Auditoría informática

Generalmente, se distinguen dos tipos de auditoría y de auditores, según si estos pertenecen a la organización o no:

• Auditoría interna: se realiza desde el ambiente interno de la organización, es decir, sin empleados ajenos a la misma, ya sea por empleados que fueron directamente contratados o alguna subsidiaria a esta y la entidad tiene el poder de decisión sobre el proceso llevado a cabo para realizarla.
• Auditoría externa: se realiza por personal ajeno a la empresa, y la organización no tiene poder de decisión sobre el proceso llevado a cabo por el ente que audita.

Según el área de la organización que se audita:

• Auditoría operacional: se refiere a la revisión de la operación de una organización y juzga la eficiencia de la misma. Esta operación puede consistir en los permisos de empleados o en los accesos a sistemas de gestión.
• Auditoría administrativa: se refiere a la organización y eficiencia de la estructura del personal con la que cuenta el personal y los procesos administrativos en que actúa dicho personal.
• Auditoría social: se refiere a la revisión del entorno social en que se ubica y desarrolla una organización, con el fin de valorar aspectos externos e internos que interfieren en la productividad de la misma.

Otra clasificación según el área de la organización:

• Auditoría de la gestión: la contratación de bienes y servicios, documentación de los programas, etc.
• Auditoría legal del Reglamento de Protección de Datos: Cumplimiento legal de las medidas de seguridad exigidas por el Reglamento de desarrollo de la Ley Orgánica de Protección de Datos.
• Auditoría de los datos: Clasificación de los datos, estudio de las aplicaciones y análisis de los flujogramas.
• Auditoría de las bases de datos: Controles de acceso, de actualización, de integridad y calidad de los datos.
• Auditoría de la seguridad: Referidos a datos e información verificando disponibilidad, integridad, confidencialidad, autenticación y no repudio.
• Auditoría de la seguridad física: Referido a la ubicación de la organización, evitando ubicaciones de riesgo, y en algunos casos no revelando la situación física de esta. También está referida a las protecciones externas (arcos de seguridad, CCTV, vigilantes, etc.) y protecciones del entorno.
• Auditoría de la seguridad lógica: Comprende los métodos de autenticación de los sistemas de información.
• Auditoría de las comunicaciones. Se refiere a la auditoría de los procesos de autenticación en los sistemas de comunicación.
• Auditoría de la seguridad en producción: Frente a errores, accidentes y fraudes.
• Auditoría a empleados: Frente a errores, accidentes y fraudes, accesos no autorizados y vulnerabilidad de claves.

En la realización de una auditoría informática el auditor puede realizar las siguientes pruebas:

• Pruebas sustantivas: Verifican el grado de confiabilidad del SO del organismo. Se suelen obtener mediante observación, cálculos, muestreos, entrevistas, técnicas de examen analítico, revisiones y conciliaciones. Verifican asimismo la exactitud, integridad y validez de la información.
• Pruebas de cumplimiento: Verifican el grado de cumplimiento de lo revelado mediante el análisis de la muestra. Proporciona evidencias de que los controles claves existen y que son aplicables efectiva y uniformemente.

Existen diferentes metodologías que ayudan en el proceso de revisión de riesgos informáticos. Dos de las más utilizadas son Octave y Magerit.

Sus beneficios son:

• Mejora la imagen pública.
• Confianza en los usuarios sobre la seguridad y control de los servicios de TI.
• Optimiza las relaciones internas y del clima de trabajo.
• Disminuye los costos de la mala calidad (reprocesos, rechazos, reclamos, entre otros).
• Genera un balance de los riesgos en TI.
• Realiza un control de la inversión en un entorno de TI, a menudo impredecible.