COBIT

COBIT

COBIT (OBJETIVOS DE CONTROL PARA TECNOLOGÍA DE INFORMACIÓN Y TECNOLOGÍAS RELACIONADAS)

COBIT, lanzado en 1996, es una herramienta de gobierno de TI que ha cambiado la forma en que trabajan los profesionales de TI. Vinculando tecnología informática y prácticas de control; COBIT, basado en la filosofía de que los recursos de TI, consolida y armoniza estándares de fuentes globales prominentes en un recurso crítico para la gerencia, los profesionales de control y los auditores.

Se aplica a los sistemas de información de toda la empresa, incluyendo las computadoras personales, mini computadoras y ambientes distribuidos.

• Misión

• Usuarios

• La gerencia: para apoyar sus decisiones de inversión en TI y control sobre el rendimiento de las mismas, analizar el costo beneficio del control.

• Los usuarios finales: quienes obtienen una garantía sobre la seguridad y el control de los productos que adquieren interna y externamente.

• Los auditores: para soportar sus opiniones sobre los controles de los proyectos de TI, su impacto en la organización y determinar el control mínimo requerido.

• Los responsables de TI: para identificar los controles que requieren en sus áreas.

• Orientado al negocio.

• Alineado con estándares y regulaciones "de facto".

• Basado en una revisión critíca y analítica de las tareas y actividades en TI.

• Alineado con estándares de control y auditoria (COSO, IFAC, IIA, ISACA, AICPA).

• Principios de COBIT

• Procesos de TI

• Requerimientos de información del negocio

• Recursos de TI

COBIT investiga, desarrolla, publica y promueve un conjunto internacional y actualizado de objetivos de control para tecnología de información que sea de uso cotidiano para gerentes y auditores.

Los usuarios de COBIT son aquellos quienes desean mejorar y garantizar la seguridad de sus sistemas bajo un estricto método control de tecnología de información como lo es COBIT:

Características de COBIT

El enfoque del control en TI (Tecnología de información) se lleva a cabo visualizando la información necesaria para dar soporte a los procesos de negocio y considerando a la información como el resultado de la aplicación combinada de recursos relacionados con la tecnología de información que deben ser administrados por procesos de TI.

Principios:

• Procesos de TI
• Requerimientos de información del negocio
• Recursos de TI

ESTÁNDARES DE AUDITORÍA DE SISTEMAS

ESTÁNDARES DE AUDITORIA DE SISTEMAS

Utilización de metodologías, instrumentos y procedimientos operativos propios. 

En la planificación de las auditorías informáticas.Empleo de marcos referenciales para la declaración de los objetivos del control. En el desarrollo de las auditorías informáticas empleo de herramientas de auditoría específicas.

Los organismos internacionales que se ocupan del control y de la auditoría de SI son fuente de fuente de estándares:

ISACA - Asociación de Auditoría y Control de Sistemas de Información 

ISO – Organización Internacional para la estandarización. 

NIST – Instituto Nacional de Estándares y Tecnología de los Estados Unidos.

En la actualidad existen tres tipos de metodologías de auditoría informática: 

R.O.A. (RISK ORIENTED APPROACH), diseñada por Arthur Andersen. 

CHECKLIST o cuestionarios.

AUDITORIA DE PRODUCTOS (por ejemplo, Red Loca  Windows NT; sistemas de Gestión de base de Datos DB2; paquete de seguridad RACF, etc.). Metodología.

En sí las tres metodologías están basadas en la minimización de los riesgos, que se conseguirá en función de que existan los controles y de que éstos funcionen. En consecuencia el auditor deberá revisar estos controles y su funcionamiento.

Las metodologías de auditoría de SI son de tipo cualitativo/subjetivo. Se puede decir que son subjetivas por excelencia. Están basadas en profesionales de gran nivel de experiencia y formación, capaces de dictar recomendaciones técnicas, operativas y jurídicas, que exigen en gran profesionalidad y formación continua.

Esta metodología tiene tres etapas fundamentales:

      ETAPA: Planeación de Auditoria de Sistemas Computacionales

      ETAPA: Ejecución de la Auditoria de Sistemas Computacionales

.     ETAPA: Dictamen de la Auditoria de Sistemas Computacionales 

VIRUS

VIRUS

Es un programa que se replica, añadiendo una copia de sí mismo a otro programa, son particularmente dañinos que pasan desapercibidos hasta que los usuarios sufren las consecuencias, que pueden ir desde anuncios hasta la pérdida total del sistema.

Características de los VIRUS

·         Auto-reproducción    Capacidad de replicarse

·         Infección                   Es la capacidad que tiene el código de alojarse      en otros programas

Propósitos de los VIRUS

·         Infectar el software

Sus instrucciones agregan nuevos archivos al sistema o manipulan el contenido de los archivos.

·         Afectar el hardware

Sus instrucciones manipulan los componentes físicos, su objetivo principal son los dispositivos de almacenamiento secundario.

FACTORES DE RIESGOS HUMANOS

HACKER´S

Personas con avanzados conocimientos técnicos en el área de informática.

2 objetivos

·         Probar que tienen las competencias para invadir un sistema protegido.

·         Probar que la seguridad de un sistema tiene fallas.

                          CRACKER´S

Personas con habilidad hacia invasión de sistemas a lo que no tienen acceso autorizado.

2 objetivos

·         Destruir parcial o totalmente los sistemas.

·         Obtener un beneficio personal.

SEGURIDAD INFORMÁTICA

SEGURIDAD INFORMÁTICA

Referente a la seguridad informática, se puede decir que con ello hace posible captar y utilizar la información almacenada, hacer una gestión pertinente y apropiada, se tiene además acceso a procesos en línea.

Cuando se habla de seguridad informática se refiere al conjunto de software, hardware y procedimientos para asegurar la información de las bases de datos.

También es una disciplina que se ocupa prácticamente de diseñar las normas, procedimientos, métodos y técnicas orientadas a proveer condiciones seguras y confiables, para el procesamiento de datos en el sistema informático.

En la seguridad informática se tienen 3 principios básicos que son:

1.    Confidencialidad

2.    Integridad

3.    Disponibilidad

Confidencialidad: Las herramientas de seguridad informática deben de proteger al sistema de invasiones y accesos de personal no autorizado.

Integridad: Validez y consistencia de los elementos de la información almacenador y procesadores de un sistema informático. Las herramientas de seguridad informática deben asegurar que los procesos de actualización estén sincronizados y no sean duplicados.

Continuidad: Las herramientas deben de reforzar la permanencia, en condiciones de actividad adecuada.

Factores de riesgo

·         Ambientales

Lluvias, inundaciones, terremotos, etc.

·         Tecnológicos

Fallas de hardware, ataque por virus.

·         Humanos

Alteración, pérdida, robo de contraseñas, fraude, modificaciones.

SOFTWARE DE AUDITORIA

SOFTWARE DE AUDITORÍA

Conjunto de programas que sirven para interactuar con el sistema, confiriendo control sobre el hardware, además de dar soporte a otros programas.

Denominado también software de base, consiste en un software que sirve para controlar e interactuar con el sistema operativo, proporcionando control sobre el hardware y dando soporte a otros programas; en contraposición del llamado software de información.

El Software de Sistema se divide en:

Sistemas operativos, Controladores de Dispositivos y programas utilitarios

Sistema operativo

El Sistema Operativo es un conjunto de programas que administran los recursos de la computadora y controlan su funcionamiento.

Un Sistema Operativo realiza cinco funciones básicas: Suministro de Interfaz al Usuario, Administración de Recursos, Administración de Archivos, Administración de Tareas y Servicio de Soporte.

1.   Suministro de interfaz al usuario: Permite al usuario comunicarse con la computadora por medio de interfaces que se basan en comandos, interfaces que utilizan menús, e interfaces gráficas de usuario.

2.   Administración de recursos: Administran los recursos del hardware como la CPU, memoria, dispositivos de almacenamiento secundario y periféricos de entrada y de salida.

3.   Administración de archivos: Controla la creación, borrado, copiado y acceso de archivos de datos y de programas.

4.   Administración de tareas: Administra la información sobre los programas y procesos que se están ejecutando en la computadora. Puede cambiar la prioridad entre procesos, concluirlos y comprobar el uso de estos en la CPU, así como terminar programas.

5.   Servicio de soporte: Los Servicios de Soporte de cada sistema operativo dependen de las implementaciones añadidas a este, y pueden consistir en inclusión de utilidades nuevas, actualización de versiones, mejoras de seguridad, controladores de nuevos periféricos, o corrección de errores de software.

Controladores de Dispositivos

Los Controladores de Dispositivos son programas que permiten a otros programa de mayor nivel como un sistema operativo interactuar con un dispositivo de hardware.

Programas Utilitarios

Los Programas Utilitarios realizan diversas funciones para resolver problemas específicos, además de realizar tareas en general y de mantenimiento. Algunos se incluyen en el sistema operativo.