CHECKLIST Proyecto: Realizar una auditoría de seguridad lógica y física de un SITE’s de comunicaciones.

Revisión 1.0

Septiembre de 2013

Realizar una auditoría de seguridad lógica y física de un SITE’s de comunicaciones.

Introducción

El auditor deberá aplicar el CheckList de modo que el auditado responda clara y estricta. Se deberá interrumpir lo menos posible a éste, y solamente en los casos en que las respuestas se aparten sustancialmente de la pregunta. En algunas ocasiones, se hará necesario invitar a aquél a que exponga con mayor amplitud un tema concreto, y en cualquier caso, se deberá evitar absolutamente la presión sobre el mismo.

Propósito

El propósito del presente CheckList es facilitar a los auditores la identificación y detección de anomalías en los procesos y productos auditados dentro del SITE de la laboratorio M de la Universidad Tecnológica de Huejotzingo.

Alcance

El alcance ha de definir con precisión el entorno y los límites en que va a desarrollarse la auditoria informática dentro del área del SITE del Edificio M de la Universidad Tecnológica de Huejotzingo, se complementa con los objetivos de ésta. El alcance ha de figurar expresamente en el Informe Final, de modo que quede perfectamente determinado no solamente hasta que puntos se ha llegado, sino cuales materias fronterizas han sido omitidas.

Realizar una auditoría de seguridad lógica y física de un SITE’s de comunicaciones.

CheckList de Seguridad FísicaNo. Criterio Proceso ITIL

Norma /Estándar

Cumple el criterio

Si No

1¿Existen políticas de seguridad de acceso a la información confidencial de los usuarios, servidores, router’s y Switch de acuerdo a la norma ISO 27002?

Libro 2Gestión de la seguridad de la

información

ISO/IEC 27002

Justificación 17X

2¿Cuentan con plan de prevención en caso de algún desastre?

Libro 2Gestión de la continuidad de los

servicios de TI

NOM-003-SEGOB-2008

Justificación 1x

3¿Cuenta con extintores dentro de la área del SITE de acuerdo a los estándares de prevención de la norma STPS 2000?

Libro 1Gestión financiera

NOM – 002 – STPS – 2000

Justificación 9x

4¿Los extintores con que se cuentan son de fuego clase “C” según los criterios de estandarización de la norma STPS 1994?

Libro 2Gestión de la continuidad de los

servicios de TI

NOM-100-SPTS-1994

Justificación 10x

5¿Cuenta con señalamientos de rutas de evacuación en caso de contingencias?

Libro 2Gestión de la continuidad de los

servicios de TI

NOM-003-SEGOB-2008

Justificación 3X

6¿Están documentadas las políticas de seguridad dentro del área del SITE?

Libro 2Gestión de la seguridad de la

información

ISO/IEC 27002

Justificación 17X

7¿Existe un control de las pérdidas de información dentro del área del SITE?

Libro 2Gestión de la seguridad de la

información

ISO/IEC 17799

Justificación 12X

8¿Cuenta con alarmas de incendio de acuerdo a la norma STPS 2000 Y NOM 002?

Libro 2Gestión de la seguridad de la

información

NOM-002-STPS-2000

Justificación 8X

9¿Las instalaciones cuentan con la iluminación adecuada de un voltaje de 110v a 120v para el buen desempeño de sus trabajadores?

Libro 1Gestión financiera

NOM – 025 – STPS – 1994

Justificación 11X

10¿Las áreas de trabajo del SITE se encuentran seccionadas para cada responsable de área?

Libro 2Gestión de la continuidad de los

servicios de TI

NOM – 001 – STPS – 1999

Justificación 22x

CheckList de Seguridad Lógica

Realizar una auditoría de seguridad lógica y física de un SITE’s de comunicaciones.

No. Criterio Proceso ITILNorma /Estándar

Cumple el criterio

Si No

Realizar una auditoría de seguridad lógica y física de un SITE’s de comunicaciones.

1¿Se realizan respaldos de información cada semana del sistema del SAIUT?

Libro 2Gestión de la seguridad de la

información

ISO/IEC 17799

Justificación 2X

2¿Existe un administrador que controle las cuentas de los usuarios y estas se encuentran inventariadas?

Libro 4Gestión de Acceso a los

Servicios TI

ISO/IEC 17799

Justificación 5X

3¿Existe algún estándar para la creación de contraseñas de acuerdo al estándar DES?

Libro 2Gestión de la seguridad de la

información

Data Encryption Standard (DES)

Justificación 9

X

4¿El área del SITE cuenta con un proceso para dar mantenimiento preventivo al software que se tiene instalado?

Libro 2Gestión de la continuidad de los

servicios de TI

IEEE1219

Justificación 13X

5¿El área del SITE cuenta con un proceso para dar mantenimiento correctivo al software?

Libro 2Gestión de la continuidad de los

servicios de TI

IEEE1219

Justificación 14X

6¿Dentro del SITE se tienen software licenciado de antivirus instalados en los equipos de cómputo?

Libro 2Gestión de la seguridad de la

información

ISO 17799

Justificación 17X

7¿Dentro del SITE se tienen instalados anti malware en los equipos de cómputo?

Libro 3Gestión de cambios

SGSI SISTESEG

Justificación 18X

8¿Cuenta con licencias de software necesarias para el buen funcionamiento dentro del área del SITE?

Libro 3Gestión de cambios

ISO/IEC 19770

Justificación 19X

9¿Se sanciona al personal del área si instala software no permitido en los servidores?

Libro 2Gestión de la seguridad de la

información

NEG001

Justificación 22x

10¿Los usuarios de bajo nivel tienen restringido el acceso a las partes más delicadas de las aplicaciones?

Libro 4Gestión de Acceso a los

Servicios TI

ISO/IEC 17799

Justificación 5x

Realizar una auditoría de seguridad lógica y física de un SITE’s de comunicaciones.

CheckList de Seguridad en RedesNo. Criterio

ProcesoITIL

Norma /Estándar

Cumple el criterio

Si No

1¿Las salidas de corriente eléctrica son trifásicas y tiene un voltaje adecuado de 110v a 120v de acuerdo a las normas NOM 001 Y SCFI 1993?

Libro 2Gestión de la continuidad de

los servicios de TI

NOM-001-SCFI-1993

Justificación 4x

2¿Los interruptores de energía están debidamente protegidos y sin obstáculos para alcanzarlos?

Libro 2Gestión de la continuidad de

los servicios de TI

NOM-001-SCFI-1993

Justificación 4X

3¿La instalación eléctrica del equipo de cómputo es independiente de otras instalaciones eléctricas alternas de alta tensión o industrial?

Libro 2Gestión de la continuidad de

los servicios de TI

NOM-001-SCFI-1993

Justificación 4X

4¿El tráfico de la red por medio inalámbrico se encuentra protegido (encriptado) de acuerdo a la norma IEEE 802.11?

Libro 2Gestión de la seguridad de la

información

IEEE 802.11

Justificación 2X

5¿Los dispositivos inalámbricos intermediarios están físicamente protegidos de acuerdo a la norma IEEE 802.11?

Libro 2Gestión de la seguridad de la

información

IEEE 802.11

Justificación 2X

6¿Cada servidor dentro del área del SITE cuenta con un regulador de voltaje de 110v a 120v?

Libro 1Gestión financiera

NOM-001-SCFI-1993

Justificación 4X

7¿El cableado del área del SITE es accesible para una revisión física?

Libro 2Gestión de la continuidad de

los servicios de TI

ANSI/EIA/TIA-569

Justificación 3X

8¿Los cables de los equipos se encuentran debidamente aislados del paso de personas?

Libro 2Gestión de la continuidad de

los servicios de TI

TIA/EIA-568

Justificación 7X

9

¿Se cuenta con la adecuada instalación de la red y la documentación en cuanto se han hecho cambios en la misma y se encuentra registrados estos cambios hechos?

Libro 2Gestión de la continuidad de

los servicios de TI

ANSI/TIA/EIA-606

Justificación 8X

10¿El área del SITE Se apega a algún estándar para asignar el cableado eléctrico al inmueble?

Libro 2Gestión de la continuidad de

los servicios de TI

NOM-001-SCFI-1993

Justificación 4X

Realizar una auditoría de seguridad lógica y física de un SITE’s de comunicaciones.

CheckList de Seguridad en Sistemas

No. CriterioProceso

ITILNorma /Estándar

Cumple el criterio

Si No

1¿Las bases de datos cuentan con un modelo o esquema de organización de los datos?

Libro 2Gestión de la seguridad de la

información

ISO/IEC 27001

Justificación 1x

2¿Existe backup para información de las bases de datos realizándolo periódicamente del sistema del SAIUT?

Libro 2Gestión de la seguridad de la

información

ISO 9001

Justificación 2X

3¿Se cuentan con un administrador del sistema para el control visitas dentro del área del SITE?

Libro 2Gestión de la seguridad de la

información

ISO 9001

Justificación 2X

4¿Cuenta con alguna póliza de seguro de seguridad en caso de fallas de los servidores dentro del área del SITE?

Libro 2Gestión de la continuidad de

los servicios de TI

ISO 9001

Justificación 2X

5¿Las bases de datos son seguras conforme a privilegios establecidos a los usuarios?

Libro 2Gestión de la seguridad de la

información

ISO 9001

Justificación 2X

6¿El sistema fue creado bajo un modelo para la mejora y evaluación de los procesos de desarrollo y mantenimiento estipulado bajo la norma ISO 9001?

Libro 3Gestión de entregas y

despliegues

ISO 9001

Justificación 2X

7¿Se cuenta con personal especializado para que monitoree el rendimiento de la o las bases de datos que se tienen alojadas en los servidores de SITE?

Libro 2Gestión de la seguridad de la

información

ISO 9001

Justificación 2X

8¿Se realiza adecuadamente la documentación del sistema, manuales de usuario, mantenimiento y recomendaciones en base a las normas de ISO 9001?

Libro 3Gestión de entregas y

despliegues

ISO 9001

Justificación 2X

9

¿Se utiliza encriptación de la información que se almacena en las bases de datos para tener una mayor protección y evitar robos teniendo en cuenta la norma ISO 9001?

Libro 2Gestión de la seguridad de la

información

ISO 9001

Justificación 2X

10¿El sistema y la base de datos del SITE son escalables para alojar nuevas aplicaciones que sean ser requeridas?

Libro 3Gestión de entregas y

despliegues

ISO 9001

Justificación 2X