15042015 00858ejemplo edr controlacceso proyectos
DESCRIPTION
AuditoriaTRANSCRIPT
Auditoria y Justificaciones Administrativas – Máster Universitario de Diseño y Gestión de Proyectos Tecnológicos UNIR
Ejemplo de EDR basado en ISO 27002
RIESGOS OBJETIVO DE CONTROL CONTROL PRUEBA DE CUMPLIMIENTO PRUEBA SUSTANTIVA
R1.
Acceso no
autorizado a
sistemas y
aplicaciones.
Garantizar el acceso de
usuarios autorizados y
evitar el acceso no
autorizado a los sistemas
y servicios.
Procedimiento
de Altas y
Bajas de
Usuario
1. Comprobar que existe un procedimiento de
altas/bajas de usuarios
2. Seleccionar varios usuarios de cada área a los
que se les haya dado de alta recientemente
3. Seleccionar varios usuarios de cada área a los
que se les haya dado de baja recientemente.
- Ampliar muestra de usuarios dados de
alta en cada área.
- Ampliar muestra de usuarios dados de
baja en cada área.
Procedimiento
para la
Restricción de
Acceso a la
información
1. Comprobar que existen definiciones de perfiles de
usuarios por áreas.
2. Verificar en Base de Datos, Directorio Activo
(LDAP) o RACF que un usuario tiene el acceso
necesario a los sistemas de información
- Ampliar muestra de usuarios que tengan
el acceso correctamente definido
Procedimiento
de gestión de
Contraseñas
1. Comprobar que existe un procedimiento que
defina la longitud y robustez de las password de
usuario
2. Verificar en Base de Datos, Directorio Activo, etc.
que varios usuarios cumplen con la definición de
password.
- Ampliar muestra de usuarios que tengan
el acceso correctamente definido
Auditoria y Justificaciones Administrativas – Máster Universitario de Diseño y Gestión de Proyectos Tecnológicos UNIR
R2.
Ataques e intrusión
a redes corporativas
Asegurar la protección de
la información en las
redes y los servicios de
soporte de tratamiento de
la información.
Procedimiento
de protección
de red
(firewall, IDS).
Procedimiento
de
configuración
(setup) de
firewalls e IDS.
Procedimiento
de
mantenimiento
de firewalls e
IDS..
Procedimiento
de
monitorización
firewall e IDS
1. Comprobar que existe un procedimiento que
configuración (setup), mantenimiento y
monitorización de los firewall, IDS, etc.
2. Comprobar que se implantado las políticas de
filtrado adecuadas para el firewall
3. Comprobar que los IDS tienen actualizados los
ficheros de firmas y/o reglas de acceso.