Caso De Estudio p1yl

Universidad Tecnológica de Panamá Facultad de ingeniería de sistemas computacionales Departamento de arquitectura y redes de computadoras Arquitectura de protocolos Jesús Contreras 8-887-960 Yessibel Tejada 8-859-2075 11R132

Auditoria en redes Caso de estudio Se ha pedido al auditor de SI que realice un trabajo preliminar que evaluará el grado de preparación de la organización para que una revisión mida el cumplimiento de los nuevos requerimientos regulatorios. Estos requerimientos están diseñados para asegurar que la gerencia esté asumiendo un papel activo en establecer y mantener un ambiente bien controlado y, en consecuencia, evaluará la revisión de la gerencia y las pruebas del ambiente general de control de TI. Las áreas a ser evaluadas incluyen seguridad lógica y física, gestión de cambios, control de producción y gestión de redes, gobierno de TI, y computación de final. Al auditor de SI se le han dado seis meses para realizar este trabajo preliminar, de modo que debe haber disponible suficiente tiempo. Se debe señalar que en años anteriores, se han identificado reiterados problemas en las áreas de seguridad lógica y gestión de cambios, de modo que estas áreas muy probablemente requerirán algún grado de rectificación. Las deficiencias de gestión de cambios incluyeron indebida segregación de funciones incompatibles y no documentar todos los cambios. Adicionalmente, el proceso para desplegar las actualizaciones del sistema operativo a los servidores se encontró que era sólo parcialmente efectivo. En anticipación del trabajo a ser realizado por el auditor de SI, el director de información (CIO) solicitó reportes directos para desarrollar narrativas y flujos de proceso que describieran las principales actividades de las que TI es responsable. Estos se llevaron a cabo, fueron aprobados por los diferentes dueños de proceso y por el CIO, y fueron luego enviados al auditor de SI para examen. Preguntas de caso de estudio A A1. ¿Qué debería hacer primero el auditor de SI?

A. Efectuar una evaluación del riesgo de TI. B. Realizar una auditoría de inspección de los controles de lógico. C. Revisar el plan de auditoría para concentrarse en la auditoría basada en el riesgo. D. Aprobar los controles que el auditor de SI estima que son los más críticos. R= Debería efectuar una evaluación para saber qué áreas son las más vulnerables en cuanto a la seguridad para así comenzar desde estas áreas que pueden presentar gran riesgo para la organización. A2. Cuando se prueba la gestión de cambios de programas, ¿Cómo se debe seleccionar la muestra? A. Los documentos de gestión de cambios deben ser seleccionados al azar y examinados para verificar si son apropiados. B. Se deben sacar muestras de los cambios al código de producción y éstos deben ser rastreados hasta la documentación apropiada que los autorizó. C. Los documentos de gestión de cambios deben ser seleccionados en base a la criticidad del sistema y deben ser examinados para verificar si son apropiados. D. A los cambios al código de producción se les debe sacar una muestra y se les debe rastrear hasta los registros (logs) producidos por el sistema que indiquen la fecha y la hora del cambio. R= Esto es debido a que debemos comenzar primero por las áreas de mayor riesgo para la organización puesto que en estos lugares es que presenta mayores amenazas y son las que deben ser tratadas con mayor prioridad. Caso de Estudio B Un auditor de SI está planeando revisar la seguridad de una aplicación financiera para una gran compañía con varias localidades en todo el mundo. El sistema aplicativo está constituido por una interfaz web, una capa lógica de negocio y una capa de base de datos. La aplicación es accedida localmente a través de una LAN y remotamente a través de la Internet mediante una conexión VPN. Preguntas del caso de estudio B B1. La herramienta CAAT MÁS apropiada que el auditor debe usar para probar los parámetros de configuración de seguridad para todo sistema de aplicación es: A. software generalizado de auditoría

B. datos de prueba C. Software utilitario D. sistemas expertos R= Cuando el auditor prueba la seguridad de todo el sistema de una organización sus redes, su base de datos entre otras cosas perteneciente a la empresa el auditor utilizara un software de utilidad que lo ayuda a observar la configuración del sistema.

B2. Dado que la aplicación es accedida a través de la Internet, ¿cómo debe el auditor determinar si se debe realizar un examen detallado de los ajustes de configuración de las reglas del firewall y de la red privada virtual (VPN)? A. Análisis documentado del riesgo B. Disponibilidad de experiencia y conocimientos técnicos C. Método usado en auditorias previas D. Directrices y mejores prácticas de auditoría de SI R= El auditor en este caso debe hacer un análisis del riesgo e ir documentando todo esto para determinar secciones con mayor riesgo dentro de la organización. B3. Durante la revisión, si el auditor detecta que el objetivo de control de autorización de transacciones no puede cumplirse debido a una ausencia de roles y privilegios claramente definidos en la aplicación, el auditor debe PRIMERO: A. Revisar la autorización en una muestra de transacciones B. Reportar inmediatamente este hallazgo a la gerencia superior C. Solicitar que la gerencia del auditado revise si los derechos de para todos los s son apropiados D. Usar un software generalizado de auditoría para verificar la integridad de la base de datos R= El auditor debe primero revisar la autorización en una muestra de transacciones para determinar y poder informar el impacto y la materialidad de este problema

Caso de Estudio C Preguntas de caso de estudio C

C1. La PRIMERA prioridad del auditor de SI en el Año 1 debe ser estudiar: A. Los informes de auditorías de SI anteriores y planificar el cronograma de auditoría. B. Auditar el estatuto y planificar el cronograma de auditoría. C. El impacto del nuevo colaborador como CISO. D. El impacto de la implementación del nuevo ERP en el ambiente de TI y planificar el cronograma de auditoría. R= El auditor debe estudiar el impacto de ERP y hacer la planificación en la organización para los momentos que serán auditadas.

C2. ¿Cómo debe el auditor de SI evaluar el respaldo y el procesamiento de lotes dentro de las operaciones de computadora? A. Planificar y llevar a cabo una revisión independiente de las operaciones de computadora B. Basarse en el informe del auditor de servicio del proveedor de servicio. C. Estudiar el contrato entre la entidad y el proveedor de servicio. D. Comparar el informe de entrega del servicio con el contrato de nivel de servicio. R= En este caso el auditor debe comparar el informe de entrega de servicio con el desempeño real que en este momento tiene el proveedor de servicio para así poder observar si está cumpliendo con el contrato actual.