Para continuar un poco con el proceso de auditoría de sistemas, primero dejo un link para descargar el pdf del documento de COBIT:
http://www.isaca.org/Knowledge-Center/cobit/Documents/cobiT4.1spanish.pdf
Segundo, para entender mejor el proceso de auditoría de sistemas se puede pensar en usar el metodo PHVA (planear, hacer,verificar y actuar), que es usado para realizar proyectos de diferente tipo en este caso, para realizar una buena auditoría, se realiza el plan de auditoría el cual tiene como premisa, tener una conversación con las gerencias y con las áreas implicadas en el proceso de administración de la información para definir cronogramas y tareas específicas para identificar tanto riesgos como debilidades, amenazas
En la parte de hacer se realiza el levantamiento de esta información además de definir con las áreas afectadas cuales de los riesgos identificados tiene mayor prioridad para la empresa, estos datos son colocados en forma de semáforo, a fin de tener prioridad en los riesgos clasificados en rojo y definir como último los riesgos en verde, también en la identificación de prioridades se da una calificación de los riesgos, en este caso para realizar esta calificación se tiene en cuenta si se realiza de forma objetiva o subjetiva.
Al terminar el levantamiento de información se realiza una reunión de divulgación de los resultados y alli es donde se aplica las buenas prácticas para disminuir la ocurrencia de los riesgos, siempre teniendo en cuenta que los riesgos no se eliminan solo se disminuye el efecto de estos.
El establecimiento de buenas prácticas en la seguridad de sistemas de información es lo que se llama el plan de contingencia, para resumir un poco un buen plan de contingencia tiene en cuenta la protección de hardware, software y la integridad de los datos (osea que los datos se mantengan claros y sin ninguna alteración). Esta protección se lleva a cabo por medio de políticas, inventarios que permitan identificar que recursos de sistemas de información se tienen, en que lugar y sobretodo identificando los responsables, manteniendo planes de capacitación y lo mas importante generar la cultura del buen uso de los sistemas en los usuarios responsables, por medio de recordatorios,campañas de estimulo, entre otros.
En el verificar se tienen Planes de auditoria de verificación (muy al estilo de certificaciones como ISO 9001, para la calidad de los procesos) a fin de ver que las buenas prácticas se estén ejecutando, en caso de que no se cumpla alguno de las soluciones de la manera adecuada empieza la parte de actuar, realizar un "mantenimiento" de las propuestas.
Esta verificación sirve además para identificar si las políticas que se establecieron en la organización son adecuadas o se necesita replantear alguna según la necesidad específica de la misma organización ya que todas las buenas prácticas no son útiles en todos los casos.
Esto es un complemento adicional al primer post, espero sea claro.
http://www.isaca.org/Knowledge-Center/cobit/Documents/cobiT4.1spanish.pdf
Segundo, para entender mejor el proceso de auditoría de sistemas se puede pensar en usar el metodo PHVA (planear, hacer,verificar y actuar), que es usado para realizar proyectos de diferente tipo en este caso, para realizar una buena auditoría, se realiza el plan de auditoría el cual tiene como premisa, tener una conversación con las gerencias y con las áreas implicadas en el proceso de administración de la información para definir cronogramas y tareas específicas para identificar tanto riesgos como debilidades, amenazas
En la parte de hacer se realiza el levantamiento de esta información además de definir con las áreas afectadas cuales de los riesgos identificados tiene mayor prioridad para la empresa, estos datos son colocados en forma de semáforo, a fin de tener prioridad en los riesgos clasificados en rojo y definir como último los riesgos en verde, también en la identificación de prioridades se da una calificación de los riesgos, en este caso para realizar esta calificación se tiene en cuenta si se realiza de forma objetiva o subjetiva.
Al terminar el levantamiento de información se realiza una reunión de divulgación de los resultados y alli es donde se aplica las buenas prácticas para disminuir la ocurrencia de los riesgos, siempre teniendo en cuenta que los riesgos no se eliminan solo se disminuye el efecto de estos.
El establecimiento de buenas prácticas en la seguridad de sistemas de información es lo que se llama el plan de contingencia, para resumir un poco un buen plan de contingencia tiene en cuenta la protección de hardware, software y la integridad de los datos (osea que los datos se mantengan claros y sin ninguna alteración). Esta protección se lleva a cabo por medio de políticas, inventarios que permitan identificar que recursos de sistemas de información se tienen, en que lugar y sobretodo identificando los responsables, manteniendo planes de capacitación y lo mas importante generar la cultura del buen uso de los sistemas en los usuarios responsables, por medio de recordatorios,campañas de estimulo, entre otros.
En el verificar se tienen Planes de auditoria de verificación (muy al estilo de certificaciones como ISO 9001, para la calidad de los procesos) a fin de ver que las buenas prácticas se estén ejecutando, en caso de que no se cumpla alguno de las soluciones de la manera adecuada empieza la parte de actuar, realizar un "mantenimiento" de las propuestas.
Esta verificación sirve además para identificar si las políticas que se establecieron en la organización son adecuadas o se necesita replantear alguna según la necesidad específica de la misma organización ya que todas las buenas prácticas no son útiles en todos los casos.
Esto es un complemento adicional al primer post, espero sea claro.