Modulo III, parte 2

MÓDULO III. TÉCNICAS PARA GARANTIZAR EL CUMPLIMIENTO DE
PROTECCIÓN DE DATOS
UNIDAD DIDÁCTICA 3.2
“AUDITORIA DE SISTEMAS DE INFORMACIÓN”

MÓDULO II. RESPONSABILIDAD ACTIVA.
UNIDAD DIDÁCTICA 3.2. AUDITORIA DE SISTEMAS DE INFORMACIÓN
ESTRUCTURA DIDÁCTICA
3.2 Auditoria de Sistemas de Información
3.2.1. La Función de la Auditoría en los Sistemas de Información. Conceptos básicos. Estándares y
Directrices de Auditoría de SI.
3.2.2. Control interno y mejora continua. Buenas prácticas. Integración de la auditoria de protección
de datos en la auditoria de SI.
3.2.3. Planificación, ejecución y seguimiento.

OBJETIVOS ESPECIFICOS
 Conocer las fases de un modelo comparable.
 Conocimiento del Esquema ciclo de Shewart PDCA.
 Conocimiento de las fases de auditoría.

3.2.1. LA FUNCIÓN DE LA AUDITORÍA EN LOS SISTEMAS DE INFORMACIÓN. CONCEPTOS
BÁSICOS. ESTÁNDARES Y DIRECTRICES DE AUDITORÍA DE SI.
La auditoria de Sistemas de Información es una rama especializada de la auditoría, esta se encarga
de la evaluación de normas, técnicas, controles procedimientos establecidos de una empresa para
conseguir la protección, confidencialidad, oportunidad y confiabilidad de la información que se
lleva a cabo a través de los sistemas de información, ya sean sistemas automáticos o no
automáticos y las interfaces correspondientes.
Objetivo: realizar un informe con el estado de los procesos auditados, después de haber sido
realizada la evaluación par parte del auditor. En este informe se critica y detalla, consejos a cerca de
como se cumple la eficiencia y efectividad del proceso auditado dentro de la organización.
Funciones de la Auditoria en los Sistemas de Información:
• Inspeccionar y comprobar el cumplimiento de los requisitos del RGPD.
• Inspeccionar y comprobar todos los modelos informáticos que aplica la organización.
• Analizar la eficiencia y efectividad de los Sistemas de Información.
• Examinar el uso adecuado de los recursos informáticos de la organización

Conceptos importantes:
• Auditoria: proceso metódico, documentado e independiente para obtener realidades de la
auditoria y poder evaluarlas de manera objetivo consiguiendo determinar el grado en que se
cumplen los criterios de auditoría. (En UNE-ISO 19600 – Sistemas de gestión de compliance: “las
evidencias de auditoría”, traducción que puede tener mejor encaje).
• Certeza de la auditoria: informe referente a los criterios de auditoria y es comprobable
• Criterios de auditoria: conjunto de medios, políticas o condiciones usados como referencia para
comparar la evidencia de la auditoría.

Estándares y Directrices de Auditoria de SI.
Es necesario realizar un método en las auditorías contra el RGPD.
ISO / UNE 27001, tiene un modelo que permite saber si se cumplen con los requerimientos legales y
contractuales, además tiene un informe general para los implantadores o auditores de 27001,
especialmente:
o A.18.1.1 - Identificación de la legislación aplicable y de los requisitos contractuales: los
requerimientos legales, regulatorios, contractuales o estatutarios, y el enfoque de la
organización, deben detallarse de manera documentada, explicada y actualizada cada sistema
de información de la organización.
o A.18.1.4. – Protección y privacidad de la información de carácter personal: Los datos personales
deben garantizar la privacidad y protección, según la legislación y reglamento aplicables.

Estándares y Directrices de Auditoria de SI.
Se deben de adaptar al Esquema Nacional de Seguridad las Administraciones Públicas.
Fuentes para entender y preparar la auditoría_
• ISACA y sus publicaciones (www.isaca.org, Information Systems Audit and Control Association).
• ISO / UNE: UNE-EN ISO 19011 – Directrices para la auditoría de los sistemas de gestión

3.2.2. CONTROL INTERNO Y MEJORA CONTINUA. BUENAS PRÁCTICAS. INTEGRACIÓN DE LA
AUDITORIA DE PROTECCIÓN DE DATOS EN LA AUDITORIA DE SI.
Control interno y mejora continúa.
En ISO/IEC: 27001:2013, desparece el ciclo PDCA como marco obligatorio para la mejora continua,
este modelo esta dentro de la propia estructura de la norma, consta de un as fases para establecer
un modelo comparable a lo largo del tiempo, de esta manera se puede medir el grado de mejora:
• Plan: Se planifica la incorporación del SGSI. Se determina el contexto, definición de políticas y
objetivos. Norma UNE-ISO/IEC 27001:2014 (capítulos 4,5,6 y 7).
• Do: Se incorpora y se pone en marcha el SGSI, poniendo en práctica los controles y políticas que
se han decidido según el análisis de riesgos. Norma UNE-ISO 27001:2014 (capítulo 8).
• Check: Se lleva a cabo la monitorización y revisión del SGSI. Controlando que se lleve de manera
prevista y consiguiendo los objetivos . Norma UNE-ISO/IEC 27001:2014.
• Act: Permanece y se mejora el SGSI, explicando y llevando a cabo las acciones correctivas
necesarias para mejorar los fallos detectados en la fase anterior. Norma UNE-ISO/IEC
27001:2014.

Control interno y mejora continúa.
Se debe de incorporar un sistema de Control interno que pueda enfrentarse a los cambios tan
rápidos que aparecen en la sociedad del Siglo XXI. Siendo la dirección la que ordene el desarrollo
de un sistema que alcance los objetivos de la organización, convirtiéndose en una parte importante
de la cultura empresarial.
Los aspectos que se deben controlar son:
• Si los cambios están dentro de unos márgenes aceptables.
• Si los resultados son los deseados.
• Si los usuarios están satisfechos.
• Si los niveles de eficacia son los adecuados y los indicadores muestran que se utilizan bien los
recursos.
• Si se escucha de manera activa la opinión tanto de profesionales como de personas que
intervienen en eel desarrollo del proceso.

Control del proceso.
Siempre que se diseñe un proceso se escriben de antemano las fases para conseguir el mejor
resultado. Se considera que un proceso esta en CONTROL o estabilizado cuando contiene estos seos
pasos:
• Misión: se sabe cual es el proposito.
• Subprocesos: se describen los pasos.
• Identificar: entradas y salidas.
• Responsable: esta figura existe.
• Efectividad y eficiencia: se mide y se mejora.

Control del proceso.
Esquema ciclo de Shewart
PDCA:
A. PLAN.
Planificar.
Planes de acción con objetivos
B- DO.
Hacer mejor las cosas.
Recoger datos de los
resultados
CHECK.
Evaluar.
Repetir el ciclo de mejora.
Buscar las causas de los
resultados.
ACT.
Actuar.
Eliminar las causas de
errores.

Mejora continua.
Esta mejora continua se basa en la evaluación continua, aplicando el Ciclo de Shewart (plan, Do,
Check, Act), con todos los aspectos que lo conforman, que son el diseño, ´desarrollo, medidas de
control y ajuste. Su objetivo es la excelencia.
Planificar la mejora.
La AEPD, ha publicado el Código de Buenas Prácticas en protección de datos BIG DATA, teniendo en
cuenta el RGPD. http://www.agpd.es
El código tiene un primer bloque, donde se encuentra el régimen jurídico , cuestiones claves y
analiza las implicaciones derivadas de los tratamientos, desde el origen, calidad y conservación
hasta la procedencia de los mismos, la transparencia dada en la información previa…

3.2.3. PLANIFICACIÓN, EJECUCIÓN Y SEGUIMIENTO
Fases de la auditoría.
Se debe de recopilar los documentos y la información prevista de una organización. Esta
información muchas veces es entregada completa y estructurada, y otras veces escasa.
Tips:
Los auditados tienen que tener sinceridad, y ser confidenciales para esto se firma un compromiso.
Fase de análisis: se estudian los documentos y se lleva a cabo las pruebas técnicas.
• Tener entrevistar para obtener y aclarar los documentos, registros, controles, procesos y
vulnerabilidad.

3.2.3. PLANIFICACIÓN, EJECUCIÓN Y SEGUIMIENTO
Tips:
• La verificación puede ser la revisión de documentos o registros. Se utilizan técnicas y
herramientas, pueden ser muy variadas en la práctica.
• La información recopilada son papeles de trabajo, actualmente documentos electrónicos.
• El DPD desarrolla un plan de seguimiento , por el cual comprueba la aplicación de medidas
correctoras y su eficacia. Este se revisa cuando hay un incidente.

Modulo III, parte 2

Más contenido relacionado

La actualidad más candente

Similar a Modulo III, parte 2

Más de ANTONIO GARCÍA HERRÁIZ

Último

Modulo III, parte 2