La auditoría de los sistemas de información proporciona datos relevantes y precisos sobre cómo funciona la IP. En base a los datos obtenidos, es posible planificar actividades para mejorar la eficiencia de la empresa. La práctica de realizar una auditoría de un sistema de información consiste en comparar el estándar, la situación real. Estudian las normas, estándares, regulaciones y prácticas aplicables en otras empresas. Al realizar una auditoría, un emprendedor tiene una idea de cómo su compañía difiere de una compañía exitosa normal en un área similar.
Vista general
La tecnología de la información en el mundo moderno está extremadamente desarrollada. Es difícil imaginar una empresa que no tenga sistemas de información en servicio:
- global;
- local.
Es a través de IP que una empresa puede funcionar normalmente y mantenerse al día. Dichas metodologías son necesarias para un intercambio rápido y completo de información con el entorno, lo que permite a la empresa adaptarse a los cambios en la infraestructura y los requisitos del mercado. Los sistemas de información deben satisfacer una serie de requisitos que cambian con el tiempo (nuevos desarrollos, se introducen estándares, se aplican algoritmos actualizados). En cualquier caso, la tecnología de la información le permite hacer que el acceso a los recursos sea rápido, y este problema se resuelve a través de IP. Además, los sistemas modernos:
- escalable
- flexible
- confiable
- seguro
Las tareas principales de la auditoría de los sistemas de información son identificar si la IP implementada cumple con los parámetros especificados.
Auditoría: tipos
Muy a menudo se usa la llamada auditoría de procesos del sistema de información. Ejemplo: expertos externos analizan los sistemas implementados para detectar diferencias con respecto a los estándares, incluido el estudio del proceso de producción, cuyo resultado es el software.
Se puede realizar una auditoría con el objetivo de identificar qué tan correctamente se utiliza el sistema de información en el trabajo. La práctica de la empresa se compara con los estándares del fabricante y ejemplos conocidos de corporaciones internacionales.
Una auditoría del sistema de seguridad de la información de una empresa afecta la estructura organizacional. El propósito de tal evento es encontrar puntos débiles en el personal del departamento de TI e identificar problemas, así como formular recomendaciones para su solución.
Finalmente, la auditoría del sistema de seguridad de la información está dirigida al control de calidad. Luego, los expertos invitados evalúan el estado de los procesos dentro de la empresa, prueban el sistema de información implementado y extraen algunas conclusiones sobre la información recibida. Por lo general, se utiliza el modelo TMMI.
Objetivos de la auditoría
Una auditoría estratégica del estado de los sistemas de información le permite identificar debilidades en la IP implementada e identificar dónde el uso de la tecnología ha sido ineficaz. A la salida de dicho proceso, el cliente tendrá recomendaciones para eliminar las deficiencias.
Una auditoría le permite evaluar qué tan costoso será realizar cambios en la estructura actual y cuánto tiempo llevará. Los especialistas que estudian la estructura de información actual de la empresa lo ayudarán a elegir las herramientas para implementar el programa de mejora, teniendo en cuenta las características de la empresa. Según los resultados, también puede proporcionar una evaluación precisa de la cantidad de recursos que necesita la empresa.Serán analizados intelectuales, monetarios, de producción.
Eventos
La auditoría interna de los sistemas de información incluye la implementación de actividades tales como:
- Inventario de TI;
- identificación de la carga en estructuras de información;
- evaluación de estadísticas, datos obtenidos durante el inventario;
- determinar si los requisitos del negocio y las capacidades de la IP implementada son consistentes;
- generación de informes;
- desarrollo de recomendaciones;
- formalización del fondo NSI.
Resultado de la auditoria
Una auditoría estratégica del estado de los sistemas de información es un procedimiento que: le permite identificar las razones de la falta de efectividad del sistema de información implementado; predecir el comportamiento de IP al ajustar los flujos de información (número de usuarios, volumen de datos); proporcionar soluciones informadas que ayuden a aumentar la productividad (adquisición de equipos, mejora del sistema implementado, reemplazo); Dar recomendaciones destinadas a mejorar la productividad de los departamentos de la empresa, optimizando las inversiones en tecnología. Y también para desarrollar medidas que mejoren el nivel de calidad del servicio de los sistemas de información.
Esto es importante!
No existe una IP universal que se adapte a cualquier empresa. Existen dos bases comunes sobre las cuales puede crear un sistema único para los requisitos de una empresa en particular:
- 1C.
- Oráculo
Pero recuerde que esto es solo la base, no más. Todas las mejoras para hacer que un negocio sea efectivo, necesita programar, teniendo en cuenta las características de una empresa en particular. Seguramente tendrá que ingresar las funciones que faltaban anteriormente y deshabilitar las que proporciona el ensamblado básico. La tecnología moderna para auditar los sistemas de información bancaria ayuda a comprender exactamente qué características debe tener una IP y qué debe excluirse para que el sistema corporativo sea óptimo, eficiente, pero no demasiado "pesado".
Auditoría de seguridad de la información
Un análisis para identificar amenazas a la seguridad de la información puede ser de dos tipos:
- externo;
- interno.
El primero implica un procedimiento de una sola vez. Organizado por su responsable de la empresa. Se recomienda practicar regularmente esta medida para mantener la situación bajo control. Varias sociedades anónimas y organizaciones financieras han introducido un requisito para que se implemente una auditoría externa de la seguridad de TI.
Interno: se trata de actividades realizadas regularmente reguladas por la ley reguladora local "Reglamento sobre auditoría interna". Se forma un plan anual para la reunión (es preparado por el departamento responsable de la auditoría), dice el CEO, otro gerente. Auditoría de TI: varias categorías de eventos, la auditoría de seguridad no es la última en importancia.
Objetivos
El objetivo principal de la auditoría de los sistemas de información en términos de seguridad es identificar los riesgos relacionados con la IP asociados con las amenazas de seguridad. Además, los eventos ayudan a identificar:
- debilidades del sistema actual;
- cumplimiento del sistema con los estándares de seguridad de la información;
- nivel de seguridad en el momento actual.
Al realizar una auditoría de seguridad, se formularán recomendaciones que mejorarán las soluciones actuales e introducirán nuevas, haciendo así que la IP actual sea más segura y protegida de diversas amenazas.
Si se realiza una auditoría interna para identificar amenazas a la seguridad de la información, se considera adicionalmente:
- política de seguridad, la capacidad de desarrollar documentos nuevos y otros que protejan los datos y simplifiquen su aplicación en el proceso de producción de la corporación;
- la formación de tareas de seguridad para empleados del departamento de TI;
- análisis de situaciones que involucran violaciones;
- capacitar a los usuarios del sistema corporativo, personal de mantenimiento en aspectos generales de seguridad.
Auditoría interna: características
Las tareas enumeradas que se establecen para los empleados al realizar una auditoría interna de los sistemas de información, en esencia, no son auditorías. Teóricamente, la realización de eventos solo cuando un experto evalúa los mecanismos por los cuales el sistema es seguro. La persona involucrada en la tarea se convierte en un participante activo en el proceso y pierde independencia, ya no puede evaluar objetivamente la situación y controlarla.
Por otro lado, en la práctica, en una auditoría interna, es casi imposible mantenerse alejado. El hecho es que para llevar a cabo el trabajo, un especialista de la empresa está involucrado, en otras ocasiones, se dedica a otras tareas en un campo similar. Esto significa que el auditor es el mismo empleado que tiene la competencia para resolver las tareas mencionadas anteriormente. Por lo tanto, debe comprometerse: en detrimento de la objetividad, involucre al empleado en la práctica para obtener un resultado digno.
Auditoría de seguridad: pasos
Estos son en muchos aspectos similares a los pasos de una auditoría general de TI. Asignar:
- inicio de eventos;
- recolectar una base para el análisis;
- análisis
- formación de conclusiones;
- informes
Iniciando un procedimiento
Una auditoría de los sistemas de información en términos de seguridad comienza cuando el jefe de la empresa da el visto bueno, ya que los jefes son las personas que están más interesadas en la verificación efectiva de la empresa. Una auditoría no es posible si la gerencia no apoya el procedimiento.
La auditoría de los sistemas de información suele ser compleja. Involucra al auditor y a varias personas que representan diferentes departamentos de la compañía. La colaboración de todos los participantes en la auditoría es importante. Al iniciar una auditoría, es importante prestar atención a los siguientes puntos:
- documentar deberes, derechos del auditor;
- preparación, aprobación del plan de auditoría;
- documentar el hecho de que los empleados están obligados a proporcionar toda la asistencia posible al auditor y proporcionar todos los datos solicitados por él.
Ya en el momento del inicio de la auditoría, es importante establecer en qué medida se auditan los sistemas de información. Si bien algunos subsistemas de IP son críticos y requieren atención especial, otros no lo son y no son muy importantes, por lo tanto, se permite su exclusión. Seguramente habrá tales subsistemas, cuya verificación será imposible, ya que toda la información almacenada allí es confidencial.
Plan y fronteras
Antes de comenzar a trabajar, se forma una lista de recursos que se supone que deben verificarse. Puede ser:
- informativo;
- software
- técnico
Identifican en qué sitios se realiza la auditoría, en qué amenazas se verifica el sistema. Existen límites organizacionales del evento, aspectos de seguridad que son obligatorios para su consideración durante la auditoría. Se forma una calificación de prioridad que indica el alcance de la auditoría. Tales límites, así como el plan de acción, son aprobados por el Director General, pero son presentados preliminarmente por el tema de la reunión general de trabajo, donde los jefes de departamento, un auditor y los gerentes de la compañía están presentes.
Recuperación de datos
Al realizar una auditoría de seguridad, los estándares para auditar sistemas de información son tales que la etapa de recopilación de información es la más larga y laboriosa. Como regla general, IP no tiene documentación para ello, y el auditor se ve obligado a trabajar en estrecha colaboración con numerosos colegas.
Para que las conclusiones hechas sean competentes, el auditor debe recibir un máximo de datos. El auditor aprende cómo se organiza el sistema de información, cómo funciona y en qué condición se encuentra a partir de la documentación organizativa, administrativa y técnica, en el curso de una investigación independiente y la aplicación de software especializado.
Documentos requeridos en el trabajo del auditor:
- estructura organizativa de los departamentos que atienden la propiedad intelectual;
- Estructura organizativa de todos los usuarios.
El auditor entrevista a los empleados, identificando:
- Proveedor
- propietario de los datos;
- Datos del usuario.
Para hacer esto, necesita saber:
- principales tipos de aplicaciones de IP;
- número, tipos de usuarios;
- Servicios prestados a los usuarios.
Si la compañía tiene documentos sobre IP de la lista a continuación, es necesario proporcionarlos al auditor:
- descripción de metodologías técnicas;
- Descripción de métodos para automatizar funciones;
- diagramas funcionales;
- trabajo, documentos del proyecto.
Identificación de la estructura de PI
Para obtener conclusiones correctas, el auditor debe tener la mejor comprensión de las características del sistema de información implementado en la empresa. Necesita saber cuáles son los mecanismos de seguridad, cómo se distribuyen en el sistema por niveles. Para hacer esto, descubra:
- la presencia y características de los componentes del sistema utilizado;
- funciones componentes;
- gráficos;
- entradas
- interacción con varios objetos (externos, internos) y protocolos, canales para esto;
- plataformas aplicadas al sistema.
Los beneficios traerán esquemas:
- estructural
- flujos de datos.
Estructuras:
- instalaciones técnicas;
- Software
- soporte de información;
- componentes estructurales
En la práctica, muchos de los documentos se preparan directamente durante la auditoría. La información solo puede analizarse cuando se recopila la cantidad máxima de información.
Auditoría de seguridad de IP: análisis
Existen varias técnicas utilizadas para analizar los datos obtenidos. La elección a favor de una específica se basa en las preferencias personales del auditor y los detalles de una tarea en particular.
El enfoque más complejo implica analizar los riesgos. Para el sistema de información, se forman los requisitos de seguridad. Se basan en las características de un sistema particular y su entorno, así como en las amenazas inherentes a este entorno. Los analistas coinciden en que este enfoque requiere los mayores costos laborales y la calificación máxima del auditor. La metodología para analizar la información y la aplicabilidad de las opciones seleccionadas al tipo de IP determinan qué tan bueno será el resultado.
Una opción más práctica es recurrir a estándares de seguridad para los datos. Estos son un conjunto de requisitos. Esto es adecuado para varias IP, ya que la metodología se desarrolla sobre la base de las empresas más grandes de diferentes países.
De los estándares se deducen cuáles son los requisitos de seguridad, según el nivel de protección del sistema y su afiliación a una institución en particular. Mucho depende del propósito de la IP. La tarea principal del auditor es determinar correctamente qué conjunto de requisitos de seguridad es relevante en un caso dado. Elija una técnica mediante la cual evalúen si los parámetros del sistema existentes cumplen con los estándares. La tecnología es bastante simple, confiable y, por lo tanto, generalizada. Con pequeñas inversiones, el resultado puede ser conclusiones precisas.
¡Descuidar es inaceptable!
La práctica muestra que muchos gerentes, especialmente las pequeñas empresas, así como aquellos cuyas compañías han estado operando durante mucho tiempo y no buscan dominar todas las últimas tecnologías, son bastante descuidados con la auditoría de los sistemas de información porque simplemente no se dan cuenta de la importancia de esta medida. Por lo general, solo los daños al negocio provocan que las autoridades tomen medidas para verificar, identificar riesgos y proteger a la empresa. Otros se enfrentan al hecho de que roban información del cliente, otros se escapan de las bases de datos de las contrapartes o dejan información sobre las ventajas clave de una determinada entidad. Los consumidores ya no confían en la compañía tan pronto como se hace público el caso, y la compañía sufre más daños que solo la pérdida de datos.
Si existe la posibilidad de pérdida de información, es imposible construir un negocio efectivo que tenga buenas oportunidades ahora y en el futuro. Cualquier empresa tiene datos que son valiosos para terceros, y deben protegerse. Para que la protección esté al más alto nivel, se requiere una auditoría para identificar las debilidades. Debe tener en cuenta las normas internacionales, metodologías, los últimos desarrollos.
En la auditoria:
- evaluar el nivel de protección;
- analizar tecnologías aplicadas;
- ajustar documentos de seguridad;
- simular situaciones de riesgo en las que es posible la fuga de datos;
- recomendar la implementación de soluciones para eliminar vulnerabilidades.
Realice estos eventos en una de tres formas:
- activo
- experto
- Obediente.
Formularios de auditoría
La auditoría activa implica evaluar el sistema que está mirando un hacker potencial. Es su punto de vista que los auditores "se prueban" a sí mismos: estudian la protección de la red, para lo cual utilizan software especializado y técnicas únicas. También se requiere una auditoría interna, también realizada desde el punto de vista del presunto delincuente que quiere robar datos o alterar el sistema.
Una auditoría experta verifica si el sistema implementado es ideal. Al identificar el cumplimiento de las normas, se toma como base una descripción abstracta de las normas con las que se compara el objeto existente.
Conclusión
La auditoría realizada de forma correcta y cualitativa le permite obtener los siguientes resultados:
- minimizando la probabilidad de un ataque de piratas informáticos exitoso, daño de él;
- la excepción de un ataque basado en un cambio en la arquitectura del sistema y los flujos de información;
- seguro como medio de reducir riesgos;
- minimización del riesgo a un nivel donde uno puede ser completamente ignorado.
