ISACA - Auditoria de Seguridad Informatica



7. Metodología ISACA Aplicada a la Auditoría

7.1 Objetivo de control 1A: Verificar el acceso a datos críticos para la organización y a servidores en producción.

C-A1-1: Solo personalautorizado puede tener acceso (lógico) a datos críticos para la organización.

Deben existir cuentas de usuario distintas para cada usuario que tenga acceso a los datos.
Personal no autorizado debepedir acceso al encargado de sistemas previa justificación de su solicitud de acceso.
Debe existir un sistema de registro de accesos que indique claramente quien accedió a los datos, cuando y a queinformación tuvo acceso.
C-A1-2: Solo personal autorizado puede tener acceso físico a la sala de servidores.

La puerta de la sala de racks y servidores debe contar con un sistema de acceso portarjeta magnética. Estas tarjeras solamente serán entregadas al personal de informática que esté autorizado a ingresar a la sala de servidores.
Personal no autorizado debe pedir acceso al encargado desistemas previa justificación de su solicitud de acceso e ingresar, en caso de que se autorice, siempre con un funcionario que cuente con tarjeta magnética que permita su entrada a la sala deservidores.
Debe existir un sistema de registro de accesos que indique claramente quien y cuando accedió a la sala de servidores.

C-A1-2: Acceso remoto a los servidores solo para personal autorizado.Cada usuario que esté autorizado a acceder remotamente a los servidores debe tener una cuanta personal y secreta.
Las claves de acceso de los usuarios deben ser actualizadas automáticamente el díaprimero de cada mes.
Debe existir un sistema de registro de accesos que indique claramente quien y cuando accedió a los servidores.



7.2 Objetivo de control 2A: Listas de acceso en switchsinternos.

C-2A-1: Accesos definidos entre una zona de la red y otra.

Debe estar claramente definido que subredes deberán tener comunicación con otras, sobre todo si se trata de la red de...