Auditoria Informática de Sistemas

Se ocupa de analizar la actividad que se conoce como técnica de sistemas, en todos sus factores. La importancia creciente de las telecomunicaciones  o propicia de que las comunicaciones, líneas y redes  de las instalaciones informáticas se auditen por separado, aunque formen parte del entorno general del sistema (Ejm. De auditar el cableado estructurado, ancho de banda de una red LAN) 

Responsabilidad Principal del Auditor en Sistemas

El auditor adquiere responsabilidades, no solamente con la persona que directamente contratan sus servicios, sino con un número de personas desconocidas para él que van a utilizar el resultado de su trabajo como base para tomar decisiones.

Planes de Contigencia

PENDIENTE DE SUBIR

Evaluación de Riesgos Informáticos

PENDIENTE DE SUBIR

Planes programas y presupuestos de la Auditoria en Sistemas

Origen de la Auditoria

Historia y Desarrollo de la Auditoría

Existe la evidencia de que alguna especie de auditoría se practicó en tiempos remotos. El hecho de que los soberanos exigieran el mantenimiento de las cuentas de su residencia por dos escribanos independientes, pone de manifiesto que fueron tomadas algunas medidas para evitar desfalcos en dichas cuentas. A medidas que se desarrollo el comercio, surgió la necesidad de las revisiones independientes para asegurarse de la adecuación y finalidad de los registros mantenidos en varias empresas comerciales. La auditoría como profesión fue reconocida por primera vez bajo la Ley Británica de Sociedades Anónimas de 1862 y el reconocimiento general tuvo lugar durante el período de mandato de la Ley "Un sistema metódico y normalizado de contabilidad era deseable para una adecuada información y para la prevención del fraude". También reconocía ..."Una aceptación general de la necesidad de efectuar una versión independiente de las cuentas de las pequeñas y grandes empresas". Desde 1862 hasta 1905, la profesión de la auditoría creció y floreció en Inglaterra, y se introdujo en los Estados Unidos hacia 1900. En Inglaterra se siguió haciendo hincapié en cuanto a la detección del fraude como objetivo primordial de la auditoría. En 1912 Montgomery dijo:

En los que podría llamarse los días en los que se formó la auditoría, a los estudiantes se les enseñaban que los objetivos primordiales de ésta eran:

La detección y prevención de fraude.

La detección y prevención de errores; sin embargo, en los años siguientes hubo un cambio decisivo en la demanda y el servicio, y los propósitos actuales son:

El cerciorarse de la condición financiera actual y de las ganancias de una empresa.

La detección y prevención de fraude, siendo éste un objetivo menor.

Este cambio en el objetivo de la auditoría continuó desarrollándose, no sin oposición, hasta aproximadamente 1940. En este tiempo "Existía un cierto grado de acuerdo en que el auditor podía y debería no ocuparse primordialmente de la detección de fraude". El objetivo primordial de una auditoría independiente debe ser la revisión de la posición financiera y de los resultados de operación como se indica en los estados financieros del clientes, de manera que pueda ofrecerse una opinión sobre la adecuación de estas presentaciones a las partes interesadas.

Paralelamente al crecimiento de la auditoría independiente en lo Estados Unidos, se desarrollaba la auditoría interna y del Gobierno, lo que entró a formar parte del campo de la auditoría. A medida que los auditores independientes se apercibieron de la importancia de un buen sistema de control interno y su relación con el alcance de las pruebas a efectuar en una auditoría independiente, se mostraron partidarios del crecimiento de los departamentos de auditoría dentro de las organizaciones de los clientes, que se encargaría del desarrollo y mantenimiento de unos buenos procedimientos del control interno, independientemente del departamento de contabilidad general. Progresivamente, las compañías adoptaron la expansión de las actividades del departamento de auditoría interna hacia áreas que están más allá del alcance de los sistemas contables. En nuestros días, los departamentos de auditoría interna son revisiones de todas las fases de las corporaciones, de las que las operaciones financieras forman parte.

La auditoría gubernamental fue oficialmente reconocida en 1921 cuando el Congreso de los Estados Unidos estableció la Oficina General de contabilidad.

Esta ley es la que investiga todos los asuntos relativos a los cobros, pagos y aplicación de los fondos públicos. Legislaciones posteriores ampliaron y clarificaron su autoridad auditora, particularmente con respecto a las corporaciones del Gobiernos, pero la ley 1921 sentó la base primaria para el amplio alcance de la auditoría, yendo más allá de la contabilidad, asuntos financieros y cumplimiento legal.

El objetivo de BSA es erradicar la piratería informática trabajando en tres aspectos fundamentales: La educación, la promoción de legislaciones que protejan los derechos de la propiedad intelectual y emprendiendo acciones legales.

La piratería de programas de computación y la ley

La ley

En Panamá, los derechos de autor se encuentran protegidos desde la primera Constitución Nacional de la República de 1904. La constitución reconoce la propiedad exclusiva de todo autor o inventor sobre su obra o invención.

La materia de derechos de autor estuvo regulada hasta diciembre de 1994 por el Titulo V Libro IV del Código Administrativo, el cual fue subrogado por la Ley de Derechos de Autor y Derechos Conexos (Ley No. 15 del 8 de agosto de 1994). Esta ley se encuentra en vigencia desde el 1 de enero de 1995 y protege expresamente los programas de computadoras o Software, designados como programas de ordenador.

Artículo 17: Sin perjuicio en lo dispuesto en el artículo 107, se presume, salvo prueba en contrario, que es productor del programa de ordenador la persona que aparezca indicada como tal en la obra, de manera acostumbrada.

Artículo 18: Salvo pacto en contrario, el contrato entre los autores de programa de ordenador y el productor implica la cesión limitada y exclusiva, a favor de este, de los derechos patrimoniales reconocidos en la presente ley, así como la autorización para decidir sobre la divulgación y para ejercer los derechos morales sobre la obra, en la medida que ello sea necesario para la explotación de la obra.

De conformidad al reglamento de esta ley, los programas de ordenador están protegidos en los mismos términos que las obras literarias. Es ilícita, según la ley y en el reglamento, toda utilización, reproducción o distribución no autorizada de programas de computadoras. La distribución comprende la venta, alquiler o cualquier forma de transmisión de propiedad a título oneroso, es decir, con fines lucrativos. Igualmente, se prohíbe el uso de programas de computadoras por varias personas dentro de una misma empresa mediante la instalación de redes, estaciones de trabajo u otros procedimientos análogos.

La única excepción es la facultad del usuario de hacer una sola copia del original para fines exclusivos de archivo o seguridad. No se puede hacer ninguna otra copia sin la autorización expresa del titular de los derechos de autor.

¿Cuáles son las sanciones?

La ley establece acciones civiles y penales contra las violaciones de los derechos de los titulares del software. Por la vía civil, el titular del derecho de autor podrá solicitar el cese de la actividad ilícita y una indemnización por los daños materiales y morales sufridos por la violación, así como medidas cautelares, entre ellas, el secuestro de las copias ilícitas y de los aparatos o instrumentos utilizados en la reproducción, además del secuestro de los ingresos obtenidos por la utilización ilegal del software.

Las violaciones de derechos de autor de programas de computadora también son castigadas como delito con penas de 2 a 4 años de prisión y multas accesorias de hasta B/ 20,000.00. Estos ilícitos facultan a la autoridad encarga da del caso a ordenar la detención preventiva del procesado antes que se dicte sentencia firme.

Artículo 121: Será penado con penas de 30 días a 18 meses todo aquel que, sin autorización:

1.            Emplee indebidamente el título de una obra, con infracción en el artículo 28.

2.            Realice una modificación a la obra, en violación a lo dispuesto en el artículo 37.

3.            Comunique públicamente en contumancia, por cualquier forma o procedimiento, en violación a los artículos 36 y 38, en forma original o transformada, integra o parcialmente, una obra protegida por la presente ley.

4.            Utilice ejemplares de la obra con infracción del derecho establecido en el artículo 40 e inclusive la distribución de fonogramas ilegítimamente reproducidos.

5.            Retransmita por cualquier medio, alámbrico o inalámbrico en violación al artículo 95, una emisión o radio difusión.

6.            Reproduzca o distribuya, siendo cesionario o licenciatario autorizado por el titular del respectivo derecho un mayor numero de ejemplares que el permitido por el contrato o comunique, reproduzca o distribuya la obra después e vencido el plazo de autorización que se haya convenido.

7.            Se atribuya falsamente la cualidad de titular originaria o derivada, de algunos de los derechos conferidos en esta ley, y mediante esta indebida atribución obtenga que la autoridad judicial o administrativa competente supuesta la comunicación, reproducción o distribución de la obra, interpretación o producción.

8.            Presente declaraciones falsa de declaraciones de ingresos, repertorio utilizado, identificaciones de los autores, autorización obtenida, numero de ejemplares o cualquier otra adulteración de datos susceptibles de causar perjuicio a cualquiera de los titulares de derecho protegido por la presente ley.

La acción a la que se refiere el presente artículo se aplicará de acuerdo con la falta cometida según lo establezca la autoridad competente, siguiendo los procesos correspondientes.

Artículo 122: La pena será de dos a cuatro años de prisión a quien:

Reproduzca con infracción en los artículos 36 y 39 en forma original o modificada, integra o parcialmente, obras protegida por la presente ley.

Introduzca en el país, almacene, distribuya, exporte, venda, alquile o ponga en circulación de cualquier otra manera, reproducciones ilícitas de las obras protegidas.

Escriba en el registro de derecho de autor y derechos conexos una obra interpretación o producción ajena como si fueran propia o como de personas distinta del verdadero autor, artista o productor.

Artículo 125: Como pena accesoria, el juez impondrá al responsable de cualquiera de los delitos indicados en el presente capitulo, una multa de B/.1,000.00 a B/.20,000.00 de acuerdo con la gravedad de la infracción.

¿Cuáles son las obligaciones del usuario?

La principal obligación como usuario de software es adquirir programas originales sólo para su uso. Si adquiere software para usarlo en un negocio, cada computadora cada computadora debe contar con una licencia de uso. Es ilegal adquirir un juego de software original y usarlo en más de una computadora, prestarlo, copiarlo o distribuirlo, por cualquier razón, sin la autorización previa y expresa del fabricante del programa.

Cuando compre software, revise que sea un producto legítimo. Aunque los fabricantes de software intentan que los productos sean cada vez más difíciles de imitar, algunos paquetes de programas falsificados parecen idénticos al paquete del fabricante original, pero son de calidad inferior.

Los compradores o usuarios de productos falsos o copiados se arriesgan innecesariamente a:

virus, discos dañados o software defectuoso

documentación inadecuada

carencia del soporte técnico

imposibilidad de obtener ofertas de actualización de software.

Además, si compra o usa programas falsificados o copiados, no sólo niega a los programadores del producto sus ingresos legítimos, sino que también provoca daños a la industria local e internacional. Todas las compañías de software invierten años de trabajo en el desarrollo de un producto. Una parte de cada dólar que usted gasta en comprar programas originales se reinvierte en la investigación y desarrollo de programas mejores y más avanzados. Cuando compra software falsificado, su dinero va directamente a los bolsillos de los piratas.

Nivel estimado de piratería de programas de computación

En 1996, la copia ilegal de programas ocasionó pérdidas superiores a los 11 mil millones de dólares a los productores de software de todo el mundo. En Panamá, la tasa de piratería llegó al 64% y las pérdidas superaron los 5 millones de dólares americanos.

Compromiso del gobierno para lograr el cumplimiento de la ley

El gobierno de Panamá, consciente de la necesidad de ofrecer una protección real y efectiva a los titulares de derechos de autor, aprobó la Ley de Derechos de Autor y Derechos Conexos, la cual establece sanciones mucho más graves que las que existían en el pasado y procedimientos más expeditos. Asimismo, la nueva Ley de Propiedad Industrial No. 35 del 10 de mayo de 1996, que entró el 15 de noviembre de 1996, concede a los agentes del Ministerio Público (Fiscales) la facultad de iniciar investigaciones de oficio por violación a los derechos de autor, cuando se tenga conocimiento de la comisión del delito. Los agentes del Ministerio Público tienen la facultad de ordenar medidas cautelares, tales como el decomiso de las copias ilícitas y los medios e instrumentos utilizados en la comisión del delito. Por consiguiente, aquellos que infrinjan los derechos de los autores de software serán castigados severamente.

Recursos contra la piratería

Si sabe de piratería de software o de negocios que venden productos falsos, llame a la BSA al 265-3894. Si necesita información sobre el tema, la BSA le ofrece herramientas e información para asistir a empresas y a individuos a administrar su software eficazmente.

Procedimientos y Técnicas para la Auditoria en Sistemas

Normas y Estándares y áreas aplicada a la Auditoria en Sistemas

El desarrollo de una auditoría se basa en la aplicación de normas, técnicas y procedimientos de auditaría.

Es fundamental mencionar que para el auditor en informática conocer los productos de software que han sido creados para apoyar su función aparte de los componentes de la propia computadora resulta esencial, esto por razones económicas y para facilitar el manejo de la información.

El auditor desempeña sus labores mediante la aplicación de una serie de conocimientos especializados que vienen a formar el cuerpo técnico de su actividad. 

La auditaría no es una actividad meramente mecánica, que implique la aplicación de ciertos procedimientos cuyos resultados, una vez llevados a cabo son de de carácter indudable.
La auditaría requiere el ejercicio de un juicio profesional, sólido maduro, para juzgar los procedimientos que deben seguirse y estimar los resultados obtenidos.                             Las normas de auditoría son los requisitos mínimos de calidad relativos a la personalidad del auditor, al trabajo que desempeña y  la información que rinde como resultado de este trabajo.

Las normas de auditaría se clasifican en:

a.    Normas personales.

b.    Normas de ejecución del trabajo.

c.    Normas de información.

      Normas personales

Son cualidades que el auditor debe tener para ejercer sin dolo una auditoría, basados en un sus conocimientos profesionales así como en un entrenamiento técnico, que le permita ser imparcial a la hora de dar sus sugerencias.

      Normas de ejecución del trabajo

Son la planificación de los métodos y procedimientos, tanto como papeles de trabajo a aplicar dentro de la auditoría.

      Normas de información

Son el resultado que el auditor debe entregar a los interesados para que se den cuenta de su trabajo, también es conocido como informe o dictamen.

Estándares de Auditoría

Una auditoría se realiza con base a un patrón o conjunto de directrices o buenas prácticas sugeridas. Existen estándares orientados a servir como base para auditorías de informática. Uno de ellos es COBIT (Objetivos de Control de la Tecnologías de la Información), dentro de los objetivos definidos como parámetro, se encuentra el "Garantizar la Seguridad de los Sistemas". Adicional a este estándar podemos encontrar el estándar  ISO 27002, el cual se conforma como un código internacional de buenas prácticas de seguridad de la información, este puede constituirse como una directriz de auditoría apoyándose de otros estándares de serequisitos de audiguridad de la información que definen los toría.

Conceptos de Auditoria de Sistemas

La palabra auditoría viene del latín auditorius y de esta proviene auditor, que tiene la virtud de oír y revisar cuentas, pero debe estar encaminado a un objetivo específico que es el de evaluar la eficiencia y eficacia con que se está operando para que, por medio del señalamiento de cursos alternativos de acción, se tomen decisiones que permitan corregir los errores, en caso de que existan, o bien mejorar la forma de actuación.

Algunos autores proporcionan otros conceptos pero todos coinciden en hacer énfasis en la revisión, evaluación y elaboración de un informe para el ejecutivo encaminado a un objetivo específico en el ambiente computacional y los sistemas.

A continuación se detallan algunos conceptos recogidos de algunos expertos en la materia:

Auditoría de Sistemas es:

·         La verificación de controles en el procesamiento de la información, desarrollo de sistemas e instalación con el objetivo de evaluar su efectividad y presentar recomendaciones a la Gerencia.

·         La actividad dirigida a verificar y juzgar información.

·         El examen y evaluación de los procesos del Area de Procesamiento automático de Datos (PAD) y de la utilización de los recursos que en ellos intervienen, para llegar a establecer el grado de eficiencia, efectividad y economía de los sistemas computarizados en una empresa y presentar conclusiones y recomendaciones encaminadas a corregir las deficiencias existentes y mejorarlas.

·         El proceso de recolección y evaluación de evidencia para determinar si un sistema automatizado:

Daños

Salvaguarda activos 

Destrucción

Uso no autorizado

Robo

Mantiene Integridad de Información

Precisa los datos Completa

Oportuna

Confiable

Alcanza metas

Contribución de la organizacionales función informática

Consume recursos

Utiliza los recursos adecuadamente eficientemente en el procesamiento de la información.

·         Es el examen o revisión de carácter objetivo (independiente), crítico(evidencia), sistemático (normas), selectivo (muestras) de las políticas, normas, prácticas, funciones,

·         procesos, procedimientos e informes relacionados con los sistemas de información computarizados, con el fin de emitir una opinión profesional (imparcial) con respecto a:

·         Eficiencia en el uso de los recursos informáticos

·         Validez de la información

·         Efectividad de los controles establecidos

Lista de Chequeo

Checklist

Un checklist es un listado de procedimientos para la consecución de un objetivo, en este caso, la instalación y correcto funcionamiento de la aplicación a investigar. Además, sirve para ayudar a asegurar la consistencia e integridad en el desarrollo de la tarea, de tal modo, que sea reproducible siguiendo todos los pasos que constituyen el checklist.

Es muy utilizado en el aseguramiento de la calidad en ingeniería de software, para comprobar la conformidad de procesos, estandarización de código, prevención de errores y otros.

Los checklists se encuentran generalmente en la misma web, bajo las instrucciones de instalación o similares, indicando paso a paso su implementación, la cual deben tomar como base, y complementar con sus comentarios sobre la instalación, siempre que proceda.

EJEMPLO DE UNA LISTA DE CHEQUEO

CHECKLIST DEL DICCIONARIO DE DATOS	SÍ	NO	N/A
CONOCIMIENTO DEL SISTEMA: INVENTARIO
¿Hay un inventario en la compañía de Sistemas, Hardware y Datos?
¿Ha hecho revisar el inventario por un especialista (auditor, consultor, experto en informática...) externo a la empresa?
¿Se sabe quiénes son los propietarios de los elementos del inventario?
¿Se sabe quiénes son los usuarios de los elementos del inventario?
¿Existe un criterio para valorar cuáles son los elementos críticos del inventario?
¿Se distingue en ese criterio entre: Riesgos para el negocio, riesgos para el servicio prestado a los clientes y riesgo de parálisis de la gestión de la Compañía?
¿Han validado ese criterio los jefes de Gestión de la Empresa y los jefes de Informática?
¿Se ha realizado, por lo tanto, un ranking de los elementos más críticos?
¿Se van a comenzar las pruebas y actualizaciones, por lo tanto, siguiendo el orden del ranking?
	SÍ	NO	N/A
CONOCIMIENTO DEL SISTEMA: SOFTWARE
¿Ha tenido en cuenta las distintas versiones de los elementos Software?
¿Es posible modificar y mejorar el código fuente de sus programas a medida?
¿Está disponible el código fuente?
¿Se han hecho estudios coste/beneficio sobre si cambiar los sistemas del departamento o mejorarlos?
¿Se han hecho estudios que revelan cuál es la manera más sencilla y menos costosa de cambiar y mejorar el sistema?
¿Ha identificado qué códigos fuente son propiedad de otras entidades?
¿Existe un contrato de utilización con los propietarios?
¿Va a exigirles a los propietarios de dichos códigos un informe de progresos?
¿Tiene asesoramiento legal para asegurarse de que dichos contratos son correctos y puede exigir compensaciones económicas en caso de incumplimiento?
	SÍ	NO	N/A
¿Ha verificado en general los productos adquiridos recientemente?(contratos de utilización, códigos fuente,...)
¿Su suministrador de software sigue el negocio?
CONOCIMIENTO DEL SISTEMA: PRUEBAS
¿Se van a someter los elementos más críticos a unas pruebas especiales?
¿Va a usar un Software especial para ello?
¿Va a contratar los servicios de un especialista (auditor, consultor, experto en informática...) externo a la empresa para ello?
A la hora de verificar los elementos más críticos, ¿Se asegura que no dependen de otros situados en un estrato menor del ranking?
¿Han verificado, en ese caso, ambos elementos a la vez?
¿Ha decidido, en función del ranking, qué datos probar y en qué orden?
	SÍ	NO	N/A
¿Va a utilizar un software especial para ello?
¿Ha sido validado dicho software por auditores?
¿Tiene el equipo del proyecto un plan de prueba que incluya, al menos, una especificación del tipo de pruebas, la fecha de comienzo de las pruebas, los recursos (de hardware, humanos y tiempo) para realizar las pruebas y la especificación de los casos de pruebas satisfactorias?
¿Los responsables de realizar las pruebas tienen la formación adecuada?
Si es necesario probar datos confidenciales, ¿se asegura que sean ficticios o no relevantes, y si deben ser reales, se asegura que sean eliminados después de la prueba?
Si no es posible eliminar datos confidenciales usados en las pruebas, ¿se asegura que sólo algunos empleados tienen autoridad y acceso para hacer las pruebas y que están debidamente registrados todos los accesos que realizan?
CONOCIMIENTO DEL SISTEMA: PLANES DE CONTINGENCIA
¿El personal de la organización sabe que tiene soporte si ocurren problemas?
¿Existen planes de contingencia y continuidad que garanticen el buen funcionamiento del Repositorio o Diccionario de Datos?
	SÍ	NO	N/A
¿En el plan se identifican todos los riesgos y sus posibles alternativas?
REPOSITORIO: SEGURIDAD
¿Existe un administrador de sistemas que controle a los usuarios?
¿Gestiona los perfiles de los usuarios dicho administrador?
¿Existe un administrador de bases de datos que gestione las instancias de las bases de datos?
¿Gestiona el administrador de bases de datos los accesos a las distintas instancias de las bases de datos?
¿Existe un acceso restringido a las instancias que contienen el Repositorio?
¿Es auto cambiable la clave de acceso al Repositorio?
¿Pueden los administradores del Repositorio cambiar la contraseña?
¿Se obliga, cada cierto tiempo, a cambiar la contraseña automáticamente?
¿Se renueva periódicamente la contraseña?
	SÍ	NO	N/A
¿Existen listados de intentos de accesos no satisfactorios o denegados a estructuras, tablas físicas y lógicas del repositorio?
¿Existe un diseño físico y lógico de las bases de datos?
¿Dispone también el Diccionario de datos de un diseño físico y lógico?
¿Existe una instancia con copia del Repositorio para el entorno de desarrollo?
¿Está restringido el acceso al entorno de desarrollo?
¿Se utilizan datos reales en el entorno de desarrollo?
¿Existen copias de seguridad del Repositorio?
¿Se hacen copias de seguridad diariamente?
¿Se almacenan las copias de seguridad en dispositivos externos?
¿Se ubican los dispositivos externos en locales diferentes al edificio en el que se encuentran las redes y los servidores?
	SÍ	NO	N/A
¿Existe un acceso restringido a la sala de servidores?
¿Existen mecanismos de seguridad física en las salas de servidores?
¿Se dispone de equipos auxiliares en caso de caída o avería del equipo principal?
¿Se dispone de generador de energía auxiliar para asegurar la corriente a los servidores?
REPOSITORIO: PROCESO DE CAMBIO
¿Existe un formulario de petición de cambio o modificación en el Repositorio?
¿Es necesaria la autorización del Manager del Repositorio para realizar el cambio?
¿Se realiza la modificación sobre una copia del Repositorio?
¿Se establece un bloqueo sobre la parte del Repositorio a modificar?
¿Se comunica a los distintos usuarios/desarrolladores el bloqueo de parte del Repositorio y por tanto los fallos del funcionamiento que se pueden ocasionar?
¿Se establecen prioridades en los trabajos y modificaciones del repositorio para los bloqueos?
	SÍ	NO	N/A
¿Existe algún fichero log que almacene todos los cambios realizados en el Repositorio?
¿Se comunica al solicitante del cambio que se ha llevado a cabo la modificación?
¿Se realizan pruebas sobre el cambio para comprobar que la aplicación funciona correctamente?
¿Se comprueba que el cambio solicitado se corresponde con lo realizado?
¿Se realizan dichas comprobaciones en la copia de la instancia?
¿Existe una notificación por escrito del solicitante certificando que el cambio se realizó satisfactoriamente?
¿Existe documentación escrita sobre el cambio (formulario de petición, script del cambio realizado, aprobación del solicitante)?
¿Se realiza un volcado de la copia del Repositorio el original al final del dia?
¿Se realizan actualizaciones periódicamente del resto de las instancias para que tengan el Diccionario de Datos actualizado?