| |
La Informática hoy, está integrando en la gestión
de la empresa, y por eso las normas y estándares propiamente
informáticos deben estar, sometidos a los generales de la
misma. Debido a su importancia en el funcionamiento de una empresa,
existe la Auditoría Informática. La Auditoría
Informática es un examen crítico que se realiza con
el fin de evaluar la eficacia y eficiencia de una empresa.
|
Los principales objetivos que constituyen a la auditoría
Informática son:
- el control de la función informática,
- el análisis de la eficacia del Sistema
Informático,
- la verificación de la implantación
de la Normativa,
- y la revisión de la gestión de los
recursos informáticos.
|
 |
| Hemos seleccionado los siguientes articulos para usted: |
El servicio de auditoría en la Ley Orgánica de Protección de Datos
Fuente: belt.es
Auditoría Informática
Alcance de la Auditoría Informática
Características de la Auditoría Informática
Planes de Contingencia
Fuente: monografias.com
Ya no hay excusa para perder archivos
Fuente: monografias.com
El servicio de auditoría en la Ley Orgánica de Protección de Datos |
El artículo 9 de la Ley Orgánica de Protección de Datos de Carácter Personal (en adelante LOPD) establece que, tanto el Responsable del Fichero como el Encargado del Tratamiento, deberán adoptar las medidas no sólo de índole técnico sino también de índole organizativo para garantizar la seguridad y evitar la pérdida, alteración y destrucción de ficheros con datos de carácter personal.
Pero este artículo goza de su propio desarrollo reglamentario materializado en el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de Seguridad.
Concretamente, su artículo 17 establece que “Los sistemas de información e instalaciones de tratamiento de datos se someterán a una auditoría interna o externa, que verifique el cumplimiento del presente Reglamento, de los procedimientos e instrucciones vigentes en materia de seguridad de datos, al menos, cada dos años”.
Sin embargo, esta no fue la primera ley que habla de ello, sino que ya en la Instrucción 1/1995, de 1 de marzo, de la Agencia de Protección de Datos, relativa a Prestación de Servicios de Información sobre Solvencia Patrimonial y Crédito, se habla de la realización de una auditoría en lo que al tema de protección de datos se refiere, al establecer que la implantación, idoneidad y eficacia de las medidas de seguridad, deberá acreditarse mediante una auditoría y la remisión del informe final de la misma a la Agencia de Protección de Datos.
Sin embargo, la auditoria puede presentarse en dos figuras diferentes; una interna y otra externa.
En lo que respecta a la auditoría interna, las dudas acerca de una efectiva independencia son amplias, al ser realizada por personal interno de la propia organización.
De la auditoría externa, decir que es realizada por una empresa externa y que nada tiene que ver con la organización auditada.
Aunque la visión que tenemos hoy en día sobre una buena auditoría de seguridad de protección de datos de carácter personal, se queda en el plano de la simple auditoría sobre el cumplimiento de las medidas de seguridad, que podría calificarse como de incompleto y considerar que debe ser completada con la auditoria informática, tal y como establece la LOPD al hablar de medidas de índole técnica y organizativa.
Pero ¿cuál es el principal cometido en una auditoria? Es verificar la adecuación de procedimientos, medidas, estándares de seguridad establecidos por el responsable del tratamiento y el Reglamento de Medidas de Seguridad. Una vez realizado el análisis de todo lo anterior y detectadas las anomalías, el auditor procederá a proponer las medidas correctoras necesarias.
Los pasos de una auditoría son principalmente:
• Fijación del calendario y de los interlocutores, tanto de la empresa auditada como de la empresa que audita.
• Recogida de la documentación e información oportuna.
• Entrevistas con los usuarios.
• Análisis de la documentación y de la información previamente recogida.
• Entrega del Informe de Auditoría y del Reglamento de Medidas de seguridad.
Pero ¿qué sucede con la figura del Auditor?El problema principal radica en que no se haya regulada en ningún manual y no existe ningún registro al respecto, por lo que el único requisito radica en su calificación y experiencia en diferentes proyectos.
Lo que sí debemos tener claro es que el Auditor debe ser una persona en constante formación debido a que la rapidez con la que progresan las nuevas tecnologías hace que, en caso contrario, se quede desfasado y fuera del mercado laboral.
Alcance de la Auditoría Informática
El
alcance ha de definir con precisión el entorno y los límites
en que va a desarrollarse la auditoría informática,
se complementa con los objetivos de ésta. El alcance ha de
figurar expresamente en el Informe Final, de modo que quede perfectamente
determinado no solamente hasta que puntos se ha llegado, sino cuales
materias fronterizas han sido omitidas. Ejemplo: ¿Se someterán
los registros grabados a un control de integridad exhaustivo*? ¿Se
comprobará que los controles de validación de errores
son adecuados y suficientes*? La indefinición de los alcances
de la auditoría compromete el éxito de la misma.
*Control
de integridad de registros: Hay Aplicaciones que comparten registros,
son registros comunes. Si una Aplicación no tiene integrado
un registro común, cuando lo necesite utilizar no lo va encontrar
y, por lo tanto, la aplicación no funcionaría como
debería.*Control de validación de errores: Se corrobora
que el sistema que se aplica para detectar y corregir errores sea
eficiente.
Características de la Auditoría Informática
La
información de la empresa y para la empresa, siempre importante,
se ha convertido en un Activo Real de la misma, como sus Stocks
o materias primas si las hay. Por ende, han de realizarse inversiones
informáticas, materia de la que se ocupa la Auditoría
de Inversión Informática.Del mismo modo, los Sistemas
Informáticos han de protegerse de modo global y particular:
a ello se debe la existencia de la Auditoría de Seguridad
Informática en general, o a la auditoría de Seguridad
de alguna de sus áreas, como pudieran ser Desarrollo o Técnica
de Sistemas.Cuando se producen cambios estructurales en la Informática,
se reorganiza de alguna forma su función: se está
en el campo de la Auditoría de Organización Informática.Estos
tres tipos de auditorías engloban a las actividades auditoras
que se realizan en una auditoría parcial. De otra manera:
cuando se realiza una auditoria del área de Desarrollo de
Proyectos de la Informática de una empresa, es porque en
ese Desarrollo existen, además de ineficiencias, debilidades
de organización, o de inversiones, o de seguridad, o alguna
mezcla de ellas.Síntomas de Necesidad de una Auditoría
Informática:Las empresas acuden a las auditorías externas
cuando existen síntomas bien perceptibles de debilidad. Estos
síntomas pueden agruparse en clases:
- Síntomas
de descoordinación y desorganización:
-
No coinciden los objetivos de la Informática de la Compañía
y de la propia Compañía.- Los estándares
de productividad se desvían sensiblemente de los promedios
conseguidos habitualmente.
[Puede
ocurrir con algún cambio masivo de personal, o en una reestructuración
fallida de alguna área o en la modificación de alguna
Norma importante]
- Síntomas
de mala imagen e insatisfacción de los usuarios:
-
No se atienden las peticiones de cambios de los usuarios. Ejemplos:
cambios de Software en los terminales de usuario, refrescamiento
de paneles, variación de los ficheros que deben ponerse
diariamente a su disposición, etc.- No se reparan las averías
de Hardware ni se resuelven incidencias en plazos razonables.
El usuario percibe que está abandonado y desatendido permanentemente.
-
No se cumplen en todos los casos los plazos de entrega de resultados
periódicos. Pequeñas desviaciones pueden causar
importantes desajustes en la actividad del usuario, en especial
en los resultados de Aplicaciones críticas y sensibles.
- Síntomas
de debilidades económico-financiero:
-
Incremento desmesurado de costes.- Necesidad de justificación
de Inversiones Informáticas (la empresa no está
absolutamente convencida de tal necesidad y decide contrastar
opiniones).- Desviaciones Presupuestarias significativas.
-
Costes y plazos de nuevos proyectos (deben auditarse simultáneamente
a Desarrollo de Proyectos y al órgano que realizó
la petición).
- Síntomas
de Inseguridad: Evaluación de nivel de riesgos
-
Seguridad Lógica- Seguridad Física - Confidencialidad[Los
datos son propiedad inicialmente de la organización que
los genera. Los datos de personal son especialmente confidenciales]-
Continuidad del Servicio. Es un concepto aún más
importante que la Seguridad. Establece las estrategias de continuidad
entre fallos mediante Planes de Contingencia* Totales y Locales.
-
Centro de Proceso de Datos fuera de control. Si tal situación
llegara a percibirse, sería prácticamente inútil
la auditoría. Esa es la razón por la cual, en este
caso, el síntoma debe ser sustituido por el mínimo
indicio.
Planes
de Contingencia:
Por
ejemplo, la empresa sufre un corte total de energía o explota,
¿Cómo sigo operando en otro lugar? Lo que generalmente
se pide es que se hagan Backups de la información diariamente
y que aparte, sea doble, para tener un Backup en la empresa y otro
afuera de ésta. Una empresa puede tener unas oficinas paralelas
que posean servicios básicos (luz, teléfono, agua)
distintos de los de la empresa principal, es decir, si a la empresa
principal le proveía teléfono Telecom, a las oficinas
paralelas, Telefónica. En este caso, si se produce la inoperancia
de Sistemas en la empresa principal, se utilizaría el Backup
para seguir operando en las oficinas paralelas. Los Backups se pueden
acumular durante dos meses, o el tiempo que estipule la empresa,
y después se van reciclando.
Ya no hay excusa para perder archivos
|
Crear una copia de seguridad del contenido de
nuestro PC es una de esas cosas que, como alimentarnos bien o
cambiar el aceite del auto, todos sabemos que hay que hacer, pero
que pocos llevamos a cabo.
Durante años los expertos en computadoras
nos han advertido que debemos hacer una versión de respaldo
de nuestro disco duro regularmente, pero la mayoría no hemos
hecho caso. Esto ocurre porque tradicionalmente se ha creído
que esta tarea es tediosa, laboriosa o cara, dependiendo del método
que se utilice.
Aún recuerdo cómo, cuando empezaba
a hacer uso del ordenador, me sentaba y pasaba largo rato metiendo
y sacando docenas de disquetes en el PC para tener una copia
del disco duro. Más adelante, tuve que lidiar con drives
de cintas voluminosos y softwares complicados para crear la copia
de seguridad.
Pero salvaguardar nuestra información
se ha vuelto más importante que nunca. Los ordenadores siempre
han sido artefactos frágiles, sujetos a descomponerse y fallar.
Ahora también son el blanco de ataques masivos de piratas
informáticos, programadores de virus y otros delincuentes
digitales. Estas agresiones pueden corromper o destruir nuestros
archivos, o forzarnos a reformatear el disco duro, lo que también
borra toda nuestra información.
Así que, ¿qué sistema
de respaldo puede protegernos contra tales pérdidas, siendo
lo suficientemente fácil de usar como para que la gente lo
use regularmente? Yo recomiendo comprar un disco duro externo y
utilizar un software de respaldo automatizado para copiar la información
del disco duro principal a este disco de seguridad de manera regular.
Para superar la resistencia habitual del usuario,
cualquier método de crear copias de seguridad debe ser sencillo,
disponer del espacio suficiente y ser automático. Asimismo,
deberá funcionar según un horario que le fijemos,
sin que tengamos que prestarle atención y sin que tengamos
que realizar ninguna operación manual.
Esto descarta copiar los archivos manualmente
a un CD, DVD u otro tipo de discos extraíbles. Puede que
ese sistema resulte útil para algunos, pero requiere demasiados
esfuerzos manuales y esto no lo hace un método eficaz para
la mayoría de la gente. Además, es sumamente fácil
quedarse sin espacio o discos suficientes para almacenar toda la
información.
Otro método, suscribirse a un servicio
que hace una copia automática a través de Internet,
tiene la ventaja de ser automático, pero puede ser también
costoso. Además, los servicios basados en la Web raramente
ofrecen el espacio suficiente para copiar la mayor parte de la información
que contienen los enormes discos duros de hoy, a menos que uno esté
dispuesto a pagar mucho.
Pero, si se utiliza correctamente, el
método del disco duro externo ofrece suficiente espacio,
puede ser totalmente automático y sorprendentemente económico.
Ni siquiera hay que abrir el pc o instalar ningún
accesorio dentro de ella. Hoy en día es verdaderamente fácil
adquirir un disco duro externo que se puede conectar a una máquina
Windows o Macintosh mediante un cable USB 2.0 o un puerto FireWire,
y los sistemas operativos actuales lo reconocen inmediatamente y
cuesta aproximadamente menos de US$100. Lo mantengo conectado a
mi pc.
Cada noche, a las 2 a.m., el software se activa
y sincroniza las carpetas clave que designé en mi disco duro
con carpetas idénticas en el disco duro externo. Después
de la primera vez solamente copia los archivos nuevos o modificados.
Si en algún momento borro accidentalmente un documento o
carpeta puedo recuperarlo fácilmente desde el disco de seguridad.
Hace poco probé un método más
sencillo: un disco duro que incluye software, llamado OneTouch II,
de Maxtor Corp. Este producto consiste en un disco duro externo,
listo para funcionar en cuanto se conecta con una máquina
Windows o Macintosh a través de un cable USB 2.0 o FireWire.
Incluye un software simple y eficaz para copias de seguridad, con
versiones tanto para Windows como para Mac. El software puede activarse
con sólo apretar un botón, o entrar en funcionamiento
automáticamente en un horario determinado.
Actualmente, el OneTouch II está disponible
en EE.UU. en dos versiones relativamente grandes y caras: un modelo
de 250 gigabytes, que cuesta en ese país US$329,95, y otro
de 300 gigabytes, que vale allí US$379,95. Ambos están
disponibles en América Latina al precio base de EE.UU., más
impuestos locales.
Estos modelos tienen una capacidad superior
a la que el usuario promedio necesita, pero la compañía
asegura que producirá versiones más pequeñas,
a precios más reducidos, para comienzos del año próximo.
La clave del OneTouch II es el software que
incluye, una versión especial y simplificada de Retrospect,
un programa de Dantz Development Corp. Éste puede copiar
automáticamente toda la información de su disco duro
o ciertos documentos y carpetas.
En mi prueba, hecha con una Hewlett-Packard
Pavilion, el OneTouch II se instaló rápida y fácilmente
y el software funcionó bien. Mi única queja es que
la copia de seguridad inicial fue bastante lenta. Copiar unos 51
gigabytes de información tomó más de 12 horas.
Los respaldos subsiguientes, que sólo copiaron los archivos
nuevos o modificados, fueron mucho más rápidos. Borré
un par de archivos y pude recuperarlos rápidamente utilizando
la función de "restaurar" del programa.
OneTouch II es un buen producto, pero aunque
uno elija este método, que incluye un software, o un disco
duro externo que usa un software comprado por separado, hacer una
copia de seguridad de nuestros archivos en un disco duro externo
tiene mucho sentido.
|
