UNIVERSIDAD AUTONOMA DE QUITO UNAQ

AUDITORIA INFORMATICA
PROFESOR : Ing. Fernando Andrade ALUMNO FECHA CURSO : Jess Cisneros Valle : Quito, 17 de Octubre del 2012 : 10ASM

RESPONDER LAS CUESTIONES DE REPASO DE LOS CAPITULOS 17 y 18 DEL LIBRO AUDITORIA INFORMATICA Un enfoque prctico.

CAPITULO 17
AUDITORIA DE LA SEGURIDAD Cuestiones de Repaso: 1. La seguridad de la Informacin en Espaa: Situacin. Qu conoce realmente de los riesgos? Perspectivas. Situacin: No existen datos concretos y fiables sobre el nivel de proteccin en Espaa, inclusive el Control Interno no est generalizado en este pas, respecto de los sistemas de informacin. Y de los riesgos no se conoce realmente la repercusin de los mismos en los sistemas, puesto que muchos no aplican sistemas de proteccin de informacin o si los tienen no estn totalmente implementados, no se registran auditorias de los sistemas informticos, que permitan evaluar los riesgos de las amenazas en contra de los datos informticos (tesoro incalculable de las empresas). Perspectivas: Se espera que se implemente y refuercen los controles, que se implanten modelos se seguridad, que la auditoria de seguridad de sistemas de informacin brinden el control sobre los controles de proteccin de los sistemas. 2. El perfil del auditor en seguridad de sistemas de informacin? El perfil que se requiere para llevar a cabo las auditorias de sistemas de informacin no est de definido, pero se sobreentiende que se necesita una formacin y sobre todo experiencia acordes con la funcin esto debe incluir conocer reas como: - Seguridad fsica - Sistemas Operativos - Bases de datos - Lenguajes de programacin - Independencia respecto de los auditados - Madurez
1

UNIVERSIDAD AUTONOMA DE QUITO UNAQ

Capacidad de anlisis y de sntesis Desinteresado Redactar informes

3. Estndares para la auditoria de la seguridad? Cobit, Certificacin CISA, debera conocer ISO 27001 y 19011. 4. La comunicacin a auditados y el factor sorpresa en auditorias de seguridad. Siempre debe haber una comunicacin constante con el auditado, adems no es imprescindible el factor sorpresa ya que una auditoria es planificada y coordinada con el auditado de acuerdo al Plan de auditoria que se haya planteado para la empresa. 5. Que debe hacer el auditor si se le pide que omita o vare algn punto de su informe? NO debe acepar semejante insinuacin, bajo ninguna circunstancia. 6. Auditoria de la seguridad en las prximas dcadas: nuevos riesgos, tcnicas y herramientas. En el futuro aparecern nuevos riegos, esto depende mucho del progreso vertiginoso de las tecnologas de informacin, ya que cada da aparecern nuevos y valga decir mejores riesgos, as como tcnicas y herramientas de Auditoria que permitan mitigar y controla eficientemente cada riesgo potencial ya que deben estar a la par de las tecnologas de informacin. El auditor debe prepararse continuamente con los nuevos estndares internacionales y de las buenas prcticas de auditoria generalmente aceptadas. 7. Equilibrio entre seguridad, calidad y productividad? Debera existir un equilibrio entre seguridad, calidad y productividad, ya que la seguridad es parte de los objetivos de seguridad de la empresa lo que permitir tener un entorno protegido y seguro de las reas tcnicas, redes, sistemas, bases de datos, etc., evitando los potenciales riesgos. La calidad debe cumplir todos los estndares establecidos por la Alta gerencia o directorio, e ir de la mano con la productividad aportando especial atencin de seguridad en la contratacin de servicios. 8. Que es mas critico: datos, personas, comunicaciones, instalaciones? Las personas el factor humano es el ms crtico, salvo en algunas situaciones de seguridad fsica automatizadas, el factor humano muy sensible ya que si las personas no desean colaborar de nada sirven los medios y dispositivos aunque sean caros y sofisticados. 9. Relaciones entre Administracin de Seguridad y Auditorias de Sistemas de Informacin interna y externa. Sera la parte interlocutora entre los procesos de auditoria de seguridad (Interna y externa), sin afectar la independencia de los auditores ya que estos evaluaran el

UNIVERSIDAD AUTONOMA DE QUITO UNAQ

desempeo de la funcin de administracin de la seguridad, desde si sus funciones son adecuadas y estn respaldadas por documentos al nivel suficiente, el cumplimiento de las funciones y su conflicto con otras. 10. Calculo de la rentabilidad de la auditoria de la seguridad. Un ejercicio de auditoria realizado profesionalmente, alineado con las practicas generalmente aceptadas de auditoria y sobre todo puesta en marcha bajo un plan estrictamente determinado (bajo estndares internacionales) es un trabajo que da rditos tanto al auditor como a la empresa, ya que las recomendaciones que se emitan irn en beneficio directo del auditado.

CAPITULO 18
AUDITORIA DE REDES Cuestiones de Repaso: 1. Cules son los niveles del modelo OSI? Fsico Enlace Red Transporte Sesin Presentacin Aplicacin 2. Cules son las incidencias que pueden producirse en las redes de comunicaciones? En las redes de comunicaciones por causas propias de la tecnologa se pueden producir las siguientes incidencias: Alteracin de bits. Por error en los medios de transmisin, una trama puede sufrir alteracin en parte de su contenido. La manera ms fcil de detectar y corregir este caso es fijar la trama con un cdigo de redundancia cclica que detecte cualquier error y permita corregirlo. Aunque el error sea de unos pocos bits. Ausencia de tramas. Por error en el medio o en algn nodo, o por sobrecarga. Alguna trama puede desaparecer en el camino del emisor al receptor. Se suele resolver este error dndole un nmero de secuencia a las tramas. Alteracin de secuencia. El orden en que se enva y se reciben las tramas no coincide. Unas tramas se han adelantado a otras. En el receptor mediante el nmero de secuencia se reconstruye el original.

3. Cules son los mayores riesgos que ofrecen las redes? Por causas dolosas y teniendo en cuenta que es posible interceptar la informacin.

UNIVERSIDAD AUTONOMA DE QUITO UNAQ

Indagacin. Un mensaje puede ser ledo por un tercero, obteniendo la informacin que contenga. Suplantacin. Un tercero puede introducir un mensaje falso que el receptor cree proviene del emisor legitimo. Modificacin. Un tercero puede alterar el contenido del mensaje.

4. Existe el riesgo de que se intercepte un canal de comunicaciones? Si, existe tal riesgo. Sea de manera fsica o lgica (Sniffer o traceadores) que permitir extraer la informacin. Es como poder entrar sin control sin ser detectado. Un punto especialmente crtico son las contraseas de usuario que no han sido cifradas. 5. Que suele hacerse con las contraseas de los usuarios? Por lo regular las contraseas son muy sensibles y al ser interceptadas pueden ser usadas para acceder a informacin confidencial. Adems la caratula inicial donde se teclea la contrasea siempre es la misma lo que facilita a accin de los intrusos. Pues esta caratula proporciona un patrn del paquete donde viaja la contrasea a interceptar. 6. Cules son los protocolos ms importantes de alto nivel? Son: SNA, OSI, Netbios, IPX, TCP/IP 7. Diferencias entre Internet, Intranet y Extranet.

INTERNET Es la red de redes a donde se conecta cualquier red a nivel mundial (pblica e insegura), donde se puede conseguir una interlocucin entre dos dodos, est dotada de todo tipo de servicios.

INTRANET Es una red interna privada y segura de una empresa, utilice o no medios de transporte de terceros

EXTRANET Es una red privada y segura, compartida por un grupo de empresas, aunque utilice medios de transporte ajenos e inseguros como Internet

8. Que es cortafuegos? (Firewall) Es un dispositivo especial que permite la proteccin de una intranet, ante una extranet o internet. Es una maquina dedicad exclusivamente a leer cada paquete que entra o sale de una red para permitir su paso o desecharlo definitivamente. Esta autorizacin o rechazo se basa en tablas que identifican cada pareja de interlocutores. Para hacer su trabajo tiene diversas configuraciones donde se pueden incluir routers, proxis, zonas desmilitarizadas, bastiones, parafernalia a veces copias de modelos militares. Las polticas de deteccin de un cortafuego pueden ser: paranoicas o promiscuas. Paranoicas conde est prohibido absolutamente todo y requiere de una autorizacin
4

UNIVERSIDAD AUTONOMA DE QUITO UNAQ

especfica para acceder a cada servicio. Promiscuas, cuando todo est autorizado, identificndose los servicios entre parejas de interlocutores que se prohben. Los ms habitual es autorizar especficamente servicios para ciertos usuarios y el resto no autorizarlo. 9. Que es un gusano? Mensajes de correo electrnico que se reproducen y acaban por colapsar la red. 10. Que objetivos de control destacara en la Auditoria de la Gerencia de Comunicaciones?
Una gerencia de comunicaciones con autoridad para establecer procedimientos y normativas Procedimientos y registros de inventarios y cambios Funciones de vigilancia del uso de la red de comunicaciones, ajustes de rendimiento, registro de incidencias y resolucin de problemas. Procedimientos para el seguimiento del coste de las comunicaciones y su reparto a las personas y unidades apropiadas. Procedimientos para vigilar el uso de la red de comunicaciones, realizar ajustes para mejorar el rendimiento y registrar y resolver cualquier problema. Participacin activa de la gerencia de comunicaciones en el diseo de las nuevas aplicaciones on line para asegurar que se sigue la normativa de comunicaciones.