Riesgos de Integridad "Informático"

Riesgos: Es la incertidumbre de que ocurra un acontecimiento que pudiera pueda afectar el logro de los objetivos. También se define como la posibilidad de que suceda algo que tendrá impacto en los objetivos.

Riesgos de Integridad abarca todos los riesgos asociados con la autorización, completitud y exactitud de la entrada, procesamiento y reportes de las aplicaciones utilizadas en una organización. Estos riesgos aplican en cada aspecto de un sistema de soporte de procesamiento de negocio y están presentes en múltiples lugares, y en múltiples momentos en todas las partes de las aplicaciones; estos riesgos se manifiestan en los siguientes componentes de un sistema:

Interfaz del usuario: Los riesgos en esta área generalmente se relacionan con las restricciones, sobre las individualidades de una organización y su autorización de ejecutar funciones negocio/sistema. Otros riesgos en esta área se relacionan con controles que aseguren la validez y completitud de la información introducida dentro de un sistema.

Procesamiento: Estos riesgos se relacionan con el adecuado balance de los controles de detección y preventivos que aseguran que el procesamiento de la información ha sido completado. Esta área de riesgos también abarca los riesgos asociados con la exactitud e integridad de los reportes usados para resumir resultados y tomar decisiones de negocio.

Procesamiento de errores: Estos riesgos generalmente se relacionan con los métodos que aseguren que cualquier entrada/proceso de información de errores sean capturados adecuadamente, corregidos y reprocesados con exactitud completamente.

Interfaz: Estos riesgos se relacionan con controles preventivos y de detección que aseguran que la información ha sido procesada y transmitida adecuadamente por las aplicaciones.

Administración de cambios: Estos riesgos son considerados como parte de la infraestructura de riesgos y el impacto de los cambios en las aplicaciones. Estos riesgos están asociados con la administración inadecuada de procesos de cambios organizacionales (compromisos y entrenamiento de los usuarios a los cambios de los procesos, y la forma de comunicarlos e implementarlos).

Información: Estos riesgos son considerados como parte de la infraestructura de las aplicaciones. Están asociados con la administración inadecuada de controles, incluyendo la integridad de la seguridad de la información procesada y la administración efectiva de los sistemas de bases de datos y de estructuras de datos. La integridad puede perderse por: errores de programación (buena información es procesada por programas mal construidos), procesamiento de errores (transacciones incorrectamente procesadas) o administración y procesamiento (administración pobre del mantenimiento de sistemas).

Diez Objetivos básicos de la Auditoría de Sistemas

Existen muchos más objetivos que les estaría mencionando más adelante en otros artículos en mi blog.

1. Participación en el desarrollo de nuevos sistemas (evaluación de controles y cumplimiento de la metodología).
2. Evaluación de la seguridad en el área informática (física y lógica).
3. Evaluación de suficiencia en los planes de contingencia.
4. Utilización de los recursos informáticos (resguardo y protección de activos).
5. Control de modificación a las aplicaciones existentes.
6. Revisión de la utilización del sistema operativo y los programas utilitarios.
7. Auditoría a la base de datos.
8. Auditoría de la red.
9. Desarrollo de software de auditoría.
10. Participación en la negociación de contratos con los proveedores.

Enlace: Auditoría Informática

Auditoria Informática

La Auditoría Informática es el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informatizado salvaguarda los activos, mantiene integridad de los datos, lleva a cabo eficazmente los fines de la organización y utiliza eficientemente los recursos. De este modo la auditoría informática sustenta y confirma la consecuencia de los objetivos tradicionales de la auditoría:

• Objetivos de protección de activos e integridad de datos.
• Objetivos de gestión que abarcan, no solamente los de protección de activos, sino también los de eficacia y eficiencia.

El auditor evalúa y comprueba en determinados momentos del tiempo los controles y procedimientos informativos más complejos, desarrollando y aplicando técnicas mecanizadas de auditoría. En muchos casos, ya no es posible verificar manualmente los procedimientos informatizados que resumen, calculan y clasifican datos, por lo que se deberá emplear software de auditoría y otras técnicas asistidas por computadoras.

El auditor es responsable de revisar e informar a la Dirección de la Organización sobre el diseño y el funcionamiento de los controles implantados y sobre la fiabilidad de la información suministrada.

Se pueden establecer tres grupos de funciones a realizar por un auditor informático:

• Participar en las revisiones durante y después del diseño, realización, implantación y explotación de aplicaciones informativas, así como en las fases análogas de realización de cambios importantes.
• Revisar y juzgar los controles implantados en los sistemas informativos para verificar su adecuación a las órdenes e instrucciones de la Dirección, requisitos legales, protección de confidencialidad y cobertura ante errores y fraudes.
• Revisar y juzgar el nivel de eficacia, utilidad; fiabilidad y seguridad de los equipos e información.

Fuentes de Riesgos en TI

En continuación con otros temas publicados, comentaba lo importante que es tener una buena gestión de la administración de los riesgos de TI, otros puntos a tomar en cuenta.
 
Aplicaciones:

• Acceso a funciones de procesamiento.

• Ingreso de datos.Operaciones rechazadas o en suspenso.

• Procesamiento.

Función TI/SI: 

• Estructura de la función de TI/SI.

• Modificaciones a los sistemas de información.

• Acceso general.

• Continuidad de las operaciones.

Entre los Riesgos de TI/SI

Para una adecuada gestion de la administracion de riesgos en TI tenemos las Amenazas / Vulnerabilidades divididas entre. 
Tecnológicas:

• Brecha entre la seguridad instalada y lo que se debe asegurar.
• Deficiencias en hardware y software tanto en los sistemas de información como en telecomunicaciones.

Socio técnicas:

• Brecha entre políticas de informáticas y políticas organizaciones/sociales.
• Estos ocurren cuando las normas no son consistentes con las políticas informáticas.

Sociales:

• Brechas entre políticas organizacionales y el comportamiento humano.
• Ocurren cuando las personas no actúan de acuerdo a lo esperado.

Riesgos en TI / SI

• Probabilidad de que un evento pueda ocasionar una pérdida.
• Probabilidad de que un agente de riesgo (causa) explote una vulnerabilidad tecnológica y ocasione un efecto negativo en detrimento de un recurso de TI o de la organización.
• Controles inadecuados o débiles.Riesgo de control.

Si hablamos de los riesgos generales tenemos:
Fraude: 

• Perdida de activos.
• Acciones legales.
• Daños en la imagen.

Interrupción del negocio:

• Perdida de utilidades.
• Perdida de posición competitiva.

Errores en las operaciones:

• Resultados no deseados.
• Decisiones equivocadas.
• Sobrecostos.

No satisfacción del cliente:

• Perdida de utilidades.
• Pérdida de clientes.

Pérdida de Imagen.

• Perdida de negocios.
• Vergüenza pública.

Ineficiencia e inefectividad del uso de recursos:

• Perdida de la habilidad de mantener o aumentar las ventajas competitivas.

Riesgos Informáticos

Es uno de los puntos princuipacles Es importante que toda organización cuente con herramientas que garanticen la correcta evaluación de los riesgos a los cuales están sometidos los procesos y actividades que participan en el área de tecnología; y por medio de procedimientos de control se pueda evaluar el desempeño del entorno informático.

Una de las principales causas de los problemas dentro del entorno informático, es la inadecuada administración de riesgos informáticos, dicha información sirve de apoyo para una adecuada gestión de la administración de riesgos, basándose en los siguientes aspectos:

- La evaluación de los riesgos inherentes a los procesos informáticos.

- La evaluación de las amenazas ó causas de los riesgos.

- La evaluación de los elementos del análisis de riesgos.

- La asignación de responsables a los procesos informáticos.

- Los controles utilizados para minimizar las amenazas a riesgos.

Por mencionar algunos de los principales riesgos informáticos:

- Riesgo de integridad.

- Riesgos de accesos.

- Riesgos de respaldos.

- Riesgos en la infraestructura.

- Riesgos en la continuidad de procesos.

- Riesgos en la eficacia del servicio.

- Riesgos en la eficiencia del servicio.

- Riesgos económicos directos.

- Riesgos en la seguridad lógica.

- Riesgos en la seguridad física.

- Riesgos en la seguridad de las redes.

Papel de la Auditoría de Sistemas

Hoy en día conocido también como auditoría informática se convierte en algo más que la clásica definición de un auditor informático. Este es responsable de establecer los objetivos de control que reduzcan o eliminen la exposición al riesgo de control interno informático.

He tenido diferencias con algunos colegas donde pienso que el auditor debe dejar de ser un profesional cuya única meta es analizar el grado de implantación y cumplimiento del control interno para determinar las áreas que requieran correcciones o mejoras.

Hay que estar claro que todas las empresas en el mundo invierten cifras altas de dinero en sistemas de información, y cada vez son más dependientes de ellos y no pueden darse el lujo de tener un profesional utilizando esquemas que hasta unos años atrás eran validos, pero que en estos momentos no lo son.

El concepto de control interno es importantísimo, por eso el auditor tiene la obligación de convertirse en consultor, dando ideas de cómo establecer procedimientos de seguridad, control interno informático, efectividad, eficacia y medición del riesgo empresarial.

Propósito Fundamental de la Auditoría Informática

Evaluar el uso adecuado de los sistemas para el correcto ingreso de los datos, el procesamiento adecuado de la información y la emisión oportuna de sus resultados, incluyendo la evaluación de las funciones, actividades y operaciones de todo el personal de la empresa, involucrado en los servicios que proporcionan los sistemas de informática.

Todas las actividades, funciones y acciones preventivas y correctivas que contribuyan a salvaguardar la seguridad de los equipos computacionales, las base de datos, redes, instalaciones y usuarios del sistema son importantes. 

Por mencionar algunas de sus funciones principales

- Evaluación de las normas, políticas, métodos y procedimientos de operación.

- El análisis de la eficiencia de los sistemas informáticos.

- Verificación del control interno, tanto de las aplicaciones como de los sistemas informáticos, centrales y periféricos.

- Análisis de la gestión de los sistemas de información desde un punto de vista de riesgos de seguridad, de gestión y de efectividad de la gestión.

- Análisis de la integridad, fiabilidad y certeza de la información a través del análisis de las aplicaciones.

En resumen Incluye:

- Seguridad.

- Control Interno Operativo.

- Eficiencia y Eficacia.

- Tecnología informática.

- Continuidad de las Operaciones.

- Gestión de Riesgo.

¿Que es Auditoría de Sistemas?

Distintos profesionales han dado varias definiciones, brevemente les puedo decir y la que más me gusta: Es el conjunto de procedimientos y técnicas para evaluar y controlar total o parcialmente un sistema informático, con el objetivo principal de proteger sus activos y recursos, manteniendo la integridad de los datos para garantizar el desarrollo eficiente de sus actividades.

Porque la Razón de la Auditoría de Sistemas.

• Por el crecimiento permanente de las operaciones tecnológicas.
• Por las inversiones cada vez más cuantiosas en tecnología.
• Por la creciente dependencia, que le llamo revolución tecnológica.

Un punto importante es que la información se ha convertido en uno de los activos principales de las empresas, que representa hoy en día su principal ventaja estratégica. Razón por la cual el Auditor de Sistemas evalúa los controles y procedimientos informativos más complejos, apoyándose en uso de software de auditorías.

El alcance de la auditoría estará determinado de acuerdo con el objeto a auditar, el cual está compuesto básicamente por todos los recursos informáticos (personas, equipos, aplicaciones, capacitación, entre otros), la información y los controles.