manual administración de centros de computo
Post on 21-Dec-2015
33 Views
Preview:
DESCRIPTION
TRANSCRIPT
ADMINISTRACIÓN DE LOS CENTROS DE CÓMPUTO Misión de un CC, planeación y Niveles de Planeación En este documento encontrarás los conceptos básicos de administración; mismos que podrás aplicar a la administración de centros de cómputo. LI. Yadira Rojas Mata Semestre 108 – 09
CONALEP 252
Febrero
Junio
2014
Admón. y Auditoría de
Centros de Datos
Manual
L.I. Teresa Suárez Reyes
INFORMÁTICA
2
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
CONTENIDO
Temas
U N I D A D I Administración del centro de cómputo o datos
A. Planeación de las actividades.
B. Distribución de instalaciones y ubicación física.
C. Identificación del entorno de un centro de cómputo.
D. Descripción de puestos
E. Adquisición de Software.
F. Adquisición de Hardware
G. Obtención de permisos y licencias.
U N I D A D I I Auditoría del centro de cómputo o datos.
A. Identificación del entorno de auditoría.
B. Manejo de controles
C. Evaluación de plan de contingencias informáticas.
D. Identificación de revisiones de auditoría.
E. Uso de herramientas para auditoría informática.
F. Aplicación de la metodología de auditoría
3. Conclusión 4.- Bibliografía
3
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
OBJETIVO GENERAL
Aplicar el proceso administrativo y auditoría a centros de datos o de
cómputo mediante la planeación de actividades, organización de recursos, y
evaluación de acciones para brindar un óptimo servicio en los procesos
automatizados de información de una entidad.
4
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
INTRODUCCIÓN
El presente material contiene información acerca de los centros de computo, del los
departamentos que pueden o deben componer un centro de computo, de las funciones que
cada uno de ellos deberán realizar, así como del perfil profesional que deberán tener las
personas que en determinado momento puedan ocupar esos puestos. También contiene
información acerca de las normas que rigen las leyes de derechos de autor, garantías y
restricciones acerca del uso de el hardware y el software., así como la información acerca
de los principales problemas que se pudieran presentar en un centro de computo
5
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
UNIDAD 1
A d m i n i s t r a c i ó n d e l c e n t r o d e c ó m p u t o o d a t o s
Objetivo particular: Administrará los recursos materiales, humanos y financieros, así como
las actividades de un centro de cómputo o datos con base en la aplicación de las fases de planeación
y organización del proceso administrativo que conlleven a la operación óptima del mismo.
1.1.1 Realiza un plan de actividades de centro de cómputo o datos:
Objetivo específico: Realiza la planeación de las actividades del centro de cómputo de acuerdo
con las necesidades organizacionales, estrategias a seguir y manejo de información.
A D M I N I S T R A C I Ó N D E L O S C E N T R O S D E C Ó M P U T O
Misión de un centro de cómputo:
La computadora como herramienta de solución para problemas de cálculo de operaciones,
investigación de procesos, enseñanza, etc. establece las bases para determinar el objetivo de un
centro de cómputo, como es el de prestar servicios a diferentes áreas de una organización ya sea
dentro de la misma empresa, o bien fuera de ella, tales como: producción, control de operaciones,
captura de datos, programación, dibujo, biblioteca, etc. Los diversos servicios que puede prestar un
centro de cómputo, pueden dividirse en departamentos a áreas específicas de trabajo.
Planeación:
Algunas definiciones de la planeación como parte de su significado pueden ser:
Proceso por el cuál se obtiene una visión del futuro, en donde es posible determinar y lograr
los objetivos, mediante la elección de un curso de acción.
Proceso que permite la identificación de oportunidades de mejoramiento en la operación de
la organización con base en la técnica, así como el establecimiento formal de planes o
proyectos para el aprovechamiento integral de dichas oportunidades.
Es la función que tiene por objetivo fijar el curso concreto de acción que ha de seguirse,
estableciendo los principios que habrán de orientarlo, la secuencia de operaciones para
realizarlo y las determinaciones de tiempo y números necesarios para su realización.
6
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
"Hacer que ocurran cosas que de otro modo no habrían ocurrido". Esto equivale a trazar los
planes para fijar dentro de ellos nuestra futura acción.
Determinación racional de adónde queremos ir y cómo llegar allá
Niveles de Planeación:
La planeación considerada como uno de los principales elementos del proceso administrativo, es de
fundamental importancia dentro de la estructuración de un Centro de Cómputo; como tal
considera los siguientes niveles:
Planeación estratégica.- Se refiere a las estrategias a seguir en la construcción del
Centro de Cómputo. ¿Por que construirlo?. Cuando se responde a este cuestionamiento,
pueden inferirse los caminos a seguir para la construcción del mismo.
Planeación de recursos.- Dentro de este ámbito deben considerarse los recursos
económicos que va a requerir la construcción del Centro de Cómputo. ¿Cuanto dinero se va
a ocupar?
Planeación Operativa.- ¿Cómo va a funcionar el Centro de Cómputo?, ¿Qué Software
será necesario?. ¿Que cantidad de personal será necesaria?, etc.
Planeación de personal.- ¿Quienes van a operar al Centro de Cómputo?, ¿Cuáles serán
sus funciones?, ¿Qué cantidad de personal será necesaria?, etc.
Planeación de instalaciones físicas.- ¿En donde estará ubicado el Centro de
Cómputo?, ¿Cuántas secciones será necesario construir?, ¿En donde se colocará el centro de
carga?, ¿En donde serán ubicados los servidores o la macrocomputadora?, ¿Que
condiciones de ventilación serán necesarias?, etc.
Planeación de recursos:
La planeación de recursos en para un centro de cómputo es aquella que establece los objetivos y
determina un curso de acción a seguir, de los siguientes elementos:
Instalaciones: Edificios y acondicionamiento del mismo, plantas de emergencia,
dispositivos de seguridad, etc.
Equipo: Equipo de cómputo necesario para su funcionamiento, periféricos, etc.
7
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Materiales de producción: Materias primas para su funcionamiento, así como materiales
directos e indirectos.
Planeación operativa:
La planeación operativa de un centro de cómputo consiste en realizar un detallado análisis de
necesidades de la empresa y definir en base a estas necesidades una plataforma tecnológica con
una infraestructura en hardware, software, personal operativo, etc. que soporte las operaciones de
la empresa y se utilice como el medio de procesamiento de información.
Fuerza:
El surgimiento y desarrollo de todo tipo de organismos así como la multiplicidad de relaciones
entre ello, han dado lugar a la existencia de diferentes tipos de administración que a veces hacen
confusas su clasificación. Sin embargo, la clasificación mas común es aquella, que atiende al sector
económico
UNIDAD DE MANDO: Una sola persona debe de mandar a todos los Subordinados.
AUTORIDAD: Toda empresa debe de tener una persona que los dirija.
UNIDAD DE DIRECCIÓN: Un programa para cada actividad.
CENTRALIZACIÓN: Todas las actividades deben ser manejadas por una sola persona.
NOTA: Actualmente encontramos que debido a las estructuras esto no resulta muy funcional para
las empresas.
Eficiencia de Planes:
La eficiencia de un plan se mide por su contribución al propósito y al los objetivos que se
persiguen, equilibrado por los costos y otros factores que se requieren para formularlo y operarlo.
Un plan puede facilitar la consecución de los objetivos, pero a un costo excesivamente elevado. Los
planes son eficientes si logran su propósito a un costo razonable, cuando el costo se mide no sólo en
8
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
términos del tiempo, dinero o producción sino también por el grado de satisfacción individual y de
grupo.
Flexibilidad en la planeación:
Un programa de planificación y control de utilidades (o de otro instrumento de la administración)
no debe dominar a un negocio. Cuando se pongan en práctica los planes, debe existir una política
"suprema" y absoluta de la administración de modo que no puedan imponérseles y que sean
aprovechadas todas las oportunidades favorables aún cuando no estén incluidas en el presupuesto.
Un programa de planificación y control de utilidades aplicado sobre una base bien informada
permite mayor libertad en todos los niveles de la administración. Es posible este efecto porque
todos los niveles de la administración son comprometidos en el proceso de toma de decisiones al
estar desarrollándose los planes.
Este plan coloca a la administración en la posición de poder evaluar, sobre una base más objetiva.
En las áreas de control la flexibilidad es particularmente importante. No deben interpretarse con
rigidez los presupuestos de gastos y costos. El presupuesto no debe coartar las decisiones
racionales que hayan de tomarse en relación con los gastos simplemente porque no se previó un
desembolso.
Planeación:
Para planear eficientemente es necesario tomar en cuenta los siguientes principios:
Factibilidad.- Lo que se planee debe ser realizable
Objetividad y cuantificación.- Cuando se planea es necesario basarse en datos reales y nunca
en especulaciones u opiniones. La planeación será mas confiable en cuanto pueda ser cuantificada
o sea, expresa en tiempo, dinero, cantidades y especificaciones (porcentajes, unidades, volumen)
Flexibilidad.- Al elaborar un plan este debe de afrontar situaciones imprevistas, y que
proporcionen nuevos cursos de acción que se ajusten fácilmente a las condiciones
9
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Unidad.- Todos los planes específicos deben integrarse a un plan general y dirigirse a logros de los
propósitos y objetivos generales
Del cambio de estrategias.- Cuando un plan se extiende en relación al tiempo, será necesario
rehacerlo completamente
Etapas de la Planeación:
Propósitos: Son las aspiraciones fundamentales o finalidades de tipo cualitativo que persiguen en
forma permanente o semipermanente, un grupo social. Son los fines a los que se quiere llegar.
Investigación: Consiste en determinar todos los factores que influyen en el logro de los
propósitos, así de los medios óptimos para conseguirlos.
Premisas: Son suposiciones que se deben considerar ante aquellas circunstancias o condiciones
futuras que afectarán el curso en que va a desarrollarse el plan.
Objetivos: Presentan los resultados que el Centro de Cómputo espera obtener, son fines por
alcanzar, establecidos cuantitativamente y determinados para realizarse transcurrido un tiempo
específico.
Estrategias: Son cursos de acción general o alternativas que muestran la dirección y el empleo
general de los recursos y esfuerzos, para lograr los objetivos en las condiciones más ventajosas.
Políticas: Son guías para orientar la acción, son criterios, lineamientos generales a observar en la
toma de decisiones, sobre problemas que se repiten una y otra vez.
Programas: Es un esquema donde se establece la secuencia de actividades específicas que
habrán de realizarse para alcanzar los objetivos, y el tiempo requerido para efectuar cada una de
sus partes y todos aquellos eventos involucrados.
Presupuestos: Los presupuestos son un elemento indispensable al planear, ya que a través de
ellos se proyectan, en forma cuantificada, los elementos que se necesitan para cumplir con los
objetivos.
10
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Un presupuesto es un esquema escrito de tipo general y/o específico, que determina por
anticipado, en término cuantitativo (monetario y/o no monetario). Es un plan de todas o algunas
de las fases de actividades del Centro de Cómputo expresado en términos económicos.
Procedimientos: Establecen el orden cronológico y la secuencia de actividades que deben
seguirse en la realización de un trabajo repetitivo.
Planeación del personal:
En esta etapa de la planeación, el administrador de centros de cómputo debe seleccionar al
personal que se requiere para la operación del centro de sistemas de acuerdo con su perfil
profesional, su preparación y su experiencia en el ámbito laboral.
Una de las partes más importantes dentro de la planeación de la auditoría en informática es el
personal que deberá participar y sus características.
Unos de los esquemas generalmente aceptados para tener un adecuado control es que el personal
que intervenga esté debidamente capacitado, con alto sentido de moralidad, al cuál se le exija la
optimización de recursos (eficiencia) y se le retribuya o compense justamente por su trabajo.
Con estas bases se debe considerar las características de conocimientos, práctica profesional y
capacitación que debe tener el personal que intervendrá en la auditoría. En primer lugar se debe
pensar que hay personal asignado por la organización, con el suficiente nivel para poder coordinar
el desarrollo de la auditoría, proporcionar toda la información que se solicite y programar las
reuniones y entrevistas requeridas.
Este es un punto muy importante ya que, de no tener el apoyo de la alta dirección, ni contar con un
grupo multidisciplinario en el cuál estén presentes una o varias personas del área a auditoría es casi
imposible obtener información en el momento y con las características deseadas.
También se debe contar con personas asignadas por los usuarios para que en el momento que se
solicite información o bien se efectúe alguna entrevista de comprobación de hipótesis, nos
proporcionen aquello que se está solicitando, y complementen el grupo multidisciplinario, ya que
11
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
se debe analizar no sólo el punto de vista de la dirección de información, sino también el del
usuario del sistema.
Para completar el grupo, como colaboradores directos en la realización de la auditoría se deben
tener personas con las siguientes características:
Técnico en informática
Experiencia en el área de informática
Experiencia en operación y análisis de sistemas
Conocimientos de sistemas mas importantes
En caso de sistemas complejos se deberá contar con personal con conocimientos y experiencia en
áreas específicas como base de datos, redes, etc. Lo anterior no significa que una sola persona tenga
los conocimientos y experiencias señaladas, pero si debe intervenir una o varias personas con las
características apuntadas.
Descripción de puesto:
Código del Puesto Nombre del Puesto Misión del Puesto Objetivos específicos Funciones especificas por puesto Entorno operativo (relaciones con otros puestos ya sea dentro o fuera del departamento) Información que se genera
Perfil de puesto:
Escolaridad (Nivel de estudios y grado de avance) Áreas del conocimiento que maneja. Experiencia laboral (empresa, tiempo de trabajo, puesto, funciones) Condiciones de trabajo (ergonómicas, turno, horario, condiciones de estrés) Capacidades gerenciales (visión estratégica, liderazgo, Orientación a resultados, trabajo en
equipo, negociación) nivel de dominio. Capacidades técnicas (Deberán ser acordes al departamento donde se asigne el puesto)
P l a n e a c i ó n d e i n s t a l a c i o n e s f í s i c a s
Esta etapa de la planeación se refiere a todo lo que tiene que ver con el equipo que se debe de
utilizar y debe de estar contenido en el centro de cómputo.
12
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
La ubicación física e instalación de un Centro de Cómputo en una empresa depende de muchos
factores, entre los que podemos citar: el tamaño de la empresa, el servicio que se pretende obtener,
las disponibilidades de espacio físico existente o proyectado, etc.
Generalmente, la instalación física de un Centro de Cómputo exige tener en cuenta por lo menos
los siguientes puntos:
Local físico: Donde se analizará el espacio disponible, el acceso de equipos y personal,
instalaciones de suministro eléctrico, acondicionamiento térmico y elementos de seguridad
disponibles.
Espacio y movilidad: Características de las salas, altura, anchura, posición de las columnas,
posibilidades de movilidad de los equipos, suelo móvil o falso suelo, etc.
Iluminación: El sistema de iluminación debe ser apropiado para evitar reflejos en las pantallas,
falta de luz en determinados puntos, y se evitará la incidencia directa del sol sobre los equipos.
Tratamiento acústico: Los equipos ruidosos como las impresoras con impacto, equipos de aire
acondicionado o equipos sujetos a una gran vibración, deben estar en zonas donde tanto el ruido
como la vibración se encuentren amortiguados.
Seguridad física del local: Se estudiará el sistema contra incendios, teniendo en cuenta que los
materiales sean incombustibles (pintura de las paredes, suelo, techo, mesas, estanterías, etc.).
También se estudiará la protección contra inundaciones y otros peligros físicos que puedan afectar
a la instalación.
Suministro eléctrico: El suministro eléctrico a un Centro de Cómputo, y en particular la
alimentación de los equipos, debe hacerse con unas condiciones especiales, como la utilización de
una línea independiente del resto de la instalación para evitar interferencias, con elementos de
protección y seguridad específicos y en muchos casos con sistemas de alimentación ininterrumpida
(equipos electrógenos, instalación de baterías, etc.).
Los principales requisitos de un centro de sistemas son:
Conexión a tierra física
13
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
No Break (Baterías o pilas)
Reguladores de corriente
Aire acondicionado
Extinguidores
Mobiliario
Etc.
Construcción de la tierra física
1. Sé deberá elegir un jardín o lugar en donde exista humedad, en caso contrario es necesario
colocar un ducto que aflore a la superficie para poder humedecer el fondo.
2. Hacer un pozo de 3 metros de profundidad y 70 centímetros de diámetro.
3. En el fondo se debe colocar una capa de 40 cm. De carbón mineral sobre la cual descansara una
varilla copperwel.
4. Encima del carbón se deberá agregar una capa de sal mineral de 5cm. Y otra de padecería de
aluminio y cobre de 40 cm. Cubriéndose después con tierra hasta superficie.
a) El tablero principal para el equipo del computador se debe proveer trifásico y con doble bus de
tierra, (5 hilos), uno par el neutro eléctrico y otro para proveer tierra física a las maquinas.
Como una medida de seguridad deberá instalarse en un lugar próximo a la puerta un control
para cortar la energía a todo el equipo de cómputo en cualquier situación de emergencia
(EMERGENCY POWER OFF). El espacio próximo al control de interruptores debe permanecer
libre de obstáculos para su fácil operación.
b) Se deberá tener tantos circuitos como maquinas estén indicadas que deben llevar conectivo,
esto es: la unidad central de proceso, impresoras, unidades de control de discos, cintas
comunicaciones, pantallas, etc., la protección de estos circuitos debe ser interruptor
termomagnético. Se deben tener circuitos extras para cubrir ampliaciones con las
características de los circuitos trifásicos y monofásicos. Todos los conductores electrónicos
hacia el centro de carga de la sala deben instalarse bajo tubería metálica rígida y de diámetro
adecuado, debidamente conectadas a tierra. Los circuitos de la unidad central de proceso,
impresoras, unidades de control de discos, cintas, comunicaciones, se debe rematar con
conectores tipo industrial a prueba de agua y explosión Rusell & Stoll o equivalente.
14
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
c) Al efectuarse los cálculos de la instalación eléctrica al tablero del equipo, los conductores,
reguladores de tensión, interruptores termomagnéticos, etc., se deben calcular teniendo en
cuenta la corriente de arranque de cada maquina, la cual generalmente es superior a la
nominal. Dicha corriente de arranque debe ser manejada sin inconvenientes, por todos los
elementos constructivos de la instalación. Se debe considerar una expansión del 50% como
mínimo.
Estatica
5. Una de las fallas más difíciles de detectar en los equipos es ocasionada por la electricidad
estática producida por la fricción entre dos materiales diferentes y la consiguiente descarga de
este potencial. Los materiales que son más propensos a producir estática son aquellos que están
hechos de resina, plásticos, fibras sintéticas. El simple hecho de arrastrar una silla sobre el piso
nos ocasionara que tanto la silla como la porción del piso sobre el que se arrastro queden
cargados de electricidad estática. Si aquella silla o esta persona son aproximadas a una mesa
metálica conectadas a tierra como los equipos de cómputo, ocasionara que se produzca una
descarga que puede ser o no sensible a una persona, pero si será sensible a los equipos de
cómputo.
6. Para reducir el tamaño al mínimo la estática, se recomienda las siguientes medidas:
a) Conectar a tierra física tanto el piso falso como todos los equipos existentes.
b) El cable para la tierra física deberá ser recubierto y del mismo calibre que el de las fases y el
neutro.
c) La humedad relativa deberá estar entre 45%+-5% para que las cargas estáticas sean menos
frecuentes.
d) Se recomienda usar cera antiestética en el piso.
e) Si existieran sillas con ruedas, se recomienda que estas sean metálicas.
Piso Falso:
Se debe tener en cuenta la resistencia para soportar el peso del equipo y del personal.
Es mejor usar placas metálicas o de madera prensada para el piso falso con soportes y
amarres de aluminio.
Sellado hermético
Nivelado topográfico
Posibilidad de realizar cambios en la ubicación de unidades
15
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Se debe cubrir los cables de comunicación entre la unidad central de proceso, los
dispositivos, las cajas de conexiones y cables de alimentación eléctrica.
La altura recomendable será de 18 a 30 cm. si el área del centro de procesamiento de datos
es de 100 metros cuadrados o menos, con objeto de que el aire acondicionado pueda fluir
adecuadamente.
Puertas de Acceso
Tener en cuenta las dimensiones máximas de los equipos si hay que atravesar puertas y
ventanas de otras dependencias.
Las puertas deben ser de doble hoja y con una anchura total de 1.40 a 1.60 cm. Este punto
ya no es tan importante ya que el equipo informática está reduciendo su tamaño y no es
necesario tener dos puertas para poder introducirlo)
Crear rutas de salida en caso de emergencia.
1.2.1 Desarrolla un manual de procedimientos de la operación de un centro de
cómputo:
Objetivo Específico: Organiza los recursos físicos y humanos de acuerdo con las funciones,
áreas del centro de cómputo y las actividades informáticas de la entidad.
I d e n t i f i c a c i ó n d e l e n t o r n o d e u n c e n t r o d e c ó m p u t o .
A veces cuando se pone en marcha un negocio o simplemente se trabaja para una compañía o
empresa, en el área de cómputo, no tenemos presente sobre cuales son nuestras responsabilidades
al estar a cargo de un departamento de este tipo.
Es muy importante no perder de vista el objetivo de dicho espacio, pues su correcto
funcionamiento nos ahorrará un sinfín de inconvenientes.
De igual manera podemos conocer cuales son dichas funciones, como son:
Operar el sistema de computación central y mantener el sistema disponible para los
usuarios.
16
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Ejecutar los procesos asignados conforme a los programas de producción y calendarios
preestablecidos, dejando el registro correspondiente en las solicitudes de proceso.
Revisar los resultados de los procesos e incorporar acciones correctivas conforme a
instrucciones de su superior inmediato.
Realizar las copias de respaldo (back-up) de la información y procesos de cómputo que se
realizan en la Dirección, conforme a parámetros preestablecidos.
Marcar y/o señalizar los productos de los procesos ejecutados.
Llevar registros de fallas, problemas, soluciones, acciones desarrolladas, respaldos,
recuperaciones y trabajos realizados.
Velar porque el sistema computarizado se mantenga funcionando apropiadamente y estar
vigilante para detectar y corregir fallas en el mismo.
Realizar labores de mantenimiento y limpieza de los equipos del centro de cómputo.
Aplicar en forma estricta las normas de seguridad y control establecidas.
Mantener informado al jefe inmediato sobre el funcionamiento del centro de cómputo.
Cumplir con las normas, reglamentos y procedimientos establecidos por la Dirección o
Gerencia para el desarrollo de las funciones asignadas.
Esto solo por citar algunas, espero que esta información les haya sido de utilidad.
Áreas o departamentos:
Principales departamentos de un Centro de Cómputo
Dentro de una empresa, el centro de proceso de datos o centro de cómputo cumple diversas
funciones que justifican los puestos de trabajo establecidos que existen en él, los cuáles se engloban
a través de los siguientes departamentos:
Explotación de sistemas o aplicaciones. La explotación u operación de un sistema informático o
aplicación informática o aplicación informática consiste en la utilización y aprovechamiento del
sistema desarrollado. Consta de previsión de fechas de realización de trabajos, operación general
del sistema, control y manejo de soportes, seguridad del sistema, supervisión de trabajos, etc.
Soporte técnico a usuarios. El soporte, tanto para los usuarios cono para el propio sistema, se
ocupa de seleccionar, instalar y mantener el sistema operativo adecuado del diseño y control de la
17
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
estructura de la base de datos, la gestión de los equipos de teleproceso, el estudio y evaluación de
las necesidades y rendimientos del sistema y, por último, la ayuda directa a usuarios.
Gestión y administración del propio centro de procesamiento de datos. Las funciones de gestión y
administración de un centro de procesamiento de datos engloban operaciones de supervisión,
planificación y control de proyectos, seguridad y general de las instalaciones y equipos, gestión
financiero y gestión de los propios recursos humanos.
Departamento o área de operación:
Esta área se encarga de brindar los servicios requeridos para el proceso de datos, como son el
preparar los datos y suministros necesarios para la sala de cómputo. Manejar los equipos
periféricos y vigilar que los elementos del sistema funcionen adecuadamente.
En esencia el personal del área operativa se encarga de alimentar datos a la computadora, operar el
"hardware" necesario y obtener la información resultante del proceso de datos.
Operadores
Los operadores de computadoras preparan y limpian todo en equipo que se utiliza en el proceso de
datos, mantienen y vigilan las bitácoras e informes de la computadora, montan y desmontan discos
y cintas durante los procesos y colocan las formas continuas para la impresión.
También documentan las actividades diarias, los suministros empleados y cualquier condición
anormal que se presente.
El papel de los operadores es muy importante debido a la gran responsabilidad de operar la unidad
central de proceso y el equipo periférico asociado en el centro de cómputo.
Un operador de computadoras requiere de conocimientos técnicos para los que existen programas
de dos años de capacitación teórica, pero la práctica y la experiencia es generalmente lo que
necesita para ocupar el puesto.
Departamento o área de producción y control:
18
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Tanto la Producción como el Control de Calidad de la misma, son parte de las funciones de este
Departamento. Funciones:
Construir soluciones integrales (aplicaciones) a las necesidades de información de los
usuarios.
Usar las técnicas de construcción de sistemas de información orientadas netamente a la
productividad del personal y a la satisfacción plena del usuario.
Construir equipos de trabajo con la participación del usuario y del personal técnico de
acuerdo a metodologías establecidas.
Mantener comunicados a los usuarios y a sus colaboradores de los avances, atrasos y
problemas que se presentan rutinariamente y cuando sea necesario a través de medios
establecidos formalmente, como el uso de correo electrónico, mensajes relámpagos o flash.
Mantener programas de capacitación para el personal técnico y usuarios.
Departamento ó área de análisis de sistemas:
Los analistas tienen la función de establecer un flujo de información eficiente a través de toda la
organización. Los proyectos asignados a los analistas no necesariamente requieren de la
computadora, mas bien necesitan el tiempo suficiente para realizar el estudio y la proposición de
soluciones de los problemas, planteando diferentes alternativas. La realización de cualquiera de las
soluciones puede durar varias semanas o meses dependiendo de la complejidad del problema.
Los proyectos típicos de sistemas pueden implicar el diseño de reportes, la evaluación de los
trabajos efectuados por el personal de los departamentos usuarios, la supervisión de cambios de
equipo la preparación de presupuesto en el área de cómputo.
Los analistas pueden ser egresados de diferentes carreras y básicamente los requisitos para estos
son: educación profesional formal y experiencia práctica, esta última solo se logra después de haber
trabajado en el área de programación.
Existen diferentes títulos de analistas: Analista Junior, Aprendiz de Sistemas y Analista Senior que
indican diferentes grados de experiencia, entrenamiento y educación. A su vez estos pueden tener
todavía más clasificaciones dependiendo del tamaño de la organización, o bien puede haber
19
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
analistas programadores que realizan tanto la función de analistas como la de programadores, esto
indica una doble responsabilidad.
Departamento o área de programación:
El grupo de programación es el que se encarga de elaborar los programas que se ejecutan en las
computadoras, modifican los existentes y vigilan que todos los procesos se ejecuten correctamente.
Los programadores toman las especificaciones de los sistemas realizados por los analistas y las
transforman en programas eficientes y bien documentados para las computadoras.Así como los
analistas, los programadores pueden clasificarse en: "Programadores junior" o "Aprendices de
Programación" que son personas recién graduadas, personal de operación que demuestra interés
en la programación o graduados de escuelas técnicas de computación, "Programadores Senior" son
los que ya tienen varios años de experiencia en proyectos grandes.
Es frecuente que en grandes organizaciones agrupen los programadores y exista un programador
principal o líder de programación que dirija el trabajo de cada grupo además de establecer y
reportar el trabajo del grupo.
Los programadores de sistemas deben tener los conocimientos suficientes del hardware para poder
optimizar la utilización del equipo. Su función es extremadamente técnica y especializada ya que
deben seleccionar, modificar y mantener el complejo software del sistema operativo.
Departamento o área de implementación:
Esta área es la encargada de implantar nuevas aplicaciones garantizando tanto su calidad como su
adecuación a las necesidades de los usuarios. Algunas funciones principales generales que realiza
esta área son:
Coordinar con las áreas de sistemas y usuarios la implantación de las aplicaciones.
Diseñar los planes de calidad de las aplicaciones y garantizar su cumplimiento.
Validar los nuevos procedimientos y políticas a seguir por las implementaciones de los
proyectos liberados.
Probar los productos y servicios a implementar antes de ser liberados al usuario final.
20
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Elaborar conjuntamente con el área de Programación o Desarrollo, los planes de
capacitación de los nuevos usuarios.
Coordinar la presentación de las nuevas aplicaciones a los usuarios.
Supervisar el cumplimiento de los sistemas con la normatividad establecida.
Departamento o área de soporte técnico
Área responsable de la gestión del hardware y del software dentro de las instalaciones del Centro de
Cómputo, entendiendo por gestión: estrategia, planificación, instalación y mantenimiento.Algunas
funciones principales generales que realiza esta área son:
Planificar la modificación e instalación de nuevo software y hardware.
Evaluar los nuevos paquetes de software y nuevos productos de hardware.
Dar el soporte técnico necesario para el desarrollo de nuevos proyectos, evaluando el
impacto de los nuevos proyectos en el sistema instalado.
Asegurar la disponibilidad del sistema, y la coordinación necesaria para la resolución de los
problemas técnicos en su área.
Realizar la coordinación con los técnicos del proveedor con el fin de resolver los problemas
técnicos y garantizar la instalación de los productos.
Proponer las notas técnicas y recomendaciones para el uso óptimo de los sistemas
instalados.
Participar en el diseño de la Arquitectura de Sistemas.
D e s c r i p c i ó n d e P u e s t o s .
Una de las partes más importante dentro de cualquier organización es sin duda el tenerla
bien definida y saber perfectamente lo que cada persona, que forma dicha organización,
hace o debe de hacer dentro de ella, es por eso que se vuelve imprescindible trabajar con
descripciones de puestos. En un departamento de sistemas existe puestos genéricos
definidos los cuales son tomados por la organización y adaptados según sus necesidades. A
continuación damos un ejemplo de dichos puestos genéricos y posteriormente de cómo
éstos fueron adaptados a nuestras necesidades y casos específicos.
21
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Profesión Actividades y conocimientos deseables
Informático Generalista Con experiencia amplia en ramas distintas.
Deseable que su labor se haya desarrollado en
Explotación y en Desarrollo de Proyectos.
Conocedor de Sistemas.
Experto en Desarrollo de Proyectos Amplia experiencia como responsable de
proyectos. Experto analista. Conocedor de las
metodologías de Desarrollo más importantes.
Técnico de Sistemas Experto en Sistemas Operativos y Software Básico.
Conocedor de los productos equivalentes en el
mercado. Amplios conocimientos de Explotación.
Experto en Bases de Datos y
Administración de las mismas.
Con experiencia en el mantenimiento de Bases de
Datos. Conocimiento de productos compatibles y
equivalentes. Buenos conocimientos de
explotación
Experto en Software de
Comunicación
Alta especialización dentro de la técnica de
sistemas. Conocimientos profundos de redes. Muy
experto en Subsistemas de teleproceso.
Experto en Explotación y Gestión de
CPD´S
Responsable de algún Centro de Cálculo. Amplia
experiencia en Automatización de trabajos.
Experto en relaciones humanas. Buenos
conocimientos de los sistemas.
Técnico de Organización Experto organizador y coordinador. Especialista
en el análisis de flujos de información.
Técnico de evaluación de Costes Economista con conocimiento de Informática.
Gestión de costos.
22
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Dentro del departamento existen diferente puestos, a los cuales se les asignan diferentes
actividades y responsabilidades, a continuación se describen las características de cada uno
de estos.
Se cuenta con:
1 Gerente
1 Encargado de desarrollo
1 Encargado de Soporte Técnico
1 Encargado de desarrollo en Redes
1 Encargado de Redes y Comunicaciones
1 Operador e Instalador
1 Secretaria
DESCRIPCION DEL PUESTO
Nombre................: Gustavo Bonifaz S.
Departamento.......: Sistemas
Puesto...................: Gerente Del Departamento de Sistemas
Definición:
Es el responsable ante la dirección del establecimiento y funcionamiento del departamento, de
manera que satisfaga las necesidades de la empresa a corto y largo plazo.
Es el asesor de la gerencia en cuanto a la utilización de las computadoras y es el director técnico y
administrativo de todas las actividades del procesamiento de datos.
Ayuda a la gerencia a determinar las necesidades en lo referente a la información y equipo
necesario para que se puedan alcanzar los objetivos de la empresa.
23
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Define y controla el presupuesto y medios necesarios para el departamento.
Interpreta las necesidades de la empresa y confecciona y da a conocer el plan de
automatización.
Prepara los proyectos con los usuarios vigilando que los trabajos se integren de un modo
apropiado y sean justificados y aprobados.
Elabora estudios para la elección y adquisición de equipo de cómputo y accesorios.
Sugiere la ampliación o substitución de las instalaciones existentes
Estandariza los métodos y establece las normas de eficacia y los costos asegurándose que el
personal las conoce y acepte.
Se informa de los distintos problemas por medio de subordinados y da seguimiento para
aplicar soluciones rápidas y efectivas.
Establece la comunicación entre el personal del departamento y fomenta las buenas
relaciones entre ellos.
Se asegurara que los responsables de los servicios a usuarios cumplan de tal manera, que
dicho usuario quede satisfecho.
DESCRIPCION DEL PUESTO
Nombre................: Ignacio Bañuelos.
Departamento.......: Sistemas.
Puesto...................: Encargado de Redes y comunicaciones.
Definición:
Es el responsable del establecimiento y funcionamiento de las redes computacionales del grupo.
Es el encargado del diseño e implementación de dichas redes.
Es el responsable de la configuración e instalación del software necesario.
Es el responsable de los equipos de comunicación.
Es el encargado de mantener comunicados los equipos de cómputo.
Es el encargado de investigar y proponer soluciones de redes y comunicación.
24
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Es el responsable de mantener y controlar el cableado.
DESCRIPCION DEL PUESTO
Nombre................: Alejandro Solares.
Departamento.......: Sistemas
Puesto...................: Encargado de desarrollo de software para Redes y Pcs.
Definición:
Es el responsable de la elaboración y mantenimiento de los sistemas que corren en la red y las pcs.
Es el responsable de los paquetes instalados en la red y pcs.
Interpreta las necesidades de los usuarios y confecciona las soluciones pertinentes.
Prepara los proyectos con los usuarios vigilando que los trabajos se integren de un modo
apropiado.
Elabora estudios para la elección y adquisición de software para redes y pcs.
Es el encargado de estandarizar los paquetes y software que corre bajo redes y pcs.
Es el encargado de investigar y probar nuevos productos para redes y pcs.
Es el responsable de la integridad de la información que se genera y manipula en las redes y pcs.
DESCRIPCION DEL PUESTO
Nombre................: Rodolfo Segura.
Departamento.......: Sistemas
Puesto...................: Encargado de desarrollo de software
Definición:
Es el responsable de la elaboración y mantenimiento de los sistemas.
Es el responsable de los paquetes instalados.
Interpreta las necesidades de los usuarios y confecciona las soluciones pertinentes.
Prepara los proyectos con los usuarios vigilando que los trabajos se integren de un modo
apropiado.
Elabora estudios para la elección y adquisición de software
Es el encargado de estandarizar los paquetes y software
25
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Es el encargado de investigar y probar nuevos productos
Es el responsable de la integridad de la información que se genera
DESCRIPCION DEL PUESTO
Nombre................: Juan José Figueroa.
Departamento.......: Sistemas
Puesto...................: Encargado de Soporte técnico As/400.
Definición:
Es el responsable de la instalación y mantenimiento del sistema operativo
Es el responsable de la configuración de la
Es el encargado de detectar fallas y de su corrección.
Es el encargado del buen rendimiento del equipo.
Elabora estudios para la elección y adquisición de software para
Es el encargado de instalar y configurar el software de emulación y comunicación
Es el encargado de investigar y probar nuevos productos para
DESCRIPCION DEL PUESTO
Nombre................: Araceli Silva.
Departamento.......: Sistemas.
Puesto...................: Secretaria.
Definición:
Es la encargada de auxiliar en los procesos administrativos del departamento.
Es la encargada de controlar las operaciones de mensajería.
Es la encargada de elaborar y recibir pedidos, correspondencia, memorándums, faxes y
documentos en general.
Es la encargada de recibir y contestar llamadas telefónicas.
26
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Es la encargada de organizar y mantener en óptimas condiciones el archivo.
Es la encargada de la caja chica.
DESCRIPCION DEL PUESTO Nombre................: Maximiano Perales. Departamento.......: Sistemas. Puesto...................: Operador e Instalador.
Definición:
Es el encargado de ejecutar y controlar todos los respaldos de la información de los distintos
equipos.
Es el encargado de controlar el inventario de equipo, y accesorios así como de los paquetes de
software para Pc.
Es el encargado de elaborar pedidos de consumibles (Diskettes, Cintas, Tonners, Cartuchos para
respaldos, Etc.).
Es el encargado de dar mantenimiento preventivo a las PCs.
Es el encargado de hacer las instalaciones de Hardware y Software a las Pcs.
Es el encargado de hacer revisiones y reparaciones menores a las Pcs.
Analista
Generalmente se conoce el puesto como analista de desarrollo o analista programador. Su
descripción del puesto es: Realizar el diseño técnico de los nuevos proyectos y aplicaciones
pequeñas y programar los módulos complejos. Supervisar a los programadores que participan en el
proyecto. Sus funciones específicas son:
Analista de Desarrollo.
Realizar el diseño técnico de los nuevos proyectos.
Preparar la documentación para la programación y pruebas de los sistemas.
Revisar la codificación y pruebas de los sistemas.
Realizar estudios de viabilidad técnica.
27
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Participar en el diseño funcional de los nuevos proyectos.
Dirigir proyectos pequeños.
Analista programador.
Estudiar los requerimientos de los nuevos usuarios en cuanto a nuevos productos o
servicios.
Estructurar la lógica de los programas.
Programar.
Llevar a efecto pruebas de los sistemas desarrollados.
Documentar los programas de acuerdo a los estándares establecidos.
Realizar el análisis de las aplicaciones sencillas.
Gerente de Procesos.
Encargado de dirigir y administrar el área de Procesamiento de Datos, así como relacionarse con
las otras áreas del centro de cómputo. Formula y administra todo el procesamiento de la
información que maneja el Centro de Cómputo.
Programador de Sistemas.
Aunque su función es muy similar a la de un analista programador, su descripción del puesto es:
Programar y realizar la codificación y documentación de los programas o sistemas desarrollados.
Los programadores toman las especificaciones de los sistemas realizados por los analistas y las
transforman en programas eficientes y bien documentados para las computadoras.
Sus funciones específicas son:
Analizar la lógica de los programas a desarrollar.
Codificar y documentar los programas de acuerdo con las normas de calidad y seguridad
establecidas.
Programar.
Probar los programas realizados.
Supervisor de Capturista.
28
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Supervisa las actividades de ingreso de datos de documentos. Elabora turnos de trabajo en base a la
carga de trabajo establecida.
Capturista.
Los capturistas de datos son los primeros en manejar y convertir los datos de su forma original a un
formato accesible para la computadora. Este tipo de personal puede operar diferentes dispositivos
de teclado para proporcionar los datos directamente a la computadora. No obstante la importancia
del trabajo de los preparadores de datos su educación no requiere una formación técnica formal, un
mecanógrafo competente puede adquirir en pocas horas de instrucción especializada las
habilidades necesarias para la preparación de datos.
Dibujante.
Las funciones principales son: Realiza los diseños gráficos asignados al área de informática. Realiza
diseños de portadas para informes finales. Elabora presentaciones, formatos de papelería,
logotipos
A d q u i s i c i ó n d e l h a r d w a r e y s o f t w a r e
Es muy común que se hagan compras de equipo por costumbre o porque recibe alguna
recomendación, esto sucede porque no se tiene el conocimiento de las preguntas que debemos
hacernos para poder elegir adecuadamente un equipo, ya sea el software o el hardware.
A d q u i s i c i ó n d e h a r d w a r e
Debemos considerar los siguientes puntos para la adquisición de hardware:
Determinación del tamaño y requerimiento de capacidad
Evaluación y medición de la computadora.
Compatibilidad.
Factores financieros.
Mantenimiento y soporte técnico.
Al realizar la compra debemos considerar lo siguiente:
Tamaño interno de la memoria
29
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Velocidad de procesamiento
Número de canales para entrada/salida de datos y comunicaciones
Tipos u números de dispositivos de almacenamiento
Software que se proporciona y sistemas desarrollados disponibles.
Evaluación y medición de la computadora
Es común que se efectúen comparaciones entre los diferentes sistemas de cómputo basados en el
desarrollo y desempeño real de los datos. Los datos de referencia son generados a través del
empleo de programas sintéticos (es un programa que imita la carga de trabajo esperada y
determina resultados), la cuál permite comparar contra especificaciones técnicas. Los programas
sintéticos se pueden correr prácticamente en cualquier tipo de ambiente y generalmente se toma
como referencia:
Velocidad de procesamiento
Tiempo de respuesta para envío de datos desde las terminales
Compatibilidad
Ocasionalmente por cuestiones económicas se considera factible la compra de equipo llamado
compatible. La ventaja de este equipo es un menor costo que el original, pero debe tenerse cuidado
con los siguientes puntos:
Nivel de calidad.
Desempeño igual al original
Garantías
Acuerdos de servicio
Factores financieros
Existen las siguientes posibilidades de adquirir equipo de cómputo
Por alquiler o renta
Las ventajas son el que tenemos un alto nivel de flexibilidad, no se requiere pagos altos y elevados,
y a corto plazo es mas económico alquilar que comprar. Como desventaja podemos decir que a la
30
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
larga puede resultar más costoso que comprar el equipo y además podemos tener limitaciones en
cuanto a uso.
Por compra
Tiene como ventaja que puede pagarse a crédito en pagos predeterminados en periodos fijos, no
necesariamente se tiene que efectuar pagos elevados y se puede disponer del equipo a la hora que
se quiera. Tiene como desventajas que es una decisión irrevocable, que se requiere capital mayor
que en el caso anterior y el riesgo a la obsolescencia.
Mantenimiento y soporte técnico
Los puntos de mayor interés son:
Fuente de mantenimiento
Una vez que el sistema se ha entregado e instalado, existe un periodo de garantía en el cuál la
unidad de ventas que efectuó la operación tiene la responsabilidad del mantenimiento, después de
este tiempo el comprador puede adquirir mantenimiento de varias fuentes
Términos de mantenimiento
El contrato puede redactarse de manera tal que cubra tanto la mano de obra como las piezas que se
hayan necesitado en el mantenimiento, o mano de obra y piezas por separado.
Servicio y respuestas
El apoyo de mantenimiento es útil si se encuentra disponible cuando se requiere. Dos puntos de
interés son el tiempo de respuesta y las horas en las que se puede obtener el apoyo.
A d q u i s i c i ó n d e s o f t w a r e
Una vez que conozcamos los requerimientos de los sistemas que vamos a desarrollar, debemos
hacer una comparación entre todos los paquetes que cumplen con las condiciones que requerimos
y así elegir el más apto.
Preguntas que debo hacerme en cuanto a requerimientos de software:
¿Qué transacciones y que tipos de datos vamos a manejar?
31
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
¿Qué reportes o salidas debe producir el sistema?
¿Qué archivos y bases de datos se manejan en el sistema?
¿Cuál es el volumen de datos a almacenar?
¿Cuál es el volumen de operaciones?
¿Qué hardware y características de comunicaciones se requiere?
¿Cuánto cuesta?
Las características a considerar en la adquisición de software son: flexibilidad, capacidades,
previsión de auditorías, confiabilidad, contratos de software y apoyos del proveedor.
Las áreas donde la flexibilidad es deseable son:
En el almacenamiento de datos
En la producción de informes.
En la entrada de datos
En la definición de parámetros
Capacidad
El tamaño de cada registro medido en bytes
El tamaño de cada archivo medido en bytes
El número de archivos que pueden estar activos simultáneamente
Número de archivos que pueden trabajar
Previsión de auditoría y confiabilidad
Seguir las transacciones para examinar datos intermedios
Imprimir de manera selectiva algunos registros para verificar si cumplen los criterios.
Producir un registro diario de las operaciones y su efecto en los datos
Apoyos del proveedor
Frecuencia del mantenimiento
Servicios que se incluyen en el pago
Saber si se incrementa el costo del mantenimiento
Horarios disponibles de servicio
32
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Saber si tiene servicio de emergencia
Contratos de software
Hay dos tipos de contratos:
Alquilar un paquete y software y asignación de programación al cliente
Dentro del contrato se estipula la propiedad y mantenimiento del software
Para determinar qué equipo es el más conveniente de adquirir habrá que definir con claridad la
capacidad y los requerimientos técnicos de todos los mecanismos como son: velocidad, capacidad
de almacenamiento, dispositivos auxiliares (mouse, impresora, monitor, etc.)
Se debe estudiar muy bien, cuando se surten a los proveedores de todos los sistemas mostrados,
antes de escoger alguno de ellos.
Costo
Inversión que se hace para producir bienes o servicios, para adquirir mercancías para la venta.
(Erogación o adquisición de un bien)
Gastos
Son las salidas o pérdidas, resultantes del desarrollo y del uso de sistemas (un gasto, regularmente
no estaba contemplado).
Beneficio
Son cada una de las ventajas que se obtiene de la instalación y uso del mismo
Costos tangibles
Son las salidas en efectivo, lo que significa que se conoce y se puede estimar (precio de un monitor,
"el salario de un empleado")
Costos intangibles
Se saben que existen algunos costos cuyo monto aproximado no se puede determinar con exactitud, (el perder un cliente, "El descenso de la compañía")
33
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Beneficios
Son más difíciles de especificar en forma exacta que los costos. El valor de los beneficios es una
ventaja que se gana a través de la utilización del sistema
Beneficios tangibles
Son aquellos que son cuantificables, (reducción de gastos, menores tasas de error)
Beneficios intangibles
Son aquellos que no se pueden cuantificar (Mejores condiciones de trabajo, mejor servicio a
clientes, respuesta rápida a las solicitudes de los clientes)
Beneficios fijos
Son aquellos costos y beneficios de sistemas que son constantes y no cambian, sin importar cuanto
se utilice un sistema de información, ejemplo: si una compañía compra equipo de cómputo, el
costo no va a variar, ya sea que el equipo se utilice mucho o poco.
Beneficios variables
Son aquellos donde incurre en proporción a la actividad o el tiempo
Costos variables
Ejemplo: Los costos se suministro de computadora varían en proporción con el monto del proceso
que se lleva a cabo, ya que la impresión de mas páginas incrementa el costo del papel, por lo tanto,
variará como resultado de la cantidad de impresión, sin embargo se elimina si se cesa la
preparación de informes.
Costos y beneficios directos o indirectos
Directos
Son atribuibles a un sistema de negocio, un sistema de información. En otras palabras el utilizar el
sistema produce costos y beneficios directos. Ejemplo: la utilización del papel, suministro de cintas,
etc.
34
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Indirectos
Son aquellos costos y beneficios que no están específicamente asociados con el sistema de
información. Ejemplo: La calefacción, aire acondicionado, seguros, el espacio, etc.
Beneficios directos
Son aquellos que se consiguen como productos del sistema (Reportes)
Beneficios indirectos
Se consiguen como un subproducto de otro sistema. (Un sistema que da seguimiento a las
solicitudes de ventas que realizan los clientes, proporciona información adicional de la
competencia)
Clasificación del costo
Costo de equipo
Costos de operación
Costos de personal
Costos de suministros y gastos varios
Costos de instalación
P e r m i s o s y L i c e n c i a s .
El uso de Software no autorizado o adquirido ilegalmente, se considera como PIRATA y una
violación a los derechos de autor.
El uso de Hardware y de Software autorizado esta regulado por las siguientes normas:
Toda dependencia podrá utilizar UNICAMENTE el hardware y el software que el
departamento de sistemas le haya instalado y oficializado mediante el "Acta de entrega
de equipos y/o software".
Tanto el hardware y software, como los datos, son propiedad de la empresa. su copia o
sustracción o daño intencional o utilización para fines distintos a las labores propias de
la compañía, será sancionada de acuerdo con las normas y reglamento interno de la
empresa.
35
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
El departamento de sistemas llevara el control del hardware y el software instalado,
basándose en el número de serie que contiene cada uno.
Periódicamente, el departamento de sistemas efectuará visitas para verificar el software
utilizado en cada dependencia. Por lo tanto, el detectar software no instalado por esta
dependencia, será considerado como una violación a las normas internas de la empresa.
Toda necesidad de hardware y/o software adicional debe ser solicitada por escrito al
departamento de sistemas, quien justificará o no dicho requerimiento, mediante un
estudio evaluativo.
El departamento de sistemas instalará el software en cada computador y entregará al
área usuaria los manuales pertinentes los cuales quedaran bajo la responsabilidad del
Jefe del departamento respectivo.
Los diskettes que contienen el software original de cada paquete serán administrados y
almacenados por el departamento de sistemas.
El departamento de sistemas proveerá el personal y una copia del software original en
caso de requerirse la reinstalación de un paquete determinado.
Los trámites para la compra de los equipos aprobados por el departamento de sistemas,
así como la adecuación física de las instalaciones serán realizadas por la dependencia
respectiva.
La prueba, instalación y puesta en marcha de los equipos y/o dispositivos, serán
realizada por el departamento de sistemas, quien una vez compruebe el correcto
funcionamiento, oficializara su entrega al área respectiva mediante el "Acta de Entrega
de Equipos y/o Software".
Una vez entregados los equipos de computación y/o el software por el departamento de
sistemas, estos serán cargados a la cuenta de activos fijos del área respectiva y por lo
tanto, quedaran bajo su responsabilidad.
Así mismo, el departamento de sistemas mantendrá actualizada la relación de los
equipos de computación de la compañía, en cuanto a numero de serie y ubicación, con el
fin que este mismo departamento verifique, por lo menos una vez al año su correcta
destinación.
El departamento de sistemas actualizará el software comprado cada vez que una nueva
versión salga al mercado, a fin de aprovechar las mejoras realizadas a los programas,
siempre y cuando se justifique esta actualización.
36
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Derechos de autor y licencia de uso de software.
El Copyright, o los derechos de autor, son el sistema de protección jurídica concebido para titular
las obras originales de autoría determinada expresadas a través de cualquier medio tangible o
intangible.
Las obras literarias (incluidos los programas informáticos), musicales, dramáticas, plásticas,
gráficas y escultóricas, cinematográficas y demás obras audiovisuales, así como las fonogramas,
están protegidos por las leyes de derechos de autor.
El titular de los derechos de autor tiene el derecho exclusivo para efectuar y autorizar las siguientes
acciones:
Realizar copias o reproducciones de las obras.
Preparar obras derivadas basadas en la obra protegida por las leyes de derechos de
autor.
Distribuir entre el público copias de la obra protegida por las leyes de derechos de autor
mediante la venta u otra cesión de la propiedad, o bien mediante alquiler,
arrendamiento financiero o préstamo.
Realizar o mostrar la publicidad de la obra protegida por las leyes de derechos de autor.
Importar el trabajo, y realizar actos de comunicación pública de las obras protegidas.
UNIDAD 2
A u d i t o r í a d e l c e n t r o d e c ó m p u t o o d a t o s .
37
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Objetivo particular: Realizará auditoría informática a un centro de cómputo o datos
evaluando el desarrollo de acciones de garantía de seguridad, así como el plan de contingencias,
mediante instrumentos y metodología de auditoría que conlleven a la preservación e integridad de
las instalaciones, equipos e información.
2.1.1 Elabora una lista de chequeo para evaluar la seguridad y el cumplimiento
normativo en un centro de cómputo o datos de una entidad
Objetivo específico: Verifica las acciones de seguridad y el cumplimiento normativo con base
en metodológica de auditoría y empleo de herramientas, instrumentos.
I D E N T I F I C A C I Ó N D E L E N T O R N O D E A U D I T O R Í A
Auditoría
La auditoría es el examen crítico y sistemático que realiza una persona o grupo de personas
independientes del sistema auditado. Aunque hay muchos tipos de auditoría, la expresión se utiliza
generalmente para designar a la auditoría externa de estados financieros que es una auditoría
realizada por un profesional experto en contabilidad de los libros y registros contables de una
entidad para opinar sobre la razonabilidad de la información contenida en ellos y sobre el
cumplimiento de las normas contables. El origen etimológico de la palabra es el verbo latino
“Audire”, que significa “oír”. Esta denominación proviene de su origen histórico, ya que los
primeros auditores ejercían su función juzgando la verdad o falsedad de lo que les era sometido a
su verificación principalmente oyendo
Auditoria informática
La auditoría informática es el proceso de recoger, agrupar y evaluar evidencias para determinar si
un Sistema de Información salvaguarda el activo empresarial, mantiene la integridad de los datos,
lleva a cabo eficazmente los fines de la organización y utiliza eficientemente los recursos.
Auditar consiste principalmente en estudiar los mecanismos de control que están implantados en
una empresa u organización, determinando si los mismos son adecuados y cumplen unos
38
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
determinados objetivos o estrategias, estableciendo los cambios que se deberían realizar para la
consecución de los mismos.
Los objetivos de la auditoría Informática son:
El control de la función informática
El análisis de la eficiencia de los Sistemas Informáticos
La verificación del cumplimiento de la Normativa en este ámbito
La revisión de la eficaz gestión de los recursos informáticos.
La auditoría informática sirve para mejorar ciertas características en la empresa como:
Eficiencia
Eficacia
Rentabilidad
Seguridad
Generalmente se puede desarrollar en alguna o combinación de las siguientes áreas:
Gobierno corporativo
Administración del Ciclo de vida de los sistemas
Servicios de Entrega y Soporte
Protección y Seguridad
Planes de continuidad y Recuperación de desastres
La necesidad de contar con lineamientos y herramientas estándar para el ejercicio de la auditoría
informática ha promovido la creación y desarrollo de mejores prácticas como COBIT, ISO, COSO e
ITIL.
Actualmente la certificación de ISACA para ser CISA Certified Information Systems Auditor es una
de las mas reconocidas y avaladas por los estándares internacionales ya que el proceso de selección
consta de un examen inicial bastante extenso y la necesidad de mantenerse actualizado
acumulando horas (puntos) para no perder la certificación.
Control interno:
39
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Control Interno Informático es una herramienta enfocada a la adecuada gestión de los Sistemas de
la Información.
Muchos de los problemas informáticos se originan dentro de la misma empresa.
Por ello es cada vez más necesario un completo análisis del tráfico de:
Los correos electrónicos corporativos.
Las páginas web que se visitan desde los ordenadores de la empresa.
Función del Control.- Una definición que es correcta y a la cual representa el valor de la Función
del Control es la de ayudar a los Funcionarios que tienen responsabilidad Administrativa, Técnica
y/u Operacional a que no incurran en falta. Y es por ello que aquí el Control es Creativo -
Inteligente, y Constructivo de asesoramiento oportuno a todas las Direcciones o Gerencias a fin
de que la Toma de Decisiones sea acertada, segura y se logren los objetivos, con la máxima
eficiencia de que, en dicha entidad, antes de realizarse la auditoría, ya se habían detectado fallas.
El concepto de auditoría es mucho más que esto.
El Control de Sistemas e Informática, consiste en examinar los recursos, las operaciones,
los beneficios y los gastos de las producciones (servicios y/o productos de los Sistemas
Informáticos), de los Organismos sujetos a control, con al finalidad de evaluar la eficacia y
eficiencia Administrativa Técnica y/u Operacional de los Organismos, en concordancia con los
principios, normas, técnicas y procedimientos normalmente aceptados. Asimismo de los Sistemas
(Planes, Programas y Presupuestos, Diseño, Software, Hardware, Seguridad, Respaldos y otros)
adoptados por la Organización para su dinámica de Gestión en salvaguarda de los Recursos del
Estado.
Existe otra definición sobre el "control técnico" en materia de Sistemas e Informática, y esta se
orienta a la revisión del Diseño de los Planes, Diseños de los Sistemas, la demostración de su
eficacia, la Supervisión compulsa de rendimientos, Pruebas de Productividad de la Gestión -
Demanda llamada "Pruebas intermedias", el análisis de resultados, niveles y medios de
seguridad, respaldo, y el almacenamiento. Así mismo medición de la vida útil del Sistema
Informático adoptado por la Organización bajo control.
Objetivos de la Auditoría y Control de Sistemas e Informática.-
40
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Los principales objetivos que constituyen a la auditoría Informática son:
El control de la función informática (Sistema de Información - SI y la Tecnología de la
Información -TI).
El análisis de la eficiencia de los SI y la TI.
La verificación del cumplimiento de la Normativa General de la Organización.
La verificación de los Planes, Programas y Presupuestos de los Sistemas Informáticos.
La revisión de la eficaz gestión de los recursos materiales y humanos informáticos.
La revisión y verificación de Controles Técnicos Generales y Específicos de Operatividad.
La revisión y verificación de las Seguridades.
De Cumplimiento de normas y estándares.
De Sistema Operativo.
De Seguridad de Software.
De Seguridad de Comunicaciones.
De Seguridad de Base de Datos.
De Seguridad de Proceso.
De Seguridad de Aplicaciones.
De Seguridad Física.
De Suministros y Reposiciones.
De Contingencias.
El análisis del control de resultados.
El análisis de verificación y de exposición de debilidades y disfunciones.
El auditor informático.- Es el profesional que ha de cuidar y velar por la correcta utilización de
los diversos recursos que la organización y debe comprobar que se este llevando acabo un
eficiente y eficaz Sistema de Información y la Tecnología de la Información. Pues estas dos
puntos en la actualidad soporta la Auditoría y Control de los Sistemas e Informática en la Gestión
moderna.
Definición y tipo de controles internos
41
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Se puede definir el control interno como "cualquier actividad o acción realizada manual y/o
automáticamente para prevenir, corregir errores o irregularidades que puedan afectar al
funcionamiento de un sistema para lograr o conseguir sus objetivos.
Los controles internos se clasifican en los siguientes:
Controles preventivos: Para tratar de evitar el hecho, como un software de seguridad que
impida los accesos no autorizados al sistema.
Controles detectivos: Cuando fallan los preventivos para tratar de conocer cuanto antes el
evento. Por ejemplo, el registro de intentos de acceso no autorizados, el registro de la
actividad diaria para detectar errores u omisiones.etc.
Controles correctivos: Facilitan la suelta a la normalidad cuando se han producido
incidencias. Por ejemplo, la recuperación de un fichero dañado a partir de las copias de
seguridad.
Implantación de un sistema de controles internos informáticos
Para llegar a conocer la configuración del sistema es necesario documentar los detalles de la red,
así como los distintos niveles de control y elementos relacionados:
Entorno de red: esquema de la red, descripción de la configuración hardware de
comunicaciones, descripción del software que se utiliza como acceso a las
telecomunicaciones, control de red, situación general de los ordenadores de entornos de
base que soportan aplicaciones críticas y consideraciones relativas a la seguridad de la red.
Configuración del ordenador base: Configuración del soporte físico, en torno del sistema
operativo, software con particiones, entornos (pruebas y real), bibliotecas de programas y
conjunto de datos.
Entorno de aplicaciones: Procesos de transacciones, sistemas de gestión de base de datos y
entornos de procesos distribuidos.
Productos y herramientas: Software para desarrollo de programas, software de gestión de
bibliotecas y para operaciones automáticas.
Seguridad del ordenador base: Identificar y verificar usuarios, control de acceso, registro e
información, integridad del sistema, controles de supervisión, etc.
42
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Para la implantación de un sistema de controles internos informáticos habrá que definir:
Gestión de sistema de información: políticas, pautas y normas técnicas que sirvan de base
para el diseño y la implantación de los sistemas de información y de los controles
correspondientes.
Administración de sistemas: Controles sobre la actividad de los centros de datos y otras
funciones de apoyo al sistema, incluyendo la administración de las redes.
Seguridad: incluye las tres clases de controles fundamentales implantados en el software
del sistema, integridad del sistema, confidencialidad (control de acceso) y disponibilidad.
Gestión del cambio: separación de las pruebas y la producción a nivel del software y
controles de procedimientos para la migración de programas software aprobados y
probados.
Normas.
Según se describe en [bib-imcp], las normas de auditoría son los requisitos mínimos de calidad
relativos a la personalidad del auditor, al trabajo que desempeña ya la información que rinde como
resultado de este trabajo.
Las normas de auditoría se clasifican en:
a. Normas personales.
b. Normas de ejecución del trabajo.
c. Normas de información.
Normas personales
son cualidades que el auditor debe tener para ejercer sin dolo una auditoría, basados en un
sus conocimientos profesionales así como en un entrenamiento técnico, que le permita ser
imparcial a la hora de dar sus sugerencias.
Normas de ejecución del trabajo
43
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Son la planificación de los métodos y procedimientos, tanto como papeles de trabajo a
aplicar dentro de la auditoría.
Normas de información
Son el resultado que el auditor debe entregar a los interesados para que se den cuenta de su
trabajo, también es conocido como informe o dictamen.
Normatividad relativa a Informática en México
La regulación de actividades, productos, servicios, etc. se realiza en México a través de la
reglamentación diversa que las diversas entidades u organismo oficiales emiten. Esto toca
elementos desde la misma Constitución Política, pasando por leyes, reglamentos, acuerdos,
manuales, nomas, etc. Tocante al tema tecnológico que nos atañe (Computación y en particular la
Auditoría Informática) esta normatividad se encuentra en leyes, reglamentos y las normas NOM y
NMX. En los casos en que no existe una ley específica, la Secretaría de Economía (reguladora de las
NOM y NMX) maneja la normatividad ISO. A continuación se enlistan una serie de normas que de
una forma u otra tocan aspectos específicos o generales de esta actividad.
En cuanto a las normas internacionales, se maneja como “adecuado” el cumplir con las normas
ISO, en particular la ISO 10011 (ISO 19011 – 2002) para los temas de “Guías de auditoría a los
sistemas de calidad”, “Criterios de calificación y selección de auditores” y “Administración de un
programa de auditoría”.
Áreas de Auditoría Informática de Sistemas:
Se ocupa de analizar la actividad que se conoce como Técnica de Sistemas en todas sus facetas.
Hoy, la importancia creciente de las telecomunicaciones ha propiciado que las Comunicaciones,
Líneas y Redes de las instalaciones informáticas, se auditen por separado, aunque formen parte del
entorno general de Sistemas.
Sistemas Operativos:
44
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Engloba los Subsistemas de Teleproceso, Entrada/Salída, etc. Debe verificarse en primer lugar
que los Sistemas están actualizados con las últimas versiones del fabricante, indagando las causas
de las omisiones si las hubiera. El análisis de las versiones de los Sistemas Operativos permite
descubrir las posibles incompatibilidades entre otros productos de Software Básico adquiridos por
la instalación y determinadas versiones de aquellas. Deben revisarse los parámetros variables de
las Librerías más importantes de los Sistemas, por si difieren de los valores habituales aconsejados
por el constructor.
Software Básico:
Es fundamental para el auditor conocer los productos de software básico que han sido facturados
aparte de la propia computadora. Esto, por razones económicas y por razones de comprobación de
que la computadora podría funcionar sin el producto adquirido por el cliente. En cuanto al
Software desarrollado por el personal informático de la empresa, el auditor debe verificar que éste
no agreda ni condiciona al Sistema. Igualmente, debe considerar el esfuerzo realizado en términos
de costes, por si hubiera alternativas más económicas.
Software de Teleproceso (Tiempo Real):
No se incluye en Software Básico por su especialidad e importancia. Las consideraciones
anteriores son válidas para éste también.
M a n e j o d e c o n t r o l e s :
Controles administrativos en un ambiente de Procesamiento de Datos
La máxima autoridad del Área de Informática de una empresa o institución debe implantar los
siguientes controles que se agruparan de la siguiente forma:
1.- Controles de Preinstalación
2.- Controles de Organización y Planificación
3.- Controles de Sistemas en Desarrollo y Producción
45
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
4.- Controles de Procesamiento
5.- Controles de Operación
6.- Controles de uso de Microcomputadores
1.- Controles de Preinstalación
Hacen referencia a procesos y actividades previas a la adquisición e instalación de un equipo de
computación y obviamente a la automatización de los sistemas existentes.
Objetivos:
Garantizar que el hardware y software se adquieran siempre y cuando tengan la seguridad
de que los sistemas computarizados proporcionaran mayores beneficios que cualquier otra
alternativa.
Garantizar la selección adecuada de equipos y sistemas de computación
Asegurar la elaboración de un plan de actividades previo a la instalación
Acciones a seguir:
Elaboración de un informe técnico en el que se justifique la adquisición del equipo, software
y servicios de computación, incluyendo un estudio costo-beneficio.
Formación de un comité que coordine y se responsabilice de todo el proceso de adquisición
e instalación
Elaborar un plan de instalación de equipo y software (fechas, actividades, responsables) el
mismo que debe contar con la aprobación de los proveedores del equipo.
Elaborar un instructivo con procedimientos a seguir para la selección y adquisición de
equipos, programas y servicios computacionales. Este proceso debe enmarcarse en normas
y disposiciones legales.
Efectuar las acciones necesarias para una mayor participación de proveedores.
Asegurar respaldo de mantenimiento y asistencia técnica.
2.- Controles de organización y Planificación
46
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Se refiere a la definición clara de funciones, línea de autoridad y responsabilidad de las diferentes
unidades del área PAD, en labores tales como:
Diseñar un sistema
Elaborar los programas
Operar el sistema
Control de calidad
Se debe evitar que una misma persona tenga el control de toda una operación.
Acciones a seguir:
La unidad informática debe estar al mas alto nivel de la pirámide administrativa de manera
que cumpla con sus objetivos, cuente con el apoyo necesario y la dirección efectiva.
Las funciones de operación, programación y diseño de sistemas deben estar claramente
delimitadas.
Deben existir mecanismos necesarios a fin de asegurar que los programadores y analistas
no tengan acceso a la operación del computador y los operadores a su vez no conozcan la
documentación de programas y sistemas.
Debe existir una unidad de control de calidad, tanto de datos de entrada como de los
resultados del procesamiento.
El manejo y custodia de dispositivos y archivos magnéticos deben estar expresamente
definidos por escrito.
Las actividades del PAD deben obedecer a planificaciones a corto, mediano y largo plazo
sujetos a evaluación y ajustes periódicos "Plan Maestro de Informática"
Debe existir una participación efectiva de directivos, usuarios y personal del PAD en la
planificación y evaluación del cumplimiento del plan.
Las instrucciones deben impartirse por escrito.
3.- Controles de Sistema en Desarrollo y Producción
Se debe justificar que los sistemas han sido la mejor opción para la empresa, bajo una relación
costo-beneficio que proporcionen oportuna y efectiva información, que los sistemas se han
desarrollado bajo un proceso planificado y se encuentren debidamente documentados.
Acciones a seguir:
47
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Los usuarios deben participar en el diseño e implantación de los sistemas pues aportan
conocimiento y experiencia de su área y esta actividad facilita el proceso de cambio
El personal de auditoría interna/control debe formar parte del grupo de diseño para sugerir
y solicitar la implantación de rutinas de control
El desarrollo, diseño y mantenimiento de sistemas obedece a planes específicos,
metodologías estándares, procedimientos y en general a normatividad escrita y aprobada.
Cada fase concluida debe ser aprobada documentadamente por los usuarios mediante actas
u otros mecanismos a fin de evitar reclamos posteriores.
Los programas antes de pasar a Producción deben ser probados con datos que agoten todas
las excepciones posibles.
Todos los sistemas deben estar debidamente documentados y actualizados. La
documentación deberá contener:
-Informe de factibilidad
- Diagrama de bloque
- Diagrama de lógica del programa
- Objetivos del programa
- Listado original del programa y versiones que incluyan los cambios efectuados con
antecedentes de pedido y aprobación de modificaciones
- Formatos de salida
- Resultados de pruebas realizadas
Implantar procedimientos de solicitud, aprobación y ejecución de cambios a programas,
formatos de los sistemas en desarrollo.
El sistema concluido será entregado al usuario previo entrenamiento y elaboración de los
manuales de operación respectivos.
4.- Controles de Procesamiento
Los controles de procesamiento se refieren al ciclo que sigue la información desde la entrada hasta
la salida de la información, lo que conlleva al establecimiento de una serie de seguridades para:
Asegurar que todos los datos sean procesados.
48
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Garantizar la exactitud de los datos procesados.
Garantizar que se grabe un archivo para uso de la gerencia y con fines de auditoría
Asegurar que los resultados sean entregados a los usuarios en forma oportuna y en las
mejores condiciones.
Acciones a seguir:
Validación de datos de entrada previo procesamiento debe ser realizada en forma
automática: clave, dígito autoverificador, totales de lotes, etc.
Preparación de datos de entrada debe ser responsabilidad de usuarios y consecuentemente
su corrección.
Recepción de datos de entrada y distribución de información de salida debe obedecer a un
horario elaborado en coordinación con el usuario, realizando un debido control de calidad.
Adoptar acciones necesarias para correcciones de errores.
Analizar conveniencia costo-beneficio de estandarización de formularios, fuente para
agilitar la captura de datos y minimizar errores.
Los procesos interactivos deben garantizar una adecuada interrelación entre usuario y
sistema.
Planificar el mantenimiento del hardware y software, tomando todas las seguridades para
garantizar la integridad de la información y el buen servicio a usuarios.
5.- Controles de Operación
Abarcan todo el ambiente de la operación del equipo central de computación y dispositivos de
almacenamiento, la administración de la cintoteca y la operación de terminales y equipos de
comunicación por parte de los usuarios de sistemas on line.
Los controles tienen como fin:
Prevenir o detectar errores accidentales que puedan ocurrir en el Centro de Cómputo
durante un proceso
Evitar o detectar el manejo de datos con fines fraudulentos por parte de funcionarios del
PAD
49
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Garantizar la integridad de los recursos informáticos.
Asegurar la utilización adecuada de equipos acorde a planes y objetivos.
Acciones a seguir:
El acceso al centro de computo debe contar con las seguridades necesarias para reservar el
ingreso al personal autorizado
Implantar claves o password para garantizar operación de consola y equipo central
(mainframe), a personal autorizado.
Formular políticas respecto a seguridad, privacidad y protección de las facilidades de
procesamiento ante eventos como: incendio, vandalismo, robo y uso indebido, intentos de
violación y como responder ante esos eventos.
Mantener un registro permanente (bitácora) de todos los procesos realizados, dejando
constancia de suspensiones o cancelaciones de procesos.
Los operadores del equipo central deben estar entrenados para recuperar o restaurar
información en caso de destrucción de archivos.
Los backups no deben ser menores de dos (padres e hijos) y deben guardarse en lugares
seguros y adecuados, preferentemente en bóvedas de bancos.
Se deben implantar calendarios de operación a fin de establecer prioridades de proceso.
Todas las actividades del Centro de Computo deben normarse mediante manuales,
instructivos, normas, reglamentos, etc.
El proveedor de hardware y software deberá proporcionar lo siguiente:
- Manual de operación de equipos
- Manual de lenguaje de programación
- Manual de utilitarios disponibles
- Manual de Sistemas operativos
Las instalaciones deben contar con sistema de alarma por presencia de fuego, humo, así
como extintores de incendio, conexiones eléctricas seguras, entre otras.
Instalar equipos que protejan la información y los dispositivos en caso de variación de
voltaje como: reguladores de voltaje, supresores pico, UPS, generadores de energía.
Contratar pólizas de seguros para proteger la información, equipos, personal y todo riesgo
que se produzca por casos fortuitos o mala operación.
50
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
6.- Controles en el uso del Microcomputador
Es la tarea más difícil pues son equipos mas vulnerables, de fácil acceso, de fácil explotación pero
los controles que se implanten ayudaran a garantizar la integridad y confidencialidad de la
información.
Acciones a seguir:
Adquisición de equipos de protección como supresores de pico, reguladores de voltaje y de
ser posible UPS previo a la adquisición del equipo
Vencida la garantía de mantenimiento del proveedor se debe contratar mantenimiento
preventivo y correctivo.
Establecer procedimientos para obtención de backups de paquetes y de archivos de datos.
Revisión periódica y sorpresiva del contenido del disco para verificar la instalación de
aplicaciones no relacionadas a la gestión de la empresa.
Mantener programas y procedimientos de detección e inmunización de virus en copias no
autorizadas o datos procesados en otros equipos.
Propender a la estandarización del Sistema Operativo, software utilizado como
procesadores de palabras, hojas electrónicas, manejadores de base de datos y mantener
actualizadas las versiones y la capacitación sobre modificaciones incluidas.
Revisión de Centros de Cómputo
Consiste en revisar los controles en las operaciones del centro de procesamiento de información en
los siguientes aspectos:
1.- Revisión de controles en el equipo
Se hace para verificar si existen formas adecuadas de detectar errores de procesamiento, prevenir
accesos no autorizados y mantener un registro detallado de todas las actividades del computador
que debe ser analizado periódicamente.
2.- Revisión de programas de operación
51
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Se verifica que el cronograma de actividades para procesar la información asegure la utilización
efectiva del computador.
3.- Revisión de controles ambientales
Se hace para verificar si los equipos tienen un cuidado adecuado, es decir si se cuenta con
deshumidificadores, aire acondicionado, fuentes de energía continua, extintores de incendios, etc.
4.- Revisión del plan de mantenimiento
Aquí se verifica que todos los equipos principales tengan un adecuado mantenimiento que
garantice su funcionamiento continuo.
5.- Revisión del sistema de administración de archivos
Se hace para verificar que existan formas adecuadas de organizar los archivos en el computador,
que estén respaldados, así como asegurar que el uso que le dan es el autorizado.
6.- Revisión del plan de contingencias
Aquí se verifica si es adecuado el plan de recupero en caso de desastre, el cual se detalla mas
adelante.
E v a l u a c i ó n d e l p l a n d e c o n t i n g e n c i a s i n f o r m á t i c a s :
¿Por qué se necesita un Plan de Contingencia?
A medida que las empresas se han vuelto cada vez más dependientes de las computadoras y las
redes para manejar sus actividades, la disponibilidad de los sistemas informáticos se ha vuelto
crucial. Actualmente, la mayoría de las empresas necesitan un nivel alto de disponibilidad y
algunas requiren incluso un nivel continuo de disponibilidad, ya que les resultaría extremadamente
difícil funcionar sin los recursos informáticos.
52
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Los procedimientos manuales, si es que existen, sólo serían prácticos por un corto periodo. En caso
de un desastre, la interrupción prolongada de los servicios de computación puede llevar a pérdidas
financieras significativas, sobre todo si está implicada la responsabilidad de la gerencia de
informática. Lo más grave es que se puede perder la credibilidad del público o los los clientes y,
como consecuencia, la empresa puede terminar en un fracaso total.
Cabe preguntarse "¿Por se necesita un plan de contingencia para desastres si existe una póliza de
seguro para esta eventualidad?" La respuesta es que si bien el seguro puede cubrir los costos
materiales de los activos de una organización en caso de una calamidad, no servirá para recuperar
el negocio. No ayudará a conservar a los clientes y, en la mayoría de los casos, no proporcionará
fondos por adelantado para mantener funcionando el negocio hasta que se haya recuperado.
En un estudio realizado por la Universidad de Minnesota, se ha demostrado que más del 60% de
las empresas que sufren un desastre y que no tienen un plan de recuperación ya en
funcionamiento, saldrán del negocio en dos o tres años. Mientras vaya en aumento la dependencia
de la disponibilidad de los recursos informáticos, este porcentaje seguramente crecerá.
Por lo tanto, la capacidad para recuperarse exitosamente de los efectos de un desastre dentro de un
periodo predeterminado debe ser un elemento crucial en un plan estratégico de seguridad para una
organización.
Imagínese una situación que interrumpa las operaciones de las computadoras durante una semana
o un mes; imagine la pérdida de todos los datos de la empresa, todas las unidades de respaldo del
sitio y la destrucción de equipos vitales del sistema ¿Cómo se manejaría semejante catástrofe? Si
Ud. se ve en esta situación y lo único que puede hacer es preguntarse "¿Y ahora qué?" ¡ya es
demasiado tarde! La única manera efectiva de afrontar un desastre es tener una solución completa
y totalmente probada para recuperarse de los efectos del mismo.
¿Qué es un desastre?
Se puede consider como un desastre la interrupción prolongada de los recursos informáticos y de
comunicación de una organización, que no puede remediarse dentro de un periodo
predeterminado aceptable y que necesita el uso de un sitio o equipo alterno para su recuperación.
53
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Ejemplos obvios son los grandes incendios, las inundaciones, los terremotos, las explosiones, los
actos de sabotaje, etcétera.
Estadísticas recientes sobre los tipos más
comunes de desastres que ocurren muestran que
el terrorismo, los incendios y los huracanes son
las causas más comunes en muchos países.
La alta gerencia tiene que decidir el periodo
predeterminado que lleva una interrupción de
servicio de la situación de "problema" a la de "desastre". La mayoría de las organizaciones logran
esto llevando a cabo un análisis de impacto en el negocio para determinar el máximo tiempo de
interrupción permisible en funciones vitales de sus actividades.
Plan de contingencia
La reanudación de las actividades ante una calamidad puede ser una de las situaciones más difíciles
con las que una organización deba enfrentarse. Tras un desastre, es probable que no haya
posibilidades de regresar al lugar de trabajo o que no se disponga de ninguna de los recursos
acostumbrados. Incluso, es posible que no se pueda contar con todo el personal. La preparación es
la clave del éxito para enfrentar los problemas.
No existe ninguna manera costeable para protegerse completamente contra todo tipo de riesgos,
particularmente amenazas naturales a gran escala que pueden arrasar zonas extensas. Como
consecuencia, siempre se tiene que tolerar algún riesgo residual. La decisión sobre el alcance del
desastre para el que habrá de prepararse debe tomarse en los más altos niveles de la empresa. Por
ejemplo, la mayor parte de las empresas implementan una estrategia que proteja contra desastres
locales, pero pocas cubren desastres a nivel nacional o incluso internacional.
Asimismo, las organizaciones que cuentan dos o más sitios, pueden tener una estrategia de
recuperación que funcione en caso de que un sitio sea destruido o dañado, pero no si varios sitios
son destruidos o dañados al mismo tiempo.
54
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Un plan de contingencia es el proceso de determinar qué hacer si una catástrofe se abate sobre la
empresa y es necesario recuperar la red y los sistemas.
M e t o d o l o g í a p a r a e l p l a n d e c o n t i n g e n c i a
El diseñar e implementar un plan de contingencia para recuperación de desastres no es una tarea
fácil; puede implicar esfuerzos y gastos considerables, sobre todo si se está partiendo de cero. Una
solución comprende las siguientes actividades:
1. Debe ser diseñada y elaborada de acuerdo con las necesidades de la empresa.
2. Puede requerir la construcción o adaptación de un sitio para los equipos computacionales.
3. Requerirá del desarrollo y prueba de muchos procedimientos nuevos, y éstos deben ser
compatibles con las operaciones existentes. Se hará participar a personal de muchos
departamentos diferentes, el cual debe trabajar en conjunto cuando se desarrolle e
implemente la solución.
4. Implicará un compromiso entre costo, velocidad de recuperación, medida de la
recuperación y alcance de los desastres cubiertos.
Como con cualquier proyecto de diseño, un método estructurado ayuda a asegurar de que se toman
en cuenta todos estos factores y de que se les trata adecuadamente.
A continuación se muestran las principales actividades requeridas para la planificación e
implementación de una capacidad de recuperación de desastres.
1. Identificación de riesgos
2. Evaluación de riesgos
3. Asignación de prioridades a las aplicaciones
4. Establecimiento de los requerimientos de recuperación
5. Elaboración de la documentación
6. Verificación e implementación del plan
7. Distribución y mantenimiento del plan
1. Identificación de riesgos
55
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
La primera fase del plan de contingencia, el análisis de riesgos, nos sitúa en el lugar de un asesor de
una compañía de seguros. En esta fase, la preocupación está relacionada con tres simples
preguntas: ¿qué está bajo riesgo?, ¿qué puede ir mal? y ¿cuál es la probabilidad de que suceda?
1.1. ¿Qué está bajo riesgo?
La primera de estas preguntas, ¿qué está bajo riesgo?, necesita incorporar todos los componentes
del sistema susceptibles de ser dañados, dando lugar a la pérdida de conectividad, computadoras o
datos. Un diagrama de la arquitectura de todos los componentes del sistema facilitará la realización
de un inventario de los elementos que pueden necesitar ser restituidos tras un desastre. No hay que
olvidar que también el software necesita ser reemplazado, y que todos los productos software
relevantes han de ser identificados. Esto incluye cosas como las utilidades del sistema de archivos
empleados para facilitar las operaciones de red.
Un inventario completo de una red muestra de manera clara la complejidad de ésta. Cualquiera que
realice inventarios de componentes para redes, comprende los problemas en el seguimiento del
hardware y software utilizado por los usuarios finales. Afortunadamente, existen algunos productos
disponibles, como los de las compañías Seagate Software, McAfee y otros, que facilitan la
construcción de un inventario de los sistemas.
Una omisión en el inventario fácilmente puede dar lugar a una recuperación fallida tras un
desastre. El sistema de aplicación puede no encontrarse preparado para su uso si alguno de sus
componentes no está disponible; en tal caso, es aconsejable estar constantemente a la expectativa
de los nuevos elementos que pueden haberse olvidado. Por ejemplo, una aplicación para acceso
remoto no funcionaría si los cables no están disponibles para conectar los módem.
Uno de los aspectos menos agradables a tener en cuenta, y que a menudo se pasa por alto, es que
las personas esenciales se vean afectadas por el desastre y sea necesario recurrir a otras para
realizar sus labores. Una formación diversificada en los sistemas dentro de la organización pude
ayudar a reducir el impacto de la indisponibilidad de uno de los colaboradores. Al menos, los
manuales de las aplicaciones más importantes para la empresa deberían encontrarse disponibles
en un sitio externo.
56
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
2. Evaluación de riesgos
Es el proceso de determinar el costo para la organización de sufrir un desastre que afecte su
actividad. Si una inundación impidiera la actividad comercial durante cinco días, la compañía
perdería cinco días de ventas, además del deterioro físico de los edificios e inventario. En el caso de
los sistemas informáticos, la preocupación principal es comprender la cantidad de pérdida
financiera que puede provocar la interrupción de los servicios, incluyendo los que se basan en las
redes.
Por ejemplo, si la empresa se anuncia a través o realiza negocios en Internet, ¿cuál es el costo de
tener el servidor web inhabilitado? Si la red a través de la cual se produce la solicitud de pedidos
está caída, o si el sistema de control de inventario utiliza la red, ¿cuál es el impacto sobre la
productividad de la empresa?
Los costos de un desastre pueden clasificarse en las siguientes categorías:
Costos reales de reemplazar el sistema informático
Costos por falta de producción.
Costos por negocio perdido
Costos de reputación.
El costo real de los equipos y el software es fácil de calcular, y depende de si se dispone de un buen
inventario de todos los componentes de la red necesarios.
Los costos de producción pueden determinarse midiendo la producción generada asociada a la red.
La empresa tiene una correcta valoración de la cantidad de trabajo realizado diariamente y su valor
relativo. La pérdida de producción, debida a la interrupción de la red, puede ser calculados
utilizando esta información.
Los costos por negocio perdido son los ingresos perdidos por las organizaciones de ventas y
marketing cuando la red no está disponible. Si el sistema de solicitud de pedidos no funciona y la
empresa sólo es capaz de procesar el 25% del volumen diario habitual de ventas, entonces se ha
perdido el 75% de ese volumen de ventas.
57
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
3. Asignación de prioridades en las aplicaciones
Después de que acontezca un desastre y se inicie la recuperación de los sistemas, debe conocerse
qué aplicaciones recuperar en primer lugar. No hay que perder el tiempo restaurando los datos y
sistemas equivocados cuando la actividad empresarial necesita primero sus aplicaciones esenciales.
Esto implica la necesidad de determinar por anticipado cuáles son las aplicaciones fundamentales
del negocio. Si la empresa es como la mayoría, se tendrán aplicaciones "muy importantes"
dependiendo de a quién se le pregunte.
El departamento de recursos humanos afirmará que el sistema de nóminas es el más importante, el
departamento de ventas dirá que es su sistema de entrada de pedidos, el departamento de
producción insistirá en su control de inventario y el departamento de compras asignará el papel de
más importante a su sistema de facturación. Desgraciadamente, no todos estos sistemas pueden ser
el más importante; por lo tanto, es fundamental que la dirección ayude a determinar el orden en
que los sistemas serán recuperados.
4. Establecimiento de requisitos de recuperación
La clave de esta fase del proceso de elaboración del plan de migración es definir un periodo de
tiempo aceptable y viable para lograr que la red esté de nuevo activa. Tal y como se ha planteado en
la sección anterior, la preocupación básica debería ser disponer de las aplicaciones más
importantes en primer lugar. El personal directivo de la organización deseará saber cuándo estarán
sus aplicaciones funcionando para planificar las actividades de la compañía.
5. Elaboración de la documentación
Crear un documento que mucha gente pueda tener como referencia es quizás lo más difícil del plan
de contingencia. No hay que engañarse: implicará un esfuerzo significativo para algunas personas,
pero ayudará a aprender cosas sobre el sistema y puede que algún día salve la empresa.
Los recursos necesarios para escribir y mantener un plan de contingencia representan más de lo
que puede realizarse en ratos libres y después de horas de oficina. La dirección de la organización
debe apoyar la iniciativa para que sea un éxito. Uno de los problemas del plan de contingencia en
un entorno de comunicaciones es que la tecnología de redes cambia tan rápidamente que resulta
difícil permanecer al día. Esto incluye nuevos dispositivos, así como nuevos sistemas de aplicación
que introducen su propio nivel de complejidad en este campo.
58
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
5.1. Contenido del plan de contingencia
El plan de contingencia debe intentar definir las cinco áreas siguientes:
1. Listas de notificación, números de teléfono, mapas y direcciones
2. Prioridades, responsabilidades, relaciones y procedimientos
3. Información sobre adquisiciones y compras
4. Diagramas de las instalaciones
5. Sistemas, configuraciones y copias de seguridad en cinta
Hay que cerciorarse de que se sabe a quién notificar en primer lugar cuándo ocurre un desastre.
Por ejemplo, si hay un incendio, llamar primero a los bomberos y luego al director general. Pueden
existir otras personas o organizaciones identificadas con características o conocimientos especiales
que puedan ayudar a minimizar el daño. Si no se dispone de números de teléfono o direcciones
actualizados, se puede pasar muy mal contactando con las personas afectadas.
6. Verificación e implementación del plan
Una vez redactado el plan, hay que probarlo. Hay que estar seguro de que el plan va a funcionar.
Para ello, se debe ser escéptico sobre el propio trabajo, de manera que pueda uno probarse a sí
mismo que funciona. Psicológicamente, esto no es fácil porque con toda probabilidad se ha
invertido una gran cantidad de tiempo y energía personal en este proceso, aunque lo mejor sería, si
es posible, situarse de manera imparcial ante la confiabilidad del plan. Por consiguiente, han de
realizarse las pruebas para encontrar problemas, no para verificar que el plan funciona.
Si existen errores en la información, tómese nota de ellos y corríjase el plan.
7. Distribución y mantenimiento del plan
Por último, cuando se disponga de un plan definitivo ya verificado, es necesario distribuirlo a las
personas que necesitan tenerlo. Inténtese controlar las versiones del plan, de manera que no exista
confusión con múltiples versiones. Así mismo, es necesario asegurar la disponibilidad de copias
extra del plan para su depósito en la instalación exterior a en cualquier otro lugar además del lugar
de trabajo. Manténgase una lista de todas las personas y ubicaciones que tienen una copia del plan.
Cuando se actualice el plan, sustituya todas las copias y recoja las versiones previas.
El mantenimiento del plan es un proceso sencillo. Se comienza con una revisión del plan existente
y se examina en su totalidad, realizando cambios a cualquier información que pueda haber variado.
59
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
En ese instante, se debe volver a evaluar los sistemas de aplicación y determinar cuáles son los más
importantes para la organización. Las modificaciones a esta parte del plan causarán modificaciones
consecutivas a los procedimientos de recuperación. Sin embargo, esto no debería verse como un
problema porque probablemente la sección de procedimientos tenga que actualizarse de todas
formas debido a otros cambios. Si se han realizado modificaciones al sistema de copias de
seguridad, hay que cerciorarse de incluir la información sobre el funcionamiento del nuevo o
actualizado sistema.
2.2.2 Elabora un informe de una auditoría hipotética en un centro de cómputo
Objetivo particular: Revisa la eficiencia de la información y la eficaz gestión de los recursos
informáticos con base en metodológica de auditoría y empleo de herramientas, instrumentos.
I d e n t i f i c a c i ó n d e r e v i s i o n e s d e a u d i t o r í a .
La información es el activo mas importante para las empresas, lo cual se puede confirmar si
consideramos el hecho de la perdida de información critica, y la post recuperación con la cual la
entidad podría retomar sus operaciones normales en un menor tiempo, que si ocurre lo contrario.
Por este motivo la información adquiere una gran importancia para la empresa moderna debido a
su poder estratégico y a que se invierten grandes cantidades de dinero en tiempo de proporcionar
un buen sistema de información para tener una mayor productividad.
La importancia en que radica auditoria de sistemas en las
organizaciones son:
- Se puede difundir y utilizar resultados o información errónea si los datos son inexactos o los
mismos son manipulados, lo cual abre la posibilidad de que afecte seriamente las operaciones,
tomas de decisiones o la imagen de la empresa.
- Las computa, servidores y centros de base de datos se han convertido en blanco para fraudes,
espionaje, delincuencia y terrorismo informático.
- La continuidad de las operación, administración y organización de la empresa no debe
60
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
permanecer en un sistema mal diseñado, ya que podría convenirse en un serio peligro para la
empresa.
- Existen grandes posibilidades de robo de secretos comerciales, información financiera,
administrativa, la transferencia ilícita de tecnología y demás delitos informáticos.
- Mala imagen e insatisfacción de los usuarios porque no reciben el soporte técnico adecuado o no
se reparan los daños de hardware ni se resuelven los problemas en un lapso razonable, es decir, el
usuario percibirá que está abandonado y desatendido permanentemente, esto dará una mala
imagen de la organización.
- En el Departamento de Sistemas se observa un incremento de costos, inversiones injustificadas o
desviaciones presupuestarias significativas.
- Evaluación de nivel de riesgos en lo que respecta a seguridad lógica, seguridad física y
confidencialidad.
- Mantener la continuidad del servicio, la elaboración y la actualización de los planes de
contingencia para lograr este objetivo.
- El inadecuado uso de la computadora para usos ajenos a la organización que puede llegar a
producir problemas de infiltración, borrado de información y un mal rendimiento.
- Las comunicaciones es el principal medio de negocio de las organizaciones, una débil
administración y seguridad podría lograr una mala imagen, retraso de negocios, falta de confianza
para los clientes y una mala expectativa para la producción.
La Auditoria de la Seguridad Informática en la informática abarca el concepto de seguridad física y
lógica. La seguridad física se refiere a la protección de hardware y los soportes de datos, así
también como la seguridad del los edificios y las instalaciones que lo albergan. Esto mismo
contempla situaciones de incendios, inundaciones, sabotajes, robos, catástrofes naturales, etc.
Por su parte la seguridad lógica se refiere a la seguridad del uso de software, protección de la
información, procesos y programas, así como el acceso ordenado y autorizado de los usuarios a la
61
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
información.
El auditar la seguridad de los sistemas, también implica que se debe tener cuidado que no existan
copias piratas, o bien que, al conectarnos en red con otras computadoras, no exista la posibilidad
de transmisión de virus.
En la auditoria para aplicaciones de internet se produce una verificación de los siguientes aspectos:
- Evaluación de los riesgos de Internet (operativos, tecnológicos y financieros) y así como su
probabilidad de ocurrencia.
- Evaluación de vulnerabilidades y arquitectura de seguridad implementada.
- Verificar la confidencialidad e integridad de las aplicaciones y la publicidad negativa como
consecuencia de ataques exitosos por parte de hackers.
Principios de auditoria administrativa
Es conveniente ahora tratar lo referente a los principios básicos en las auditorias administrativas,
los cuales vienen a ser parte de la estructura teórica de ésta, por tanto debemos recalcar tres
principios fundamentales que son los siguientes:
Sentido de la evaluación
La auditoria administrativa no intenta evaluar la capacidad técnica de ingenieros, contadores,
abogados u otros especialistas, en la ejecución de sus respectivos trabajos. Mas bien se ocupa de
llevara cabo un examen y evaluación de la calidad tanto individual como colectiva, de los gerentes,
es decir, personas responsables de la administración de funciones operacionales y ver si han
tomado modelos pertinentes que aseguren la implantación de controles administrativos adecuados,
que asegures: que la calidad del trabajo sea de acuerdo con normas establecidas, que los planes y
objetivos se cumplan y que los recursos se apliquen en forma económica.
62
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Importancia del proceso de verificación
Una responsabilidad de la auditoria administrativa es determinar que es lo que sé esta haciendo
realmente en los niveles directivos, administrativos y operativos; la practica nos indica que ello no
siempre está de acuerdo con lo que él responsable del área o el supervisor piensan que esta
ocurriendo. Los procedimientos de auditoria administrativa respaldan técnicamente la
comprobación en la observación directa, la verificación de información de terrenos, y el análisis y
confirmación de datos, los cuales son necesarios e imprescindibles.
Habilidad para pensar en términos administrativos
El auditor administrativo, deberá ubicarse en la posición de una administrador a quien se le
responsabilice de una función operacional y pensar como este lo hace (o debería hacerlo). En sí, se
trata de pensar en sentido administrativo, el cual es un atributo muy importante para el auditor
administrativo.
Importancia del proceso de verificación
Una responsabilidad de la auditoria administrativa es determinar que es lo que sé esta haciendo
realmente en los niveles directivos, administrativos y operativos; la practica nos indica que ello no
siempre está de acuerdo con lo que él responsable del área o el supervisor piensan que esta
ocurriendo. Los procedimientos de auditoria administrativa respaldan técnicamente la
comprobación en la observación directa, la verificación de información de terrenos, y el análisis y
confirmación de datos, los cuales son necesarios e imprescindibles.
Uso de herramientas para auditoría informática.
En la realización de una auditoría informática el auditor puede realizar las siguientes pruebas:
Pruebas sustantivas: Verifican el grado de confiabilidad del SI del organismo. Se suelen
obtener mediante observación, cálculos, muestreos, entrevistas, técnicas de examen
analítico, revisiones y conciliaciones. Verifican asimismo la exactitud, integridad y validez
de la información.
63
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Pruebas de cumplimiento: Verifican el grado de cumplimiento de lo revelado mediante el
análisis de la muestra. Proporciona evidencias de que los controles claves existen y que son
aplicables efectiva y uniformemente.
Las principales herramientas de las que dispone un auditor informático son:
Observación
Realización de cuestionarios
Entrevistas a auditados y no auditados
Muestreo estadístico
Flujogramas
Listas de chequeo
Mapas conceptuales
Cuestionarios
Las auditorías informáticas se materializan recabando información y documentación de todo
tipo. Los informes finales de los auditores dependen de sus capacidades para analizar las
situaciones de debilidad o fortaleza de los diferentes entornos. El trabajo de campo del auditor
consiste en lograr toda la información necesaria para la emisión de un juicio global objetivo,
siempre amparado en hechos demostrables, llamados también evidencias.
Para esto, suele ser lo habitual comenzar solicitando la cumplimentación de cuestionarios
preimpresos que se envían a las personas concretas que el auditor cree adecuadas, sin que sea
obligatorio que dichas personas sean las responsables oficiales de las diversas áreas a auditar.
Estos cuestionarios no pueden ni deben ser repetidos para instalaciones distintas, sino
diferentes y muy específicos para cada situación, y muy cuidados en su fondo y su forma.
Entrevistas
El auditor comienza a continuación las relaciones personales con el auditado. Lo hace de tres
formas:
64
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
1. Mediante la petición de documentación concreta sobre alguna materia de su
responsabilidad.
2. Mediante "entrevistas" en las que no se sigue un plan predeterminado ni un método estricto
de sometimiento a un cuestionario.
3. Por medio de entrevistas en las que el auditor sigue un método preestablecido de antemano y
busca unas finalidades concretas.
La entrevista es una de las actividades personales más importante del auditor; en ellas, éste
recoge más información, y mejor matizada, que la proporcionada por medios propios puramente
técnicos o por las respuestas escritas a cuestionarios.
Checklist
El auditor profesional y experto es aquél que reelabora muchas veces sus cuestionarios en
función de los escenarios auditados. Tiene claro lo que necesita saber, y por qué. Sus cuestionarios
son vitales para el trabajo de análisis, cruzamiento y síntesis posterior, lo cual no quiere decir que
haya de someter al auditado a unas preguntas estereotipadas que no conducen a nada. Muy por el
contrario, el auditor conversará y hará preguntas "normales", que en realidad servirán para la
cumplimentación sistemática de sus Cuestionarios, de sus Checklists.
Hay opiniones que descalifican el uso de los Checklists, ya que consideran que leerle una pila de
preguntas recitadas de memoria o leídas en voz alta descalifica al auditor informático. Pero esto no
es usar Checklists, es una evidente falta de profesionalismo. El profesionalismo pasa por un
procesamiento interno de información a fin de obtener respuestas coherentes que permitan una
correcta descripción de puntos débiles y fuertes. El profesionalismo pasa por poseer preguntas muy
estudiadas que han de formularse flexiblemente.
M e t o d o l o g í a d e T r a b a j o d e A u d i t o r í a I n f o r m á t i c a
El método de trabajo del auditor pasa por las siguientes etapas:
Alcance y Objetivos de la Auditoría Informática.
Estudio inicial del entorno auditable.
Determinación de los recursos necesarios para realizar la auditoría.
Elaboración del plan y de los Programas de Trabajo.
Actividades propiamente dichas de la auditoría.
65
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Confección y redacción del Informe Final.
Redacción de la Carta de Introducción o Carta de Presentación del Informe final.
Definición de Alcance y Objetivos
El alcance de la auditoría expresa los límites de la misma. Debe existir un acuerdo muy preciso
entre auditores y clientes sobre las funciones, las materias y las organizaciones a auditar.
A los efectos de acotar el trabajo, resulta muy beneficioso para ambas partes expresar las
excepciones de alcance de la auditoría, es decir cuales materias, funciones u organizaciones no van
a ser auditadas.
Tanto los alcances como las excepciones deben figurar al comienzo del Informe Final.
Las personas que realizan la auditoría han de conocer con la mayor exactitud posible los objetivos
a los que su tarea debe llegar. Deben comprender los deseos y pretensiones del cliente, de forma
que las metas fijadas puedan ser cumplidas.
Una vez definidos los objetivos (objetivos específicos), éstos se añadirán a los objetivos generales
y comunes de a toda auditoría Informática: La operatividad de los Sistemas y los Controles
Generales de Gestión Informática.
Estudio Inicial
Para realizar dicho estudio ha de examinarse las funciones y actividades generales de la
informática.
Para su realización el auditor debe conocer lo siguiente:
Organización:
Para el equipo auditor, el conocimiento de quién ordena, quién diseña y quién ejecuta es
fundamental. Para realizar esto en auditor deberá fijarse en:
66
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
1) Organigrama:
El organigrama expresa la estructura oficial de la organización a auditar.
Si se descubriera que existe un organigrama fáctico diferente al oficial, se pondrá de manifiesto
tal circunstancia.
2) Departamentos:
Se entiende como departamento a los órganos que siguen inmediatamente a la Dirección. El
equipo auditor describirá brevemente las funciones de cada uno de ellos.
3) Relaciones Jerárquicas y funcionales entre órganos de la Organización:
El equipo auditor verificará si se cumplen las relaciones funcionales y Jerárquicas previstas
por el organigrama, o por el contrario detectará, por ejemplo, si algún empleado tiene dos
jefes.
Las de Jerarquía implican la correspondiente subordinación. Las funcionales por el contrario,
indican relaciones no estrictamente subordinables.
4) Flujos de Información:
Además de las corrientes verticales intradepartamentales, la estructura organizativa cualquiera
que sea, produce corrientes de información horizontales y oblicuas extradepartamentales.
Los flujos de información entre los grupos de una organización son necesarios para su eficiente
gestión, siempre y cuando tales corrientes no distorsionen el propio organigrama.
En ocasiones, las organizaciones crean espontáneamente canales alternativos de información,
sin los cuales las funciones no podrían ejercerse con eficacia; estos canales alternativos se
producen porque hay pequeños o grandes fallos en la estructura y en el organigrama que los
representa.
Otras veces, la aparición de flujos de información no previstos obedece a afinidades personales
o simple comodidad. Estos flujos de información son indeseables y producen graves
perturbaciones en la organización.
5) Número de Puestos de trabajo
67
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
El equipo auditor comprobará que los nombres de los Puesto de los Puestos de Trabajo de la
organización corresponden a las funciones reales distintas.
Es frecuente que bajo nombres diferentes se realicen funciones idénticas, lo cual indica la
existencia de funciones operativas redundantes.
Esta situación pone de manifiesto deficiencias estructurales; los auditores darán a conocer tal
circunstancia y expresarán el número de puestos de trabajo verdaderamente diferentes.
6) Número de personas por Puesto de Trabajo
Es un parámetro que los auditores informáticos deben considerar. La inadecuación del personal
determina que el número de personas que realizan las mismas funciones rara vez coincida con la
estructura oficial de la organización.
Entorno Operacional
El equipo de auditoria informática debe poseer una adecuada referencia del entorno en el que va
a desenvolverse.
Este conocimiento previo se logra determinando, fundamentalmente, los siguientes extremos:
a) Situación geográfica de los Sistemas:
Se determinará la ubicación geográfica de los distintos Centros de Proceso de Datos en la
empresa. A continuación, se verificará la existencia de responsables en cada unos de ellos,
así como el uso de los mismos estándares de trabajo.
b) Arquitectura y configuración de Hardware y Software:
Cuando existen varios equipos, es fundamental la configuración elegida para cada uno de
ellos, ya que los mismos deben constituir un sistema compatible e intercomunicado. La
configuración de los sistemas esta muy ligada a las políticas de seguridad lógica de las
compañías.
Los auditores, en su estudio inicial, deben tener en su poder la distribución e
interconexión de los equipos.
68
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
c) Inventario de Hardware y Software:
El auditor recabará información escrita, en donde figuren todos los elementos físicos y
lógicos de la instalación. En cuanto a Hardware figurarán las CPUs, unidades de control
local y remotas, periféricos de todo tipo, etc.
El inventario de software debe contener todos los productos lógicos del Sistema, desde el
software básico hasta los programas de utilidad adquiridos o desarrollados internamente.
Suele ser habitual clasificarlos en facturables y no facturables.
d) Comunicación y Redes de Comunicación:
En el estudio inicial los auditores dispondrán del número, situación y características
principales de las líneas, así como de los accesos a la red pública de comunicaciones.
Igualmente, poseerán información de las Redes Locales de la Empresa.
Aplicaciones bases de datos y ficheros
El estudio inicial que han de realizar los auditores se cierra y culmina con una idea general de
los procesos informáticos realizados en la empresa auditada. Para ello deberán conocer lo
siguiente:
a) Volumen, antigüedad y complejidad de las Aplicaciones
b) Metodología del Diseño
Se clasificará globalmente la existencia total o parcial de metodología en el desarrollo de
las aplicaciones. Si se han utilizados varias a lo largo del tiempo se pondrá de manifiesto.
c) Documentación
La existencia de una adecuada documentación de las aplicaciones proporciona beneficios
tangibles e inmediatos muy importantes.
La documentación de programas disminuye gravemente el mantenimiento de los mismos.
d) Cantidad y complejidad de Bases de Datos y Ficheros.
69
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
El auditor recabará información de tamaño y características de las Bases de Datos,
clasificándolas en relación y jerarquías. Hallará un promedio de número de accesos a ellas
por hora o días. Esta operación se repetirá con los ficheros, así como la frecuencia de
actualizaciones de los mismos.
Estos datos proporcionan una visión aceptable de las características de la carga
informática.
Determinación de recursos de la auditoria Informática
Mediante los resultados del estudio inicial realizado se procede a determinar los recursos
humanos y materiales que han de emplearse en la auditoria.
Recursos materiales
Es muy importante su determinación, por cuanto la mayoría de ellos son proporcionados por el
cliente. Las herramientas software propias del equipo van a utilizarse igualmente en el sistema
auditado, por lo que han de convenirse en lo posible las fechas y horas de uso entre el auditor y
cliente.
Los recursos materiales del auditor son de dos tipos:
a) Recursos materiales Software
Programas propios de la auditoria: Son muy potentes y Flexibles. Habitualmente se
añaden a las ejecuciones de los procesos del cliente para verificarlos.
Monitores: Se utilizan en función del grado de desarrollo observado en la actividad de
Técnica de Sistemas del auditado y de la cantidad y calidad de los datos ya existentes.
b) Recursos materiales Hardware
Los recursos hardware que el auditor necesita son proporcionados por el cliente. Los
procesos de control deben efectuarse necesariamente en las Computadoras del auditado.
Para lo cuál habrá de convenir, tiempo de maquina, espacio de disco, impresoras
ocupadas, etc.
70
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Recursos Humanos:
La cantidad de recursos depende del volumen auditable. Las características y perfiles del personal
seleccionado dependen de la materia auditable.
Es igualmente reseñable que la auditoría en general suele ser ejercida por profesionales
universitarios y por otras personas de probada experiencia multidisciplinaria.
Perfiles Profesionales de los auditores informáticos
Profesión Actividades y conocimientos deseables
Informático Generalista Con experiencia amplia en ramas distintas.
Deseable que su labor se haya desarrollado en
Explotación y en Desarrollo de Proyectos.
Conocedor de Sistemas.
Experto en Desarrollo de Proyectos Amplia experiencia como responsable de proyectos.
Experto analista. Conocedor de las metodologías de
Desarrollo más importantes.
Técnico de Sistemas Experto en Sistemas Operativos y Software Básico.
Conocedor de los productos equivalentes en el
mercado. Amplios conocimientos de Explotación.
Experto en Bases de Datos y
Administración de las mismas.
Con experiencia en el mantenimiento de Bases de
Datos. Conocimiento de productos compatibles y
equivalentes. Buenos conocimientos de explotación
Experto en Software de
Comunicación
Alta especialización dentro de la técnica de
sistemas. Conocimientos profundos de redes. Muy
experto en Subsistemas de teleproceso.
Experto en Explotación y Gestión
de CPD´S
Responsable de algún Centro de Cálculo. Amplia
experiencia en Automatización de trabajos. Experto
en relaciones humanas. Buenos conocimientos de
los sistemas.
71
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Técnico de Organización Experto organizador y coordinador. Especialista en
el análisis de flujos de información.
Técnico de evaluación de Costes Economista con conocimiento de Informática.
Gestión de costes.
Elaboración del Plan y de los programas de trabajo
Una vez asignados los recursos, el responsable de la auditoría y sus colaboradores establecen un
plan de trabajo. Decidido éste, se procede a la programación del mismo.
El plan se elabora teniendo en cuenta, entre otros criterios, los siguientes:
a) Si la Revisión debe realizarse por áreas generales o áreas específicas. En el primer caso, la
elaboración es más compleja y costosa.
b) Si la auditoría es global, de toda la Informática, o parcial. El volumen determina no solamente el
número de auditores necesarios, sino las especialidades necesarias del personal.
En el plan no se consideran calendarios, porque se manejan recursos genéricos y no
específicos.
En el Plan se establecen los recursos y esfuerzos globales que van a ser necesarios.
En el Plan se establecen las prioridades de materias auditables, de acuerdo siempre con las
prioridades del cliente.
El Plan establece disponibilidad futura de los recursos durante la revisión.
El Plan estructura las tareas a realizar por cada integrante del grupo.
En el Plan se expresan todas las ayudas que el auditor ha de recibir del auditado.
Una vez elaborado el Plan, se procede a la Programación de actividades. Esta ha de ser lo
suficientemente como para permitir modificaciones a lo largo del proyecto.
Actividades de la Auditoría Informática
Auditoría por temas generales o por áreas específicas:
La auditoría Informática general se realiza por áreas generales o por áreas específicas. Si se
examina por grandes temas, resulta evidente la mayor calidad y el empleo de más tiempo total y
mayores recursos.
72
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Cuando la auditoría se realiza por áreas específicas, se abarcan de una vez todas las peculiaridades
que afectan a la misma, de forma que el resultado se obtiene más rápidamente y con menor
calidad.
Técnicas de Trabajo:
- Análisis de la información recabada del auditado.
- Análisis de la información propia.
- Cruzamiento de las informaciones anteriores.
- Entrevistas.
- Simulación.
- Muestreos.
Herramientas:
- Cuestionario general inicial.
- Cuestionario Checklist.
- Estándares.
- Monitores.
- Simuladores (Generadores de datos).
- Paquetes de auditoría (Generadores de Programas).
- Matrices de riesgo.
Informe Final
La función de la auditoría se materializa exclusivamente por escrito. Por lo tanto la elaboración
final es el exponente de su calidad.
Resulta evidente la necesidad de redactar borradores e informes parciales previos al informe final,
los que son elementos de contraste entre opinión entre auditor y auditado y que pueden descubrir
fallos de apreciación en el auditor.
73
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Estructura del informe final:
El informe comienza con la fecha de comienzo de la auditoría y la fecha de redacción del mismo.
Se incluyen los nombres del equipo auditor y los nombres de todas las personas entrevistadas, con
indicación de la jefatura, responsabilidad y puesto de trabajo que ostente.
Definición de objetivos y alcance de la auditoría.
Enumeración de temas considerados:
Antes de tratarlos con profundidad, se enumerarán lo más exhaustivamente posible todos los
temas objeto de la auditoría.
Cuerpo expositivo:
Para cada tema, se seguirá el siguiente orden a saber:
a) Situación actual. Cuando se trate de una revisión periódica, en la que se analiza no
solamente una situación sino además su evolución en el tiempo, se expondrá la situación
prevista y la situación real
b) Tendencias. Se tratarán de hallar parámetros que permitan establecer tendencias futuras.
c) Puntos débiles y amenazas.
d) Recomendaciones y planes de acción. Constituyen junto con la exposición de puntos débiles, el
verdadero objetivo de la auditoría informática.
e) Redacción posterior de la Carta de Introducción o Presentación.
Modelo conceptual de la exposición del informe final:
- El informe debe incluir solamente hechos importantes.
La inclusión de hechos poco relevantes o accesorios desvía la atención del lector.
- El Informe debe consolidar los hechos que se describen en el mismo.
74
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
El término de “hechos consolidados” adquiere un especial significado de verificación objetiva y de
estar documentalmente probados y soportados. La consolidación de los hechos debe satisfacer, al
menos los siguientes criterios:
1. El hecho debe poder ser sometido a cambios.
2. Las ventajas del cambio deben superar los inconvenientes derivados de mantener la
situación.
3. No deben existir alternativas viables que superen al cambio propuesto.
4. La recomendación del auditor sobre el hecho debe mantener o mejorar las normas y
estándares existentes en la instalación.
La aparición de un hecho en un informe de auditoría implica necesariamente la existencia de una
debilidad que ha de ser corregida.
Flujo del hecho o debilidad:
1 – Hecho encontrado.
- Ha de ser relevante para el auditor y pera el cliente.
- Ha de ser exacto, y además convincente.
- No deben existir hechos repetidos.
2 – Consecuencias del hecho
- Las consecuencias deben redactarse de modo que sean directamente deducibles del
hecho.
3 – Repercusión del hecho
- Se redactará las influencias directas que el hecho pueda tener sobre otros aspectos
informáticos u otros ámbitos de la empresa.
75
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
4 – Conclusión del hecho
- No deben redactarse conclusiones más que en los casos en que la exposición haya sido
muy extensa o compleja.
5 – Recomendación del auditor informático
- Deberá entenderse por sí sola, por simple lectura.
- Deberá estar suficientemente soportada en el propio texto.
- Deberá ser concreta y exacta en el tiempo, para que pueda ser verificada su
implementación.
- La recomendación se redactará de forma que vaya dirigida expresamente a la persona o
personas que puedan implementarla.
Carta de introducción o presentación del informe final:
La carta de introducción tiene especial importancia porque en ella ha de resumirse la auditoría
realizada. Se destina exclusivamente al responsable máximo de la empresa, o a la persona concreta
que encargo o contrato la auditoría.
Así como pueden existir tantas copias del informe Final como solicite el cliente, la auditoría no
hará copias de la citada carta de Introducción.
La carta de introducción poseerá los siguientes atributos:
- Tendrá como máximo 4 folios.
- Incluirá fecha, naturaleza, objetivos y alcance.
- Cuantificará la importancia de las áreas analizadas.
- Proporcionará una conclusión general, concretando las áreas de gran debilidad.
- Presentará las debilidades en orden de importancia y gravedad.
- En la carta de Introducción no se escribirán nunca recomendaciones.
76
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
CONCLUSIÓN
El auditor es el proceso de acumular y evaluar evidencia, realizando por una persona independiente y competente acerca de la información cuantificable de una entidad económica especifica, con el propósito de determinar e informar sobre el grado de correspondencia existente entre la información cuantificable y los criterios establecidas. Su importancia es reconocida desde los tiempos más remotos, teniéndose conocimientos de su existencia ya en las lejanas épocas de la civilización sumeria. El factor tiempo obliga a cambiar muchas cosas, la industria, el comercio, los servicios públicos, entre otros. Al crecer las empresas, la administración se hace mas complicada, adoptando mayor importancia la comprobación y el control interno, debido a una mayor delegación de autoridades y responsabilidad de los funcionarios. Debido a todos los problemas administrativos sé han presentado con el avance del tiempo nuevas dimensiones en el pensamiento administrativo. Una de estas dimensiones es la auditoria administrativa la cual es un examen detallado de la administración de un organismo social, realizado por un profesional (auditor), es decir, es una nueva herramienta de control y evaluación considerada como un servicio profesional para examinar integralmente un organismo social con el propósito de descubrir oportunidades para mejorar su administración. Tomando en consideración todas las investigaciones realizadas, podemos concluir que la auditoria es dinámica, la cual debe aplicarse formalmente toda empresa, independientemente de su magnitud y objetivos; aun en empresas pequeñas, en donde se llega a considerar inoperante, su aplicación debe ser secuencial constatada para lograr eficiencia.
77
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Glosario de términos técnicos de auditoria en
seguridad
El análisis de riesgo es un proceso sistemático para estimar la magnitud de los riesgos a que está
expuesta una organización o empresa.
Es la identificación de las amenazas que acechan a los distintos componentes pertenecientes o
relacionados con un sistema de información (activos) para determinar la vulnerabilidad del
sistema ante esas amenazas y para estimar el impacto o grado de perjuicio que una seguridad
insuficiente puede afectar a la organización.
Acorde al punto 5.4 de Magerit (España) es importante crear escenarios de ataque, imaginar
amenazas a los activos, pensar cómo un atacante se enfrentaría a nuestros sistemas o activos.
Hay que ponerse en la piel del atacante e imaginar qué haría con sus conocimientos y recursos. Es
importante plantear diferentes situaciones dependiendo del perfil técnico del atacante o de sus
recursos técnicos y humanos. Estos escenarios de ataque o dramatizaciones son importantes para
evaluar impactos y riesgos.
Consideraciones
Jamás olvide que en las empresas la seguridad comienza por dentro. Capacitando al personal,
creando normas basadas en standards, analizando brechas y puntos ciegos en la seguridad lógica y
en la seguridad de sistemas de información.
Es fundamental la creación de escenarios de conflicto en forma continua participando la gerencia
de la empresa junto con un auditor en seguridad, a partir de estos escenarios pueden lograrse
medidas para evitar eventos de seguridad.
Anticiparse a los hechos
Imagínese el peor escenario posible. Piense cómo evitarlo. Existen normas, procedimientos,
78
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
protocolos de seguridad existentes que pueden ayudar a crear y basar (valga la redundancia) sus
procedimientos internos para alejar la posibilidad de riesgo.
Si su empresa opera a través de internet o telecomunicaciones no olvide que es más probable tener
una fuga de información o problema interno de seguridad con su personal a que un hacker intente
vulnerar sus sistemas, el fraude interno está a la orden del día.
Realice periódicamente perfiles socioeconómicos de su personal, tenga entrevistas con cada uno de
sus empleados con una frecuencia trimestral contando con apoyo de un profesional en psicología
laboral con experiencia previa y capacitado en PNL (nunca está de más que en estas entrevistas
participe un auditor en seguridad, el auditor debe ser capaz de percibir a un “insider”)
El siguiente glosario es un compendio de términos técnicos de auditoria en seguridad que le
permitirá comprender diversos informes y graficar situaciones eventuales en que su empresa
podría verse comprometida.
Ataque:
Cualquier acción deliberada con el objetivo de violar los mecanismos de seguridad de un sistema de
información.
Auditoria de Seguridad:
Estudio y examen independiente de registros históricos y actividades de un sistema de información
con el objetivo de comprobar la solidez de los controles del sistema, alinear los controles con la
estructura de seguridad y procedimientos operativos establecidos a fin de detectar brechas en la
seguridad y recomendar modificaciones en los procedimientos, controles y estructuras de
seguridad.
Autenticidad:
Aseguramiento de la identidad u origen.
Certificación:Confirmación del resultado de una evaluación y de que los criterios de la evaluación
utilizados fueron correctamente aplicados.
79
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Confidencialidad:
Aseguramiento de que la información es accesible sólo por aquellos autorizados a tener acceso.
Degradación:
Pérdida de valor de un activo como consecuencia de la materialización de una amenaza
Disponibilidad:
Aseguramiento de que los usuarios autorizados tienen acceso cuando lo requieran a la información
y a sus activos asociados.
Estado de riesgo:
Caracterización de activos por riesgo residual. “Lo que puede pasar tomando en consideración que
las salvaguardas han sido desplegadas”.
Evento de seguridad:
Momento en que la amenaza existe y pone en riesgo activos, procedimientos o información.
Evaluación de Medidas de Seguridad:
Evaluación de las medidas de seguridad existentes con relación al riesgo que enfrentan.
Frecuencia:
Tasa de ocurrencia de una amenaza
Gestión de riesgos:
Selección de implementación de medidas de seguridad para conocer, prevenir, impedir, reducir o
controlar los riesgos identificados. La gestión de riesgos se basa en resultados obtenidos en el
análisis de riesgos.
Impacto:
Consecuencia que sobre un activo tiene la materialización de una amenaza.
80
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Impacto residual:
Impacto remanente en el sistema tras la implantación de las medidas de seguridad determinadas
en el plan de seguridad de la información.
Insider:
Empleado desleal quien por motivos de desinterés, falta de capacidad intelectual y/o analítica,
problemas psicológicos o psiquiátricos, corrupción, colusión u otros provoca daños en forma
deliberada en la empresa en que trabaja, incumpliendo concientemente con normas y
procedimientos establecidos, robando o hurtando activos (físicos o información) con objetivos
económicos o simplemente de daño deliberado.
Integridad:
Garantía de la exactitud y completitud de la información y los métodos de su procesamiento.
Mapa de riesgos:
Relación de las amenazas a que están expuestos los activos.
Plan de seguridad:
Conjunto de programas de seguridad que permiten materializar las decisiones de gestión de
riesgos.
Programa de seguridad:
Conjunto de tareas orientadas a afrontar el riesgo del sistema. Esta agrupación se debe a que en
singular las tareas carecerían de eficacia ya que todas tienen un objetivo común y porque competen
a una única unidad de acción.
Proyecto de seguridad:
Programa de seguridad cuya envergadura es tal que requiere una planificación específica.
Riesgo:
Estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos
causando daños y / o perjuicios a la Organización.
81
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Riesgo acumulado:
Toma en consideración el valor propio de un activo y el valor de los activos que dependen de él.
Este valor se combina con la degradación causada por una amenaza y la frecuencia estimada de la
misma.
Riesgo repercutido:
Se calcula tomando el valor propio de un activo y combinándolo con la degradación causa por una
amenaza y la frecuencia estimada de la misma.
Medida de seguridad:
Procedimiento o mecanismo tecnológico que reduce el riesgo.
Seguridad:
Capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de
confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la
disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o
transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.
Sistema de información:
Computadoras y redes de comunicaciones electrónicas, datos electrónicos almacenados,
procesados, recuperados o transmitidos por los mismos para su operación, uso, protección y
mantenimiento.
Conjunto de elementos físicos, lógicos, elementos de comunicación, datos y personal que permiten
el almacenamiento, transmisión y proceso de la información.
Trazabilidad:
Aseguramiento de que en todo momento se podrá determinar quien hizo qué y en qué momento.
82
L.I. Tere Suárez Reyes ADMON. Y AUDITORIA DE CENTROS DE DATOS
Valor de un activo:
Estimación del costo inducido por la materialización de una amenaza.
Valor acumulado:
Considera tanto el valor propio de un activo como el valor de los activos que dependen de él.
Vulnerabilidad:
Cálculo o estimación de la exposición efectiva de un activo a una amenaza. Se determina por dos
medidas: frecuencia de ocurrencia y degradación causada.
Bibliografía
Libros y Manuales:
Planeación y Organización de Empresas / Guillermo Gómez Ceja / McGrawHill. Administración de la función informática / Ricardo Hernández Jiménez / Trillas. Administración de centros de cómputo / Ricardo Hernández Jiménez / Trillas. Manual de Organización de la Dirección General Adjunta de Sistemas y Procedimientos de
Grupo Financiero Bancrecer.
Internet:
http://www.grupoatn.com/ http://www.utp.ac.pa/centroin/ccomputo.html http://dgep.posgrado.unam.mx/~depfe/compinfo.htm http://www.uam.mx/infraestructura/documentos/ http://www.arearh.com/rrhh/descripciondepuestos.htm http://www.microsoft.com/spain/permission/copyrgt/whatis.htm http://www.monografias.com/trabajos/evoadmin/evoadmin.shtml http://www.monografias.com/trabajos7/ceproc/ceproc.shtml
top related