1.

Por su efecto

Esta clasificacin de controles, contiene los que se encargan directamente del

resguardo del activo fijo, software y hardware, de las compaas desde los
disuasivos hasta los recuperativos, los cuales cada uno tiene su importancia
como control en la seguridad fsica y lgica del recurso informtico de las
empresas.

1.2.1

disuasivos

Este tipo de control se encarga de desalentar a los perpetradores, es un control

que evita hacer una determinada accin anmala, para minimizar los daos
que puedan tener los recursos informticos, los controles disuasivos reducen la
probabilidad de un ataque deliberado, este tipo de control sirve para hacer
cambiar la manera de actuar y pensar.
Por ejemplo:
Guardias de seguridad
Cmaras de seguridad
Software de alertas de seguridad
Segregacin de Funciones
Monitores de Vigilancia
Control de Accesos. El control de acceso no slo requiere la capacidad de
identificacin, sino tambin asociarla a la apertura o cerramiento de puertas,
permitir o negar acceso basado en restricciones de tiempo, rea o sector
dentro de una empresa o institucin.

1.2.2

de evidencia

Este tipo de control se encarga de desalentar a los perpetradores, es un control

que evita hacer una determinada accin anmala, para minimizar los daos
que puedan tener los recursos informticos, los controles disuasivos reducen la
probabilidad de un ataque deliberado, este tipo de control sirve para hacer
cambiar la manera de actuar y pensar.

Identificacin de la evidencia digital

Una investigacin forense de hacking de computador es el proceso de detectar

ataques de hacking y extraer adecuadamente evidencias para reportar el
posible delito y realizar auditorias para prevenir ataques futuros. La
computacin forense es la aplicacin de tcnicas de anlisis e investigacin de
computador para determinar las evidencias digitales legales potenciales. La
computacin forense puede revelar: La forma en que el intruso entr en la red
corporativa. Muestra el camino. Revela las tcnicas de intrusin. Permite
recoger trazas y evidencias digitales. Un investigador forense no puede ni
resolver el caso por s slo ni predecir lo que sospecha, tan slo se limitar a
proporcionar hiptesis
Se pueden buscar evidencias en: Computadores del entorno, en forma de logs,
ficheros, datos del ambiente, herramientas. Firewall, en forma de logs, tanto si
es la vctima del ataque como si es un intermediario para la vctima.
Dispositivos de interconexin de red (switches, bridges, router, etc.), en forma
de logs y buffers. Computador de la vctima, en forma de logs, ficheros, datos
del ambiente, ficheros de configuracin alterados, ficheros troyanos
remanentes, ficheros que no coinciden sus hash, troyanos, virus, gusanos,
ficheros robados almacenados, restos alterados de Web, etc. Las formas de
ocultar ficheros se emplean para: Utilizar el propio sistema operativo, por
ejemplo Windows para ocultar ficheros. Hacer que el texto tenga el mismo color
del fondo de la pantalla. Cambiar la extensin del fichero, ejemplo pasar de
.doc a .xls. Borrar discos y utilizar una utilidad de recuperacin. Utilizar
estaganografa. Vaciar recycle bin.
Resguardo de la evidencia digital en la escena del incidente
La informacin que constituye evidencia debe ser desde el momento mismo de
la copia, una imagen fidedigna de la informacin original, y debe seguirlo
siendo durante toda la investigacin. La evidencia digital debe ser preservada
en su estado original. Esto implica que la informacin no debe poder ser
alterada, disminuida o aumentada de ninguna forma por ningn proceso
intencional o accidental que haga parte de la investigacin, o por ninguna de
las herramientas, de manera intencional o accidental utilizadas en ella. Cuando
estas premisas se cumplen a lo largo de una investigacin, se puede asegurar
que se ha mantenido la integridad evidencial. Existe un campo de aplicaciones
creciente y de gran inters para el rea de conocimiento de la seguridad de la
informacin denominado computer forensic, por ejemplo se utiliza para
identificar y seguir la pista de: robos/destruccin de propiedad intelectual,
actividad no autorizada, hbitos de navegacin por Internet, reconstruccin de
eventos, inferir intenciones, vender ancho de banda de una empresa, piratera
software, acoso sexual, reclamacin de despido injustificado.
La seguridad forense la utiliza un colectivo cada vez mayor, entre otros:

a) Las personas que persiguen a delincuentes y criminales. Se basa en las

evidencias obtenidas del computador y redes que el investigador utiliza como
evidencia.
b) Litigios civiles y administrativos. Los datos de negocios y personas
descubiertos en un computador se utilizan en de acoso, discriminacin,
divorcio, fraude o para mejorar la seguridad.
c) Compaas de seguros. Las evidencias digitales descubiertas en
computadores se utilizan para compensar costos (fraude, compensacin a
trabajadores, incendio, etc.).
d) Corporaciones privadas. Las evidencias obtenidas de los computadores de
los empleados pueden utilizarse como evidencia en casos de acosos, fraude y
desfalcos.
e) Policas que aplican las leyes. Se utilizan para respaldar rdenes de registro
y manipulaciones post - incautacin.
f) Ciudadanos privados / individuos. Obtienen los servicios de especialistas
profesionales forenses para soportar denuncias de acosos, abusos, despidos
improcedentes de empleo, etc. o para mejorar la seguridad.
Aunque en algunas investigaciones es posible decomisar la mquina en la que
se encuentra la evidencia, esto es difcil de realizar cuando la mquina es
irreemplazable debido a su costo, a que no hay otras mquinas disponibles
para reemplazarla, a que la mquina no puede ser apagada, a que la gravedad
del crimen no lo amerita o a que simplemente el marco legal no lo permite. En
estos casos, se debe hacer una copia fidedigna de la informacin a travs de
procedimientos que mantengan el invariante de integridad evidencial, lo cual
garantiza que la copia es idntica al original. Pero, debido a que la mquina va
a seguir funcionando, y la informacin que contiene va a cambiar, es necesario
garantizar que dicha copia, que va a ser la nica evidencia disponible de que
se cometi un delito, no ha sido alterada de ninguna manera. La principal forma
de garantizar esto es mantener la cadena de custodia de la evidencia.
Es necesario partir del supuesto de que cualquier accin que se tome durante
el proceso de la investigacin va a ser escrutado por individuos que van a
buscar desacreditar las tcnicas usadas en la investigacin, el testimonio del
investigador, y sus habilidades para hallar la evidencia [MAN2001]. Es
necesario mantener una lista detallada de las personas que han tenido
contacto con la evidencia a lo largo de la investigacin, desde su recopilacin
hasta su destruccin final, de manera que se pueda establecer en cada
momento de la investigacin quin ha manipulado la evidencia. As mismo, se
debe documentar detalladamente cualquier accin que se realice con la
evidencia, as como las personas y las herramientas involucradas. Esto permite

aseverar que si se cumple el primer invariante en el momento de la recopilacin

de la evidencia y posteriormente el original es destruido y/o modificado, an as
podemos garantizar que la copia no ha sido modificada, pues podemos
determinar a cada paso de la investigacin quin ha estado en contacto con la
evidencia, y que acciones se han realizado sobre sta.
Pauta a seguir para recolectar la evidencia de un computador encendido
Un laboratorio de informtica forense necesita tener la capacidad de recopilar
evidencia utilizando un mtodo que garantice la integridad evidencial del
original en el momento de la copia, utilizando medios de almacenamiento que
permitan garantizar la de la copia a lo largo del tiempo, y con un desempeo
razonable. Como forma de satisfacer dichos requerimientos, se proponen las
siguientes alternativas de solucin:
Dispositivo de hardware de una sola va, para realizar copias forenses de disco
a disco. Requiere abrir el computador y manipular el disco sospechoso.
Dispositivo de hardware para realizar copias forenses en cartuchos pticos,
que permite hacer copias sin necesidad de conectar directamente el disco
sospechoso al dispositivo (ejemplo a travs de un cable paralelo). No requiere
abrir el computador ni manipular el disco duro sospechoso.
PC estndar con software de generacin de imgenes forense que permita
hacer copias sin necesidad de conectar directamente el disco sospechoso a la
mquina forense (ejemplo a travs de un cable paralelo). No requiere abrir el
computador ni manipular el disco duro sospechoso.
PC con modificaciones de hardware para permitir nicamente la lectura de
discos a travs de un bus de datos para anlisis forense, al que se deber
conectar el disco duro sospechoso a ser analizado, y un bus de datos normal al
que se deber conectar el disco en el que se va a generar la imagen, y con
cualquier software de generacin de imgenes forenses. Requiere abrir le
computador y manipular el disco duro sospechoso.
Las fases del computer forensic son:
a) Adquisicin de datos de evidencias. Se trata de obtener posesin fsica o
remota del computador, todas las correspondencias de red desde el sistema y
dispositivos de almacenamiento fsico externo. Se incluye la autenticacin de
evidencias, la cadena de custodia, la documentacin y la preservacin de
evidencias.
b) Identificacin y anlisis de datos. Identificar qu datos pueden recuperarse y
recuperarlos electrnicamente ejecutando diversas herramientas de computer
forensic y suites software. Se realiza un anlisis automatizado con
herramientas. El anlisis manual se realiza con experiencia y formacin.

c) Evaluacin. Evaluar la informacin o datos recuperados para determinar si

pueden utilizarse o no y de que forma contra el sospechoso con vistas a
despedir al empleado o llevarlo a juicio.
d) Presentacin de los descubrimientos. Presentacin de evidencias
descubiertas de manera que sean entendidas por abogados y personal no
tcnico. Puede ser presentacin oral o escrita.
Autores recomiendan realizar la recopilacin de la evidencia utilizando
herramientas de software forense, usando computadores personales corrientes
para realizar la copia, no tienen problemas a la hora de usar discos duros
comunes
para
almacenar
la
copia
de
la
evidencia.
Configuracin de la estacin de trabajo forense
El Almacenamiento en lnea de ms de 40 terabytes (40,000 GB) en un arreglo
de discos RAID-5 de alta velocidad como opcin adicional, permite un
sistema que incluye una Red Ethernet Forense completa en un rack de 2 por 3
pies. A objeto de tener conexin a una red de estaciones forenses previamente
establecidas en un laboratorio, permitiendo as, que el sistema pueda brindar
todos los servicios de almacenamiento y de red necesarios. Un mdulo
integrado y retrctil que cuenta con un monitor y teclado con un switch KV,
permitiendo el acceso y monitoreo de cualquier estacin de trabajo o servidor
de archivos desde un punto central. El sistema incluye: Servidor de archives
forense, arreglo de discos duros RAID-5 con 6.0 terabyte, switch Ethernet
Gigabit, UPS integrado, FRED para rack y un switch con KVM con pantalla
LCD y teclado retrctil. La configuracin permite tener un sistema
personalizado para satisfacer casi cualquier requerimiento forense. As, puede
implementacin de forma simple un servidor Forense con un arreglo de discos
de alta capacidad, para ser utilizado como punto de almacenamiento central de
imgenes forenses. El sistema funciona como una estacin de trabajo forense.
Una configuracin tpica puede ser utilizada como punto central de adquisicin
de imgenes para todo el sistema.
Todos los mdulos de procesamiento y servidores de archivos deben ir
conectados a travs de un backbone Gigabit Ethernet. Este backbone es 10
veces ms rpido que la conexin estndar 10/100, la funcin principal de
estas instalacin permite mover imgenes forenses hacia o desde el servidor, o
procesando imgenes ya almacenados en el servidor, de esta manera el
mecanismo de transporte contar con la tecnologa de punta que le ayudara a
terminar su trabajo en tiempo record. Una configuracin de trabajo no debe ser
limitada a los dispositivos. Los switches Ethernet y los paneles patch ldeben
permiter integrar las estaciones y equipo forense existentes.

1.2.3

preventivos

Mecanismos preventivos. Como su nombre lo dice, son aquellos cuya

finalidad consiste en prevenir la ocurrencia de un ataque informtico.
Bsicamente se concentran en el monitoreo de la informacin y de los bienes,
registro de las actividades que se realizan en la organizacin y control de todos
los activos y de quienes acceden a ellos.
Los controles preventivos protegen vulnerabilidades y hacen que un ataque
fracase o reduzca su impacto
Formas de control preventivas

Educar a las personas para hacer una cultura responsable para el uso de la
Internet: Tratar de que las personas, por medio de la enseanza, realicen un
uso responsable y correcto de la Internet.

Algoritmos dedicados para hacer claves: Las claves de identificaciones de

cualquier tipo se generaran por los algoritmos dedicados; con esto, se podr
proteger ms la informacin, ya que estas claves van a hacer ms difcil de
descifrar. Las claves se cambiarn en un determinado tiempo.

Tener un registro sobre los administradores de servidores: Los responsables de

administrar un servidor de cualquier tipo quedaran registrados en una base de
datos especial, la cual contendr los historiales de sus trabajos.

Retiro de cdulas profesionales: Esto para que alguna vez que un experto en
computacin cometa un delito informtico se le retire la cdula y ya no pueda
trabajar como administrador. Esta medida puede ser lo mismo preventiva que
correctiva.

Tener un registro de las personas que acceden a Internet: Que cualquier

persona que ingrese a Internet tenga una cuenta personal, la cual va a tener el
registro de las acciones que realice en la red.

 Controles Preventivos, para tratar de evitar la produccin de errores o hechos

fraudulentos, como por ejemplo el software de seguridad que evita el acceso a
personal no autorizado.

CONTROL PREVENTIVO
Control Preventivo: su propsito es impedir eventos que afecten la
Confidencialidad, Integridad y Disponibilidad de los Activos de Informacin. Por
ejemplo:

Contraseas
Lista de control de Acceso
Cortafuegos
Encriptacin
Capacitacin de los usuarios

Software firewall: Ejercen control preventivo y detectivo sobre intrusiones no

deseadas a los sistemas.
1. Evitar problemas antes de que aparezcan.
2. Monitorear tanto las operaciones como las transacciones de entrada.
3. Tratar de predecir problemas potenciales antes de que ocurran y hacer
ajustes.
4. Prevenir la ocurrencia de un error, omisin o acto delictivo.

Ejemplos
* Emplear nicamente personal calificado
* Segregar funciones (factor disuasivo)
* Controlar el acceso a las instalaciones fsicas
* Usar documentos bien diseados (previene errores)
* Establecer
transacciones

procedimientos

convenientes

para

la

autorizaci

de

* Chequeos de validacin programados

* Uso de software para el control de acceso que permite nicamente el acceso
a archivos sensitivos a personal autorizado

1.2.4

detectivos

Mecanismos detectores. Son aquellos que tienen como objetivo detectar todo
aquello que pueda ser una amenaza para los bienes. Ejemplos de stos son
las personas y equipos de monitoreo, quienes pueden detectar cualquier
intruso u anomala en la organizacin.
Control Detectivo: est diseado para detectar intentos de penetrar las
barreras de seguridad implementadas, o el uso inapropiado de los activos de
informacin. Por ejemplo:

Auditoras
Monitoreo del uso de recursos
Revisin de registro de eventos o incidentes.
Sistemas de deteccin de intrusos(IDS)

Controles detectivos: Cuando fallan los preventivos para tratar de conocer

cuanto antes el evento. Por ejemplo, el registro de intentos de acceso no
autorizados, el registro de la actividad diaria para detectar errores u
omisiones.etc.
Controles detectivos: Cuando fallan los preventivos para tratar de conocer
cuanto antes el evento. Por ejemplo, el registro de intentos de acceso no
autorizados, el registro de la actividad diaria para detectar errores u
omisiones.etc.
Controles Detectivos; trata de descubrir a posteriori errores o fraudes que no
haya sido posible evitarlos con controles preventivos.
1. Controles que detectan un error, omisin o acto delictivo que haya ocurrido y
reporta la ocurrencia

Ejemplos
* Totales de comprobacin
* Puntos de cheque en trabajos de produccin
* Controles de eco en telecomunicaciones
* Mensajes de error sobre las etiquetas internas de las cintas
* Doble verificacin de los clculos
* El reportaje peridico de la ejecucin con variacionesReportes de las cuentas
atrasadas
* Funciones de auditora interna

Los controles detectores descubren ataques y disparan controles preventivos o

correctivos. Seguridad Fisica: Permiten el control de todo lo que sucede en la
planta segn lo captado por las cmaras estratgicamente colocadas. Los
monitores de estos circuitos deben estar ubicados en un sector de alta
seguridad. Las cmaras pueden estar a la vista (para ser utilizada como
medida disuasiva) u ocultas (para evitar que el intruso sepa que est siendo
captado por el personal de seguridad).

1.2.5

correctivos

Mecanismos correctivos. Los mecanismos correctivos se encargan de

reparar los errores cometidos o daos causados una vez que se ha cometido
un ataque, o en otras palabras, modifican el estado del sistema de modo que
vuelva a su estado original y adecuado.
Controles correctivos: Facilitan la suelta a la normalidad cuando se han
producido incidencias. Por ejemplo, la recuperacin de un fichero daado a
partir de las copias de seguridad.

Controles Correctivos; tratan de asegurar que se subsanen todos los errores

identificados mediante los controles detectivos.
Los controles correctivos reduce el efecto de un taque
1. Reducir el impacto de una amenaza
2. Remediar los problemas descubiertos por los controles detectivos
3. Identificar la causa de un problema
4. Corregir los errores que surjan de un problema
5. Modificar el (los) sistema(s) de procesamiento para reducir las futuras
ocurrencias del problema

Ejemplos
* Planificacin de contingencia
* Procedimientos de respaldo
* Procedimientos para volver a hacer una corrida

1.2.6

recuperativos

Control Recuperativo: est orientado a restaurar rpidamente los servicios y

corregir el efecto de los incidentes de seguridad, as como facilitar su
investigacin. Por ejemplo:

Respaldo de datos
Soporte 7 x 24
Planes de contingencia
Plan de continuidad del Negocio

Sistema informtico es la integracin de cuatro elementos: Hardware, software,

datos y usuarios

Leer ms: http://www.monografias.com/trabajos74/herramientas-computacionforense-control-digital/herramientas-computacion-forense-controldigital2.shtml#ixzz3z8DDJQZu

http://ingenierosti.blogspot.com/2008/08/tipos-de-control.html
http://materiadeinformatica3q.blogspot.com/2013/05/mecanismos-deseguridad-informatica.html

1. Restricciones al acceso Fsico: Esta consiste en la aplicacin de barreas y

procedimientos de control , como medidas de prevencin y contramedidas ante
amenazas a los recursos de informacin confidencial.

El Ratn U-Match Bio-Link, comprueba la huella del pulgar del usuario.

Contra una base de datos que contiene las huellas autorizadas.
Se refiere a los controles y mecanismos de seguridad dentro y alrededor del
dentro de computo as como los medios de accesos remoto al y desde el
mismo, implementados para proteger el hardware y medios de almacenamiento
de datos. Una forma de reducir las brechas de seguridad es asegurarse de que
slo las personas autorizadas pueden acceder a una determinada mquina.
Las organizaciones utilizan una gran variedad de herramientas tcnicas para
identificar a su personal autorizado. Las computadoras pueden llevar a cabo
ciertas comprobaciones de seguridad, los guardias de seguridad humanos
otras. En funcin del sistema de seguridad implementado, podr acceder a un
sistema en funcin a:

Algo que usted tenga: Una llave, una tarjeta de identificacin con una
fotografa o una tarjeta inteligente que contenga una identificacin digital
codificada almacenada en un chip de memoria.
Algo que usted conozca: una contrasea, un nmero de identificacin,
una combinacin de bloqueo o algo de su historial personal.
Algo que usted haga: Su firma o su velocidad de escritura y los
patrones de error.
Verificacin Automtica de Firmas (VAF)
En este caso lo que se considera es lo que el usuario es capaz de hacer,
aunque tambin podra encuadrarse dentro de las verificaciones
biomtricas.Mientras es posible para un falsificador producir una buena copia
visual o facsmil, es extremadamente difcil reproducir las dinmicas de una
persona: por ejemplo la firma genuina con exactitud.La VAF, usando emisiones
acsticas toma datos del proceso dinmico de firmar o de escribir.La secuencia
sonora de emisin acstica generada por el proceso de escribir constituye un
patrn que es nico en cada individuo. El patrn contiene informacin extensa
sobre la manera en que la escritura es ejecutada. El equipamiento de coleccin
de firmas es inherentemente de bajo costo y robusto. Esencialmente, consta de
un bloque de metal (o algn otro material con propiedades acsticas similares)
y una computadora barata.
Algo suyo: (Sistema Biomtrico) La Biometra es una tecnologa que realiza
mediciones en forma electrnica, guarda y compara caractersticas nicas para
la identificacin de personas., La forma de identificacin consiste en la

comparacin de caractersticas fsicas de cada persona con un patrn conocido

y almacenado en una base de datos. Los lectores biomtricos identifican a la
persona por lo que es (manos, ojos, huellas digitales y voz).
Los Beneficios de una Tecnologa Biomtrica Pueden eliminar la necesidad de
poseer una tarjeta para acceder. Aunque las reducciones de precios han
disminuido el costo inicial de las tarjetas en los ltimos aos, el verdadero
beneficio de eliminarlas consiste en la reduccin del trabajo concerniente a su
administracin.
Utilizando un dispositivo biomtrico los costos de administracin son ms
pequeos, se realiza el mantenimiento del lector, y una persona se encarga de
mantener la base de datos actualizada. Sumado a esto, las caractersticas
biomtricas de una persona son intransferibles
Huella Digital Basado en el principio de que no existen dos huellas dactilares
iguales, este sistema viene siendo utilizado desde el siglo pasado con
excelentes resultados. Cada huella digital posee pequeos arcos, ngulos,
bucles, remolinos, etc. (llamados minucias) caractersticas y la posicin relativa
de cada una de ellas es lo analizado para establecer la identificacin de una
persona. Esta aceptado que dos personas no tienen ms de ocho minucias
iguales y cada una posee ms de 30, lo que hace al mtodo sumamente
confiable.
Verificacin de Voz: La diccin de una (o ms) frase es grabada y en el
acceso se compara la vos (entonacin, diptongos, agudeza, etc.). Este sistema
es muy sensible a factores externos como el ruido, el estado de animo y
enfermedades de la persona, el envejecimiento, etc.
Verificacin de Patrones Oculares: Estos modelos pueden estar basados en
los patrones del iris o de la retina y hasta el momento son los considerados
ms efectivos (en 200 millones de personas la probabilidad de coincidencia es
casi 0).

Proyecto Interactivo para aprendizaje de mecanismos de seguridad en redes

Contraseas
Las contraseas son las herramientas ms utilizadas para restringir el acceso a
los sistemas informticos. Sin embargo, slo son efectivas si se escogen con
cuidado, la mayor parte de los usuarios de computadoras escogen contraseas
que son fciles de adivinar: El nombre de la pareja, el de un hijo o el de una
mascota, palabras relacionadas con trabajos o aficiones o caracteres
consecutivos del teclado. Un estudio descubri que las contraseas favoritas
en el Reino Unido son Fred-God, mientras que en Amrica eran, Love- sexy, .
Los hackers conocen y explotan estos clichs, por lo que un usuario precavido
no debe utilizarlos. Muchos sistemas de seguridad no permiten que los
usuarios utilicen palabras reales o nombres como contraseas, evitando as
que los hackers puedan usar diccionarios para adivinarlas. Incluso la mejor
contrasea sebe cambiarse peridicamente.

Firewalls
Quizs uno de los elementos ms publicitados a la hora de establecer
seguridad, sean estos elementos. Aunque deben ser uno de los sistemas a los
que ms se debe prestar atencin, distan mucho de ser la solucin final a los
problemas de seguridad.
Los Firewalls estn diseados para proteger una red interna contra los accesos
no autorizados. En efecto , un firewall es un Gateway con un bloqueo (la puerta
bloqueada solo se abre para los paquetes de informacin que pasan una o
varias inspecciones de seguridad), estos aparatos solo lo utilizan las grandes
corporaciones
Un gateway (puerta de enlace) es un dispositivo, con frecuencia un
ordenador,
que
permite

interconectar redes con protocolos y arquitecturas diferentes a todos los

niveles de comunicacin. Su propsito es traducir la informacin del
protocolo utilizado en una red al protocolo usado en la red de destino. Es
normalmente un equipo informtico configurado para dotar a las
mquinas de una red local (LAN) conectadas a l de un acceso hacia una
red exterior
Un Firewall es un sistema (o conjunto de ellos) ubicado entre dos redes y que
ejerce la una poltica de seguridad establecida. Es el mecanismo encargado de
proteger una red confiable de una que no lo es (por ejemplo Internet).

La auditora informtica es un proceso llevado a cabo por profesionales

especialmente capacitados para el efecto, y que consiste en recoger, agrupar y
evaluar evidencias para determinar si un sistema de informacin salvaguarda el
activo empresarial, mantiene la integridad de los datos, lleva a cabo
eficazmente los fines de la organizacin, utiliza eficientemente los recursos, y
cumple con las leyes y regulaciones establecidas. Permiten detectar de forma
sistemtica el uso de los recursos y los flujos de informacin dentro de una
organizacin y determinar qu informacin es crtica para el cumplimiento de su

misin y objetivos, identificando necesidades, duplicidades, costes, valor y

barreras, que obstaculizan flujos de informacin eficientes. En si la auditoria
informtica tiene 2 tipos las cuales son:
AUDITORIA INTERNA: es aquella que se hace desde dentro de la empresa;
sin contratar a personas ajena.
AUDITORIA EXTERNA: como su nombre lo dice es aquella en la cual la
empresa contrata a personas de afuera para que haga la auditoria en su
empresa. Auditar consiste principalmente en estudiar los mecanismos de
control que estn implantados en una empresa u organizacin, determinando si
los mismos son adecuados y cumplen unos determinados objetivos o
estrategias, estableciendo los cambios que se deberan realizar para la
consecucin de los mismos. Los mecanismos de control pueden ser directivos,
preventivos, de deteccin, correctivos o de recuperacin ante una contingencia.
Los objetivos de la auditora Informtica son:

El anlisis de la eficiencia de los Sistemas Informticos

La verificacin del cumplimiento de la Normativa en este mbito

La revisin de la eficaz gestin de los recursos informticos.

Tambin existen otros tipos de auditoria:

Auditoria operacional: se refiere a la revisin de la operacin de una

empresa y juzga la eficiencia de la misma.

Auditoria administrativa: se refiere a la organizacin y eficiencia de la

estructura del personal con la que cuenta el personal y los procesos
administrativos en que acta dicho personal.

Auditoria social: se refiere a la revisin del entorno social en que se

ubica y desarrolla una empresa, con el fin de valorar aspectos externos e
internos que interfieren que interfieran en la productividad de la misma.

Sus beneficios son:

Mejora la imagen pblica.

Confianza en los usuarios sobre la seguridad y control de los servicios
de TI.
Optimiza las relaciones internas y del clima de trabajo.

Disminuye los costos de la mala calidad (reprocesos, rechazos,

reclamos, entre otros).
Genera un balance de los riesgos en TI.
Realiza un control de la inversin en un entorno de TI, a menudo
impredecible.

La auditora informtica sirve para mejorar ciertas caractersticas en la empresa

como:
* Desempeo

Fiabilidad

Eficacia

Rentabilidad

Seguridad

Privacidad

Generalmente se puede desarrollar en alguna o combinacin de las siguientes

reas:
* Gobierno corporativo

Administracin del Ciclo de vida de los sistemas

Servicios de Entrega y Soporte

Proteccin y Seguridad

Planes de continuidad y Recuperacin de desastres

La necesidad de contar con lineamientos y herramientas estndar para el

ejercicio de la auditora informtica ha promovido la creacin y desarrollo de
mejores prcticas como COBIT, COSO e ITIL.
Actualmente la certificacin de ISACA para ser CISA Certified Information
Systems Auditor es una de las ms reconocidas y avaladas por los estndares
internacionales ya que el proceso de seleccin consta de un examen inicial
bastante extenso y la necesidad de mantenerse actualizado acumulando horas
(puntos) para no perder la certificacin.
Tipos de Auditora de Sistemas[editar]

Dentro de la auditora informtica destacan los siguientes tipos (entre otros):

Auditora de la gestin: la contratacin de bienes y servicios,

documentacin de los programas, etc.

Auditora legal del Reglamento de Proteccin de Datos:

Cumplimiento legal de las medidas de seguridad exigidas por el
Reglamento de desarrollo de la Ley Orgnica de Proteccin de Datos.

Auditora de los datos: Clasificacin de los datos, estudio de las

aplicaciones y anlisis de los flujogramas.

Auditora de las bases de datos: Controles de acceso, de

actualizacin, de integridad y calidad de los datos.

Auditora de la seguridad: Referidos a datos e informacin verificando

disponibilidad, integridad, confidencialidad, autenticacin y no repudio.

Auditora de la seguridad fsica: Referido a la ubicacin de la

organizacin, evitando ubicaciones de riesgo, y en algunos casos no
revelando la situacin fsica de esta. Tambin est referida a las
protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y
protecciones del entorno.

Auditora de la seguridad lgica: Comprende los mtodos de

autenticacin de los sistemas de informacin.

Auditora de las comunicaciones. Se refiere a la auditoria de los

procesos de autenticacin en los sistemas de comunicacin.

Auditora de la seguridad en produccin: Frente a errores, accidentes

y fraudes.

Importancia de la Auditoria Informtica ahora

La auditora permite a travs de una revisin independiente, la evaluacin de
actividades, funciones especficas, resultados u operaciones de una
organizacin, con el fin de evaluar su correcta realizacin. Este autor hace
nfasis en la revisin independiente, debido a que el auditor debe mantener
independencia mental, profesional y laboral para evitar cualquier tipo de
influencia en los resultados de la misma.
la tcnica de la auditora, siendo por tanto aceptables equipos
multidisciplinarios formados por titulados en Ingeniera Informtica e Ingeniera

Tcnica en Informtica y licenciados en derecho especializados en el mundo de

la auditora.
Principales pruebas
informtica[editar]

herramientas

para

efectuar

una

auditora

En la realizacin de una auditora informtica el auditor puede realizar las

siguientes pruebas:

Pruebas sustantivas: Verifican el grado de confiabilidad del SI del

organismo. Se suelen obtener mediante observacin, clculos, muestreos,
entrevistas, tcnicas de examen analtico, revisiones y conciliaciones.
Verifican asimismo la exactitud, integridad y validez de la informacin.

Pruebas de cumplimiento: Verifican el grado de cumplimiento de lo

revelado mediante el anlisis de la muestra. Proporciona evidencias de que
los controles claves existen y que son aplicables efectiva y uniformemente.

reas a auditar en informtica[editar]

Las reas a auditar en donde se puede realizar la auditoria informtica, puede
ser:

A toda la entidad

A un departamento

A un rea

A una funcin

A una subfuncion

Se pueden aplicar los siguientes tipos de auditoria:

Auditoria al ciclo de vida del desarrollo de un sistema

Auditoria a un sistema en operacin

Auditoria a controles generales (gestin)

Auditoria a la administracin de la funcin informtica

Auditoria a microcomputadoras aisladas

Auditoria a redes

Las principales herramientas de las que dispone un auditor informtico son:

Observacin

Realizacin de cuestionarios

Entrevistas a auditados y no auditados

Muestreo estadstico

Flujogramas

Listas de chequeo

Mapas conceptuales

Control de acceso informtico

El control de acceso informtico o control de acceso a sistemas
informticos, en seguridad informtica, consiste en la autorizacin,
autenticacin, autorizacin de acceso y auditora. Una definicin ms estrecha
de control de acceso abarcara nicamente la aprobacin de acceso, por lo que
el sistema adopta la decisin de conceder o rechazar una solicitud de acceso
de un sujeto ya autenticado, sobre la base a lo que el sujeto est autorizado a
acceder. Autenticacin y control de acceso a menudo se combinan en una sola
operacin, por lo que el acceso est aprobado sobre la base de la
autenticacin exitosa, o sobre la base de una token de acceso annimo. Los
mtodos de autenticacin y tokens incluyen contraseas, escaneados
biomtricos, llaves fsicas, llaves electrnicas y dispositivos, caminos ocultos,
barreras sociales y monitoreo por seres humanos y sistemas automatizados. 1
ndice
[ocultar]

1Entidades de software

2Servicios

3Vase tambin

4Referencias

5Enlaces externos
Entidades de software[editar]
En cualquier modelo de control de acceso, las entidades que pueden realizar
acciones en el sistema son llamados sujetos, y las entidades representativas
de los recursos a los que pueden ser necesario que est controlado el acceso
son los llamados objetos. Los sujetos y objetos deben ser ambos considerados
como entidades de software, en lugar de como usuarios humanos:
cualesquiera usuarios humanos slo puede tener un efecto sobre el sistema a
travs de las entidades de software que ellos controlan.
Servicios[editar]
Los controles de acceso a los sistemas informticos proporcionan los servicios
esenciales de autorizacin,identificacin y autenticacin (I&A), aprobacin del
aceso y rendicin de cuentas donde:2

la autorizacin especifica lo que un sujeto puede hacer.

La identificacin y autenticacin garantizan que slo el sujeto

legitimados puedan entrar (log on) a un sistema

La aprobacin del acceso garantiza el acceso durante las operaciones,

mediante la asociacin de usuarios con los recursos que a los que estn
autorizados a acceder, basndose en la poltica de autorizaciones.

La rendicin de cuentas o auditora identifica que un sujeto (o todos los

sujetos asociados un usuario) ha hecho.

Control Interno Informtico

10JUN
CONTROL INTERNO INFORMATICO.
SUS METODOS Y PROCESAMIENTOS.
CONTROL
CONTROL INTERNO

LAS

HERRAMIENTAS

DE

Definiciones
El Control Interno Informtico puede definirse como el sistema integrado al
proceso administrativo, en la planeacin, organizacin, direccin y control de
las operaciones con el objeto de asegurar la proteccin de todos los recursos
informticos y mejorar los ndices de economa, eficiencia y efectividad de los
procesos operativos automatizados. (Auditora Informtica Aplicaciones en
Produccin Jos Dagoberto Pinilla)
El Informe COSO define el Control Interno como Las normas, los
procedimientos, las prcticas y las estructuras organizativas diseadas para
proporcionar seguridad razonable de que los objetivos de la empresa se
alcanzarn y que los eventos no deseados se prevern, se detectarn y se
corregirn.
Tambin se puede definir el Control Interno como cualquier actividad o accin
realizada manual y/o automticamente para prevenir, corregir errores o
irregularidades que puedan afectar al funcionamiento de un sistema para
conseguir sus objetivos. (Auditora Informtica Un Enfoque Prctico Mario
G. Plattini) Tipos
En el ambiente informtico, el control interno se materializa fundamentalmente
en controles de dos tipos:
Controles manuales; aquellos que son ejecutados por el personal del rea
usuaria o de informtica sin la utilizacin de herramientas computacionales.
Controles Automticos; son generalmente los incorporados en el software,
llmense estos de operacin, de comunicacin, de gestin de base de datos,
programas de aplicacin, etc.
Los controles segn su finalidad se clasifican en:
Controles Preventivos, para tratar de evitar la produccin de errores o hechos
fraudulentos, como por ejemplo el software de seguridad que evita el acceso a
personal no autorizado.
Controles Detectivos; trata de descubrir a posteriori errores o fraudes que no
haya sido posible evitarlos con controles preventivos.
Controles Correctivos; tratan de asegurar que se subsanen todos los errores
identificados mediante los controles detectivos.
Objetivos principales:

 Controlar que todas las actividades se realizan cumpliendo los procedimientos

y normas fijados, evaluar su bondad y asegurarse del cumplimiento de las
normas legales.
Asesorar sobre el conocimiento de las normas
Colaborar y apoyar el trabajo de Auditora Informtica interna/externa
Definir, implantar y ejecutar mecanismos y controles para comprobar el grado
ce cumplimiento de los servicios informticos.
Realizar en los diferentes sistemas y entornos informticos el control de las
diferentes actividades que se realizan.
Control interno informtico (funcin)
El Control Interno Informtico es una funcin del departamento de Informtica
de una organizacin, cuyo objetivo es el de controlar que todas las actividades
relacionadas a los sistemas de informacin automatizados se realicen
cumpliendo las normas, estndares, procedimientos y disposiciones legales
establecidas interna y externamente.
Entre sus funciones especficas estn:
Difundir y controlar el cumplimiento de las normas, estndares y
procedimientos al personal de programadores, tcnicos y operadores.
Disear la estructura del Sistema de Control Interno de la Direccin de
Informtica en los siguientes aspectos:
Desarrollo y mantenimiento del software de aplicacin.
Explotacin de servidores principales
Software de Base
Redes de Computacin
Seguridad Informtica
Licencias de software
Relaciones contractuales con terceros
Cultura de riesgo informtico en la organizacin

Control interno informtico (reas de aplicacin)

controles generales organizativos
Son la base para la planificacin, control y evaluacin por la Direccin General
de las actividades del Departamento de Informtica, y debe contener la
siguiente planificacin:
Plan Estratgico de Informacin realizado por el Comit de Informtica.
Plan Informtico, realizado por el Departamento de Informtica.
Plan General de Seguridad (fsica y lgica).
Plan de Contingencia ante desastres.
Controles de desarrollo y mantenimiento de sistemas de informacin
Permiten alcanzar la eficacia del sistema, economa, eficiencia, integridad de
datos, proteccin de recursos y cumplimiento con las leyes y regulaciones a
travs de metodologas como la del Ciclo de Vida de Desarrollo de
aplicaciones.
Controles de explotacin de sistemas de informacin
Tienen que ver con la gestin de los recursos tanto a nivel de planificacin,
adquisicin y uso del hardware as como los procedimientos de, instalacin y
ejecucin del software.
Controles en aplicaciones
Toda aplicacin debe llevar controles incorporados para garantizar la entrada,
actualizacin, salida, validez y mantenimiento completos y exactos de los
datos.
Controles en sistemas de gestin de base de datos
Tienen que ver con la administracin de los datos para asegurar su integridad,
disponibilidad y seguridad.
Controles informticos sobre redes
Tienen que ver sobre el diseo, instalacin, mantenimiento, seguridad y
funcionamiento de las redes instaladas en una organizacin sean estas
centrales y/o distribuidos.

Controles sobre computadores y redes de rea local

Se relacionan a las polticas de adquisicin, instalacin y soporte tcnico, tanto
del hardware como del software de usuario, as como la seguridad de los datos
que en ellos se procesan.
Funcin de Control;
En la auditoria Informtica; esta tiene funcin de vigilancia y evaluacin
mediante dictmenes, los auditores de tienen diferentes objetivos de los de
cuentas, ellos evalan eficiencia, costos y la seguridad con mayor visin, y
realizan evaluaciones de tipo cualitativo.
Control interno informtico; Cumplen funciones de control dual en los
diferentes departamentos, que puede ser normativa, marco jurdico, la
funciones del control interno es la siguientes determinar los propietarios y los
perfiles segn la clase de informacin, permitir a dos personas intervenir como
medida de control, realizar planes de contingencias, dictar normas de
seguridad informtica, controla la calidad de software, los costos, los
responsables de cada departamento, control de licencias, manejo de claves de
cifrado, vigilan el cumplimiento de normas y de controles, es clara que esta
medida permite la seguridad informtica.
Metodologas de clasificacin de informacin y de obtencin de
procedimientos de control;
Es establecer cuales son las entidades de informacin a proteger, dependiendo
del grado de importancia de la informacin para el establecimiento de
contramedidas.
Herramientas de control;
Las herramientas de control, son de dos tipos lgicos y fsicos , des del punto
lgico son programas que brindar seguridad, las principales herramientas son
las siguientes; seguridad lgica del sistema, seguridad lgica complementaria
del sistema, seguridad lgica en entornos distribuidos, control de acceso fsico,
control de copias, gestin de soporte magnticos, gestin de control de
impresin y envo de listados por red, control de proyectos y versiones , gestin
de independencia y control de cambios. Y fisiocs los cifradores.
CONTROL INTERNO INFORMATICO
El control interno informtico controla diariamente que todas las actividades de
sistemas de informacin sean realizadas cumpliendo los procedimientos,
estndares y normas fijados por la direccin de la organizacin y/o la direccin
informtica, as como los requerimientos legales.
La funcin del control interno informtico es asegurarse de que las medidas
que se obtienen de los mecanismos implantados por cada responsable sean
correctas y vlidas.
Control interno informtico suele ser un rgano staff de la direccin del
departamento de informtica y est dotado de las personas y medios
materiales proporcionados a los cometidos que se le encomienden.
Como principales objetivos podemos indicar los siguientes:

Controlar que todas las actividades se realicen cumpliendo los

procedimientos y normas fijados, evaluar su bondad y asegurarse del
cumplimiento de las normas legales.

Asesorar sobre el conocimiento de las normas.

Colaborar y apoyar el trabajo de Auditoria informtica, as como de las

auditorias externas al grupo.

Definir, implantar y ejecutar mecanismos y controles para comprobar el

logro de los graso adecuados del servicio informtico, lo cual no debe
considerarse como que la implantacin de los mecanismos de medida y
responsabilidad del logro de esos niveles se ubique exclusivamente en la
funcin de control interno, si no que cada responsable de objetivos y
recursos es responsable de esos niveles, as como de la implantacin de los
medios de medida adecuados.
La auditoria informtica es el proceso de recoger, agrupar y evaluar evidencias
para determinar si un sistema informatizado salvaguarda los activos, mantiene
la integridad de los datos, lleva a cabo los eficazmente los fines de la
organizacin y utiliza eficiente mente los recursos.
CONTROL
INFORMATICO

SIMILITUDES

DIFERENCIAS

INTERNO

AUDITOR
INFORMATICO

PERSONAL INTERNO
Conocimientos especializados en tecnologas de
informacin verificacin del cumplimiento de controles
internos, normativa y procedimientos establecidos por la
direccin informtica y la direccin general para los
sistemas de informacin.

Anlisis de los controles en

el da a daInforma a la
direccin del departamento
de informtica slo personal
interno el enlace de sus
funciones es nicamente
sobre el departamento de
informtica

Anlisis
de
un
momento informtico
determinadoInforma a
la direccin general de
la
organizacinPersonal
interno y/o externo
tiene cobertura sobre
todos los componentes
de los sistemas de
informacin
de
la
organizacin

DEFINICION Y TIPO DE CONTROLES INTERNOS

Se puede definir el control interno como cualquier actividad o accin realizada
manual y/o automticamente para prevenir, corregir errores o irregularidades
que puedan afectar al funcionamiento de un sistema para lograr o conseguir
sus objetivos.
Los controles internos se clasifican en los siguientes:

Controles preventivos: Para tratar de evitar el hecho, como un

software de seguridad que impida los accesos no autorizados al sistema.

Controles detectivos: Cuando fallan los preventivos para tratar de

conocer cuanto antes el evento. Por ejemplo, el registro de intentos de
acceso no autorizados, el registro de la actividad diaria para detectar errores
u omisiones.etc.

Controles correctivos: Facilitan la suelta a la normalidad cuando se

han producido incidencias. Por ejemplo, la recuperacin de un fichero
daado a partir de las copias de seguridad.
IMPLANTACION DE UN SISTEMA DE CONTROLES INTERNOS
INFORMATICOS
Para llegar a conocer la configuracin del sistema es necesario documentar los
detalles de la red, as como los distintos niveles de control y elementos
relacionados:

Entorno de red:esquema de la red, descripcin de la configuracin

hardware de comunicaciones, descripcin del software que se utiliza como
acceso a las telecomunicaciones, control de red, situacin general de los
ordenadores de entornos de base que soportan aplicaciones crticas y
consideraciones relativas a la seguridad de la red.

Configuracin del ordenador base: Configuracin del soporte fsico,

en torno del sistema operativo, software con particiones, entornos( pruebas
y real ), bibliotecas de programas y conjunto de datos.

Entorno de aplicaciones: Procesos de transacciones, sistemas de

gestin de base de datos y entornos de procesos distribuidos.

Productos y herramientas: Software para desarrollo de programas,

software de gestin de bibliotecas y para operaciones automticas.

Seguridad del ordenador base: Identificar y verificar usuarios, control

de acceso, registro e informacin, integridad del sistema, controles de
supervisin, etc.
Para la implantacin de un sistema de controles internos informticos habr
que definir:

Gestin de sistema de informacin: polticas, pautas y normas

tcnicas que sirvan de base para el diseo y la implantacin de los sistemas
de informacin y de los controles correspondientes.

Administracin de sistemas: Controles sobre la actividad de los

centros de datos y otras funciones de apoyo al sistema, incluyendo la
administracin de las redes.

Seguridad: incluye las tres clases de controles fundamentales

implantados en el software del sistema, integridad del sistema,
confidencialidad (control de acceso) y disponibilidad.

Gestin del cambio: separacin de las pruebas y la produccin a nivel

del software y controles de procedimientos para la migracin de programas
software aprobados y probados.

aabbccddee.galeon.com/winpy.htm

auditoriasistemas.com/informatica/controlinterno/

2.5.14.10.- Definicin y tipos de controles internos

Se pueden definir el control interno como cualquier actividad o accin realizada
manualmente y/o automticamente para prevenir, corregir errores o
irregularidades que puedan afectar al funcionamiento de un sistema para
conseguir sus objetivos.
Clasificacin de los controles informticos: Controles preventivos: para tratar de
evitar el hecho, como un software de seguridad que impida los accesos no
autorizados al sistema, Controles detectivos: cuando fallan los preventivos para
tratar de conocer cuanto antes el evento, Controles correctivos: facilitan la
vuelta a la normalidad cundo se han producido incidencias. La auditoria en
informtica debe ser respaldada por un proceso formal que asegure su previo
entendimiento por cada uno de los responsables de llevar a la prctica dicho
proceso en la empresa. El uso de un proceso de trabajo metodolgico y
estndar en la funcin de auditoria informtica genera las siguientes ventajas:
1. Los recursos orientan sus esfuerzos a la obtencin de productos de calidad,
con caractersticas y requisitos comunes para todos los responsables, 2. Las
tareas y productos terminados de los proyectos se encuentran definidos y
formalizados en un documento al alcance de todos los auditores en informtica,
3. Se facilita en alto grado la administracin y seguimiento de los proyectos
pues la metodologa obliga a la planeacin detallada de cada proyecto bajo
criterios estndares, 4. Facilita la superacin profesional y humana de los
individuos, ya que orienta los esfuerzos hacia la especializacin,
responsabilidad, estructuracin y depuracin de funciones del auditor en
informtica, 5. Es un complemento clave en el desarrollo de cada individuo, ya
que su formal seguimiento, aunado a las habilidades, normas y criterios
personales coadyuva al cumplimiento exitoso de los proyectos de auditoria en
informtica, 6. El proceso de capacitacin o actualizacin en el uso de un
proceso metodolgico es ms gil y eficiente, dado que se trabaja sobre tareas
y productos terminados perfectamente definidos.
Contar con un proceso metodolgico formalmente documentado no es garanta
de que los proyectos de auditora en informtica tendrn xito; empero, no
cumplir con las siguientes condiciones llevar a la funcin de auditora en
informtica a que sus proyectos no cumplan con los tiempos, costos o
resultados esperados, pero tambin es importante el mencionar que se puede
presentar la situacin en la que se justifique la revisin o evaluacin de las
reas o funciones crticas relacionadas con informtica.
Los productos terminados ms importantes de la etapa son tres: Matriz de
riesgo, Plan general de auditora en informtica, Compromiso ejecutivo. Cada
uno forma parte esencial del proceso metodolgico.

El primero porque define las reas que sern auditadas; el segundo porque
establece las tareas, tiempos, responsables, etc., del proyecto, y el tercero
debido a que da el visto bueno al lder de proyecto para continuar con las
siguientes etapas contempladas en el plan general.
2.5.14.11.- reas de oportunidad para la funcin de informtica
El diagnstico actual es el que conduce al auditor en informtica a vislumbrar
ciertas reas de oportunidad para el mejoramiento de alguna funcin especfica
del negocio a travs de informtica y en ocasiones, el beneficio es directo para
el rea de informtica. Aqu se comienza a conformar una parte de auditora en
informtica debido a que las reas de oportunidad que ven los entrevistados en
la etapa preliminar no han sido implantadas y urge aprovecharlas.
2.5.14.12.- Matriz de riesgo
La siguiente tarea del auditor en informtica en la presente etapa es elaborar la
matriz de riesgo, cuyo objetivo principal es detectar las reas de mayor riesgo
en relacin con informtica y que requieren una revisin formal y oportuna. En
la siguiente tabla, se representa lo relacionado a lo expuesto anteriormente.
2.5.14.13.- Conclusin
La calidad de un producto de software est sujeta a una serie de factores
internos y externos llamados caractersticas del entorno, las cuales deben ser
tomadas en cuenta. Si no se les da la importancia requerida, los costos por
correcciones y modificaciones pueden ser muy altos o las consecuencias por
resultados errneos cuantiosas.
En resumen podemos mencionar que en la calidad de software debe de
contribuir con la satisfaccin completa y total de las necesidades de un usuario
u organizacin.
Acerca de:
El espacio para compartir material que necesitas en la carrera de Ingeniera de
Sistemas y en tu vida profesional.

El objetivo del blog es ayudarte como estudiante a prepararte mejor para los
exmenes, proyectos y dems situaciones que enfrentes durante la carrera. Asi
mismo es una herramienta de consulta para los profesionales en TI.

Material y sugerencias: ingenierosTI@gmail.com

ago
20
Tipos de Control
Auditora Add comments
CONTROL PREVENTIVO

1. Evitar problemas antes de que aparezcan.

2. Monitorear tanto las operaciones como las transacciones de entrada.
3. Tratar de predecir problemas potenciales antes de que ocurran y hacer
ajustes.
4. Prevenir la ocurrencia de un error, omisin o acto delictivo.

Ejemplos
* Emplear nicamente personal calificado
* Segregar funciones (factor disuasivo)
* Controlar el acceso a las instalaciones fsicas
* Usar documentos bien diseados (previene errores)
* Establecer
transacciones

procedimientos

convenientes

para

la

autorizaci

de

* Chequeos de validacin programados

* Uso de software para el control de acceso que permite nicamente el acceso
a archivos sensitivos a personal autorizado

CONTROL DETECTIVO

1. Controles que detectan un error, omisin o acto delictivo que haya ocurrido y
reporta la ocurrencia

Ejemplos
* Totales de comprobacin
* Puntos de cheque en trabajos de produccin
* Controles de eco en telecomunicaciones
* Mensajes de error sobre las etiquetas internas de las cintas
* Doble verificacin de los clculos
* El reportaje peridico de la ejecucin con variacionesReportes de las cuentas
atrasadas
* Funciones de auditora interna

CONTROL CORRECTIVO

1. Reducir el impacto de una amenaza

2. Remediar los problemas descubiertos por los controles detectivos
3. Identificar la causa de un problema
4. Corregir los errores que surjan de un problema
5. Modificar el (los) sistema(s) de procesamiento para reducir las futuras
ocurrencias del problema

Ejemplos
* Planificacin de contingencia
* Procedimientos de respaldo
* Procedimientos para volver a hacer una corrida

1 comentarios

Vidal
13 de octubre de 2009, 07:35
Hola est interesante tu blog:

Aqui tengo unos casos, necesito tu apoyo, tengo duda en algunos :

1.Realizacin de un respaldo diario de los datos.

2.Recuperacin de datos de un respaldo.
3.Capacitacin peridica al personal informtico.
4.Establecimiento de una Poltica de Seguridad Informtica
5.La aplicacin de las Normas de Control Interno para Sistemas
Computarizados (Norma 500) para recomendar una nueva organizacin del
Dpto. de Informtica.
6.Delimitacin del tamao de la direccin en un formulario que deben llenar los
clientes para solicitar una tarjeta de crdito.
7.Verificacin de que el contenido del campo de fecha de solicitud de un
certificado corresponda a una fecha vlida.
8.Acta que establece los niveles de servicios del rea de produccin de un
Dpto. de Sistemas.
9.Reuniones con encargados de desarrollo para conocer el estado de los
proyectos informticos.
10.La Firma Digital
11.Encriptacin de los datos de un mensaje por transmitir.
12.La implementacin de un Plan de Contingencia
13.La grabacin de una pista de auditora en un archivo Log
14.El anlisis de las pistas de auditora del archivo Log
15.La documentacin de un sistema de informacin
16.La recomendacin del auditor de sistemas de implementar una metodologa
para el ciclo de vida del software.
17.La implementacin de un flag de alerta para una transaccin electrnica

18.Comparacin de los datos grabados en un respaldo con la informacin

almacenada en disco.
19.Simulacros de desastres con participacin del personal encargado de los
planes de contingencia
20.El desarrollo del Plan Estratgico de TI
21.El dictado del curso de anlisis de sistemas
22.La solicitud de password en una transaccin
23.La verificacin del procedimiento de Pase a Produccin en la
implementacin de una nueva versin de un programa.
24.La recomendacin del auditor informtico para actualizar el procedimiento
de Pase a Produccin para los sistemas web.
25.La recomendacin del auditor informtico de sancionar al Gerente de
Sistemas con un monto equivalente a la prdida econmica sufrida por la
empresa, debido a la ausencia de controles internos que hayan prevenido un
robo electrnico producido.