Principales áreas de la auditoría informática

Auditoria Informática

Instituto IACC

01 de abril de 2019
 Desarrollo

1. En una bodega se lleva un control de inventario almacenando la información de

los productos en una base de datos Oracle. Periódicamente se generan reportes

de cuadraturas de los productos en stock y los que han entrado y salido de la

bodega, sin embargo, en los últimos dos meses se han encontrado diferencias

entre el reporte que entrega la base de datos y el inventario manual.

De acuerdo a lo anterior, usted es contratado para conducir una auditoría sobre la base

de datos para revisar si el problema de inconsistencia en los informes automáticos

corresponde a la base de datos o no.

 ¿Qué tipo de auditoría es necesaria en este caso? ¿Es necesario incluir el sistema

operativo sobre el que opera la base de datos y la aplicación que maneja los datos?

R.- Para este caso es necesaria la verificación de usuarios que tienen acceso al sistema de

control y sus roles en él, ya que por ejemplo el acceso de un usuario no autorizado a través de

una clave valida, o por un equipo que quedo “abierto” puede provocar una pérdida o

modificación de datos que finalmente afectara el reporte entregado por la base de datos.

Una auditoria de base de datos es la que para este caso en concreto nos brinda las herramientas

más eficaces para determinar la relación de los usuarios al acceder a las bases de datos,

incluyendo los movimientos que generen modificación o eliminación de datos.

Este tipo de auditoria requiere que conjuntamente se audite el sistema operativo, con el objetivo

de detectar anomalías en este que afecten el funcionamiento óptimo de la base de datos, además

que el nivel de seguridad ofrecido por el sistema operativo sea el necesario para garantizar el

resguardo frente a manipulaciones no autorizadas de la base de datos.

  Proporcione una lista de todos los aspectos auditables (a nivel de base de datos y/o

sistema operativo) que incluiría en su auditoría.

Tópico a auditar Motivo

Claves de Acceso Al permitir estas el acceso al sistema y la base de datos, se

convierten en un punto de riesgo, ya que un descuido o un mal

uso de ellas como compartirla puede conllevar a una pérdida o

modificación de los datos.

Roles de los usuarios activos Los roles determinan el nivel de manejo que el usuario tiene

con respecto a los datos, un mal manejo de estos puede dar a

un usuario inexperto la posibilidad de realizar modificaciones

que están a nivel de un usuario de mayor rango y experiencia.

Links Al ser este un enlace disponible puede transformarse en un

riesgo si es accesible a personal no autorizado o ajeno a la

compañía.

Cuentas por defecto Verificar el estado de las cuentas creada por defecto, ya que

alguna cuenta que este habilitada puede tener roles o

privilegios que permitan el uso malintencionado de estas.

2. Lea atentamente las situaciones planteadas y responda según lo solicitado.

En una empresa dedicada al desarrollo de software existen tres áreas bien definidas

para el ciclo de desarrollo de aplicaciones, estas son: desarrollo, certificación y

producción.

Por normativas de seguridad no deben existir conexiones entre las distintas áreas. El

ciclo de desarrollo se compone de lo siguiente:

 Desarrollo: diseña y programa una aplicación.

 Certificación: toma el diseño y realiza pruebas funcionales (que la aplicación

haga lo que se supone debe hacer).

 Producción: en esta área se disponibiliza la aplicación para ser utilizada

con fines productivos y por lo tanto está expuesta a usuarios y/o internet.

Usted debe auditar las tres áreas, por ello, se le solicita que prepare un documento que

incluya:
 Un cuadro en el que se incorporen las pruebas de auditoría que es posible realizar en cada

área. Considere una descripción breve de todas las pruebas

seleccionadas.

Área Pruebas de auditoria Detalle

Desarrollo Pruebas de direccionamiento Verificar que el proceso de

desarrollado se enfoque en el

propósito principal del

software manteniendo su

funcionalidad óptima y

segura.

Certificación Pruebas de accesibilidad y Verificar el correcto

autenticación. funcionamiento del sistema

de autenticación, comprobar

la existencia de

vulnerabilidades.

Producción Pruebas de funcionalidad Verificación de cumplimiento

de plazos de entrega y

cumplimiento de requisitos

declarados.
Una justificación sobre si corresponde o no auditar el uso de buenas prácticas SSL/TSL,

vulnerabilidades de servidor, autentificación, etc.

SSL es el acrónimo de Secure Sockets Layer (capa de sockets seguros), la tecnología

estándar para mantener segura una conexión a Internet, así como para proteger cualquier

información confidencial que se envía entre dos sistemas e impedir que usuarios no

autorizados accedan y o modifiquen cualquier dato transferido, incluida información que

pudiera considerarse de relevancia para la organización.

La seguridad de los sistemas informáticos tiene un alto nivel de implicancia para cada

empresa, por tal motivo, es necesario que se apliquen las medidas de seguridad junto a las

correspondientes pruebas sobre los sistema SSL y TTS que sirven como barreras de

protección ante amenazas que puedan afectar la vulnerabilidad de los sistemas.

 Bibliografía

Contenidos para la semana 7 – Auditoria informática – IACC 2019

Contenidos adicionales para la semana 7 – Auditoria informática – IACC 2019