Sesion 1 Auditoris De Sistemas Basado En Cobit 6a2p4q

AUDITORIA DE SISTEMAS

BASADO EN COBIT – AUDITORIA GUBERNAMENTAL Leonidas Asto Huaman INGENIERO INFORMATICO Y DE SISTEMAS

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

AUDITORIA DE SISTEMAS La Auditoría de Sistemas es un mecanismo de control. - Recoger, agrupar y evaluar evidencias. Control

Que permitan determinar si el área de sistema salvaguarda la:

Confidencialidad, integridad y disponibilidad de las TICs. Velando por la no transgresión de la normatividad vigente DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

PROPOSITO La auditoria de Sistemas busca el aseguramiento de la calidad en la Gestión de las Tecnologías de Información y Comunicación. - Hardware - Software - Redes - RR. HH. Que coopere al logro de las metas y objetivos de la organización. DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

LOS AUDITORES  Los auditores deben conocer los enfoques y las prácticas de TIC’s claves a fin de poder evaluar la calidad de la gerencia e identificar los problemas gerenciales existentes.

 Los auditores deben evaluar las organizaciones para conocer si tienen un enfoque estructurado para planificar y gerenciar los recursos de TIC’s. DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

ENFOQUES DE LA AUDITORIA Enfoque Gubernamental (Público) • Exámenes de Control Interno. • Determinación de responsabilidades • Sanciones • Aplicación de recomendaciones (Poco) • CObIT (Referencial) • PCM – ONGEI (Rector) • ISACA (REFERECIAL) • ENC – Contraloría de la República.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Enfoque Mejoramiento Continuo (Privado) • Intervenciones Rápidas • Determinación de debilidades • Aseguramiento de la calidad • Aplicación de recomendaciones (mucho) • CObIT (Rector) • PCM – ONGEI (Lo necesario) • ISACA (POR LO GENERAL) Information Systems Audit And Control Association

BASE LEGAL •Constitución Política del Estado. • Ley N° 27785 Ley Orgánica del Sistema Nacional de Control. •Resolución de Contraloría Nº 162-95-CG Normas de Auditoria Gubernamental y su modificatoria Resolución de Contraloría N° 259-2000-CG Normas de Auditoria Gubernamental. •Decreto Legislativo No 728 Ley de Productividad y Competitividad Laboral, DS No 003-97TR. •Decreto Supremo N° 013-2003-PCM, publicada el 13/02/2005 y su modificatoria D.S. N° 037-2005-PCM del 11/05/2005. “Medidas para garantizar la legalidad de la adquisición de programas de software en entidades y dependencias del Sector Público. •Decreto Supremo N° 024-2006-PCM “Reglamento de la ley N° 28612 – ley que norma el uso, adquisición y adecuación del software en la istración Pública”. •Resolución Ministerial N° 179-2004-PCM publicada el 14/06/2004. Aprueban uso obligatorio de la Norma Técnica Peruana NTP-ISO/IEC 12207/2004: Tecnología de la información. Procesos del ciclo de vida del software. 1° Edición en entidades del Sistema Nacional de Informática”, y su modificatoria a la Resolución Ministerial 396-2005-PCM publicada el 08/11/2005. •Norma Técnica Peruana NTP – ISO IEC 17799 – 2007, EDI. Tecnología de la Información. Código de buenas prácticas para la gestión de la seguridad de la información. 16-01-2007, 2da. Edición. R 001-2007/INDECOPI-CRT publicada el 22-01-2007. •Resolución Jefatural N° 386-2002-INEI publicada el 16/01/2003 Aprueban directiva Normas Técnicas para el Almacenamiento y Respaldo de la Información procesada por las Entidades de la istración Pública. •Resolución Jefatural N° 053-2003-INEI publicada el 23/02/2003 Aprueban Directiva sobre Norma Técnica para la implementación DOCENTE: LEONIDAS ASTO HUAMAN - DAITI del Registro de Recursos Informáticos en las instituciones de la istración Pública. • OTROS NO MENOS IMPORTANTES . (www.ongei.gob.pe)

COBIT Tiene como fin: Suministrar a la gerencia normas

generalmente aceptadas basadas en buenas prácticas para el control de la Información y la Tecnología de Información. Proveer a los s de una base sólida para istrar la TI y obtener garantías.

Brindar a los auditores de excelentes criterios para las tareas de

evaluación y auditoría. Respaldar los esfuerzos conjuntos de la gerencia, los responsables de procesos de negocio y los auditores a fin de propiciar el mejor gobierno de TI. Se usa para implementar el gobierno de IT y mejorar los controles de IT DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

NORMAS DE SEGURIDAD INTERNACIONALES Y NACIONALES Internacionale s

Nacionale s 1.

SP800-14+27 SAS 94 CMM - Capability ISO 15408 - Common Criteria COBIT ISO 17799

Directiva para el uso, registro y consulta del Sistema Electrónico del Registro Nacional de Sanciones de Destitución y Despido – RNSDD (RM Nª 017-2007-PCM del 18.Ene.2007). 2. “Formulación y Evaluación del Plan Operativo Informático de las Entidades de la istración Pública para el Año 2008 (RM Nª 430-200-PCM del 28.Dic.2007). 3. Uso obligatorio de la Norma Técnica Peruana “NTP-ISO/IEC 17799:2007 EDI. Tecnología de la Información. Código de buenas prácticas para la gestión de la seguridad de la Información. 2da. Edición” en todas las entidades integrantes del Sistema Nacional de Informática (RM Nª 246-2007-PCM del 22.Ago.2007). 4. Disposiciones referidas a licenciamiento de software en entidades públicas (DS Nª 002-2007-PCM del 11.Ene.2007). 5. Ley Nª 28612: Ley que norma el uso, adquisición y adecuación del software en la istración pública (18.Oct.2005). 6. Uso obligatorio de la Norma Técnica Peruana “NTP-ISO/IEC 12207:2004 Tecnología de la Información. Procesos del Ciclo de Vida de Software. 1ª Edición” en todas las entidades integrantes del Sistema Nacional de Informática (RM Nª 179-2004-PCM del 14.Jun.2004). 7. Ley Nª 28530: Ley de Promoción de a Internet para personas con discapacidad y adecuación del espacio físico en cabinas públicas de internet (02.Jun.2005). 8. Disposiciones relativas a la istración del “Portal del Estado Peruano” (DS Nª 059-2004-PCM del 11.Ago.2004). DOCENTE: LEONIDAS ASTO HUAMAN - DAITI 9. Guía Técnica sobre Evaluación de Software para la istración Pública (RM Nª 139-2004-PCM del 28.May.2004). 10. Guía para la istración Eficiente del Software Legal en la istración Pública (RM Nª 073-2004-

LEYES QUE GOBIERNAN LA INFORMÁTICA

(Leyes de Murphy) 1. Si algo puede fallar, fallará 2. Si hay la posibilidad de que algunas cosas fallen, la que causara más daño será la primera. 3. Si algo no puede fallar, lo hará a pesar de todo. 4. Si se aprecia que existen cuatro posibles maneras de que algo pueda fallar, y se soslayan, en seguida se desarrollará una quinta para la que no se esta preparado. 5. Por si mismas, las cosas tienden a ir de mal en peor. 6. Si algo parece que va bien, es obvio que se ha pasado algo por alto. 7. La Naturaleza siempre esta del lado del fallo oculto. DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

CObIT ¿Qué es COBIT? Origen de Cobit Control de Versiones Misión Alcances y Objetivos Necesidad de Control de TI Definición de Control Recursos de TI Requerimientos del Negocio hacia la Información Procesos de TI III niveles Dominios Cobit Conformación de conceptos control interno Marco referencial Todos los caminos conducen a Roma DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

C Ob I T

Control Objectives for Information and Related Technology

Objetivos de control para la información y tecnologías relacionadas DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Origen de COBIT

Asociación para la Auditoría y Control de Sistemas de Información,(ISACA, en inglés: Information Systems Audit and Control Association), y el Instituto de istración de las Tecnologías de la Información (ITGI, en inglés: IT Governance Institute) en 1992.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

CONTROL DE VERSIONES Evolution of scope

Governance of Enterprise IT IT Governance Val IT 2.0 Management

(2008)

Control

Risk IT (2009)

Audit COBIT1

1996

COBIT2

1998

COBIT3

2000

COBIT4.0/4.1 COBIT 5

2005/7

2012

De una herramienta de auditoría a un marco de gobierno de las TI DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Misión del COBIT “Para investigar, desarrollar, publicar y promover un conjunto actualizado e internacional de objetivos de control de Tecnología de la Información generalmente aceptado, para su uso diario por los es del negocio y los auditores”. DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Alcances y objetivos:  Estándares generalmente aplicados aceptados para las buenas prácticas control en TI (Tecnologías de Información).  Para Sistemas de Información de Organización.  Fundamentado en una estructura control de las TI.  Basado en los Objetivos de Control ISACA. DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

y de la la de de

La Necesidad del Control en TI

 es  s  Auditores

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Definición de Control

“Las Políticas, Procedimientos, Prácticas y Estructura Organizacional, diseñadas para proveer una razonable seguridad de que los objetivos del negocio serán alcanzados y los eventos indeseados serán prevenidos o detectados y corregidos.”

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Recursos de Tecnología de Información Datos Sistemas de Aplicación Tecnología Instalaciones Personal

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Requerimientos del Negocio hacia la Información Efectivida d Eficiencia

Trata con información que es relevante y pertinente al proceso de negocio, además de ser entregada de una manera oportuna, correcta, consistente y utilizable. Se relaciona con la provisión de información a través del óptimo (más productivo y económico ) uso de recursos.

Se relaciona con la protección de información sensible a divulgación

Confidencialid No autorizada. ad

Integridad

Se relaciona con la exactitud e integridad de información así como también con su validez en conformidad con valores y expectativas del NEGOCIO.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Requerimientos del negocio hacia la Información Disponibilida d

Se relaciona con información disponible al ser requerida por el proceso de negocio ahora y en el futuro. Se relaciona con el resguardo de recursos necesarios y capacidades asociadas.

Cumplimient o

Trata con el cumplimiento de aquellas leyes, regulaciones y arreglos contractuales a los cuales está sujeto el proceso de negocio; es decir, criterios de negocios impuestos externamente.

Confiabilidad de Información

Se relaciona con la provisión de información apropiada a la gerencia para operar la entidad y para que la gerencia ejerza sus responsabilidades de informar cumplimiento.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Procesos de Información Tres Niveles Agrupación Natural de procesos, normalmente corresponden a un dominio o una responsabilidad organizacional

Dominios

Procesos

Conjuntos o series de actividades unidas con delimitación o cortes de control. Actividades o tareas

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Acciones requeridas para lograr un resultado medible. Las Actividades Tienen un ciclo de vida mientras que las tareas son discretas.

Dominios del CObIT

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominios del CObIT

Planificación y Organización

Este dominio cubre estrategia y táctica, y se relaciona con la identificación de la forma en que TI puede contribuir mejor al logro de los objetivos de negocios. Más aún, la realización de la visión estratégica debe ser planificada, comunicada y istrada para diferentes perspectivas. Finalmente, se debe poseer una apropiada organización además de una infraestructura tecnológica.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominios del CObIT Para realizar la estrategia TI, se deben identificar,

desarrollar o adquirir las necesidades TI, así como Adquisición e implementarlas e incorporarlas a los procesos de Implementaci negocios. Además, los cambios en y la mantención de sistemas existentes son cubiertas por éste dominio, ón para asegurarse que el ciclo de vida útil es continuo para estos sistemas.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominios del CObIT Procedimientos manuales y programados. Trata lo real de servicios requeridos, la cual va desde operaciones tradicionales en seguridad y aspectos de continuidad a capacitación. Para entregar servicios, se deben preparar los procesos de respaldo necesarios. Este dominio incluye procesamiento real de datos mediante procesos de aplicaciones, a menudo clasificados bajo controles de aplicaciones.

Entrega y Respaldo

.

.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominios del CObIT Todos los procesos TI deben ser evaluados regularmente en el tiempo para su calidad y

Monitore o

cumplimiento con requerimientos de control. Este dominio, por consiguiente, aborda la supervisión por parte de la gerencia del proceso de control de la organización y la garantía independiente proporcionada por auditoría interna y externa, o se obtiene de fuentes alternativas.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

OBJETIVOS DEL NEGOCIO M1 monitorear los procesos M2 evaluar adecuación de control interno M3 lograr garantía independiente M4 disponer de auditoría interna

COBIT INFORMACION

 MONITOREO

 ENTREGA & RESOALDO

· · · · · · ·

efectividad eficiencia confidencialidad integridad disponibilidad cumplimiento confiabilidad

RECURSOS TI



PO1 definir un plan TI estratégico PO2 definir la arquitectura de información PO3 determinar la dirección tecnológica PO4 definir la organización TI y relaciones PO5 istrar la inversión en TI PO6 comunicar a gerencia metas y dirección PO7 istrar recursos humanos PO8 asegurar cumplimiento con requerimientos externos PO9 evaluar riesgos PO10 istrar proyectos PO11 istrar calidad



PLANIFICACION & ORGANIZACION



ADQUISICIÓ & IMPLEMENTACION

· gente · sistemas de aplicaciones · tecnología · instalaciones · datos

DS1 definir niveles de servicio DS2 istrar servicios de terceros DS3 istrar desempeño y capacidad DS4 asegurar servicio continuo DS5 asegurar seguridad de sistemas DS6 identificar y atribuir costos DS7 adecuar y capacitar a s DS8 ayudar y aconsejar a clientes de TI DS9 istrar la configuración DS10 istrar problemas e incidentes DS11 istrar datos DOCENTE: LEONIDAS ASTO HUAMAN - DAITI DS12 istrar instalaciones DS13 istrar operaciones

AI1 identificar soluciones AI2 adquirir y mantener software de aplicaciones AI3 adquirir y mantener arquitectura de tecnología AI4 desarrollar y mantener recursos TI AI5 instalar y acreditar sistemas AI6 istrar cambios

Dominio Planificación y Organización 1. Definición del Plan Estratégico 2. Definición de la Arquitectura de la Información 3. Determinación de la Dirección Tecnológica 4. Definición de la organización y sus relaciones

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominio, Planificación y Organización (CONTINUACIÓN)

5. Manejo de la Inversión 6. Comunicación de Políticas y los Objetivos de la Dirección 7. istración del Personal 8. Requerimientos de Organismos Contralores Externos

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominio, Planificación y Organización (CONTINUACIÓN)

9. Evaluación de riesgos 10. istración de Proyectos

11. istración de la Calidad

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominio Adquisición e Implementación 1.

Identificar soluciones.

2.

Adquirir y mantener software de aplicaciones.

3.

Adquirir y mantener arquitectura de tecnología.

4.

Desarrollar y mantener recursos TI.

5.

Instalar y acreditar sistemas.

6.

istrar cambios. DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominio Entrega y Soporte 1.

Definir niveles de servicio.

2.

istrar servicios de terceros.

3.

istrar desempeño y capacidad

4.

Asegurar servicio continuo.

5.

Asegurar seguridad de sistemas.

6.

Identificar y atribuir costos.

7.

Adecuar y capacitar a s.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominio Entrega y Soporte (continuación)

8.

Ayudar y aconsejar a clientes de TI.

9.

istrar la configuración.

10.

istrar problemas e incidentes.

11.

istrar datos.

12.

istrar instalaciones.

13.

istrar operaciones.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Dominio Monitoreo 1. Monitorear los procesos.

2. Evaluar la adecuación del control 3. Lograr garantía independiente. 4. Disponer de auditoría interna.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

interno.

Comparación de Conceptos de Control COBIT Dirigido a:

SAC

istración, s, Auditores de Auditores Internos Sistemas Responsables de TI

COSO

SASs 55/78

istración

Auditores Externos

El Control Interno es Visto Conjunto de procesos incluyendo como políticas, procedimientos, prácticas y estructura Organizacional

Conjunto de procesos, subsistemas y personas

Procesos

Procesos

Los Objetivos Organizacionales de Control Interno

Efectividad y Eficiencia de las operaciones

Efectividad y Eficiencia de las operaciones

Efectividad y Eficiencia de las operaciones

Efectividad y Eficiencia de las operaciones

Confidencialidad, Integridad y disponibilidad de la información

Confiabilidad en los reportes Confiabilidad en los reportes financieros financieros

Confiabilidad en los reportes financieros

Confiabilidad en los reportes financieros

Cumplimiento con leyes y normas

Cumplimiento con leyes y normas

Cumplimiento con leyes y normas

Dominios:

Componentes:

Componentes:

Componentes:

Planeación y Organización

Ambiente de Control

Ambiente de Control

Ambiente de Control

Adquisición e implantación

Sistemas Manuales y Automatizados.

Evaluación de Riesgo

Evaluación de Riesgo

Actividades de Control

Actividades de Control

Información y Comunicación

Información y Comunicación

Seguimiento

Seguimiento

Tecnología de Información

Toda la Organización

Estados Financieros

Evaluación de la Por un periodo de tiempo Efectividad del Control I.

Por un periodo de tiempo

En un punto en el tiempo

Por un periodo de tiempo

Responsable por el Control istración Interno

istración

istración

istración

Tamaño

1193 páginas en 12 módulos 353 páginas en 4 volúmenes

Cumplimiento con leyes y normas Componentes o Dominios

Servicio y Soporte Seguimiento

Enfocado a

Tecnología de Información

187 páginas en 4 volúmenes

Procedimientos de Control

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

63 páginas en 2 documentos

TODOS LOS CAMINOS CONDUCEN A Coso ROMA

Misión

COSO:(Committee of Sponsoring Organizations of the Treadway Commission) - Comité de Organizaciones Patrocinadoras de la Comisión Treadway.

Objetivos estratégicos Gobierno Corporativo

ERM: Enterprise risk management (ERM), Empresa de gestión de riesgos.

ERM

CObIT

ITIL: (Information Technology Infrastructure Library) Biblioteca de Infraestructura de Tecnologías de Información.

Iso 17799

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

ITIL

ISO 17799: information Security standard International Organization for Standardization (ISO)

Marco COBIT REQUERIMIENTOS DE NEGOCIO

CRITERIOS DE INFORMACIÓN

PROCESOS DE INFORMACIÓN

?

RECURSOS DE TI • • • •

aplicaciones información infraestructura personal

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

• • • • • • •

efectividad eficiencia confidencialidad integridad disponibilidad cumplimiento confiabilidad

PROCESOS DE AUDITORIA

PLANEACIO N

EJECUCIO N

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

INFORME

SEGUIMIENT O

PLANEACION a) Conocimiento General de la Entidad b) Evaluación del Sistema de Control Interno de la Gerencia de Sistemas de Información c) Programa de Auditoría

Ejecución de la Auditoría a. Evaluación de Organización en el Área de Sistemas. b. Evaluación de la Seguridad Física y Planes de Contingencia de la Oficina de Sistemas. c. Evaluación de Bases de Datos, Archivos y Datos. d. Evaluación de Operaciones (Centro de Procesamiento y Área de atención a s). e. Evaluación de Desarrollo y Mantenimiento de Sistemas. f. Evaluación de Redes de Comunicaciones. DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

Informe de Auditoría • Determinación de responsabilidades.

• Conclusiones. • Recomendaciones. •Sugerencias.

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

1) La responsabilidad puede surgir de distintas fuentes: - CIVIL (por daños y perjuicios) - PENAL (por comisión de delitos) - ISTRATIVA (por incumplimiento de normas istrativas)

PASOS DE UNA AUDITORÍA

Determinación e implementación de estrategias para que: X0

ATRIBUTOS

Normas. Buenas Practicas Estándares

Determinación de discrepancia

4 3

3

2

2

CUANTIFICACION 1

CUALIDADE S

1 1

2

3

MEDICIÓN

1

2

3

CONTRASTACIÓ N

CSF (Critical Success Factors - Factores Críticos de Éxito). KPI (Key Performance Indicators – Indicadores Clave de Desempeño). KGI (Key Goal Indicators – Indicadores Clave de Logro). DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

RIESGO Cualquier acontecimiento que podría evitar que una organización cumpla sus objetivos institucionales previstos.

TIPOS DE RIESGO ESTRATÉGICO. TECNOLÓGICO. GENTE Y ORGANIZACIÓN. PROCESOS.

ECUACIÓN UNIVERSAL DEL RIESGO

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI

PARTES DE UN HALLAZGO • • • • •

• SUMILLA: No se estableció una metodología de ciclo de vida para la SUMILLA elaboración del Sistema de Información. CONDICIÓN (SIGA WEB) CRITERIO CAUSA • CONDICIÓN: El Sistema de Información no EFECTO especifica ni se acoge a una metodología o lineamiento base de la Ingeniería de Software, o métrica alguna. • CRITERIO: Norma Técnica Peruana NTPISO/12207:2004 Tecnología de la Información - Procesos de Ciclo de Vida del Software “Métrica 3” • CAUSA: Desconocimiento de la existencia de la normatividad vigente por parte del Jefe de Proyecto. • EFECTO: Incumple con la NTPDOCENTE: LEONIDAS ASTO HUAMAN - DAITI ISO/12207:2004.

CERTIFICACIÓN

Profesional

 CISA (Certified Information System Auditor)  CISM (Certified Information Security Manager)  CISSP (Certified Information System Security Professionals)

 Auditor Líder - BS7799

DOCENTE: LEONIDAS ASTO HUAMAN - DAITI