Auditoria De Seguridad Informatica

AUDITORIA DE SEGURIDAD La auditoria nace como un órgano de control de algunas instituciones estatales y privadas. Su función inicial es estrictamente económico financiera y buscaba optimizar los recursos de todo el componente informático de la organización, pero con los nuevos desarrollos tecnológicos se ha ido especializando y profundizando. La función auditora debe ser absolutamenteindependiente; no tiene carácter ejecutivo, ni son vinculantes sus conclusiones. Queda a cargo de la empresa tomar las decisiones pertinentes. La auditoria contiene elementos de análisis, de verificación y de exposición de debilidades y disfunciones. Aunque pueden aparecer sugerencias y planes de acción para eliminar las disfunciones y debilidades antedichas; estas sugerencias plasmadas en el Informe finalreciben el nombre de recomendaciones. Es muy importante aclarar el concepto de Auditoria de seguridad informática puesto que se puede llegar a confundir con la clásica auditoria de sistemas y aunque son dos conceptos similares en primera instancia, los objetivos y enfoque de cada uno son diferentes. Estas auditorías consisten en analizar el nivel de seguridad de nuestro sistema informáticoutilizando todo tipo de herramientas y técnicas para averiguar cuáles son los problemas a los que nos podemos enfrentar, presentarlos en un informe y proponer las medidas que sería necesario aplicar para solucionarlos. La seguridad informática es un área muy amplia y compleja, que en ocasiones hace necesario recurrir a expertos externos que se encarguen de la tarea. AUDITORIA INFORMATICA La AuditoríaInformática es el conjunto de técnicas que permiten detectar deficiencias en las Organizaciones de informática y en los sistemas que se desarrollan u operan en ellas, incluyendo los servicios externos de computación, que permitan efectuar acciones preventivas y correctivas para eliminar las fallas y carencias que se detecten. Se verifica la existencia y aplicación de todas las normas y procedimientosrequeridos para minimizar las posibles causas de riesgos tanto en las instalaciones y equipos, como en los programas computacionales y los datos, en todo el ámbito del Sistema: usuarios, instalaciones, equipos. La auditoria de seguridad informática analiza los procesos relacionados únicamente con la seguridad, ésta puede ser física, lógica y locativa pero siempre orientada a la protección de lainformación. Es este el punto de mayor diferencia, la seguridad informática se preocupa por la integridad y disponibilidad de la información mientras la auditoria de sistemas incluye otras características más administrativas.

Consideraciones de la Auditoria Para un proceso de auditoría de seguridad informática es muy importante ser ordenado y meticuloso y para esto es necesario adoptar unametodología. Existen muchas metodologías, por ejemplo OCTAVE, desarrollada por el instituto Carnegie Mellon, Software Engineering Institute, pero en el entorno local se hace necesario adoptar una metodología estable, bien difundida y libre, es por esto que una buena opción es la utilización de la OSSTMM v2.1. o Manual de la metodología abierta de testeo de seguridad publicado por ISECOM (Institute forsegurity and open methodology). Que se considera es amplio y muy acertado para la realidad nacional. Algunos conceptos importantes para ISECOM considerar un test de seguridad informática como un verdadero test son los siguientes:  Cuantificable: Es muy importante no dar conceptos finales de seguridad abstractos o poco precisos, por ejemplo, “más o menos bien”. Los resultados deben sercuantificables.  Consistente y que se pueda repetir: Los test de seguridad no deben surgir de la suerte sino de procesos planeados y bien definidos.  Valido en el tiempo: Un test de seguridad se debe poder repetir periódicamente sin que esto implique modificaciones considerables.  No basado en marcas comerciales: La seguridad informática debe ser objetiva y para esto es necesario realizar pruebas que no...