Seguridad y Auditoria de sistemas de informacion

Anotações:

• Proceso de control del ambiente informático. Gestiona los recursos de un modo responsable.

1. Seguridad
   1. Niveles de seguridad

      Anotações:

      • Existen 3 puntos de vista o niveles en seguridad: 1.Seguridad desde el punto de vista organizacional o tecnico: Son las herramientas, técnicas y la tecnología necesaria para garantizar un nivel de seguridad requerido. 2.Seguridad desde el punto de vista social o etico: Se refieren a las politicas de seguridad. 3.Seguridad desde el punto de vista jurídico o legal: Que se cumplan con los requisitos legales.
   2. Aspectos importantes

      Anotações:

      • La gestión de la seguridad debe tener en cuenta tres aspectos: 1. Integridad: que la información en los sistemas es consistente con la realidad. 2. Disponibilidad: Acceder a los recursos o información de un sistema cuando se requiera. 3. Confidencialidad: Preservar la información, y solo permitir que accedan los que deben hacerlo.
   3. Perdida de seguridad

      Anotações:

      • La perdida de seguridad es "la falla de los elementos de un sistema de información computarizado que impide realizar las funciones o brindar los servicios para los cuales estaba destinado"
   4. Metodología generica

      Anotações:

      • El principal objetivo cuando se selecciona controles y contra medidas y, por lo tanto, cuando se definen políticas de seguridad, es crear una situación equilibrada entre los costos del riesgo y los costos de control.
      1. 1. Identificación de riesgos

         Anotações:

         • Un riesgo es la probabilidad de que una amenaza explote una vulnerabilidad del sistema  provocando un fallo en la seguridad.
         1. Fuentes de amenazas potenciales

            Anotações:

            • Las amenazas pueden clasificarse en:  - Logicas o fisicas - Accidentales o deliberadas - Pasiva o activas
         2. Activos que son vulnerables a la perdida
         3. Ubicación de esos riesgos
         4. Establecer las vulnerabilidades
      2. 2. Análisis de riesgo

         Anotações:

         • Esta etapa consiste en analizar la frecuencia y el impacto producido por una amenaza. Esto permite establecer un limite de gastos en reducir cada amenaza para que no supere el costo de la misma.
         1. Tipos de perdidas

            Anotações:

            • Los tipos de perdida pueden ser: -Hardware -Datos e informacion -Software -Capacidad de procesamiento -Personal -Fondos de la compania -De disponibilidad -Falla en la integración/ precisión -Confidencialidad
         2. Impacto del reisgo
         3. Matriz de gravedad de amenaza
      3. 3. Manejo del riesgo

         Anotações:

         • Consiste en la aplicación de controles y contra medidas apropiadas para el riesgo, de acuerdo con el tiempo, el dinero y otros limites.
         1. Estrategias genericas (Contramedidas)

            Anotações:

            • El propósito es identificar el mejor método de manejo de riesgo, donde mejor significa buscar la forma mas efectiva en cuanto al costo.
            1. Prevenir el riesgo

               Anotações:

               • Busca evitar la amenaza en lo que pueda evitarse.
            2. Asumir el riesgo

               Anotações:

               • se recurre a ella cuando los riesgos son de bajo costo y tener alguna otra estrategia para evitarlos o reducirlo es incomoda para la organización.
            3. Reducir el riesgo

               Anotações:

               • Esta es un compromiso conveniente, y consiste en la introducción de controles y contra medidas para reducir la probabilidad de ocurrencia y/o para reducir las perdidas resultantes de una falla de seguridad.
            4. Transferir el riesgo

               Anotações:

               • Consiste en transferir los costos resultantes de una falla en la seguridad a un tercero, que en general implica pólizas de seguros o contratos de mantenimiento. Esta se utiliza con aquellos riesgos que tiene un costo alto, y una probabilidad de ocurrencia baja.
         2. Seguridad en capas

            Anotações:

            • Los controles y contra medidas no son un único conjunto homogéneo. Para dar como resultado una buena seguridad, las diversas amenazas deben ser combatidas por capas de controles dirigidos a diferentes aspectos del uso y magnament de los IS.
      4. 4. Recuperación ante desastres

         Anotações:

         • La prevención total del riesgo es poco practica o imposible, por lo tanto las empresas deben planificar como enfrentarse a las inevitable rupturas de seguridad. Esto es lo que se denomina plan de contingencia, e incluye planes para métodos de trabajo que permitan que la empresa sobreviva al desastre y para los procesos de recuperación a largo plazo.
         1. Etapas

            Anotações:

            • Deben tenerse en cuenta 3 aspectos durante la plan de recuperación: -Tiempo de inhabilitación: Cantidad de tiempo antes de que las operaciones vuelvan a funcionar parcial o completamente -Respaldo: Mantener el funcionamiento de la empresa a través de los sistemas claves hasta volver a la normalidad. Reinstalación: sistemas de actualización con todos los datos generados durante el tiempo de inhabilitación.
            1. Corto plazo

               Anotações:

               • La primera etapa consiste en incrementar la seguridad, minimizar los daños y facilitar el regreso al trabajo lo antes posible.
            2. Largo plazo

               Anotações:

               • la segunda etapa consiste en minimizar los efectos secundarios del desastre. 
         2. Tipos de sistemas
   5. Políticas de seguridad

      Anotações:

      • Conjunto de requisitos definidos por los responsables directos e indirectos de un sistema que indica en términos generales que esta y que no esta permitido en el área de seguridad. 
      1. Ciclo de vida
      2. Tipos de políticas

         Anotações:

         • -Permisivas: Solo prohíben lo que expresamente especificado, todo lo demás esta permitido. -Prohibitivas: Lo que no esta expresamente permitido esta prohibido.
2. Auditoria informatica

   Anotações:

   • La auditoria informatica es el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informatizado salvaguarda los activos, mantiene la integridad de los datos, lleva a cabo los eficazmente los fines de la organización y utiliza eficiente mente los recursos. -Opinión de nivel profesional -Sustentada en procedimientos (normas) -Maneja una determinada información -Obtenida en cierto soporte -Con la finalidad de determinar si representa adecuadamente la realidad o es fiable.
   1. Etapas de auditoria
      1. 1. Identificar los Objetivos y el Alcance de la AI
      2. 2. Realizar el estudio inicial del ambiente a auditar
      3. 3. Determinar los recursos necesarios para auditar
      4. 4. Elaborar el plan de trabajo
      5. 5. Realizar las actividades de auditoria
      6. 6. Realizar el informe final
      7. 7. Carta de presentación y manifestaciones
   2. Áreas de AI

      Anotações:

      • 1. La auditoria fisica 2. Auditoria de la Ofimatica 3. Auditoria de la direccion 4. Auditoria de la explotacion 5. Auditoria del desarrollo 6. Auditoria del matenimiento 7. Auditoria de base de datos 8. La auditoria de tecnicas de sistemas 9. Auditoria de la calidad 10. Auditoria de la seguridad 11. Auditoria de redes 12. Auditoria de aplicaciones https://prezi.com/pjhwxeufthwd/principales-areas-de-la-auditoria-informatica/
   3. Riesgos del auditor

      Anotações:

      • -Inerente: asociado propiamente a la naturaleza de la actividad auditora. -De control: errores que no se pueden detectar por el control interno. -De detección: realiza pruebas exitosas a partir de pruebas erróneas.
   4. Tipos de auditorias

      Anotações:

      • Interna: No depende del departamento que se va a auditar, normalmente depende del gerente general. Funciona como asesora. Externa: Los auditores no pertenecen a la organización, el resultado tiene un impacto publico.
   5. Tecnicas

      Anotações:

      • El trabajo del auditor consiste en lograr toda la información necesaria para la emisión de un juicio global objetivo, siempre amparado en hechos demostrables, llamados también evidencias. -Cuestionarios-Entrevistas-Productos software-Peritaje
   6. Fuentes de evidencia
3. Control interno informatico

   Anotações:

   • Controla diariamente que toda actividades de los SI/TI sean realizadas cumpliendo con los estándares, normas y procedimientos fijados por la dirección de la org. para asegurar que estas sean correctas y validas.
   1. Tipos de control interno

      Anotações:

      • 1. Control de Prevencion 2. Control de Deteccion 3. Control de Recuperacion
4. Control interno vs Auditoria interna

   Anotações:

   • http://aabbccddee.galeon.com/winpy.htm