1.

- Organizar los distintos tipos de auditorías de sistemas de información que existen y las
subdivisiones que las conforman.

 Describa brevemente cada una. 

Dentro de las áreas generales, es posible establecer las siguientes divisiones:

a) Auditoria Informática de Explotación

b) Auditoria Informática de Sistemas
c) Auditoria Informática de Comunicaciones
d) Auditoria Informática de Desarrollo de Proyectos
e) Auditoria Informática de Seguridad

Debe evaluarse la diferencia entre la generalidad y la especificación que posee la

Seguridad. Según ella, realizarse una Auditoria Informática de la Seguridad del entorno
global de la informática, mientras en otros casos puede auditarse una aplicación
concreta, en donde será necesario analizar la seguridad de la misma.

Cada Área específica puede ser auditada con los criterios que detallamos:

 Desde su propia funcionalidad interna.

 Con el apoyo que recibe de la Dirección, y en forma ascendente, del grado de
cumplimiento de las directrices de que ésta imparte.
 Desde la visión de los usuarios, destinatarios verdaderos de la informática.
 Desde el punto de vista de la seguridad, que ofrece la Informática en general o
la rama auditada.

Las combinaciones descritas pueden ser ampliadas o reducidas, según las características
de la empresa auditada. Las Auditorias más usuales son las referidas a las actividades
específicas e internas de la propia actividad informática.

a) AUDITORIA INFORMATICA DE EXPLOTACION

La Explotación Informática se ocupa de producir

resultados informáticas de todo tipo: listados
impresos, archivos magnéticos para otros
informáticos, órdenes automatizadas para lanzar o
modificar procesos industriales, etc.

Para realizar la Explotación informática se dispone

de materia prima los Datos, que es necesario
transformar, y que se someten previamente a
controles de integridad y calidad.

La transformación se realiza por medio del Proceso Informático, el cual está dirigido
por programas. Obtenido el producto final, los resultados son sometidos a controles de
calidad, y finalmente son distribuidos al cliente, al usuario. En ocasiones, el propio
cliente realiza funciones de reelaboración del producto terminado.
Para mantener el criterio finalista y utilitario, el concepto de centro productivo ayuda a
la elaboración de la Auditoria de la Explotación. Auditar Explotación consiste en
auditar las secciones que la componen y sus interrelaciones.

Las Básicas son la planificación de la producción y la producción misma de resultados

informáticos. El auditor debe tener en cuenta que la organización informática está
supeditada a la obtención de resultados en plazo y calidad, siendo subsidiario a corto
plazo cualquier otro objetivo.

Se quiere insistir nuevamente en que la Operatividad es prioritaria, al igual que el plan

crítico diario de producción que debe ser protegido a toda costa.

Control de entrada de datos

Se analiza la captura de información, plazos y agenda de tratamiento y entrega de

datos, corrección en la transmisión de datos entre plataformas, verificación de
controles de integridad y calidad de datos se realizan de acuerdo a Norma.

Planificación y Recepción de Aplicaciones

Se auditarán las normas de entrega de Aplicaciones, verificando cumplimiento y

calidad de interlocutor único. Deberán realizarse muestras selectas de la
documentación de las Aplicaciones explotadas. Se analizarán las Librerías que los
contienen en cuanto a su organización y en lo relacionado con la existencia de
Planificadores automáticos o semiautomáticos.

Centro de Control y Seguimiento de Trabajos

Se analizará cómo se prepara, se lanza y se sigue la producción diaria de los procesos

Batch, o en tiempo real (Teleproceso).

Las Aplicaciones de Teleproceso están activas y la función de Explotación se limita a

vigilar y recuperar incidencias, el trabajo Batch absorbe buena parte de los efectivos de
Explotación. Este grupo determina el éxito de la explotación, ya que es el factor más
importante en el mantenimiento de la producción.

Operadores de Centros de Cómputos

Es la única profesión informática con trabajo de noche. Destaca el factor de

responsabilidad ante incidencias y desperfectos. Se analiza las relaciones personales,
coherencia de cargos y salarios, la equidad de turnos de trabajos.

Se verificará la existencia de un responsable del Centro de Cómputos el grado de

automatización de comandos, existencia y grado de uso de Manuales de Operación,
existencia de planes de formación, cumplimiento de los mismos y el tiempo
transcurrido para cada operador desde el último Curso recibido.

Se analizará cantidad de montajes diarios y por horas de cintas o cartuchos, así como
los tiempos transcurridos entre la petición de montaje por parte del Sistema hasta el
montaje real.
Centro de Control de Red y Centro de Diagnosis

El Centro de Control de Red suele ubicarse en el área de Explotación. Sus funciones se

refieren al ámbito de Comunicaciones, estando relacionado con la organización de
Comunicaciones Software de Técnica de Sistemas.

Debe analizarse la fluidez de esa relación y el grado de coordinación entre ambos, se

verificará la existencia de un punto focal único, desde el cual sean perceptibles todas
las líneas asociadas a los Sistemas.

El Centro de Diagnosis (Help-desk) es el ente en donde se atienden las llamadas de los

usuarios-clientes que han sufrido averías o incidencias, tanto de software como de
hardware. En función del cometido descrito, y en cuanto a software, está relacionado
con el Centro de Control de Red.

El Centro de Diagnosis indicado para empresas grandes y usuarios dispersos en un

amplio territorio, es un elemento que contribuye a configurar la imagen de la
Informática de la Empresa. Debe ser auditado desde esta perspectiva, desde la
sensibilidad del usuario sobre el servicio que se le dispensa.

b) AUDITORIA INFORMATICA DE SISTEMAS

Se ocupa de analizar la actividad propia de lo que

se conoce como "Técnica de Sistemas" en todas
sus facetas. En la actualidad, la importancia
creciente de las
telecomunicaciones ha propiciado que las
Comunicaciones, Líneas y Redes de las
instalaciones informáticas, se auditen por
separado, aunque formen parte del entorno
general de "Sistemas".

Vamos a detallar los grupos a revisar:

a) Sistemas Operativos

Proporcionados por el fabricante junto al equipo. Engloba los Subsistemas de

Teleproceso, Entrada/Salida, etc. Los Sistemas deben estar actualizados con las últimas
versiones del fabricante, indagando las causas de las omisiones si éstas se han
producido. El análisis de las versiones de los S.O. permite descubrir posibles
incompatibilidades entre algunos productos de Software adquiridos por la instalación y
determinadas versiones.

Deben revisarse los parámetros de las Librerías importantes de los Sistemas,

especialmente si difieren de los valores aconsejados por el constructor.

b) Software Básico

Conjunto de productos que, sin pertenecer al Sistema Operativo, configuran

completamente los Sistemas Informáticos, haciendo posible la reutilización de
funciones básicas no incluidas en aquél. ¿Cómo distinguir ambos conceptos? La
respuesta tiene un carácter económico.

El Software básico, o parte de él es abonado por el cliente a la firma constructora,

mientras el Sistema Operativo y algunos programas muy básicos, se incorporan a la
máquina sin cargo al cliente.

Es difícil decidir si una función debe ser incluida en el SO o puede ser omitida. Con
independencia del interés teórico que pueda tener la discusión de si una función es o
no integrante del SO, para el auditor es fundamental conocer los productos de
software básico que han sido facturados aparte.

Los conceptos de Sistema Operativo y Software Básico tienen fronteras comunes, la

política comercial de cada Compañía y sus relaciones con los clientes determinan el
precio y los productos gratuitos y facturables.

Otra parte importante del Software Básico es el desarrollado e implementado en los

Sistemas Informáticos por el personal informático de la empresa que permiten mejorar
la instalación. El auditor debe verificar que el software no agrede, no condiciona al
Sistema, debe considerar el esfuerzo realizado en términos de costos, por si hubiera
alternativas más económicas.

c) Software de Teleproceso

Se ha agregado del apartado anterior de Software Básico por su especialidad e

importancia. Son válidas las consideraciones anteriores, Nótese la especial
dependencia que el Software del Tiempo Real tiene respecto a la arquitectura de los
Sistemas.

d) Tunning

Es el conjunto de técnicas de observación y de medidas encaminadas a la evaluación

del comportamiento de los subsistemas y del Sistema en su conjunto. Las acciones de
Tunning deben diferenciarse de los controles y medidas habituales que realiza el
personal de Técnica de Sistemas.

El Tunning posee una naturaleza más revisora, estableciéndose previamente planes y

programas de actuación según los síntomas observados.

Los Tunning pueden realizarse:

Cuando existe la sospecha de deterioro del comportamiento parcial o general

del Sistema.
De modo sistemático y periódico, por ejemplo cada seis meses. En este último
caso, las acciones de Tunning son repetitivas y están planificadas y organizadas
de antemano.

El auditor informático deberá conocer el número de Tunning realizados el último año,

sus resultados, analizara los modelos de carga utilizados y los niveles e índices de
confianza de las observaciones.
e) Optimización de los Sistemas y Subsistemas

Técnica de Sistemas deber realizar acciones permanentes de optimización como

consecuencia de la información diaria obtenida a través de Log, Account- ing, etc.
Actúa igualmente como consecuencia de la realización de Tunnings pre programado o
específico.

El auditor verificará que las acciones de optimización fueron efectivas y no

comprometieron la Operatividad de los Sistemas ni el "plan crítico de producción
diaria" de Explotación.

f) Administración de Base de Datos

Es un Área que ha adquirido una gran importancia a causa de la proliferación de

usuarios y de las descentralizaciones habidas en las informáticas de las empresas, el
diseño de las bases de datos, ya sean relacionales o jerárquicas, se ha convertido en
una actividad muy compleja y sofisticada, por lo general desarrollada en el ámbito de
Técnica de Sistemas, y de acuerdo con las áreas de Desarrollo y los usuarios de la
empresa.

El conocimiento de diseño y arquitectura de dichas Bases de Datos por parte de los

Sistemas, ha cristalizado en la administración de las mismas les sea igualmente
encomendada. Aunque esta descripción es la más frecuente en la actualidad, los
auditores informáticos han observado algunas disfunciones derivadas de la
relativamente escasa experiencia que Técnica de Sistemas tiene sobre la problemática
general de los usuarios de las Bases de Datos.

Comienzan a percibirse hechos tendentes a separar el diseño y la construcción de las

Bases de Datos, de la administración de las mismas, administración ésta que sería
realizada por Explotación. Sin embargo, esta tendencia es aún poco significativa.

El auditor informático de Bases de Datos deberá asegurarse que Explotación conoce

suficientemente las que son accedidas por los Procedimientos que ella ejecuta.
Analizará los sistemas de salvaguarda existentes, que competen igualmente a
Explotación. Revisará finalmente la integridad y consistencia de los datos, así como la
ausencia de redundancias entre ellos.

g) Investigación y Desarrollo

El campo informático sigue evolucionando rápidamente. Multitud de Compañías, de

Software mayoritariamente, aparecen en el mercado.

Como consecuencia, algunas empresas no dedicadas en principio a la venta de

productos informáticos, están potenciando la investigación de sus equipos de Técnica
de Sistemas y Desarrollo, de forma que sus productos puedan convertirse en fuentes
de ingresos adicionales.
La Auditoria informática deberá cuidar de que la actividad de Investigación mas la de
desarrollo de las empresas no vendedoras, no interfiera ni dificulte las tareas
fundamentales internas.

En todo caso, el auditor advertirá en su Informe de los riesgos que haya observado. No
obstante, resultaría muy provechoso comercializar alguna Aplicación interna, una vez
que está terminada y funcionando a satisfacción.

La propia existencia de aplicativos para la obtención de estadísticas desarrollados por

los técnicos de Sistemas de la empresa auditada, y su calidad, proporcionan al auditor
experto una visión bastante exacta de la eficiencia y estado de desarrollo de los
Sistemas. La correcta elaboración de esta información conlleva el buen conocimiento
de la carga de la instalación, así como la casi certeza de que existen Planes de
Capacidad, etc.

c) AUDITORIA INFORMATICA DE COMUNICACIONES Y REDES

La creciente importancia de las Comunicaciones ha

determinado que se estudien separadamente del
ámbito de Técnica de Sistemas. Naturalmente, siguen
siendo términos difíciles en los conceptos generales de
Sistemas y de Arquitecturas de los Sistemas
Informáticos.

Se ha producido un cambio conceptual muy profundo

en el tratamiento de las comunicaciones informáticas y
en la construcción de los modernos Sistemas de
Información, basados en Redes de Comunicaciones
muy sofisticadas.

Para el Auditor Informático, el entramado conceptual que constituyen las Redes

Nodales, Líneas, Concentradores, Multiplexores, Redes Locales, etc., no son sino el
soporte físico-lógico del Tiempo Real. El lector debe reflexionar sobre este avanzado
concepto, que repetimos: Las Comunicaciones son el Soporte Físico-Lógico de la
Informática en Tiempo Real.

El auditor informático tropieza con la dificultad técnica del entorno, pues ha de

analizar situaciones y hechos alejados entre sí, y está condicionado a la participación
del monopolio telefónico que presta el soporte en algunos lugares.

Ciertamente, la tarea del auditor es ardua en este contexto. Como en otros casos, la
Auditoria de este sector requiere un equipo de especialistas, expertos
simultáneamente en Comunicaciones y en Redes Locales. No debe olvidarse que en
entornos geográficos reducidos, algunas empresas optan por el uso interno de Redes
Locales, diseñadas y cableadas con recursos propios.

El entorno del Online tiene una especial relevancia en la Auditoria Informática debido
al alto presupuesto anual que los alquileres de líneas significan. El auditor de
Comunicaciones deberá inquirir sobre los índices de utilización de las líneas
contratadas, con información abundante sobre tiempos de desuso.
Deberá proveerse de la topología de la Red de Comunicaciones, actualizada. La des
actualización de esta documentación significaría una grave debilidad.

La inexistencia de datos sobre cuántas líneas existen, cómo son y dónde están
instaladas, supondría que se bordea la Inoperatividad Informática.

Sin embargo, y como casi siempre, las debilidades más frecuentes e importantes en la
informática de Comunicaciones se encuentran en las disfunciones organizativas. La
contratación e instalación de líneas va asociada a la instalación de los Puestos de
Trabajo correspondientes (Monitores, Servidores de Redes Locales, Ordenadores
Personales con tarjetas de Comunicaciones, impresoras, etc.). Todas estas actividades
deben estar muy coordinadas y a ser posible, dependientes de una sola organización.

d) AUDITORIA INFORMATICA DE DESARROLLO DE PROYECTOS

El área de Desarrollo de Proyectos o de

Aplicaciones es objeto frecuente de la Auditoria
informática.

Indicando inmediatamente que la función de

Desarrollo es una evolución del llamado Análisis
y Programación de Sistemas y Aplicaciones,
término presente en los últimos años. La función
Desarrollo engloba a su vez muchas áreas, tantas
como sectores informatizables tiene la empresa.

Muy escuetamente, una Aplicación recorre las siguientes fases:

a) Prerrequisitos del Usuario (único o plural), y del entorno.

b) Análisis funcional.
c) Análisis orgánico. (Pre programación y Programación).
d) Pruebas.
e) Entrega a Explotación y alta para el Proceso.

Se deduce fácilmente la importancia de la metodología utilizada en el desarrollo de los

Proyectos informáticos. Esta metodología debe ser semejante al menos en los
Proyectos correspondientes a cada área de negocio de la empresa, aunque
preferiblemente debería extenderse a la empresa en su conjunto.

En caso contrario, además del aumento significativo de los costos, podrá producirse
fácilmente la insatisfacción del usuario, si éste no ha participado o no ha sido
consultado periódicamente en las diversas fases del mismo, y no solamente en la fase
de prerrequisitos.

Finalmente, la Auditoria informática deberá comprobar la seguridad de los programas,

en el sentido de garantizar que los ejecutados por la máquina son totalmente los
previstos y no otros.
Una razonable Auditoria informática de Aplicaciones pasa indefectiblemente por la
observación y el análisis de estas consideraciones.

a) Revisión de las metodologías utilizadas

Se analizarán éstas, de modo que se asegure la modularidad de las posibles futuras

ampliaciones de la Aplicación y el fácil mantenimiento de las mismas.

b) Control Interno de las Aplicaciones

La Auditoria informática de Desarrollo de Aplicaciones deberá revisar las mismas fases

que presuntamente ha debido seguir el área correspondiente de Desarrollo. Las
principales son:

1. Estudio de Viabilidad de la Aplicación.

2. Definición Lógica de la Aplicación.
3. Desarrollo Técnico de la Aplicación.
4. Diseño de Programas.
5. Métodos de Pruebas.
6. Documentación.
7. Equipo de Programación.

c) Satisfacción de Usuarios

Una Aplicación eficiente y bien desarrollada teóricamente, deberá considerarse un

fracaso si no sirve a los intereses del usuario que la solicitó. Surgen nuevamente las
premisas fundamentales de la informática eficaz: fines y utilidad. No puede
desarrollarse de espaldas al usuario, sino contando con sus puntos de vista durante
todas las etapas del Proyecto. La presencia del usuario proporcionará además grandes
ventajas posteriores, evitará reprogramaciones y disminuirá el mantenimiento de la
Aplicación.

d) Control de Procesos y Ejecuciones de Programas Críticos

El auditor no debe descartar la posibilidad de que se esté ejecutando un módulo lo que

no se corresponde con el programa fuente que desarrolló, codificó y probó el área de
Desarrollo de Aplicaciones.

Se está diciendo que el auditor habrá de comprobar fehaciente y personalmente la

correspondencia biunívoca y exclusiva entre el programa codificado y el producto
obtenido como resultado de su compilación y su conversión en ejecutables mediante
la linkeditación (Linkage Editor).

Obsérvense las consecuencias de todo tipo que podrían derivarse del hecho de que los
programas fuente y los programas módulos no coincidieran provocando graves
retrasos y altos costos de mantenimiento, hasta fraudes, pasando por acciones de
sabotaje, espionaje industrial-informático, etc.

Esta problemática ha llevado a establecer una normativa muy rígida en todo lo

referente al acceso a las Librerías de programas.
Una Informática medianamente desarrollada y eficiente dispone de un solo juego de
Librerías de Programas de la Instalación. En efecto, Explotación debe recepcionar
programas fuente, y solamente fuente. ¿Cuáles? Aquellos que Desarrollo haya dado
como buenos.

La asumirá la responsabilidad de:

1. Copiar el programa fuente que Desarrollo de Aplicaciones ha dado por bueno

en la Librería de Fuentes de Explotación, a la que nadie más tiene acceso.
2. Compilar y linkeditar ese programa, depositándolo en la Librería de Módulos de
Explotación, a la que nadie más tiene acceso.
3. Copiar los programas fuente que les sean solicitados para modificarlos,
arreglarlos, etc., en el lugar que se le indique. Cualquier cambio exigirá pasar
nuevamente al punto 1.

Ciertamente, hay que considerar las cotas de honestidad exigible a Explotación.

Además de su presunción, la informática se ha dotado de herramientas de seguridad
sofisticadas que permiten identificar la personalidad del que accede a las Librerías. No
obstante, además, el equipo auditor intervendrá los programas críticos, compilando y
linkeditando nuevamente los mismos para verificar su biunivocidad.

e) AUDITORIA DE LA SEGURIDAD INFORMATICA

La seguridad en la informática abarca los conceptos de

seguridad física y seguridad lógica.

La Seguridad física se refiere a la protección del Hardware

y de los soportes de datos, así como los edificios e
instalaciones que los albergan. Contempla las situaciones
de incendios, sabotajes, robos, catástrofes naturales, etc.
Igualmente, a este ámbito pertenece la política de
Seguros.

La seguridad lógica se refiere a la seguridad de uso del

software, a la protección de los datos, procesos y programas, así como la del ordenado
y autorizado acceso de los usuarios a la información.

Se ha tratado con anterioridad la doble condición de la Seguridad Informática: Como

Área General y como Área Específica (seguridad de Explotación, seguridad de las
Aplicaciones, etc.).

Así, podrán efectuarse Auditorias de la seguridad global de una Instalación

Informática- Seguridad General-, y Auditorias de la Seguridad de un área informática
de terminada- Seguridad Específica-.

Las agresiones a instalaciones informáticas ocurridas en Europa y América durante los

últimos años, han originado acciones para mejorar la Seguridad Informática a nivel
físico. Los accesos y conexiones indebidos a través de las
Redes de Comunicaciones, han acelerado el desarrollo de productos de Seguridad
lógica y la utilización de sofisticados medios criptográficos.

La decisión de abordar una Auditoria Informática de Seguridad Global en una empresa,

se fundamenta en el estudio cuidadoso de los riesgos potenciales a los que está
sometida.

Tal estudio comporta con frecuencia la elaboración de "Matrices de Riesgo" en donde

se consideran los factores de las "Amenazas" a las que está sometida una instalación y
de los "Impactos" que aquellas pueden causar cuando se presentan.

Las matrices de riesgo se presentan en cuadros de doble entrada

"Amenazas\Impacto", en donde se evalúan las probabilidades de ocurrencia de los
elementos de la matriz.