HERRAMIENTAS DE AUDITORIA EN SISTEMAS

HERRAMIENTAS DE AUDITORIA EN SISTEMAS

Herramientas Auditoría Informática • Checklist: • es un cuestionario ordenado y estructurado por materias auditadas. • Ha de contener preguntas idénticas formuladas en términos aparentemente distintos. El cruzamiento de las respuestas permite aumentar el rigor del análisis. • La motivación de su uso es clara. Para auditar cualquier aspecto de una empresa Hay opiniones que descalifican el uso de las Checklists, ya que consideran que leerle una lista de preguntas recitadas de memoria o leídas en voz alta descalifica al auditor informático. Herramientas Auditoría Informática Tipo de Checklist: • Rango Permiten mayor precisión si el criterio de la Auditoría es uniforme. Indicado para revisiones pequeñas. Depende excesivamente de la buena formación y competencia de cada persona que conforman la entidad. • Binaria Es la constituida por preguntas con respuesta única y excluyente: Si o No. Aritméticamente equivalen a 1(uno) ó 0 (Cero) NOTA: No existen CheckList’s standard para cualquier instalación. Las listas deben retocarse y adaptarse a cada organización. Herramientas Auditoría Informática •Trazas y/o Huellas: Se utilizan para comprobar la ejecución de las validaciones de datos previstas. Las mencionadas trazas no deben modificar en absoluto el sistema. Con frecuencia, el auditor debe verificar que los programas, tanto de los sistema como de usuarios, realizan exactamente las funciones previstas, y no otras. Para ello se apoyan en productos software muy potentes y modulares que, rastrean los caminos que siguen los datos a través del programa. Herramientas Auditoría Informática • Análisis De Bitácoras: Existen varios tipos de bitácoras que pueden ser analizadas por el auditor, ya sea de forma manual o por medio de programas especializados, tales como bitácoras de fallas del equipo, bitácoras de accesos no autorizados, bitácoras de uso de recursos. • Software de Auditoria: Software especiales para la auditoria informática se orientan principalmente hacia lenguajes que permiten la interrogación de ficheros y bases de datos de la empresa auditada. Estos productos son utilizados solamente por los auditores externos.

Herramientas de Planificación y Registro

-Planificación estratégica basada en evaluación de riesgos

-Planificación y Asignación de Recursos

-Realización de la auditoría / Documentación

-Trabajo distribuido geográficamente

-Generación de informe

-Almacenamiento centralizado

-Seguimiento

Auditoría continua

Una metodología que permite a auditores independientes proveer certeza escrita sobre un asunto usando una serie de informes de auditoría emitidos simultáneamente con, o en un período corto de tiempo después de que han ocurrido los eventos subyacentes al asunto.

Conductores

•Mejor monitoreo de los aspectos financieros

•Permite el monitoreo en tiempo real de transacciones

•Previene fiascos financieros y escándalos de auditoría

•Usa software para determinar el control financiero más apropiado.

Controles de Aplicación:

-       Base de datos con controles aplicables por funcionalidades

-       Adaptabilidad para conectar con otros ERP’s/ sistemas locales

-       Compatibilidad con otras herramientas de reporte de riesgos / control

-       Alarmas categorizadas ante cambios de configuración de controles

-       Búsqueda de patrones de fraude

-       Controles a nivel de pantallas

-       Controles a nivel de módulos

-       Controles a nivel de maestros de datos

-       Controles aplicables a industrias específicas

Evaluación de la seguridad

Las distintas herramientas que se puede encontrar para evaluar la seguridad deben ser vistas en su contexto, dado que por seguridad podemos ver el enfoque de Halper, de cuatro capas:

-Aplicación

-Base de datos

-Sistema operativo

-Redes

A nivel de detección de debilidades / vulnerabilidades, podemos encontrar:

-Password crackers: ejemplo: CainandAbel

-Sniffers: ejemplo tcpdump

-Escanersde vulnerabilidades: Nessus, retina

-Escanesde Web: ejemplo Nikto