Introducción
Auditoria Informática o de Sistemas - IntroducciónAuditoria Informática o de Sistemas - Introducción
Auditoria Informática o de Sistemas - Introducción
 
Carta auditoria
Carta auditoriaCarta auditoria
Carta auditoria
 
Auditoria informatica
Auditoria informaticaAuditoria informatica
Auditoria informatica
 
Reporte final de servicio social
Reporte final de servicio socialReporte final de servicio social
Reporte final de servicio social
 
carta propuesta auditoria
carta propuesta auditoriacarta propuesta auditoria
carta propuesta auditoria
 
Planeación de los centros de computo
Planeación de los centros de computoPlaneación de los centros de computo
Planeación de los centros de computo
 
Proyecto de-computacion-para-educacion-primaria
Proyecto de-computacion-para-educacion-primariaProyecto de-computacion-para-educacion-primaria
Proyecto de-computacion-para-educacion-primaria
 

Similar a Auditoria Centro de Computo

Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Akira Uchiha
 
Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Ivan Reyes
 
Proyecto final admon de centros de computo by Guillermo Caballero
Proyecto final admon de centros de computo by Guillermo CaballeroProyecto final admon de centros de computo by Guillermo Caballero
Proyecto final admon de centros de computo by Guillermo Caballero
gkbayro
 
Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)
Farid Mosri
 
Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)
Farid Mosri
 
Importancia y funciones del departamento de sistemas
Importancia y funciones del departamento de sistemasImportancia y funciones del departamento de sistemas
Importancia y funciones del departamento de sistemas
sirjexz_1
 

Similar a Auditoria Centro de Computo (20)

Seguridad cc
Seguridad ccSeguridad cc
Seguridad cc
 
Departamento de informatica
Departamento de informaticaDepartamento de informatica
Departamento de informatica
 
Estructura organizacional
Estructura organizacionalEstructura organizacional
Estructura organizacional
 
Administracion de sistemas informaticos
Administracion de sistemas informaticosAdministracion de sistemas informaticos
Administracion de sistemas informaticos
 
436228723-Fase-2-Planeacion-de-La-Auditoria.pdf
436228723-Fase-2-Planeacion-de-La-Auditoria.pdf436228723-Fase-2-Planeacion-de-La-Auditoria.pdf
436228723-Fase-2-Planeacion-de-La-Auditoria.pdf
 
Principales areas parte1
Principales areas parte1Principales areas parte1
Principales areas parte1
 
Mariannysbermudez ing
Mariannysbermudez ingMariannysbermudez ing
Mariannysbermudez ing
 
Adsi
AdsiAdsi
Adsi
 
Areas de la auditoria p1
Areas de la auditoria p1Areas de la auditoria p1
Areas de la auditoria p1
 
Administracion De Centros De InformacióN
Administracion De Centros De InformacióNAdministracion De Centros De InformacióN
Administracion De Centros De InformacióN
 
Posesos Administrativos de un centro de computo
Posesos Administrativos de un centro de computo Posesos Administrativos de un centro de computo
Posesos Administrativos de un centro de computo
 
Estructura organizacional bancarios
Estructura organizacional bancariosEstructura organizacional bancarios
Estructura organizacional bancarios
 
Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02
 
Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02Estructuraorganizacionalbancarios 141211234455-conversion-gate02
Estructuraorganizacionalbancarios 141211234455-conversion-gate02
 
Proyecto final admon de centros de computo by Guillermo Caballero
Proyecto final admon de centros de computo by Guillermo CaballeroProyecto final admon de centros de computo by Guillermo Caballero
Proyecto final admon de centros de computo by Guillermo Caballero
 
Auditoria luisanny quintero
Auditoria luisanny quinteroAuditoria luisanny quintero
Auditoria luisanny quintero
 
Organización de un centro de cómputos
Organización de un centro de cómputosOrganización de un centro de cómputos
Organización de un centro de cómputos
 
Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (1)
 
Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)
Eladministradordecentrosdecmputo 101110191945-phpapp01 (2)
 
Importancia y funciones del departamento de sistemas
Importancia y funciones del departamento de sistemasImportancia y funciones del departamento de sistemas
Importancia y funciones del departamento de sistemas
 

Auditoria Centro de Computo

  • 1. Auditoría al centro de computo Politécnico Colombo Andino Facultad de análisis y diseño de sistemas Auditoría al centro de computo Lady Rincon Torres Sergio Ramirez Bernal Camilo Urbina Ramirez Maria Mercedes Cobos V Semestre Bogotá D.C. 2010
  • 2. Auditoría al centro de computo INTRODUCCION Realizaremos una auditoria de seguridad informática a la empresa Deportes de Colombia S.A. con el fin de mirar cómo están funcionando los distintos Controles de seguridad, para así nosotros como estudiantes y trabajadores poder aportar a la compañía mejorando la seguridad de todo el sistema que maneja.
  • 3. Auditoría al centro de computo OBJETIVOS GENERALES Aplicar los conocimientos adquiridos en clase en la compañía donde se realizara la auditoria, para así buscar las fallas principales que están afectando la seguridad, Incrementar la satisfacción de los usuarios Asegurando una mayor integridad, confidencialidad y confiabilidad de la información. También mirar el funcionamiento de los Controles de Seguridad que se tienen en funcionamiento, mirar sus fallas y así poder mejorar estos de un modo que la compañía no se vea tan afectada a la hora de sufrir daños tanto en el sistema como en la información.
  • 4. Auditoría al centro de computo OBJETIVOS ESPECIFICOS • Incrementar la satisfacción de los usuarios de los sistemas computarizados • Asegurar una mayor integridad, confidencialidad y confiabilidad de la información mediante la recomendación de seguridades y controles. • Conocer la situación actual del área informática y las actividades y esfuerzos necesarios para lograr los objetivos propuestos. • Seguridad de personal, datos, hardware, software e instalaciones • Apoyo de función informática a las metas y objetivos de la organización • Seguridad, utilidad, confianza, privacidad y disponibilidad en el ambiente informático • Minimizar existencias de riesgos en el uso de Tecnología de información • Decisiones de inversión y gastos innecesarios • Capacitación y educación sobre controles en los Sistemas de Información
  • 5. Auditoría al centro de computo 1.ESTRUCTURA GENERAL DE LA ORGANIZACIÓN 1.1 Nombre de la Empresa: Deportes de Colombia 1.1.Localizacion: Zona industrial fontibon 1.2.Objetivo Social: venta de articulos deportivos 1.3.Organigrama de la Empresa presidencia Genrencia Gerencia finaciera administrativa Departamentoco Departamento Departamento Departamentorecur ntabilidad Despachos sistemas sos humanos 1.4.Funcion de cada Departamento  Departamento contabilidad: Maneja todo lo relacionado con cartera, pago a proveedores, pago a bancos, cuentas por cobrar, entrega de balances generales, etc.  Departamento de recursos humanos: Es el encargado de la gestion de talento en la empresa, se encarga de actividades como la celebracion de cumpleaños, informacion sobre noticias de las empresas afiliadoras de pensiones y salud, del pago de nomina, etc.  Departamento de despachos: Administra las entregas de los productos en todo el pais, teniendo encuenta las solicitudes reservadas para cada dia.  Departamento de sistemas: Se encarga de gestionar todo lo relacionado con el manejo de la informacion, de desarrollo de aplicaciones, de los contratos con las empresas prestadoras de servicio telefonico y de internet, administracion de harware, soporte al usuario final etc.
  • 6. Auditoría al centro de computo 2.ESTRUCTURA ORGANIZACIONAL DEL DEPARTAMENTO DE SISTEMAS 2.1. Informacion General del Departamento de Sistemas  El departamento de sistemas se divide en dos partes, el area de desarrollo y el area de soporte y mantenimiento, esta compuesto por 5 personas que son las encargadas de llevar a cabo las tareas que se plantean; con un ambiente de trabajo sano y con valores humanos lograr superar las metas propuestas desde comienzos del año con el fin de mejorar la gestion de la informacion para la empresa. 2.2. Responsabilidades  Cotizacion y adquisicion de hardware y software  Revision de los recibos de las facturas de telefonia e internet  desarrollo de aplicaciones empresariales  soporte al usuario final en cada una de las apliaciones del sistema  revision periodica y mantenimiento del harware  mantenimiento de las paginas web de la empresa 2.3. Cargos de la Oficina de Sistemas  Jefe de sistemas  Desarrollador  Auxiliar de desarrollo  Jefe de soporte y mantenimiento  Auxiliar de soporte y mantenimiento 2.4. Funciones de cada Empleado del Departamento  Jefe de sistema: Encargado de encaminar el cumplimiento con calidad de los objetivos planteados por el departamento y a su vez presenta los informes ante las directivas de la organización sobre el avance en los mismos.  Desarrollador. Encargado de el diseño y desarrollo de aplicaciones empresariales.  Auxiliar de desarrollo: Encargado de la programacion en un nivel menor al del desarrollador, alimenta de informacion el sistema, y vigila la veracidad de la informacion consolidada.  Jefe de soporte y mantenimiento: Encardo de las contrataciones con las compañias prestadoras de servicios de telefonia e internet, administrador del sistema de red de la compañía, organiza cronologicamente los casos a resolver para asignaselos a su auxiliar, cotiza y compra tanto hardware como software para la empresa.  Auxiliar de sistemas: Encargado de llevar a cabo la solucionde los casos propuestos, el monitoreo a usuarios, mantenimiento de los equipos e instalacion de software, revision personalizada de los equipos de computo.
  • 7. Auditoría al centro de computo 2.5. Coordinación  la coordinacion del departamento de sistemas esta a cargo del jefe de sistemas quien monitorea cada uno de los procesos que cada persona realiza, esta coordinacion es periodica permitiendo evaluar con frecuencias los logros alcanzados por el departamento. 2.6. Capacitacion  La capacitacion que brinda el departamento de sistemas se hace principalmente a los auxiliares de soporte que son por lo general estudiantes que hacen su practica laboral, aquines se les hace un repaso de los contenidos que debe tener encuenta para el desarrollo de las funciones dentro del departamento, contando con acompañamiento personalizado y con guias estandares sobre las tareas que desempeñara. Para los jefes de sistemas de area se esta analizando la posibilidad de hacer diplomados con el fin de apoyar el desarrollo intelectual del colaborador y el fortalecimiento del departamento. 2.7. Plano del Departamento otras areas areas Otras Area areas Auxiliares de mantenimiento Otras areas Auxiliar de desarrollo Otras areas En t r a Jefes de mantenimiento Servers d a Jefe de desarrollo 2.8. Ubicación de los Controles sobre Seguridad Fisica  existe actualmente una zona destindada a la seguridad fisica, en donde encontramos las UPS , este es un cuarto despejado, protegido contra la humedad y la lluvia y el sol, solo el administrador del sistema tiene acceso.
  • 8. Auditoría al centro de computo 3.CENSO DEL HARDWARE SERVIDORES Y EQUIPOS) 3.1. Identificación de los equipos y configuración  El centro de computo consta actualmente de 24 computadores de los cuales 6 son computadores portatiles y el resto son computadores de escritorio, estos ultimos poseen un monitor lcd, un teclado standart, un mouse optico, una torre. 3.2. Identificación del Sistema Operacional  Los sistemas operativos que manejan las maquinas del centro de computo son: windows xp service pack 3 y linux en las distribuciones debian lenny y ubuntu 10.04. 3.3. Recursos del Software  En los recursos de software encontramos procesadores de texto, hojas de calculo y gestor de presentaciones como office 2003, openoffice 3.2, paquete contable, antivirus, programas para la limpieza del equipo como ccleaner y navegador de internet como es Mozilla firefox 3.6. 4.CENSO DE LAS APLICACIONES Y DOCUMENTACION 4.1.Enumeración de las Aplicaciones Tenemos como aplicaciones utilizadas por la anterior empresa:  kaspersky Internet Security-Anti Virus version 6.0  Microsoft Office 2003 y 2007  Paquete contable siigo 4.2.Objetivo de la Aplicación  Kaspersky: Este software ofrece una protección óptima frente a virus, spam y hackers, teniendo en cuenta las necesidades específicas de cada cliente independientemente del sector de la actividad y de su tamaño. La tecnologia antivirus kaspersky lab combina la mas alta calidad en la detencion de programas maliciosos con un nivel minimo de “falsos positivos” lo que garantiza la proteción más efectiva contra todas las amenazas virales conocidas y la conservación de la información crítica.  Office: ayuda a hacer el trabajo rapido y facilmentetanto a los usuarios del hogar como a los estudiantes. Aumenta el impacto individual en los resultados empresariales en las empresas buscan mejorarm el rendimiento y alcanzar objetivos estrategicos se centran cada vez mas en el impacto que cada persona tiene en el balance final. Optimiza la comunicación y las tareas diarias mantiene el control de la informacion.
  • 9. Auditoría al centro de computo  SIIGO es un Sistema Integrado de Información Gerencial Operativo, es un software genérico administrativo, que registra las operaciones de la empresa y en general, todos los aspectos relacionados con la Administración de Negocios. por ser un software totalmente integrado, solo requiere que los documentos y en si las transacciones sean registradas una sola vez, para obtener la información de su empresa. De esta manera la empresa se evita la doble o triple digitación de las cifras 4.3.Uso en  Kaspersky: usado como proteccion para el equipo sobre un sistema operativo windows desde la version Xp, con las caracteristicas fisicas para poderse ejecutar de una memoria ram minimo de 256 MB. Se ejecuta al iniciar el sistema operativo y todo el dia esta en funcinamiento actuaizando las bases de datos. Al detectar un ataque muestra una ventana como esta, el usuario la observa y llama al auxiliar de mantenimiento para que el de la solucion. A esta aplicación se le deben actualizar las llaves de licencias periodicamente.  Office: usado para procesar textos y hacer hojas de calculo (Word y Excel) se instala sobre un sistema operativo windows desde la version XP, dependiendo de la version que se use tiene diferentes caracteristicas por ejemplo la memoria ram varia, lo minimo para que se ejecute sin complicaciones es de 256 MB para la version 2003, para la version 2007 el minimo es de 512 MB. Como office 2003 no puede abrir documentos de office 2007, se instala un parche para solucionar este inconveniente.  Siigo: Usado para todas las tareas contables, es un software robusto que se instala en un sistema operativo windows desde la version Xp, tiene coneccion directa al servidor donde se alojan las bases de datos, presenta en ocasiones problemas a los que ya se les ha puesto un solucion cuando ocurren, el minimo de memoria es de 256 MB. 4.4.Tipo de Procesamiento  Kaspersky: Este software cuenta con un procesamiento oculto. Procesos ocultos En la siguiente figura se muestra el Administrador de Procesos, que no hace mención del proceso del rootkit, a pesar de que el proceso está presente.
  • 10. Auditoría al centro de computo Llaves ocultas del registro del sistema En la siguiente figura se muestra el redactor del registro, que no muestra las llaves de HackerDefender100 y HackerDefenderDrv100 creadas por el rootkit. Neutralización de Hacker Defender Detección del rootkit durante su instalación Durante el proceso de instalación del rootkit en el sistema, Kaspersky Internet Security 6.0 intercepta cualquier intento del rootkit de implantarse en los procesos. Intercepción de la inscripción de servicios y drivers NT Como ya lo habíamos mencionado en el punto 2.1, el rootkit se registra en calidad de servicio NT y registra su driver en el sistema. El módulo "Defensa proactiva" que forma parte de Kaspersky Internet Security 6.0 intercepta los intentos de inscripción en el registro y activa la siguiente ventana:
  • 11. Auditoría al centro de computo Para recibir información más detallada sobre el proceso, use el enlace "Detalles…", que activa la siguiente ventana: Durante el intento de registrar el driver, el módulo "Defensa proactiva" muestra una ventana informativa: Para recibir información más detallada sobre el proceso, use el enlace "Detalles…", que activa la siguiente ventana:
  • 12. Auditoría al centro de computo Intercepción de los intentos de implantarse en un proceso Como ya lo hemos descrito más arriba, el rootkit hace el intento de implantar su código en cada proceso. Durante el intento de implantación en un proceso, el módulo "Defensa proactiva" muestra la siguiente ventana: Para recibir información más detallada sobre el proceso, use el enlace "Detalles…", que activa la siguiente ventana:
  • 13. Auditoría al centro de computo Autodefensa de Kaspersky Internet Security 6.0 Si el rootkit intenta implantar su código en Kaspersky Internet Security 6.0, el producto ejecuta su procedimiento de autodefensa, como se muestra en la siguiente figura: Volumen total de registro Detección de procesos ocultos El módulo "Defensa proactiva" encuentra absolutamente todos los procesos ocultos, lo cual permite a Kaspersky Internet Security 6.0 detectar el código sin utilizar bases de datos de signaturas. Al detectar un proceso oculto, la "Defensa proactiva" activa una ventana especial, como se muestra en la siguiente figura:
  • 14. Auditoría al centro de computo Escaneo y procedimiento de desinfección Si durante el proceso de escaneo de los objetos de autoinicio Kaspersky Internet Security 6.0 encuentra ficheros de rootkit, se inicia el proceso de desinfección. Para obtener información más detallada sobre el procedimiento de desinfección, vea el Anexo A. Si el usuario da su visto bueno a la ejecución del procedimiento de desinfección, Kaspersky Internet Security 6.0 empieza el escaneo destinado a la detección de ficheros y procesos del rootkit, como se muestra en las siguientes figuras:
  • 15. Auditoría al centro de computo Al concluir el escaneo, Kaspersky Internet Security 6.0 reinicia el sistema operativo y elimina el fichero ejecutable del rootkit. En la siguiente figura se muestra el directorio que antes contenía los ficheros del rootkit. Ahora el directorio contiene sólo el fichero de configuración (.ini):
  • 16. Auditoría al centro de computo  Office: este aplicativo lo manejan los usuaris de la sala de informacion de manera correcta, los procesos que realiza son satisfactorios y permiten obtener resultados optimos a la hora de realizar un trabajo. Tiene diferentes partes de procesamiento, dependiendo de lo que se quiera hacer, si es una presentacion en power point, word o excel. El proceso general de trabajo con documentos electrónicos se puede dividir en tres fases básicas: creación, transmisión (envío a las personas designadas, publicación, etc.) y almacenamiento. Para la primera fase, el formato Word Document presenta ventajas claras. Es fácil de usar, tiene una amplia lista de funciones y se puede decir que, desde hace tiempo, se ha convertido en el estándar de facto.  Siigo: Hace un procesamiento electrónico de datos de alto calibre, y el que se maneja en el centro de computo es capaz de efectuar varias consultas al mismo tiempo, los datos procesados son almacenados de manera correcta y la informacion consultada de igual manera es cierta.
  • 17. Auditoría al centro de computo 4.5.Volumen total de Registros  Kaspersky: No cabe duda mencionar que kaspersky cuenta con una herramienta que se encarga de mirar todos sus archivos del sistema y hace la evaluación de donde viene el virus y que esta infectado para estoel realiza un chequeo y aproximadamente guarda de 1248 documentos en adelante.  Office : el volumen de resgistro en office es muy limitado, esta aplicación solo guarda los ultimos 20 registro de los archivos que se hayan guardado independientemente de cualquier cosa, el los borra.  Siigo: el volumen de registro aproximadamente que maneja siigo al mes de 30.000 resgistros, debido a las multiples operaciones que se realizan. 4.6.Descripción del Archivo  Kasperky: Este archivo tiene la fecha en la que ocurrio el incidente, tiene ademas el nombre de la acción que se ejecuto, el estado en el que quedo (completo, incompleto), y si es de una amenaza de virus, el nombre de este asi como la ruta en la que se encontro.  Office: Office guarda en este archivo la fecha, el usuario y el nombre del trabajo.  Siigo: guarda un consecutivo de las acciones que se realizan, el tipo de accion que se realizo, la fecha y la hora. 4.7.Usuarios  Kasperky: Los usuarios de kaspersky lab disponen de una amplia gama de servicios que garantizan el correcto funcionamiento de los productos y soluciones de la compañía. Los usuarios también tienen acceso a una de las bases de antivirus más importantes y completas del mundo que se actualiza cada hora. Asimismo, pueden solicitar asistencia técnica en alemán, castellano, francés, inglés, y ruso.  Ofiice: Los usuarios de Office disponen de una direccion web donde encontraran demasiada informacion acerca de como trabajar con el, como se bajan las plantillas y marcos para las presentaciones y bueno un manual donde explica lo que se quiera saber.  Siigo: Los usuario de siigo poseen un nombre especial y una contraseña, en una interfaz de autenticacion la ejecutan, alli mismo eligen la fecha en la que desean trabajar los archivos, por
  • 18. Auditoría al centro de computo dia y año. A cada usuario se le dan los permisos para acceder a las partes del programa y el apliacativo permite que los cambios que se hagan sobre un archivo otro usuario los pueda ver si este tambien tiene coneccion con el mismo. 4.8.Fuente  El motor kaspersky Anti-Virus viene integrado en productos de safenet (EEUU), blue coat (EEUU), check point(israel) clearswift (inglaterra).  El software office cuenta con soporte tecnico y las actualizaciones que se necesitan.  Siigo solo cuenta con atencion telefonica para la cual se debe requerir de la licencia. 4.9.Censo de la Documentación MANUAL DEL DE DE DE APLICACION PROGRAMA OPERACIÓN USUARIO DIGITACI ON Kaspersky Si Si No No No No No No Office No No No No Siigo 4.10.Criterios de Selección Analitica de las Aplicaciones  Apliacacion evaluada: Kasperky 1. tiempo vigente de la aplicación 3.0 2. sistema de procesamiento 3.0 3. organización del sistema 2.0 4. tipo de archivos 3.0 5. horas anuales estimadas del computador 2.8 6. numero de usuarios que atiende 3.0 7. lenguaje de programacion 2.2 8. docuementacion 3.0 9. cuantia estimada que maneja 3.0 10.requerimientos de información 1.5 11.desarrollo de la aplicación 3.0 12.encadenamiento con otras apliaciones 1.8 13.numero de programas por aplicación1.0
  • 19. Auditoría al centro de computo  Apliacacion evaluada: Office 1. tiempo vigente de la aplicación: 1.0 2. sistema de procesamiento 2.5 3. organización del sistema 2.0 4. tipo de archivos 2.0 5. horas anuales estimadas del computador 2.8 6. numero de usuarios que atiende 3.0 7. lenguaje de programacion 3.0 8. docuementacion 3.0 9. cuantia estimada que maneja 1.0 10.requerimientos de información 1.0 11.desarrollo de la aplicación 3.0 12.encadenamiento con otras apliaciones 1.3 13.numero de programas por aplicación 1.0  Apliacacion evaluada: Siigo 1. tiempo vigente de la aplicación: 3.0 2. sistema de procesamiento 2.5 3. organización del sistema 3.0 4. tipo de archivos 2.0 5. horas anuales estimadas del computador 2.8 6. numero de usuarios que atiende 3.0 7. lenguaje de programacion 2.5 8. docuementacion 3.0 9. cuantia estimada que maneja 3.0 10.requerimientos de información 3.0 11.desarrollo de la aplicación 3.0 12.encadenamiento con otras apliaciones 1.3 13.numero de programas por aplicación 2.0 5.PLAN MAESTRO DE SISTEMATIZACION El plan maestro de sistematizacion que tiene el departamento de sistema actualmente se focaliza en dos aspectos que son de suma importancia para fortalecer el sistema y son: 1. Migracion a un sistema operativo de carácter libre que permita fortalecer la seguridad el sistema y que tenga compatibilidad con lo que se quiere. Este parte trae grandes beneficios como son la disminucion de gastos para la compañía. 2. La culminacion del software empresarial que se viene desarrollando desde hace ya varios meses y que ha pasado diferentes pruebas que permiten comprobar que es la mejor opcion para la empresa.
  • 20. Auditoría al centro de computo 6.CONTRATOS DE SERVICIO El departamento de sistemas tiene actualmente tres contratos de servicios que son. 1. Contrato por concepto de servicio de internet. 2. Contrato de telefonia celular 3. contrato por concepto de alquiler de fotocopiadora e impresora. 7.ADMINISTRACION DE MEDIOS MAGNETICOS La administracion de medios magneticos se limita al almacenamiento en DVD's que son alamacenados en un cuarto al que los usuarios tienen acceso, alli son almacenados y se utilizan cuando se necesiten, el almacenamiento de información es periodico permitiendo tener un control de las copias de seguridad que se utilizan. 8. PLANES DE CONTINGENCIA 8.1 Desastres 8.2 Daños en los Equipos 8.3 Caidas de Luz: El elemento que exite para este tipo de eventos es la UPS. 8.4 Personal: Para el personal existe un bosquejo de plan aun en proceso de definicion. 8.5 Huelgas 8.6 Otros 9.PLANES DE MANTENIMIENTO DE EQUIPOS El plan de mantenimiento se divide en dos partes: la limpieza de equipos y la reinstalacion de software. Para la primera parte se da un manual que cosnta de limpiar todos los dispositivos de entrada y salida del equipo con las herramientas que brinda el departamento (líquidos de limpieza, toallas, destornilladores, etc.); Para la segunda parte se siguen pasos como los siguientes: 1. Instalacion del sistema operativo 2. Instalacion de software -> Winrar -> Ccleaner -> Windows media player 11 -> Office 2003 -> Net framework 1.1 SP1 -> Java RE version -> Desactivar barra de idioma -> Activar auto-arranque CD/USB 3. Configuracion del tema a clasico 4. Contraseña y usuario de red en la ventana emergente
  • 21. Auditoría al centro de computo 5. Instalacion de otros programas 6. Instalacion de drivers. 7. Instalacion del Antivirus. 8.Instalacion del siigo. 10.SEGURIDAD LOGICA Y CONTROLES DE ACCESO 1. ¿Asegura que los operadores puedan trabajar sin una supervisión minuciosa y no puedan modificar los programas ni los archivos que no correspondan? R:Si 2. ¿Asegura que se estén utilizados los datos, archivos y programas correctos en y por el procedimiento correcto? R:Si 3. ¿Asegura que la información transmitida sea recibida sólo por el destinatario al cual ha sido enviada y no a otro? R:Si 4. ¿Asegura que la información recibida sea la misma que ha sido transmitida.? R:Si 5. ¿Asegura que existan sistemas alternativos secundarios de transmisión entre diferentes puntos.? R:Si 6. ¿Asegura que se disponga de pasos alternativos de emergencia para la transmisión de información.? R:Si 7. ¿Asegura que los controles de acceso de cada apliacion funcionan de manera correcta.? R:Si 11.SEGURIDAD FISICA  ¿posee usted algun plan contra Incendios? R: No  ¿posee usted alguna medida de control para Climatológicas? R: No  ¿posee usted alguna medida de control para Radar? R: No  ¿ posee usted alguna medida de control para Eléctricas? R: No
  • 22. Auditoría al centro de computo  ¿ posee usted alguna medida de control para Ergometría? R: No  ¿ posee usted alguna medida de control para Robo? R: No  ¿ posee usted alguna medida de control para Fraude? R: No  ¿posee usted alguna medida de control para Sabotaje? R: No  ¿ posee la Utilización de Guardias ? R: No  ¿ posee Utilización de Detectores de Metales? R: No  ¿ posee Utilización de Sistemas Biométricos? R: No  ¿ posee usted alguna medida de control para Seguridad con Animales ? R: No  ¿ posee usted alguna medida de control para protección Electrónica?
  • 23. Auditoría al centro de computo 12.CONCLUSIONES El anterior trabajo deja como principio el como se trabaja día a día en nuestras empresas y como es tan importante tener normas y reglas para que no haya nongun tropiezo no cabe duda que cuando empezamos a investigar se conto con el apoyo de muchas personas las cuales valoraron y aprendimos mucho de ellas. 13. RECOMENDACIONES Vulnerabilidad de Seguridad en la Empresa Deportes de Colombia Después de la auditoria desarrollada por nosotros encontramos que la compañía no cuenta con un plan de contingencia, lo cual es muy crítico porque no se podrá reponer al estado actual afectando a la compañía con perdidas muy costosas y difíciles de superar, otro aspecto donde la empresa tiene debilidad son las Redes y los Sistemas que se manejan desde el exterior donde no comprometen su seguridad operacional, exponiendo al sistema con vulnerabilidades provocando agujeros de seguridad en la red y los sistemas que han sido implementados en ella pudiesen presentar problemas graves. Gracias a el resultado de esta investigación y auditoria se encamino a avisar y corregir aquellas vulnerabilidades, debilidades o posibles agujeros de seguridad que pudieran existir y en consecuencia frustrar a los intrusos maliciosos cuando planifican un asalto informático desde el exterior hacia la organización.
  • 24. Auditoría al centro de computo 14. ANEXOS