Fases e Informe Auditoria

Asignatura Datos del alumno Fecha
Apellidos: Sandoval Coello

Auditoría de la
19/01/2020
Seguridad
Nombre: Jenner Noé
Trabajo: El proceso y las fases de la auditoria de Sistemas de Información
CONTENIDO
Introducción......................................................................................................................1
Planificación De La Auditoría............................................................................................1
Desarrollo De La Auditoría................................................................................................1
Informe De Auditoría.........................................................................................................1
INTRODUCCION
Se desarrollará una auditoría a la empresa Viento en Popa la cual es una empresa

dedicada a la planificación de actividades náuticas, así como a impartir clases teóricas y
prácticas de navegación. Ofrece la posibilidad de obtener la certificación de Patrón de
Embarcaciones de Recreo (PER).
Dentro de la estrategia empresarial, se desarrolló como canal de información y venta un

portal Web el cual y de forma somera consta de dos partes claramente diferenciadas:
La zona de Administración, desde la cual se gestiona la información relativa a cursos y

alumnos.
La zona de clientes y alumnos, donde el usuario tiene acceso a la información de Viento

en Popa referente a actividades y cursos, y acceso a la parte privada de cada uno, con la
posibilidad de realizar exámenes, descargar temarios y documentación, etc.
Dicha plataforma se encuentra alojada en los servidores de la misma compañía.
PLANIFICACION DE LA AUDITORIA
Alcance
-Obtener un entendimiento en la gestión de la plataforma web

-Evaluar los controles generales de tecnología
Recursos y tiempo
-Recursos: Dos Auditores

-Tiempo Estimado: Un Mes
TEMA 3 – Actividades
Auditoría de la
19/01/2020
Seguridad
Nombre: Jenner Noé
Recopilación de información básica
Entre vistas con personal:
-Gerente de Sistemas
-Desarrollador de la Plataforma
-Oficial de seguridad
-Administrador de la plataforma
Programa de trabajo
Plan de comunicación
Todo requerimiento y solicitudes debe canalizarse a través de la persona designada por

la empresa y cada hallazgo se debe discutir con la administración previa elaboración del
informe.
DESARROLLO DE LA AUDITORIA
Identificación de riesgos potenciales
-Perdida de disponibilidad por ataques externos

-Rendimiento de servidores
-Acceso lógico no autorizado
-Protocolos tcp inseguros
-Inyección
-Cross-Site Scripting (XSS)
-Autenticación y gestión de sesiones
Seleccionar las pruebas y técnicas a utilizar
Las técnicas de auditoría aplicadas incluyeron la indagación con el personal de la

compañía, la observación y el examen de documentación, además en las áreas
significativas de desarrollo, aplicamos técnicas de auditoría asistidos por computadora
para verificar la integridad y exactitud de los datos procesados en los sistemas de
información de las áreas o aseveraciones significativas.
Auditoría de la
19/01/2020
Seguridad
Nombre: Jenner Noé
INFORME DE AUDITORIA
CONFIDENCIAL
Señores
Junta Directiva
Viento en Popa
Estimados Señores:
Hemos llevado a cabo la revisión de los registros y documentos para dictaminar el

estado de los sistemas de la compañía, al 31 de Febrero de 2020. En la planeación y
ejecución de la auditoría, y como parte de la evaluación de la estructura del control
interno, consideramos llevar a cabo la revisión de la plataforma web de la compañía,
para determinar los procedimientos de auditoría, con el propósito de expresar nuestra
opinión sobre los mismos y no para proveer seguridad sobre la estructura de control
interno.
De nuestro examen surgieron algunos asuntos que consideramos de importancia para

asegurar un adecuado funcionamiento operativo y de control relacionado con el sistema
informático de la compañía, por lo que preparamos nuestro informe con las
observaciones y recomendaciones que se adjuntan a la presente.
Aprovechamos la oportunidad para agradecer la colaboración que nos brindó el

personal y quedamos a su entera disposición para ampliarle cualquiera de nuestros
comentarios. Sin otro particular y con todo respeto, nos suscribimos de ustedes.
Atentamente,
Firma Auditora
Auditoría de la
19/01/2020
Seguridad
Nombre: Jenner Noé
INFORME SOBRE LA REVISION DEL SISTEMA INFORMATICO
Este informe está basado en la documentación suministrada por la administración de la

compañía, la información provista en las entrevistas con el personal y el resultado de
las evaluaciones de los controles. Como resultado del trabajo identificamos algunas
áreas de mejora, las cuales se detallan en este documento.
Nuestras observaciones y recomendaciones tienen la intención de fortalecer la

estructura de control interno de la compañía, por lo tanto algunas de estas podrían
requerir una acción inmediata, una vez que hayan sido analizadas por la
Administración.
Descripción del Alcance del Trabajo Realizado
El alcance del trabajo comprendió:
-Obtener un entendimiento en la gestión de la plataforma web

-Evaluar los controles generales de tecnología
Controles Generales
La evaluación de los controles generales incluyó lo siguiente:
1. Acceso a los Programas y Datos

Implantación de prácticas de seguridad
Acceso lógico y físico a los recursos de computación de TI
Entorno de seguridad
Acceso a data centers
Seguridad de los equipos
Control de accesos
Seguridad de comunicaciones
Segregación de funciones
Organización interna
Aspectos organizativos de la seguridad de la información
Continuidad del negocio
Tercerización de servicios
2. Cambios a Programas
Cambios autorizados, documentados y probados
Cambios a la configuración de los sistemas y las aplicaciones
Migración de los cambios al ambiente de producción
3. Desarrollo de Programas
Autorización, desarrollo y pruebas de los nuevos sistemas y aplicaciones
4. Operaciones de Computadora
Procedimientos de respaldo de implantación y recuperación
Procedimientos para la administración de problemas
Exactitud, integridad y procesamiento oportuno de los trabajos del sistema
Auditoría de la
19/01/2020
Seguridad
Nombre: Jenner Noé
Valoración de Riesgos de los Hallazgos
Alto: Es cuando los controles son débiles o no existen, situación que compromete el
control interno, la seguridad e integridad de la información. Sobre estos riesgos es
necesario se actué de inmediato.
Moderado: Es cuando los controles no cubren el riesgo en su totalidad debido a que se

tienen procedimientos implementados pero son aplicados parcialmente.
Bajo: Es cuando el control es fuerte, pero requiere de ciertas recomendaciones para

mitigar el riesgo. Las mejoras requeridas no son críticas para el control interno o la
seguridad e integridad de la información.
Hallazgo y Recomendaciones
Hallazgo No.1. Sistemas Obsoletos

Área Responsable: Tecnología
Nivel de Riesgo: Moderado
Condición
Observamos que hay servidores que siguen utilizando la plataforma Windows server
2003 y los gestores de base de datos SQL server 2000 y 2003
Riesgo e Impacto
Se tiene el riesgo de que el Sistema Operativo y los gestores de bases de datos en

servidores actuales puedan tener vulnerabilidades y fallas, las cuales ya no son
cubiertas por el fabricante, ya que el soporte para Windows server 2003 igual que para
SQL server 2003 concluyó en julio de 2015.
Recomendación
Se debería actualizar el sistema operativo y los gestores de estos servidores, migrando a

una versión más reciente.
Auditoría de la
19/01/2020
Seguridad
Nombre: Jenner Noé
Hallazgo No.2. Cámaras de seguridad en Centro de Datos

Área Responsable: Tecnología
Nivel de Riesgo: Moderado
Condición
Observamos que dentro del Centro de Datos de la Compañía no hay cámaras de

seguridad.
Riesgo e Impacto
Se tiene el riesgo de no tener evidencia de las actividades realizadas en el Centro de

Datos, ya sea por personal interno como externo lo que dificultaría detectar posibles
daños a los equipos.
Recomendación
Se deberá instalar cámara de seguridad en el Centro de Datos de la Compañía.

Fases e Informe Auditoria

Cargado por

Copyright:

Formatos disponibles

Fases e Informe Auditoria

Cargado por

Información del documento

Descripción original:

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Fases e Informe Auditoria

Cargado por

Copyright:

Formatos disponibles

Asignatura Datos del alumno Fecha

Apellidos: Sandoval Coello

Trabajo: El proceso y las fases de la auditoria de Sistemas de Información

Se desarrollará una auditoría a la empresa Viento en Popa la cual es una empresa

Dentro de la estrategia empresarial, se desarrolló como canal de información y venta un

La zona de Administración, desde la cual se gestiona la información relativa a cursos y

La zona de clientes y alumnos, donde el usuario tiene acceso a la información de Viento

Dicha plataforma se encuentra alojada en los servidores de la misma compañía.

-Obtener un entendimiento en la gestión de la plataforma web

-Recursos: Dos Auditores

Recopilación de información básica

Entre vistas con personal:

Todo requerimiento y solicitudes debe canalizarse a través de la persona designada por

Identificación de riesgos potenciales

-Perdida de disponibilidad por ataques externos

Seleccionar las pruebas y técnicas a utilizar

Las técnicas de auditoría aplicadas incluyeron la indagación con el personal de la

Hemos llevado a cabo la revisión de los registros y documentos para dictaminar el

De nuestro examen surgieron algunos asuntos que consideramos de importancia para

Aprovechamos la oportunidad para agradecer la colaboración que nos brindó el

INFORME SOBRE LA REVISION DEL SISTEMA INFORMATICO

Este informe está basado en la documentación suministrada por la administración de la

Nuestras observaciones y recomendaciones tienen la intención de fortalecer la

Descripción del Alcance del Trabajo Realizado

El alcance del trabajo comprendió:

-Obtener un entendimiento en la gestión de la plataforma web

La evaluación de los controles generales incluyó lo siguiente:

1. Acceso a los Programas y Datos

Valoración de Riesgos de los Hallazgos

Moderado: Es cuando los controles no cubren el riesgo en su totalidad debido a que se

Bajo: Es cuando el control es fuerte, pero requiere de ciertas recomendaciones para

Hallazgo No.1. Sistemas Obsoletos

Se tiene el riesgo de que el Sistema Operativo y los gestores de bases de datos en

Se debería actualizar el sistema operativo y los gestores de estos servidores, migrando a

Hallazgo No.2. Cámaras de seguridad en Centro de Datos

Observamos que dentro del Centro de Datos de la Compañía no hay cámaras de

Se tiene el riesgo de no tener evidencia de las actividades realizadas en el Centro de

Se deberá instalar cámara de seguridad en el Centro de Datos de la Compañía.

También podría gustarte