sistemas de informacion presentacion

AUDITORIA Y SEGURIDADAUDITORIA Y SEGURIDAD

de losde los

SISTEMAS DE INFORMACIÓNSISTEMAS DE INFORMACIÓN

B o l i l la IV

TEMARIOTEMARIO

INTRODUCCIÓN* Vulnerabilidad acarreada por los computadores* Impacto de los computadores en auditoría* Adecuación de las normas de auditoría a un entorno electrónico* Concepto de auditoría en informática y su planificación

CONTROL INTENO ELECTRÓNICO* El control interno electrónico* Enfoque metodológico para el relevamiento y evaluación de los SCIE* Relevamiento y evaluación del SCIE

EMPLEO DEL COMPUTADOR PARA LAS VERIFICACIONES O PRUEBAS DE PROCEDIMIENTOS

* La confiabilidad del software* Los errores del software. Causas* La prueba del software

AUDITORÍA DE LA INFORMACIÓN PROCESADA POR EL SISTEMA* Obtención de elementos de prueba válidos y suficientes* Programas especiales de auditoría* Paquetes de auditoría

SEGURIDAD DE LOS SISTEMAS DE COMPUTACIÓN* El problema general de la seguridad en computación* Funciones o finalidades de la seguridad* Análisis de riesgos* Seguridad de riesgos* Seguridad lógica y confidencial* Seguridad en el personal

* Seguridad física EL DELITO INFORMÁTICO

* Los nuevos activos informáticos* Tipificación del delito informático* El computador como instrumento del delito* Perfil de un delincuente informático* Conclusiones

LA PERICIA TÉCNICA DEL AUDITOR. PAPELES DE TRABAJO* La pericia técnica del auditor* La formación de un auditor de computación* Conclusiones finales

ADVENIMIENTO DEL PROCESAMIENTO ELECTRÓNICOADVENIMIENTO DEL PROCESAMIENTO ELECTRÓNICO

Manual

Mecánico

Electromecánico

Electrónico

Sistema de InformaciónSistema de Información

Sistema de procesamiento de información Sistema de procesamiento de información basado en el computador que apoya las basado en el computador que apoya las funciones de operación, administración y funciones de operación, administración y toma de decisiones de una organizacióntoma de decisiones de una organización..

IMPACTO DE LOS COMPUTADORESIMPACTO DE LOS COMPUTADORES

Cambio en las pistas de Auditoría

Necesidad de adecuación de las normas

Pericia técnica del auditor

El delito informático

La privacidad

ACTIVIDADES OPERACIONALES VS. DÍAS SIN COMPUTADORACTIVIDADES OPERACIONALES VS. DÍAS SIN COMPUTADOR

ESQUEMA GENERAL DE UNA ESQUEMA GENERAL DE UNA

COMPUTADORA ELECTRÓNICA DIGITALCOMPUTADORA ELECTRÓNICA DIGITAL

AUDITORÍA EN INFORMÁTICAAUDITORÍA EN INFORMÁTICA

Es la revisión y evaluación de los controles, sistemas, procedimientos de Informática, de los equipos de cómputos, su utilización, eficiencia y seguridad, de la organización que participan en el procesamiento de la información, a fin de que por medio del señalamiento de cursos alternativos se logre una utilización más eficiente y segura de la información que servirá para una adecuada toma de decisiones.

Se deberán evaluar los sistemas de información ene general desde sus entradas, procedimientos, controles, archivos, seguridad y obtención de información.

Su campo de acción será:

* La evaluación administrativa del departamento de procesos electrónicos.

* La evaluación de los sistemas y procedimientos, y de la eficiencia que se tiene en el uso de la información.

* La evaluación del proceso de datos y de los equipos de cómputo.

* La seguridad.

CONTROL INTERNOCONTROL INTERNO El CONTROL consiste en la creación de relaciones adecuadas entre las diversas funciones del negocio y los resultados finales de operación.

El CONTROL tiene por objeto evitar que se produzcan desviaciones de los planes elaborados por la empresa, es decir que se impida que los subordinados de la misma, sigan un camino no previsto en los planes de la dirección, es esencial de que obligue a los subalternos a realizar las tareas como fueron diseñadas. La forma de lograrlos lo que es mediante el CONTROL ADMINISTRATIVO INTERNO, utilizando como medio para ejercer el control, los informes, manuales de procedimientos u otros instrumentos de control comodatos estadísticos, balances de comprobación, conciliaciones bancarias, inventarios, etc.

No permitir desviaciones del plan de la dirección.

Proteger activos de la empresa.

Promocionar el buen desempeño de los subordinados.

Obtención de información:

Veraz

Confiable

Oportuna

Eficiencia en la operación de la empresa

CONTROL INTERNO CONTROL INTERNO

ELECTRÓNICOELECTRÓNICO

Parte de la definición del Control Parte de la definición del Control Interno de la Contabilidad Interno de la Contabilidad Tradicional, agregando el Tradicional, agregando el

relevamiento y evaluación del relevamiento y evaluación del control interno del computador y del control interno del computador y del

sistema de procesamiento sistema de procesamiento electrónico de la información.electrónico de la información.

INFORMÁTICAINFORMÁTICA

INFORMAciónINFORMAción autom TICAáautom TICAá

Consecuencias de la Informatización EmpresarialConsecuencias de la Informatización Empresarial

1. Concentración de la información

2. Falta de registros visibles

3. Posibilidad de alterar los programas y/o la información sin dejar huellas o rastros visibles.

4. Factibilidad de hacer desaparecer la información con extremada rapidez.

5. Los sistemas “En Línea – Tiempo Real” presentan a menudo el problema de armonizar la eficiencia operativa con los aspectos de control.

6. Complejidad de la operatoria.

7. Dificultades de la seguridad física de los archivos, especialmente los archivos maestros (o la Base de Datos)

8. Concentración de funciones.

9. Falta de un enfoque u óptica orientados especialmente hacia el control en la etapa de diseño del sistema.

10. Necesidad de emplear personal altamente calificado por su formación y conocimientos técnicos

Bit de ParidadBit de Paridad

Representación de la información

Sistema Decimal 0-1-2-3-4-5-6-7-8-9

Sistema Binario 0-1 (Señal – No Señal)

Equivalencias entre Sistemas

0000 = 0

0001 = 1

0010 = 2

0011 = 3

0100 = 4

0101 = 5

0110 = 6

0111 = 7

1000 = 8

1001 = 9

Si se transmite información, por ejemplo el número 7, el binario correspondiente sería 0111. A esta expresión se le agrega un 0 si tiene par cantidad de 1, 1 si tiene impar cantidad de 1.

Así se transmitiría:

DIGITO DE CONTROL + INF. EN BINARIO

1 0111

Si en la recepción se detectaría

1 0101

El sistema debería solicitar retransmisión ya que no corresponde el dígito de control.

Este es un método básico que no detecta la transposición de valores del tipo:

1 1011

0 0101

con los mismos valores de transmisión.

Existen métodos para controlar la transposición en el bit de paridad

Dígito de ControlDígito de Control

Suma Simple y 2-1-2Suma Simple y 2-1-2

Suma SimpleSuma Simple

b)Comenzar con el número de cuenta: 851562

c)Sumar los dígitos: 8+5+1+5+6+2 = 27

d)Sustraer el resultado de la suma anterior del próximo número superior múltiplo de 10. 30 - 27 = 3

e)La diferencia precedente es el dígito de control, 3 que se añade como sufijo al número base.

El ejemplo anterior permite establecer rápidamente que esta fórmula no detectaría una forma común de error como es la transposición (Ej. 815562)

2 – 1 – 2 2 – 1 – 2

b) Comenzar con el número de cuenta: 851562

c) Multiplicar cada dígito alternadamente por 1 o por 2, comenzando con 2 como multiplicador del dígito de las unidades

8 5 1 5 6 2

x 1 2 1 2 1 2

8 10 1 10 6 4

c) Sumar los resultados de las multiplicaciones:

8 + 10 + 1 + 10 + 6 + 4 = 39

d) Sustraer el resultado anterior del próximo número superior múltiplo de 10

40 – 39 = 1

e) Emplear dicha diferencia como dígito de control

Este método si controla la transposición de valores.

Así como el segundo método controla más la posibilidad de detectar un error, existen otros con mayo grado de seguridad.

Ciclo de vida Ciclo de vida del Desarrollo del Desarrollo

de los de los SistemasSistemas

Esquema Esquema General para General para la Solución la Solución

Algorítmica de Algorítmica de un Problemaun Problema

PRINCIPIOS PRINCIPIOS FUNDAMENTALES DE LA FUNDAMENTALES DE LA

AUDITORÍA DE UNA AUDITORÍA DE UNA COMPUTADORACOMPUTADORA

Automatismo

Determinismo

Enfoque Metodológico para el Relevamiento y EvaluaciónEnfoque Metodológico para el Relevamiento y Evaluación

Pautas Básicas

- Controles internos del equipo

- Controles de procedimientos

- Controles programados

Entrevistas

- Entrevistas iniciales – Gerencia de Sistemas

- Planeación de temas a tratar

- Tipo: escrita / oral

- Duración

CONTROL INTERNO ELECTRÓNICO

- Control interno del equipo (bit par)

- Controles de firmware

- Procedimientos de revisión

- Controles de procedimientos

- Organigramas

- Análisis y Programación

- Analista de Software

- Biblioteca de archivos magnéticos

- Operación

- Control

- Controles Programados

- Validación de información de entrada, fechas, códigos existentes, fórmulas de dígitos de control 1-2-1, 1-3-1, etc.

- Procesamiento

Macromodelo del Desarrollo del SoftwareMacromodelo del Desarrollo del Software

Organigrama “ideal” de una Gerencia de SistemasOrganigrama “ideal” de una Gerencia de Sistemas

SOFTWARESOFTWARE

Confiabilidad y ErrorConfiabilidad y Error

Confiabilidad del Software:Confiabilidad del Software: es la probabilidad que el mismo se comportará dentro de un lapso determinado sin fallas, ponderada por el costo que representará para el usuario cada falla producida.

Error del Software:Error del Software: un error de software se presenta cuando el mismo no realiza algo que coincida con las expectativas razonables del usuario. Una falla de software es una consecuencia de un error del software.

Confiabilidad del SoftwareConfiabilidad del Software

DISEÑODISEÑO

A)A) ACCIONES PREVENTIVASACCIONES PREVENTIVAS

1 – Minimización de la complejidad.

2 – Mayor precisión.

3 – Mejorar la transmisión de información.

4 – Detección y corrección de errores en cada etapa del diseño.

B) DETECCIÓN DE ERRORESB) DETECCIÓN DE ERRORES

C) CORRECCIÓN DE ERRORESC) CORRECCIÓN DE ERRORES

D) TOLERANCIA DE ERRORESD) TOLERANCIA DE ERRORES

El Problema del TriánguloEl Problema del Triángulo

Al programa ingresan tres números enteros que representan las dimensiones de los lados de un triángulo. El programa examina la

información de entrada e imprime un mensaje indicando si se trata de un triángulo escaleno, isósceles o equilátero.

Consigna:

-Desarrollar los datos de prueba a efectos de probar adecuadamente el programa.

-Según su criterio, el programa, está libre de errores?

El Programa del TriánguloEl Programa del Triángulo

Los Problemas del SoftwareLos Problemas del Software

La Prueba del La Prueba del SoftwareSoftware

Definición 1: La prueba consiste en el proceso de confirmar que un programa es correcto. Consiste en la demostración que no existen errores.

Definición 2: Prueba es el proceso de ejecución de un programa con la intención de hallar errores.

Datos de PruebaDatos de Prueba

Definición:Definición: El conjunto de datos de prueba consiste en un lote de transacciones preparadas por el autidor, procesadas mediante el empleo de los programas de aplicaciones de la entidad, con la finalidad de verificar el funcionamiento efectivo de los controles programados previstos.

Planificación de la Prueba

- Establecer los pasos a seguir.

- Orientar y supervisar a los colaboradores encargados de la ejecución del plan.

D) Observación

E) Reejecución del procesamiento

* Manual

* Lotes de prueba

* Instalaciones de prueba integrada o “Minicompañía”

* Técnicas de “pistas de transacciones”

* Simulación en paralelo

* Comparación de programas


TÉCNICASTÉCNICASA) Diagrama

B) Tablas de Decisión

Ejemplo: Reserva de un pasaje de avión

El viajero se presenta en el mostrador de Aerolíneas Argentinas y solicita un pasaje para viajar a la ciudad de Nueva York. Si requiere un pasaje de primera clase y hay plazas disponibles para el vuelo deseado se le vende el pasaje de primera clase. En el caso de no resultar posible lo anterior por hallarse reservados todos los pasajes de primera clase, se le interroga si aceptaría un pasaje en clase turística, caso de disponerse de tal plaza; obviamente, de contestar afirmativamente, se le vende el pasaje de clase turística. Puede ocurrir que no acepte cambiar de clase, o que todos los asientes de clase turística estén reservados, en cuyo caso se lo registra en lista de espera de primera clase.

Si el viajero requiere un pasaje de clase turística y hay plaza disponible se le vende un pasaje de esa clase; caso contrario se le interroga si está dispuesto a adquirir un pasaje de primera clase; de no ser así, se lo ubica en lista de espera de la clase turística.

Ejemplo de la Tabla de Decisión de la Venta del Pasaje de AviónEjemplo de la Tabla de Decisión de la Venta del Pasaje de Avión

Esquema General de la aplicación del “Conjunto de Datos de Prueba”Esquema General de la aplicación del “Conjunto de Datos de Prueba”


GUÍA PRÁCTICA NO EXCLUYENTEGUÍA PRÁCTICA NO EXCLUYENTE

• Verificación de caracteres numéricos, alfabéticos y especiales

• Comprobación de validez (fechas no válidas, códigos inexistentes)

• Overflow

• Límites

• Verificación de totales

• Incluir condiciones lógicas

Esquema General de la Esquema General de la Prueba de un ProgramaPrueba de un Programa

Pr og r ama

A Ser Probado

Información de entrada (X, Y)

Información de salida (Z)

AXIOMAS DE MYERSAXIOMAS DE MYERS

Un buen conjunto de datos de prueba es el que posee una gran probabilidad de detectar un error no descubierto, no aquel que muestra que el programa se comporta correctamente.

Uno de los problemas más difíciles con que se tropieza en una prueba es saber cuándo detenerse.

Es imposible que usted pruebe su propio programa.

La descripción de la información de salida o de los resultados esperados, es un elemento imprescindible de todo conjunto de datos de prueba.

Evite las pruebas no repetibles o reproducibles.

Desarrolle datos de prueba que contengan información de entrada relativa a condiciones válidas o inválidas.

Examine y revise cuidadosamente los resultados de cada prueba.

Con el incremento del número de errores encontrados en un programa, aumenta igualmente la probabilidad de la existencia de errores no descubiertos.

Asigne la tarea de prueba a los programadores con mayor creatividad.

Asegúrese que se hallan contemplado en el diseño y estructura del programa, las facilidades para una prueba adecuada.

El diseño del sistema debería contemplar y asegurar que cada módulo sea integrado con el sistema una sola vez.

No altere nunca el programa para que la prueba resulte más fácil.

La prueba, como cualquier otra actividad, debe comenzar con el establecimiento de los objetivos pertinentes.

AUDITORÍA DE LA INFORMACIÓN AUDITORÍA DE LA INFORMACIÓN

PROCESADA POR EL SISTEMAPROCESADA POR EL SISTEMA

Empleo del computador para la obtención de “evidencia” necesaria

- LISTADOS DISPONIBLES

- MEDIOS MAGNÉTICOS

- PANTALLAS DE TRABAJO

PAQUETES DE AUDITORÍAPAQUETES DE AUDITORÍA

Generalized Audit Software (G.A.S.)

Definición:Definición:

Consiste en un programa o una serie de programas de computación, desarrollados para llevar a cabo ciertas funciones de procesamiento electrónico con finalidades de auditoría. Dichas funciones incluyen, normalmente, la lectura de la información contenida en medios magnéticos, selección de datos, realización de cálculos, e impresión de listados de acuerdo con las especificaciones del auditor.


Limitaciones de un G.A.S.

•Permiten una post – auditoría del sistema.Permiten una post – auditoría del sistema.

•No compatibilidad de Hardware – Software.No compatibilidad de Hardware – Software.

•No determinan la propensión del error de los sistemas.No determinan la propensión del error de los sistemas.

•En el caso de estructuras complejas de datos, la extracción de En el caso de estructuras complejas de datos, la extracción de la información se complica.la información se complica.

•Etc.Etc.


Funciones Típicas de un G.A.S.

-Creación de un Archivo de Trabajo de auditoría.Creación de un Archivo de Trabajo de auditoría.

-Actualización de un Archivo de Trabajo.Actualización de un Archivo de Trabajo.

-Resumen de registro de trabajo.Resumen de registro de trabajo.

-Clasificación del Archivo de Trabajo.Clasificación del Archivo de Trabajo.

-Cálculo de un Archivo de Trabajo.Cálculo de un Archivo de Trabajo.

-Impresión de un Archivo de Trabajo.Impresión de un Archivo de Trabajo.

-Grabación de un Archivo de Trabajo.Grabación de un Archivo de Trabajo.

-Borrado de un Archivo de Trabajo.Borrado de un Archivo de Trabajo.

Auditoría de la información procesada por el sistema

Obtención de elementos de prueba válidos y suficientes

1 – Confirmación

2 – Comparación

3 – Razonabilidad

Un Ejemplo clásico de empleo de la computadora por parte del Auditor para la obtención de la Un Ejemplo clásico de empleo de la computadora por parte del Auditor para la obtención de la evidencia comprobatoria válida y suficiente, mediante el desarrollo de un programa especialevidencia comprobatoria válida y suficiente, mediante el desarrollo de un programa especial

Características Características Fundamentales de un Fundamentales de un programa de Auditoríaprograma de Auditoría

Sencillez

Diseño de archivos realizado por el Centro de Cómputos

Análisis del contenido del archivo

No es necesario utilizar el mismo lenguaje que el programa auditado.

•Desastres naturalesDesastres naturales

•Errores u omisiones humanosErrores u omisiones humanos

•Actos intencionalesActos intencionales

SEGURIDAD DE LOS SISTEMAS DE SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓNINFORMACIÓN

FINALIDADES DE LA SEGURIDADFINALIDADES DE LA SEGURIDAD

EvitarEvitar DisuadirDisuadir PrevenirPrevenir DetectarDetectar Recuperar Recuperar y Corregiry Corregir

Sistemas de InformaciónSistemas de Información

Seguridad FísicaSeguridad Física

Riesgo de IncendioRiesgo de Incendio

* Ubicación física* Ubicación física

* Disposición física* Disposición física

* Protección contra incendios* Protección contra incendios

* Biblioteca* Biblioteca

Interferencias de Señales de RadarInterferencias de Señales de Radar

* En el procesamiento electrónico* En el procesamiento electrónico

* En los circuitos lógicos* En los circuitos lógicos

Boletín Oficial Nº 27.825 (1º Sección)

PROPIEDAD INTELECTUAL. DECRETO 165/94

Delito InformáticoDelito Informático

Perfil del Delincuente InformáticoPerfil del Delincuente Informático

• Finalidad: satisfacción de necesidades urgentesFinalidad: satisfacción de necesidades urgentes

• Sin antecedentesSin antecedentes

• Más hombres que mujeresMás hombres que mujeres

• Edad: entre 18 a 30 añosEdad: entre 18 a 30 años

• Factores coadyuvantesFactores coadyuvantes

• No son delincuentes comunesNo son delincuentes comunes

• Conocimientos especializadosConocimientos especializados

• Síndrome de Robin HoodSíndrome de Robin Hood

• Escrupulosos en cuanto a los damnificadosEscrupulosos en cuanto a los damnificados

• Objeto de ataque: La EntidadObjeto de ataque: La Entidad

• Desafío a su inteligenciaDesafío a su inteligencia

Propiedad Intelectual Decreto 165/94Propiedad Intelectual Decreto 165/94

SOFTWARE Y BASES DE DATOSSOFTWARE Y BASES DE DATOS

• Diseño del Software

• Global

• Detallado

• Programas

• Códigos Fuentes

• Códigos Objetos

• Documentación

• Bases de Datos

Papeles de Trabajo del AuditorPapeles de Trabajo del Auditor

Relevamiento y evaluación del SCIERelevamiento y evaluación del SCIE

1.1. Información extraída de los manuales del equipo sobre los Información extraída de los manuales del equipo sobre los controles de Hardware y Software de Basecontroles de Hardware y Software de Base

2.2. OrganigramaOrganigrama

3.3. Descripciones narrativas, diagramas, etc. del flujo de la Descripciones narrativas, diagramas, etc. del flujo de la información contableinformación contable

4.4. Explicaciones de los diversos controles existentes en el sistemaExplicaciones de los diversos controles existentes en el sistema

5.5. Detalle y diseño de los archivos maestros más significativosDetalle y diseño de los archivos maestros más significativos

6.6. Documentación y análisis de las pruebas de procedimientos Documentación y análisis de las pruebas de procedimientos llevadas a cabollevadas a cabo

7.7. Modelos de formularios e impresos de computadoraModelos de formularios e impresos de computadora

8.8. Resúmenes de entrevistas mantenidas con el personalResúmenes de entrevistas mantenidas con el personal

9.9. Conclusiones acerca del grado de confiabilidad del SCIConclusiones acerca del grado de confiabilidad del SCI

PRE – AUDITORÍA DE LOS S.I.PRE – AUDITORÍA DE LOS S.I.

Etapa de DiseñoEtapa de Diseño

Revisión de los objetivos del sistema propuestoRevisión de los objetivos del sistema propuesto

Determinar el impacto del sistema sobre el régimen Determinar el impacto del sistema sobre el régimen contablecontable

Documentación adecuada del sistemaDocumentación adecuada del sistema

Determinar la “filosofía” de control del sistemaDeterminar la “filosofía” de control del sistema

Identificar las pistas de auditoría del sistemaIdentificar las pistas de auditoría del sistema

Determinar la naturaleza de la evidencia que para auditoría Determinar la naturaleza de la evidencia que para auditoría dejarán las transacciones procesadasdejarán las transacciones procesadas

Examinar los procedimientos de programación y prueba a Examinar los procedimientos de programación y prueba a seguirseseguirse

Revisión de los procedimientos y controles propuestos Revisión de los procedimientos y controles propuestos para la etapa de conversión del sistemapara la etapa de conversión del sistema

Determinar la naturaleza de cualquier programación Determinar la naturaleza de cualquier programación especial con finalidades de auditoríaespecial con finalidades de auditoría

PAPELES DE TRABAJO DEL AUDITORPAPELES DE TRABAJO DEL AUDITOR

Obtención de elementos de juicio válidos y suficientesObtención de elementos de juicio válidos y suficientes

• Programas especiales de auditoría:

• Documentación completa del programa

• Fechas de utilización y archivos maestros utilizados

• Programas utilitarios – programas producto:

• Detalle y descripción de los programas utilizados

• Fechas de procesamiento

• Archivos maestros empleados

• “Paquetes” de auditoría (G.A.S.)

• Descripción general del G.A.S.

• Fechas de utilización

• Diagrama general de cada aplicación planeada

• Hojas de codificación confeccionadas

• Pruebas de la aplicación

• Archivos maestros empleados

• Para cada una de las tres variantes anteriores, incluir:

• Listados de computadora

• Resultados del procesamiento

• Seguimiento de las excepciones encontradas

Auto-Evaluación

sistemas de informacion presentacion

Technology