Metodologa de la Auditoria en Informtica.

Metodologa es una secuencia de pasos lgica y ordenada de proceder para llegar a un resultado. Generalmente existen diversas formas de obtener un resultado determinado, y de esto se deriva la existencia de varias metodologas para llevar a cabo una auditoria informtica. El contenido de este documento tratara en forma general las mismas, as como de manera particular CRMR (Computer Resource Management Review) El objetivo del trabajo prctico se divide en dos partes. En primer lugar, describir las metodologas de auditora informtica en forma general. En segundo lugar profundizar sobre una metodologa en particular, CRMR. En la primera parte se darn a conocer los puntos o fases que toda auditora debe tener en cuenta. En la segunda parte se har un estudio de la metodologa elegida para corroborar las conclusiones obtenidas en la primera parte de la investigacin. El trabajo constar con el anlisis detallado de tan solo una metodologa, la misma debe ser usada extensamente y estar disponible para su estudio.

Etapas de la Metodologa.

El mtodo de trabajo del auditor pasa por las siguientes etapas:

Alcance y Objetivos de la Auditora Informtica Estudio inicial del entorno auditable

Determinacin de los recursos necesarios para realizar la auditora Elaboracin del plan y de los Programas de Trabajo Actividades propiamente dichas de la auditora Confeccin y redaccin del Informe Final Redaccin de la Carta de Introduccin Presentacin del Informe final o Carta de

Definicin de alcances y Objetivos

El alcance de la auditora expresa los lmites de la misma. Debe existir un acuerdo muy preciso entre auditores y clientes sobre las funciones, las materias y las organizaciones a auditar. A los efectos de acotar el trabajo, resulta muy beneficioso para ambas partes expresar las excepciones de alcance de la auditora, es decir cuales materias, funciones u organizaciones no van a ser auditadas. Tanto los alcances como las excepciones deben figurar al comienzo del Informe Final. Las personas que realizan la auditora han de conocer con la mayor exactitud posible los objetivos a los que su tarea debe llegar. Deben comprender los deseos y pretensiones del cliente, de forma que las metas fijadas puedan ser cumplidas. Una vez definidos los objetivos (objetivos especficos), stos se aadirn a los objetivos generales y comunes de a toda auditora Informtica: La operatividad de los Sistemas y los Controles Generales de Gestin Informtica.

Estudio Inicial

Para realizar dicho estudio ha de examinarse las funciones y actividades generales de la informtica. Para su realizacin el auditor debe conocer lo siguiente: Organizacin: Para el equipo auditor, el conocimiento de quin ordena, quin disea y quin ejecuta es fundamental. Para realizar esto en auditor deber fijarse en: 1) Organigrama: El organigrama expresa la estructura oficial de la organizacin a auditar. Si se descubriera que existe un organigrama fctico diferente al oficial, se pondr de manifiesto tal circunstancia. 2) Departamentos: Se entiende como departamento a los rganos que siguen inmediatamente a la Direccin. El equipo auditor describir brevemente las funciones de cada uno de ellos. 3) Relaciones Jerrquicas y funcionales entre rganos de la Organizacin: El equipo auditor verificar si se cumplen las relaciones funcionales y Jerrquicas previstas por el organigrama, o por el contrario detectar, por ejemplo, si algn empleado tiene dos jefes. Las de Jerarqua implican la correspondiente subordinacin. Las funcionales por el contrario, indican relaciones no estrictamente subordinables. 4) Flujos de Informacin: Adems de las corrientes verticales intradepartamentales, la estructura organizativa cualquiera que sea, produce corrientes de informacin horizontales y oblicuas extradepartamentales.

Los flujos de informacin entre los grupos de una organizacin son necesarios para su eficiente gestin, siempre y cuando tales corrientes no distorsionen el propio organigrama. En ocasiones, las organizaciones crean espontneamente canales alternativos de informacin, sin los cuales las funciones no podran ejercerse con eficacia; estos canales alternativos se producen porque hay pequeos o grandes fallos en la estructura y en el organigrama que los representa. Otras veces, la aparicin de flujos de informacin no previstos obedece a afinidades personales o simple comodidad. Estos flujos de informacin son indeseables y producen graves perturbaciones en la organizacin. 5) Nmero de Puestos de trabajo El equipo auditor comprobar que los nombres de los Puesto de los Puestos de Trabajo de la organizacin corresponden a las funciones reales distintas. Es frecuente que bajo nombres diferentes se realicen funciones idnticas, lo cual indica la existencia de funciones operativas redundantes. Esta situacin pone de manifiesto deficiencias estructurales; los auditores darn a conocer tal circunstancia y expresarn el nmero de puestos de trabajo verdaderamente diferentes. 6) Nmero de personas por Puesto de Trabajo Es un parmetro que los auditores informticos deben considerar. La inadecuacin del personal determina que el nmero de personas que realizan las mismas funciones rara vez coincida con la estructura oficial de la organizacin.

Entorno Operacional

El equipo de auditora informtica debe poseer una adecuada referencia del entorno en el que va a desenvolverse. Este conocimiento previo se logra fundamentalmente, los siguientes extremos: a. Situacin geogrfica de los Sistemas: determinando,

Se determinar la ubicacin geogrfica de los distintos Centros de Proceso de Datos en la empresa. A continuacin, se verificar la existencia de responsables en cada unos de ellos, as como el uso de los mismos estndares de trabajo. b. Arquitectura y configuracin de Hardware y Software:

Cuando existen varios equipos, es fundamental la configuracin elegida para cada uno de ellos, ya que los mismos deben constituir un sistema compatible e intercomunicado. La configuracin de los sistemas esta muy ligada a las polticas de seguridad lgica de las compaas. Los auditores, en su estudio inicial, deben tener en su poder la distribucin e interconexin de los equipos. c. Inventario de Hardware y Software:

El auditor recabar informacin escrita, en donde figuren todos los elementos fsicos y lgicos de la instalacin. En cuanto a Hardware figurarn las CPUs, unidades de control local y remotas, perifricos de todo tipo, etc. El inventario de software debe contener todos los productos lgicos del Sistema, desde el software bsico hasta los programas de utilidad adquiridos o desarrollados internamente. Suele ser habitual clasificarlos en facturables y no facturables. d. Comunicacin y Redes de Comunicacin:

En el estudio inicial los auditores dispondrn del nmero, situacin y caractersticas principales de las lneas, as como de los accesos a la red pblica de comunicaciones. Igualmente, poseern informacin de las Redes Locales de la Empresa. Aplicaciones bases de datos y ficheros El estudio inicial que han de realizar los auditores se cierra y culmina con una idea general de los procesos informticos realizados en la empresa auditada. Para ello debern conocer lo siguiente: a. Volumen, antigedad y complejidad de las Aplicaciones b. Metodologa del Diseo Se clasificar globalmente la existencia total o parcial de metodologa en el desarrollo de las aplicaciones. Si se han utilizados varias a lo largo del tiempo se pondr de manifiesto. c. Documentacin La existencia de una adecuada documentacin de las aplicaciones proporciona beneficios tangibles e inmediatos muy importantes. La documentacin de programas disminuye gravemente el mantenimiento de los mismos. d. Cantidad y complejidad de Bases de Datos y Ficheros. El auditor recabar informacin de tamao y caractersticas de las Bases de Datos, clasificndolas en relacin y jerarquas. Hallar un promedio de nmero de accesos a ellas por hora o das. Esta operacin se repetir con los ficheros, as como la frecuencia de actualizaciones de los mismos. Estos datos proporcionan una visin aceptable de las caractersticas de la carga informtica.

Actividades de la Auditoria en Informtica

Auditora por temas generales o por reas especficas: La auditora Informtica general se realiza por reas generales o por reas especficas. Si se examina por grandes temas, resulta evidente la mayor calidad y el empleo de ms tiempo total y mayores recursos. Cuando la auditora se realiza por reas especficas, se abarcan de una vez todas las peculiaridades que afectan a la misma, de forma que el resultado se obtiene ms rpidamente y con menor calidad. Tcnicas de Trabajo: Anlisis de la informacin recabada del auditado Anlisis de la informacin propia Cruzamiento de las informaciones anteriores Entrevistas Simulacin Muestreos Herramientas: Cuestionario general inicial Cuestionario Checklist Estndares Monitores Simuladores (Generadores de datos) Paquetes de auditora (Generadores de Programas) Matrices de riesgo