Auditoria de gestión de centros de cómputo

Auditoría de la Gestión de Centros de Cómputo

Mario Hernán Cornejo Pérez
Licenciado en Contaduría Pública
Catedrático de la Universidad de El Salvador

U
no de los tipos de Auditoría Informática es la Auditoría de la Gestión de Centros de Cómputo, la cual consiste en evaluar los controles existentes en los Centros de Cómputo de empresas que cuentan con sistemas de informacióncomputarizados y bases de datos centralizadas, donde se procesa y almacena la información administrativa y financiera de las actividades a las que estas se dedican como parte de su giro ordinario en el quehacer empresarial.

Los controles a evaluar son los relativos a la seguridad de las instalaciones donde están localizados los servidores centrales de la entidad, la del software y la información que esteprocesa y almacena, así como la del propio equipo de cómputo y los suministros inherentes a su funcionamiento, tales como instalaciones eléctricas, aires acondicionados y redes.

La importancia de esta auditoría radica en el alto nivel de dependencia que las empresas tienen de informática, dado que muchos de sus procesos están automatizados en sistemas de información instalados en ordenadores degran capacidad pero muy vulnerables a fallas y a ilícitos.

Previo al abordaje detallado de cómo proceder a realizar esta auditoría y de definir que componentes se deben incluir, presento en la siguiente imagen un mapa mental que resume en una sola vista el alcance a considerar por parte del Auditor Informático, cuando audite la gestión de centros de cómputo.

[pic]

La imagen muestra 7componentes a auditar, los cuales se explican como sigue:

1. Especificaciones Técnicas
Se deben investigar y evaluar las especificaciones técnicas de los servidores de las aplicaciones informáticas y de las computadoras usuarias de tales aplicaciones, que se encuentran ubicadas físicamente en el centro de cómputo y determinar si sus capacidades son suficientes para soportar el software instaladode tal forma que los tiempos de respuesta en que son atendidos los requerimientos sean los esperados, tal como se planeó previo a su implementación.

Para ello, se debe realizar una inspección física/lógica en cada uno de los equipos considerando los siguientes elementos:
← Marca y modelo
← Memoria RAM
← Disco duro
← Procesador (Marca y capacidad)
← Dispositivos de almacenamientosecundario
← Tarjetas de red (Tipos)
← Características del monitor
← Otros periféricos
← Sistema operativo
← Lenguajes de programación
← Base de datos
← Sistemas de información

Asimismo, se debe evaluar si la documentación técnica está:
← Completa para cada uno de los servidores
← A cargo de un responsable para su custodia
← Ubicada en un lugar específico
←Identificada adecuadamente

2. Seguridad
Se deben evaluar los controles lógicos y físicos implementados en el centro de cómputo y determinar si son suficientes para prevenir accesos no autorizados a la información procesada en los sistemas de información y de reducir el riesgo de transferencia, modificación, pérdida o divulgación accidental o intencional de la misma.

En la seguridad lógica seevalúan 3 elementos: Sistema Operativo, Auditoría y Software Antivirus, como se detalla:

Sistema Operativo
← Nombre y versión del sistema operativo
← Cantidad de usuarios autorizados
← Responsable de la administración y autorización de usuarios
← Esquema de grupos y usuarios
← Características de password
← Políticas de identificación de usuarios
← Chequeo de información deusuarios

Auditoría
← Activación de registros de auditoría

Software Antivirus
← Antivirus instalado (Individual o en red)
← Fecha de última actualización
← Forma de actualizarlo
← Responsable de la autorización

En la seguridad física se debe hacer un recorrido por el centro de cómputo y evaluar:
← La distancia geográfica del centro de cómputo respecto de lugares públicos...