EDR – Metodología De Auditoria Basada En R

No. R Riesgo Obj.de control Control

La información del sitio Procedimiento de

Acceso a información no web de estar restingida de asignacion de perfiles
1
autorizada acuerdo con los perfiles según en tipo de usuario
establecidos creado

El acceso a la información Procedimiento de ingreso

de ser solo con los roles
2 Robo de Información
definidos y perfiles para
cada uno
De acuerdo al rol
asignado, asegurar que
los roles tengan y puedan
3 Robo de identidad
manejar la información
de acuerdo a lo requerido
por cada rol
Asegurar que el cambio
Cambio no autorizado de de datos solo se haga por
4
datos los responsables de cada
rol y que de un log de esto
y manejo de la aplicación
de acuerdo a los roles
creados
Procedimiento de
asignación de contraseñas
seguras y acuerdos de
confidencialidad
Procedimiento de ingreso
y manejo de la aplicación
de acuerdo a los roles
creados

La eliminación de datos Procedimiento de ingreso

Eliminación de solo la puede realizar el y manejo de la aplicación
5
información administrador de de acuerdo a los roles
aplicación creados

No permitir extraer Acuerdos de

Divulgación de
información confidencial confidencialidad para las
6 información no
que solo se descarge la personas que administren
autorizada
información requerida la aplicación
Acuerdos de
No descargar información confidencialidad para las
No relizar copias de que no deba ser personas que administren
7
seguridad consultada por usuario la aplicación y
final procedimiento de roles
Por la cantidad de que ingresan a la
usuarios que consulten
Procedimiento de manejo
Saturación del sistema de asegurar HW y SW que
8 de la aplicación claro para
información no saturen el sisteme en
rapidas consultas
el momento de consulta
por varios usuarios
9

10
De Auditoria Basada En Riesgos

Auditor
P. Cumplimiento P. Sustantiva
encargado
Existe procedimiento?
- Comprobar que 20 usuarios tiene
- Ampliar muestra y
asignados correctamente su perfil y Nury Martínez
revisar raiz de N usuarios
tiene acceso a la información
correspondiente
Existe procedimiento?Comprobar que
cada perfil asignado tiene los roles
- Ampliar muestra y
correctamente asignados, realización Nury Martínez
revisar raiz de N usuarios
de pruebas con usuarios destinados
para esto

Pruebas de SW para ver

Existe procedimiento?Comprobar y
que no es posible ingrear
manejar logs para identificar las Nury Martínez
y robar las contraseñas y
contraseñas asignadas por vada perfil
usuarios

- Ampliar muestra y
Existe procedimiento?Realizar Nury Martínez
revisar raiz de N usuarios
pruebas con los perfiles creados para
confirmar los permisos asignados

Pruebas con los perfiles

Existe procedimiento?Realizar Nury Martínez
creados con usuarios N
pruebas con los perfiles creados para
confirmar los permisos asignados

Existe procedimiento?Hacer cumplir

los acuerdos de confidencialiad - Ampliar muestra y
Nury Martínez
firmados por cada uno de los roles que revisar raiz de N usuarios
aplique

Existe procedimiento?Hacer cumplir

los acuerdos de confidencialiad - Ampliar muestra y
Nury Martínez
firmados por cada uno de los roles que revisar raiz de N usuarios
aplique
Existe procedimiento?Disponer de
Plan de contingencia y desborde en
cado que se presente saturación,
Disposición de HW y SW Nury Martínez
comprobar que se cuenta con el HW y
SW que se indico antes de la
implementación