rjal auditoria de sistemas universidad nacional de ingeniería. recinto augusto c. sandino...
Post on 25-Jan-2016
218 Views
Preview:
TRANSCRIPT
RJAL
Auditoria de Sistemas
Universidad Nacional de Ingeniería.Recinto Augusto C. Sandino
Evaluación de la Seguridad.
RJAL
Delitos por Computadora
Que es un Ordenador?
Los ordenadores son un instrumento que estructura gran cantidad de información, la cual puede ser confidencial, para individuos, empresas o instituciones que puede ser mal utilizada o divulgada.
RJAL
Delitos por Computadora
*Los Procedimientos de auditoria y seguridad no solo corresponden a la persona que elabora el Sistema…
Proteger la integridad, la exactitud y confidencialidad de la información.
Proteger los activos ante desastres provocados por la mano del hombre y de actos hostiles.
Proteger a la organización contra situaciones externas como desastres y sabotajes.
En caso de desastres, contar con los planes y políticas de contingencias para lograr una pronta recuperación.
Contar con los seguros necesarios que cubran las pérdidas económicas en caso de desastre.
RJAL
Delitos por Computadora
Los Motivos Por los cuales se comete un delitos Son:
Beneficio Personal.Beneficios para la organización.Síndrome de Robín Hood.Jugando a jugarEl individuo posee problemas financieros.La computadora no tiene sentimientos.El departamento es deshonesto.Odio a la Organización.Equivocación de ego.Mentalidad turbada.
RJAL
Virus
5 Factores que han permitido el Incremento de crímenes por computadora:
El aumento del número de personas que se encuentran estudiando computación.
El aumento del numero de colaboradores que tienen acceso a los equipos.
La facilidad en el uso de equipos de computo.
El incremento en la concentración del número de aplicaciones y, consecuentemente, de la información.
El incremento de redes y de facilidades para utilizar las computadoras en cualquier lugar y tiempo.
RJAL
Recordemos
No es necesario realizar fraude estando directamente en el centro de computo de la empresa.
A medida que la tecnología avanza, avanza también la seguridad física y lógica, por lo que..
Física Lógica Eficiente
RJAL
Seguridad Lógica y Confidencialidad
La seguridad Lógica se encarga de los controles de acceso que están diseñados para salvaguardar la información.
Que es?
Objetivo?
RJAL
Seguridad Lógica y Confidencialidad
La falta de seguridad lógica o su violación trae las siguientes consecuencias:
Cambio de los datos antes o cuando se le da entrada a la computadora.
Copias de programas y/o información. Código oculto en un programa. Entrada de Virus.
RJAL
Seguridad Lógica
Tipos de Usuario:
Propietario. Administrador. Usuario Principal. Usuario de Consulta. Usuario de Exploración. Usuario de Auditoria.
RJAL
Seguridad Lógica
La seguridad Lógica abarca las siguientes áreas:
Rutas de Acceso. Claves de Acceso. Software de Control de Acceso. Encriptamiento.
RJAL
Software manejador de B.D.
El acceso a la vista de
datos deberá ser
restringido en una vista
de datos lógica.
Se debe de controlar el acceso al diccionario de Datos.
La bitácora de auditoria
debe reportar los accesos
al diccionario de Datos
RJAL
Software de Librerías
Mantiene una bitácora de auditoria de todas las actividades realizadas.
Tiene la facilidad de comparar
dos versiones de programas.
Deberán de impedir el acceso a
password a individuos no autorizados.
Los cambios realizados al software de
librerías tendrán que
ser protegidos y controlados.
RJAL
Software de Telecomunicaciones
Verificación de login de
aplicaciones.
Asegurar que los datos no
sean modificados por un usurario no
autorizado
Restricción al uso de
aplicaciones de la red.
Protección de datos sensibles durante la
transmisión.
RJAL
Consideraciones para Auditar.
Control de acceso a programas y a la información.
Control de cambios.
Bitácoras de Auditorias.
RJAL
La auditoria puede enfocarse en áreas de seguridad que son aplicables a todo tipo de software y pueden cubrir la instalación, el mantenimiento y la utilización del software.
Es necesario tomar en cuenta las características de seguridad del software, incluyendo el control de acceso, la identificación del usuario y el proceso de autentificación del usuario, ejecutado por el software.
Consideraciones para Auditar.
Software de control de Acceso
Software de Telecomunicaciones
Software Manejador de Librerías
Software de Base de Datos
Software de Utilerías
Software de Sistema Operativo
RJAL
Instalación y Mantenimiento
Consideraciones para Auditar.
Procedimientos para nuevas
pruebas o modificaciones
al software.
Procedimientos de iniciación,
documentación, pruebas y
aprobación de modificaciones
del software
Procedimientos de emergencia
para dar solución a los
problemas.
Acceso a librerías del programa
RJAL
Operación
Consideraciones para Auditar.
Controles de acceso para
los programas,
librerías, etc…
Horas durante el software
esta disponible.
Bitácoras de auditoria sobre las
actividades del software.
Dependencia de otro
software para
continuar la operación.
RJAL
¿Qué auditamos?
SoftwareSoftware
Proceso
Soft de Utilerias
Soft de Telecomunicaciones.
Sistemas Operativos
Soft de control de Acceso.
RJAL
Software de Control de Acceso.
Usualmente provee utilerías que pueden ser usadas en la ejecución de una auditoria. Los eventos pueden ser registrados en un archivo de auditoria (cambios en el sistema, así como la ocurrencia de otras actividades)
Diseño y Administración.
P. de identificación de usuarios.
P. de autentificación de usuario
Recursos para controlar el acceso.
Reportes y vigilancia del soft de C.
RJAL
Sistemas Operativos.
• Controles de acceso sobre tablas que definen
privilegios de usuarios, programas y funciones.
• Controles de acceso sobre consolas o terminales maestras.
• Bitácoras de Auditoria.
• Comandos de software o funciones que son
consideradas importantes.
• Control de acceso sobre el ID de usuarios.
RJAL
Software de Utilerías
• Funciones o comandos de Utilerías.
• Controles de Acceso sobre los comandos.
• Sí el S. ejecuta las funciones de identificación de usuario.
• Capacidades de uso de utilerías para cada grupo de usuarios.
RJAL
Software de Telecomunicaciones
Restricciones basadas en el acceso a la red.
Apagado automático de las unidades inactivas
Controles de acceso sobre los recursos de la red.
Si se ejecuta la identificación del usuario.
Seguridad física sobre líneas telefónicas y telec.
Posibilidad y uso de encriptación de datos o mensajes.
RJAL
Seguridad de autorización de accesos
Es importante asegurarse de que los controles de acceso sean estrictos durante todo el tiempo, y que estos incluyan a todo el personal de la organización, todo el personal ajeno a la instalación se debe de identificar antes de entrar a esta.
RJAL
Acceso Para garantizar la seguridad en el centro de computo de
una empresa se pueden utilizar los siguientes recursos:
Puerta con cerradura
Puerta de Combinación
Puerta Electrónica
Puertas Sensoriales
Registros de Entrada
Videocámaras
RJALDetección de humo, incendio y
Extintores
Los detectores de humo se deben colocar lejos de los aires acondicionados ya que estos dispositivos pueden difundir el calor y el humo y no permitir que se active el detector.
RJALDetección de incendios.
Las alarmas contraincendios deben estar conectadas con la alarma principal del lugar también los controles de seguridad del lugar deben satisfacer los estándares mínimos del departamento de bomberos, los documentos importantes, las operaciones y la programación deben tener un respaldo.
RJAL
Seguridad de Autorización de accesos
Con Respecto a los extintores se deben revisar el numero de estos su capacidad su fácil acceso, peso, capacidad y el tipo de materiales que utilizan "es muy común encontrar extintores que no estén cargados o bien que sean muy pesados o de difícil acceso”
RJAL
Temperatura y Humedad
Algunos equipos grandes, o bien las computadoras personales que son utilizados en zonas muy deserticas necesitan un sistema de aire acondicionado diseñado para estar en operación constante, con base en parámetros como:
Disipación térmica(BTU) Movimiento de aire(CFM) Perdida por transferencia de calor
RJAL
Seguridad en contra de virus
Suplantación de datos.
Destrucción de la producción.
Modificación en los códigos de producción.
Saturación, reducción de disponibilidad o cambio de
parámetros.
Bloqueo de redes.
Los daños mas comunes son los siguientes:
RJAL
Entre los problemas en el uso de analizadores están:
Son efectivos solamente contra virus conocidos.
Algunos nos muestran resultados positivos falsos.
Se deben actualizar constantemente.
Los usuario no se sientes totalmente seguros.
RJAL
Protecciones contra virus y elementos a auditar.
Se debe verificar que todas las computadoras tengan desinfectadores de virus instalados y actualizados.
Debe de existir políticas y procedimientos de actuación en contra de virus.
Prohibir el uso de dispositivos de almacenamiento externos solamente que sean probados y desinfectados.
Capacitar a los usuarios para actuar en las posibles situaciones que se presenten.
Evaluar y auditar que todos los paquetes que se utilicen sean oiginales.
RJAL
Internet
No permitir que comerciantes en línea almacenen información de la empresa o de personas.
Actualizar el sistema operativo y las aplicaciones que usamos para acceder a internet
No abrir cualquier documento que nos envíen por correo.
Se debe de cambiar con frecuencia las contraseñas de los sitios de red y aplicaciones .
Para que tengamos una alta seguridad y no ser vulnerable al momento de navegar por la red se puede hacer lo siguiente:
RJAL
Seguros
Bienes que puede amparar.
Riesgos cubiertos.
Riesgos excluidos.
Indemnización en caso de siniestro.
Por lo común un seguro de equipo de computo considera o siguiente:
RJAL
Condiciones generales.
La responsabilidad de los aseguradores solo procederá si cumplen los términos estipulados.
Los aseguradores no se hacen responsables por perdidas o daños, de las cuales no hayan recibido notificación dentro de un determinado tiempo.
El asegurado no hará ninguna acción que pueda aumentar el riesgo, a menos que los aseguradores se lo confirmen.
El asegurado deberá conservar las partes dañadas y ponerlas a disposición para una inspección.
RJALEXCLUCIONES ESPECIALES
Los aseguradores no serán responsables, a menos que se estipule lo contrario en las pólizas de:
*Perdida o daños causados directa e indirectamente por resultantes de desastres naturales.
*Perdidas o daños causados directa e indirectamente por hurto robo con o sin violencia y/o asaltos
RJALDAÑOS MATERIALES
Los aseguradores, en caso de que esté pegada la póliza, se encuentra vigente y que la pérdida o dañado no se encuentren específicamente excluido, indemnizarán al asegurado por tales pérdidas o daños en efectivo, o reparando o reemplazándolo.
RJALDISPOCIONES APLICADAS
Es requisito indispensable del seguro que la suma asegurada sea igual al valor de reposición del bien asegurado por otro bien nuevo de la misma clase y capacidad.
Si la suma asegurada es inferior al monto que debió asegurarse, los aseguradores indemnizaran solamente aquella proporción que la suma asegurada guarde con el monto que debió asegurarse.
RJAL
BASES DE LA INDEMNIZACION
En aquellos casos en que pudiera repararse los daños ocurrido a los bienes asegurados, los aseguradores indemnizaran aquellos gastos que sean necesarios erogar para dejar la unidad dañada en las condiciones existentes.
En caso de que el objeto asegurado fura totalmente dañado, robado o destruido, los aseguradores indemnizaran hasta el monto del valor actual que tuviere el objeto antes de ocurrir el siniestro
RJALSEGURIDAD EN LA UTILIZACION DEL EQUIPO
*Se debe restringir el acceso a los programas y a los archivos.
*No debe permitirse la entrada a al red a personas no autorizadas, ni usar las terminales
RJAL
*Se debe monitorear periódicamente el uso de las terminales.
Para controlar este tipo de información se debe:
Cuidar que no se obtenga fotocopias de información confidencial sin la debida autorización.
Solo el personal autorizado debe tener acceso a la información confidencial.
Controlar el número de copias.
El factor más importante para la eliminación de riesgo en la programación es que todos los programas y archivos estén debidamente documentados.
RJALSEGURIDAD AL RESTAURAR EL EQUIPO
Cuando ocurre una contingencia, es esencial que se conozca al detalle el motivo que la origino y el daño causado.
RJAL
Con frecuencia un problema, un error en los datos un error de operación o una fallas del equipo hacen que una corrida en la maquina aborte antes de terminar el proceso.
Cuando esto sucede, generalmente no se puede iniciar el trabajo donde se produjo la interrupción.
RJALPlan de contingencia y procedimientos de respaldo en caso de desastre.
Las organizaciones deben tener todos los controles, las funciones y los dispositivos para evitar un desastre.
RJAL
Plan de contingencia
Destrucción completa o parcial del centro de cómputos.
Destrucción o mal funcionamiento de los equipos auxiliares del centro de cómputos.
Destrucción total o parcial de los equipos descentralizados.
Perdida total o parcial de la información.
Perdida de personal clave.
Huelga o problemas laborales.
RJAL
Objetivos del Plan de Contingencia
Minimizar al impacto del desastre en
la organización.
Establecer tareas para evaluar los
procesos en la
organización.
Determinar el costo del plan
de recuperación.
RJALEl plan de contingencia debe contemplar
Naturaleza, extensión y complejidad de las actividades de la organización.
Grado de Riesgo al que la organización esta expuesto
Tamaño de las instalaciones de la organización.
Evaluación de los procesos considerados como críticos.
El numero de procesos críticos.
La formulación de las medidas de seguridad necesarias dependiendo del nivel de seguridad requerido.
Justificación del costo de implantar las medidas de seguridad.
RJAL
Etapas del plan de contingencia
• Análisis del impacto de la organización
• Selección de la estrategia.
• Preparación del plan.
• Prueba. • Mantenimiento.
RJAL
Etapas del plan de contingencia
1. Que implicación tiene que no se recupere el sistema y cuanto tiempo podríamos estar sin utilizarlo?
2. Existe un procedimiento alterno y que problema nos ocasionaría?
3. Que se ha hecho en un caso de emergencia?
RJALCuestionarios para análisis del impacto en la organización
Estos cuestionarios no deben plantear preguntas especificas sino de las aéreas en general, también tendrán que ser incluidas otras aéreas no automatizadas que pueden tener información critica y recursos físicos(maquinaria) para la continuidad del funcionamiento de organización.
RJALCuestionarios de funciones criticas
Son diseñados para recolectar información que refleje la importancia de cada proceso en la organización, y poder evaluar que tan critica puede ser una función o si es posible que esta se detenga durante un periodo determinado, un cuestionario para cada proceso.
RJAL
Para determinar lo que es “critico” se debe de utilizar la medida de “tolerancia” que es definida como la capacidad de continuar con los procesos durante la interrupción de las actividades normales de la organización. Si la tolerancia de un proceso es pequeña el proceso es probablemente critico, la tolerancia puede ser cuantificada en términos monetarios, de impacto a la organización y de impacto a la imagen de la misma.
RJALSelección de la estrategia.
Una ves que hemos definido el grado de riesgo hay que elaborar una lista de los sistemas con las medidas preventivas que se deben tomar así como las correctivas en caso de desastre, señalándole a cada función su prioridad.
El siguiente paso es identificar y comentar procesos alternativos para procesos identificados como críticos en la organización.
RJAL
En caso de desastre se procurara trabajar los sistemas de acuerdo con sus prioridades ya que no se podrá hacer en otra instalación en la misma forma como se venían trabajando en la instalación original.
Las medidas de prevención de desastre deben estar respaldadas el un lugar seguro.
RJAL
Es importante contar con la documentación completa del plan de contingencia para ser usada en caso de desastre. Esta debe de ser evaluada y aprobada y periódicamente revisada para actualizarla.
Los departamentos deben tener implantada su propia estrategia de respaldo. Se debe asegurar que el personal asignado a la tarea de recolección de datos este correctamente instruido.
RJAL
Respecto a la configuPor otro lado se debe establecer una relación estrecha con el personal de seguridad a fin de proteger la información.
ración del equipo hay que tener toda la información correspondiente al hardware y software del equipo propio y de respaldo.
RJAL
Es conveniente incluir en el acuerdo de soporte reciproco los siguientes puntos:
Configuración de equipos.Configuración de equipos de captación de
datos.Sistemas operativos.Configuración de equipos periféricos.
RJAL
Finalmente se deberá tener una lista de los requerimientos mínimos para un efectivo plan de recuperación en caso de desastre.
top related