Seguridad y Auditoria de Sistemas

Breve introducción

Debido a la creciente instalación de computadoras de diversos tipos y marcas en nuestro medio, como herramienta de trabajo para ayudar en la administración de negocios de las empresas, se ha hecho necesario e imprescindible elaborar normas y procedimientos de Auditoría de Sistemas.

El rápido avance tecnológico en el desarrollo de nuevas técnicas o modalidades de procesamiento de datos (Software) como en los equipos de máquinas (Hardware), implica una preocupación por controlar y asegurar debidamente el área de sistemas de información soportados una computadora, tan importante para la modernización como para incentivar el crecimiento de las empresa sobre todo en los sectores comercio e industrias.

Auditoria de sistemas computarizados

2.1. Concepto

Es el diagnóstico de estado ordenado y minucioso de los sistemas de información soportados por un equipo electrónico de procesamiento de datos.

2.2. Importancia

Es necesario supervisar constantemente el buen funcionamiento de un sistema de información computarizado dada su complejidad, concentración y veracidad de datos pues de estos depende en gran parte el buen funcionamiento y evolución de una empresa.

Controles de sistemas en un centro de cómputo

El control interno es posible conceptuarlo como: conjunto de plan de organización, métodos coordinados y medidas adecuadas, que se adaptan dentro de una empresa a fin de salvaguardar sus activos, verificar la exactitud, contabilidad y oportunidad de sus datos contables para mejorar la eficiencia de sus operaciones y vigilar el cumplimiento de las políticas y estrategias directivas.

Los controles dentro de un sistema de información automatizado es necesario enfocarlos bajo tres aspectos esenciales que a continuación detallo:

3.1. Incidencia de Computadora en la Organización

Aún cuando una empresa está estructura organizativamente acorde con la variedad de influencias modernas, las líneas de responsabilidad y autoridad deben estar definidas claramente.

La división de responsabilidades funcionales debe definirse por:

a. Funciones de iniciar y autorizar la transacción.
b. Registro de la transacción por escrito.
c. Resguardo de activos resultantes.

Tal división implica especialización brindando mayor eficiencia evita duplicación y malgasto de esfuerzos y aumenta la efectividad del control directivo.

El resultado de centralizar las actividades de procesamiento de datos y la concentración de funciones de proceso, produce en efecto notable sobre las estructuras de la organización desde punto de vista de control.

3.2. Controles Generales

3.2.1 Controles Generales

a. El departamento de procesamiento de datos debe funcionar independiente organizacionalmente de otros departamentos.

b. El personal de procesamiento de datos no debe ejercer ningún control directo ni indirecto sobre los activos ni hacer cambios en archivos principales sin la debida autorización.

c. Deberá haber una clara segregación de funciones entre:

Diseño y Análisis de Sistemas
Programación
Procesamiento

d. En lo que compete a Procesamiento deberán segregarse las funciones en:

Operación de Equipo
Bibliotecario
Entrada de Datos
Salida de Datos

e. Los seguros de la Empresa sobre interrupción de operaciones deben cubrir interrupciones en procesamiento automático de datos.

f. La razonabilidad del seguro sobre los registros (archivos) del equipo de cómputo.

g. Nivel de gerencia que controla la función efectiva de procesamiento electrónico de datos a través de:

Establecimiento de políticas
Determinación de objetivos
Establecimiento de prioridades
Revisión periódica de avance en el desarrollo interno y/o estadísticas de operaciones

h. Nivel y la independencia de revisión y aprobación de gerencia requeridas para sistemas contables propuestos y para revisiones.

i. Personal técnicamente calificado para revisar nuevos sistemas propuestos o los cambios para dar consideración a:

Conformidad con las políticas de la empresa
Inclusión de factores de control adecuados

j. En caso de que el equipo de procesamiento fuera alquilado o usado por extraños se deberá considerar:

Suficientes controles con los ingresos por honorarios de servicio que sean registrados.
Operadores de afuera no tengan acceso a programas y/o archivos nuestros.

k. Razonabilidad de las preocupaciones para proceso alternativo en caso de fallas del equipo y:

Frecuencia con que estos procesamientos son probados en condiciones reales.
Facilidades alternativas localizadas de manera tal que el riesgo de un desastre común sea reducido al mínimo.

3.2.2. Controles Específicos

3.2.2.1. Ambiente Físico

a. El equipo de procesamiento de datos deberá estar instalado en un solo lugar y situado de tal manera que proporcione segregación física entre la función operativa y la función de control.

b. Restricción de acceso de personal no autorizado a la instalación.

c. Protección adecuada de archivos proveída por la instalación ante fuego, robo u otra catástrofe.

3.2.2.2. Protección de la Lógica de Programas

1. Deberán haber estándares de documentación de programas, procedimientos y rutinas lo cual incluye lo siguiente:

a. Descripción total del sistema y sus objetivos así como también el flujo básico a información a través del sistema.

b. Flujograma del sistema general para ilustrar la descripción descrita.

c. Descripción de las funciones ejecutadas y una descripción general de cómo cada programa las lleva a cabo.

d. Diagrama de bloque que muestre la secuencia de operaciones ejecutadas por el programa.

e. Descripción de registros mostrando la forma, el contenido y tipo de entradas y salidas de archivos intermedios.

f. Listado del programa fuente en lenguaje simbólico.

g. Instrucciones de operación del programa, procedimientos de parada, fuentes de entradas y disposición de salidas.

2. Segregación adecuada de las funciones de:

Diseño y análisis de Sistemas
Programación

3. Restringir a los programadores y analistas el acceso a la operación del computador, salvo acceso contado para pruebas y expurgación de programas.

4. Restringir a los operadores en lo que compete a programación no supervisada, previa evaluación dar el acceso medido, en medida en que haya disponibilidad de tiempo.

5. Los programadores y analistas de sistemas tendrán acceso controlado a:

Archivos maestros o transacciones
Programas operativos: Fuente u objeto
Documentación fuente
Documentación de salida

6. Deberá haber un nivel de aprobación supervisora adecuada para que el personal de programación tenga acceso a programas fuente que se encuentran operativos.

7. Autorización de nivel adecuado para modificar programas operativos y esta debe ser por escrito.

8. Las autorizaciones para cambios de programas deben ser controladas por ejemplo numéricamente.

9. Los cambios a programas deben hacerse a nivel de programa fuente, recopilación obteniendo nuevo programa objeto y nuevo post list.

10. Al efectuar un cambio en los programas estos deberán ser fechados, documentos por el programador indicando razón del cambio en forma su cinta, nombre del mismo, a fin de proporcionar una historia cronológica del sistema.

11. La extensión de procedimientos de prueba que están siendo efectivamente aplicadas para programas nuevos y revisados deberán proceder:

a. Los procedimientos de prueba incluirán corridas en paralelo de datos actuales y/o fecha anterior por más de un ciclo de procesamiento.

b. Los procedimientos deberán asegurarán la compatibilidad de todos los programas que forman un solo sistemas.

c. Los resultados y procedimientos de prueba deberán ser revisados por:

– Departamento de auditoría interna técnicamente calificado

– Un supervisor técnicamente apto

– La gerencia del departamento usuario

d. Los procedimientos de prueba para modificaciones de programas deben ser los mismos que para programas nuevos.

12. Se deberá prevenir o detectar la entrada sin autorización de cambios de programas y los datos implementados un sistema de seguridad.

3.2.2.3. Operación del Equipo

a. Control de Supervisión adecuado y suficiente para que los operadores cumplan con los procedimientos de supervisión establecidos.

b. Mantener registro de control de uso de consolas y sub-consolas indicando tipo de trabajo del mismo y fecha.

c. El registro de control de consola deberá detallar separadamente además:

Tiempo de corrida
Tiempo de preparación de equipo
Tiempo down (pendiente o espera imprevista)
Tiempo de mantenimiento

d. Se deberá mantener reporte escrito de tiempos de parada que puedan ocurrir durante el procesamiento y estos deben contener:

Descripción completa de la situación y acción tomada.
Vo.Bo. o calificación de la persona supervisora responsable.

e. Se deberán rotar los operadores entre turnos y trabajos a fin de evitar asignación permanente a trabajos específicos.
f. Exigir al personal de operación a tomar sus vacaciones periódicas.
g. Proporcionar a los operadores las instrucciones operativas del sistema para procedimientos adecuados a las medidas a tomar en caso de situaciones de error y/o paradas en proceso.
h. Tener manuales de operación ordenados y adecuados a fin de servir de guía de procesos, asimismo deberán haber copias adicionales en poder del bibliotecario.
i. Uso de etiquetas internas y externas de archivos a procesar y estas ser reconocidas por los procedimientos de proceso de aplicaciones.
j. Establecer sistema de seguridad mediante contraseñas (user y password) a fin de evitar procedimientos no autorizados.
k. Control supervisor sobre rendimiento de máquinas mediante registros adecuados por escrito.
l. Mantener registro de control del sistema operativo del computador tipificando:

Control de alteraciones
Actualización del sistema
Creación de archivos de sistemas
Performance

ll) Verificación de supervisión de control de operaciones en los diferentes turnos.

m) Elaboración de cronograma de tiempo de proceso con las áreas usuarias y vigilar que estos se cumplan estrictamente.

3.2.2.4. Bibliotecas

1. El bibliotecario dentro de un departamento de procesamiento electrónico de datos deberá ser responsable por:

a. Control de documentos delicados (cheques, planillas, etc.) y todos los archivos y programas tanto de usuario como del sistema.

b. Entregar a operación lo necesario para cada trabajo específico de procesamiento.

c. Control de archivos, bibliotecas, fuente y objeto que son producidas por cada trabajo de proceso (archivos originales y archivos copias de respaldo).

d. Conservación adecuada de diskettes y packs.

e. Revisión periódica de estado físico de archivos.

f. Mantenimiento de un programa adecuado de retención de archivos, que exijan conservación de archivos hasta de tercera generación.

g. Mantener stocks adecuados y suficientes de cintas de impresión y formularios continuos.

2. Mantener archivos maestros y de transacciones en prevención de tener que efectuar reconstrucción (Recovery).

3. Los archivos mencionados en el párrafo anterior deberán ser guardados en un ambiente adecuado a prueba de fuego, robo, terremoto u otro desastre.

4. Usar etiquetas externas en todos los archivos a fin de identificar:

Fecha
Aplicación
Volumen

5. Asignar mediante procedimiento adecuado y supervisado que esté disponible una copia al día del último programa fuente u objeto operativo y su documentación correspondiente.

6. Mantener una biblioteca técnica de manuales del sistema a fin de hacer las consultas del caso si hubieren problemas.

7. Mantener un inventario adecuado de archivos bibliotecas, manuales, etc.

3.2.2.5. Flujo de Datos

a. Procedimiento de control de entrada de datos para asegurar que estos estén completo y correctos (cantidad de documentos, totales de control) de la fuente de datos, asimismo que estos sean verificados por programas de consistencia, vale decir que estos procedimientos estén por escrito.

b. Emisión de reportes de validación de datos (Consistencias) a fin de devolver los documentos fuentes errados a su lugar de origen a fin de efectuar las correcciones del caso.

c. Procedimiento de corrección de datos defectuosos previamente chequeados por la fuente de origen, validación secundaria o alternativa, asimismo rutinas para obtener oportunamente las correcciones a fin de que el procedimiento de la aplicación sea hecha en el tiempo previsto y con veracidad adecuada.

d. Procedimiento adecuado para distribuir la información necesaria en las áreas usuarias.

Comentarios o pautas para evaluación de auditoría de sistemas de información mediante un equipo electrónico de datos

a. Nuestras pruebas de la función de procesamiento electrónico de datos estarán influenciadas por la habilidad de la gerencia para hacer cumplir los controles y procedimientos establecidos. Normalmente hay una relación directa entre el grado de participación de la alta gerencia en la supervisión de la función y el grado de cumplimiento de los procedimientos de control interno.

b. La revisión y la aprobación deberían de ser preferiblemente un esfuerzo común de la gerencia, los representantes de los departamentos que lo usan y los de EDP y cada uno de los cuales debería conocer las funciones de los otros.

c. Pruebas periódicas bajo circunstancias reales aseguran que no hay habido mayores cambios en equipos o en programas en el sitio alternativo, los cuales impedirían un procesamiento adecuado.

d. Los programas de computadora gobiernan todo el procesamiento. Las operaciones son ejecutadas y serán repetidas siempre que el programa no sea alterado, pero pueden producirse cambios y pasar inadvertidos. Por lo tanto el sistema de control interno debería proteger la integridad de los programas, es decir éstos no deben ser susceptibles a alteraciones accidentales erróneas o no autorizadas.

e. La posibilidad de determinar, hacer el recorrido a través, evaluar y probar el sistema es aumentada considerablemente por la presencia de documentación del cliente que esté actualizada y detallada. La existencia de estándares estrictos de documentación es una indicación de que el cliente emplee buenos procedimientos de control interno.

Los flujogramas, descripciones narrativas y otra documentación del cliente pueden utilizarse como documentación de la auditoría y se debe poner énfasis en obtener copias.

f. Los operadores debería tener acceso a los programas fuente solamente cuando están compilando un programa; y a los programas objeto solamente cuando están operando un programa.

g. Como quiera que puede haber errores en la lógica de programa, en programas nuevos o modificados, deben de ser probados para asegurarse de que funcionan como se había planeado.

Las pruebas deberían de hacerse usando datos reales bajo condiciones reales de operación en el mayor grado posible.

También deberían de incluirse datos erróneos de manera que todas las secciones y todas las rutinas de revisión de los programas sean probadas adecuadamente. La revisión y evaluación del cliente de los resultados de las pruebas deberían ser hechas por representantes capaces de todos los departamentos interesados (incluyendo los auditores internos) para asegurarse de que todas las implicaciones de los resultados de las pruebas se han tomado en cuenta.

h. El auditor debe de estar pendiente de la posibilidad de que los controles de operaciones varíen entre turno y turno.

i. Los listados de programas normalmente indicarán si se usan las etiquetas internas de archivo.

j. El uso de un programa supervisor provisto por el fabricante (sistema operativo) evita la necesidad de mucha intervención humana durante el procesamiento.

k. Un sistema adecuado de control interno debería de incluir procedimiento, para proteger a compañía contra destrucción accidental o alteraciones erróneas o no autorizadas de los archivos maestros o de datos. Estos archivos requieren controles más estrictos que los registros preparados manualmente porque pueden ser destruidos o dañados más fácilmente y la no visibilidad de sus contenidos hace que un mal uso o abuso sean difíciles de detectar.

l. El procesamiento normal de archivos de cinta provee una duplicación automática. Sin embargo, los archivos de discos deben ser copiados (normalmente en cinta) para hacer posible una eventual reconstrucción.

m. Cierto respaldo del programa es proporcionado por los diagramas de bloque, las hojas de codificación y otra documentación del programa, si están al día, pero las copias duplicadas de los programas fuente y objeto permiten una reconstrucción mucho más rápida.

Desarrollo de programas de auditoría para computadora

La computadora ofrece una serie de recursos al auditor a fin de determinar la calidad de la información generada por el sistema de procesamiento, a fin de evaluar y analizarla.

Es necesario contemplar cuatro elementos básicos en el desarrollo de programas de auditoría para computadora:

5.1. Determinación de objetivos y procedimiento de Auditoría

El Auditor con el soporte de programación es quién define los objetivos y procedimientos de acuerdo a las normas legales de auditoría generalmente aceptadas, él es quien de determina los datos en los registros maestros o transacciones que desee verificar.

5.2. Elaboración de Diagramas de recorrido de sistema

Habiendo definido los procedimientos y objetivos se preparan los diagramas de recorrido de sistema indicando archivos de entradas y salidas resultantes que se desee obtener a través del programa de auditoría.

5.3. Elaboración de Diagramas de recorrido de programas

A través de estos de indican cómo van a procesarse los datos indicando operaciones y decisiones especificas y la secuencia que han de seguir dentro del programa. Asimismo este diagrama mostrará la lógica y las funciones del programa. Este diagrama proporcionará esencialmente:

5.3.1. Una imagen gráfica de la solución del problema

5.3.2. Guía para codificar y probar el programa determinando si se han considerado todas las condiciones posibles.

5.3.3. Documentación para su explicación y modificación del programa.

El diagrama de recorrido de programa puede completarse mediante tablas de decisión a fin de evaluar alternativas de acción que pueden tomarse dadas las condiciones.

5.4. Codificación, Compilado y Prueba de Programa

Ésta fase no requiere mayor comentario porque se procede al igual que un programa común y corriente.

Uso de programas de auditoría para computadora

Esencialmente existen tres maneras de usar programas de auditoría para computadora:

6.1. Análisis e Informes de Excepción

El auditor puede elaborar programas para:

Analizar detalles de archivos
Explorar aspectos o atributos que le interesen
Búsqueda de irregularidades en archivos

Las excepciones a las normas y criterios contemplados por el programa se imprimirán como salida.

6.2. Selección de Muestras

El auditor puede elaborar programas para seleccionar muestras, ya sea al azar o de acuerdo a los criterios que consideren conveniente.

6.3. Computaciones y Pruebas Detalladas

El auditor puede elaborar programas para efectuar pruebas o computaciones (cálculos) que antes se realizaban manualmente.

Análisis final

7.1. Ventajas del uso de la Computadora por el Auditor

7.1.1. Mejor conocimiento del sistema de procedimiento y controles del cliente.

7.1.2. Área de actividad profesional mucho más extensa.

7.1.3. El más elemental logro de Auditoría continúa.

7.1.4. Mejor uso del principio de excepción.

7.2. Problemas

7.2.1. Costos

El uso de datos de pruebas y programas de auditoría tienen que justificarse en base a la reducción del tiempo en comparación la auditoría manual así como la obtención con una auditoría más cualitativa. Deberán analizar: costo de elaboración de datos de prueba y programa, costo de operación frente al valor de los beneficios obtenidos.

7.2.2. Requerimientos técnicos

La nueva tecnología que se necesita para valorar un sistema de información soportado por computadora y elaborar un programa de auditoría requiere de una planeación detallada, lógica y explícita en las etapas de procesamiento.

7.2.3. Necesidad de Planeación anticipada

El auditor debe estar consciente de la gran cantidad de tiempo que requiere inicialmente para efectuar una auditoría en una instalación de computadora, lo cual debe saber el cliente antes de efectuar el trabajo, asimismo deberá informarle al cliente el tiempo que requiere para evaluar el sistema y desarrollar los programas de auditoría.

7.2.4. Conversión

Por efecto de alguna conversión en el transcurso de su tiempo de auditoría este puede enfrentarse a:

Falta de documentación significativa
Sobrecarga de trabajo de los programadores que dificultan su acceso a ellos.
Cambios frecuentes de programas que entorpecen la evaluación y revisión del sistema.

7.3. Conclusiones

a. Las técnicas de auditoría se ven afectadas significativamente por el papel que cumple la computadora dentro de los sistemas de

información en la empresa.

Lima, Mayo del 2008.

Autor:

Econ. Ricarte E. Francia Gonzaga