Documente Academic
Documente Profesional
Documente Cultură
AUDITORÍA INFORMÁTICA
Instituto IACC
Instrucciones:
Su empresa Auditoría Inc. desea participar de una licitación privada del Banco IACC en la que
solicitan realizar una auditoría informática de red interna y perimetral que incluya:
• 1 Router perimetral.
Para participar y adjudicársela, usted debe construir una propuesta técnica en la cual explique el
objetivo y alcance de la auditoría, la metodología de trabajo que utilizará, un plan de trabajo con
los sistemas de información y los recursos relacionados están protegiendo adecuadamente los
logren de manera efectiva y eficiente las metas organizacionales, se utilizan eficientemente los
recursos, de la misma forma, los controles internos efectivos, que se deben proveer con una
control serán abarcados y los eventos no deseados serán evitados o detectados y por ende
afectar el desempeño de los usuarios o equipos que se encuentren en la red, adicionalmente nos
permite identificar si se tiene el control de acceso necesario a esta de tal forma que no se sufran
ataques malintencionados.
protección perimetral situados en la red interna de una empresa (routers y firewalls que separan
subredes, etc) así como los diferentes sistemas que están localizados en dicha red (sistemas host,
que ahora se ha de tener en cuenta que los ataques se realizan desde dentro de la
red interna.
Puesto que toda auditoría informática tiene diversas aristas, intentaremos enfocarnos en
determinar y verificar si el equipamiento de los usuarios, así como también los servidores y todos
aquellos dispositivos que se encuentren dentro de la red y que, además, estén en condiciones para
llevan a cabo desde fuera del perímetro y pueden incluir la evaluación de configuraciones,
Para efectuar de manera óptima y eficiente esta auditoría se llevarán a cabo diversas
técnicas asistidas por computadores (CAAT), las cuales, son herramientas con las que
Debemos recordar que CAAT La norma SAP 1009 (Statement of Auditing Practice)
por Computadora (TAAC's), plantea el uso de dichas técnicas en la auditoría de sistemas. Las
informáticas con el fin de mejorar la eficiencia, alcance y confiabilidad de los análisis efectuados
que pueden ser administrativos, analíticos, informáticos, entre otros; los cuales, son de suma
importancia para el auditor informático cuando este realiza una auditoría, sin dejar a un lado las
Las TAAC’s incluyen distintos tipos de herramientas y de técnicas, las que más se
utilizan son los software de auditoría generalizado, software utilitario, los datos de prueba y
auditoría incluyendo:
Pruebas de detalles de transacciones y balances (Recálculos de intereses,
determinar de manera sólida si los servidores, equipos, etc., cuentan con sus respectivos
licenciamientos a nivel de software y si, además, estos poseen las características físicas
adecuadas para prestar los distintos servicios que son requeridos por la organización, como por
Inspección de Red:
seguridad vigentes.
Inspección Lógica:
inspeccionarán las puertas de enlace, servidores DNS, máscaras de red y direcciones IP.
se encuentren entregando los servicios estrictamente necesarios para la red y por tanto los
requerimientos de la organización.
7. Se realizarán revisiones profundas de las cuentas que tengan acceso a los servidores.
8. Se analizará de manera cuidadosa que las tablas de auditorías de bases de dato estén
activadas o no.
Inspección Física:
1. En este punto se realizará una inspección visual de los equipos y/o dispositivos que están
dentro de la red (computadores, Router, switch, firewall, servidores, etc.), estas revisiones
medios de seguridad existentes y las condiciones en las que se encuentran para que los
4. Se verificará que los servidores cuenten con el equipamiento de respaldo necesario ante
5. Se comprobará que el data center cuente con las medidas de seguridad necesarias ante
manifiesto los resultados de los análisis y revisiones descritas previamente. De acuerdo a los
plan de perfeccionamiento para la red, de tal manera que la organización pueda contar con altos
estándares de seguridad.
firewall, Router, servidores y equipos, así como sugerencias en caso de reemplazar algún
equipamiento que se encuentre defectuoso u obsoleto para que de esta forma entreguen
PLAN DE TRABAJO:
en cuenta que es necesario contar con un margen de error en el tiempo debido a posibles
imprevistos durante el proceso, entendiendo que es una entidad bancaria y que el trabajo se
cargo de dos miembros del equipo y se realizarán a partir de las 9 am hasta las 18 horas, con 1
hora para colación. Cada equipo contará con un tiempo promedio de 15 minutos por equipo, por
lo que se espera que por cada día se realice una revisión de 30 estaciones de trabajo
aproximadamente.
revisión del data center, para lo cual se estima aproximadamente medio día de trabajo, junto a
esto se realizará un análisis profundo de las bases de datos, credenciales de acceso y permisos
que puedan tener los usuarios, además de las tablas de auditoría, en un tiempo aproximado de 3
horas por base de datos, por lo tanto el proceso tendrá una duración aproximadamente de tres
días.
Se estima que la revisión de cada firewall tendrá una duración de medio día. Se
presta el equipo, así como también se verificarán las configuraciones Ethernet y sus listas de
acceso.
Se realizarán revisiones para determinar si entre las distintas oficinas y el data center
existen enlaces redundantes que sean capaces de proporcionar la conectividad necesaria en caso
de algún inconveniente.
Revisiones varias
que están corriendo a través de la red, al mismo tiempo, con este tipo de software se realizará un
inventario de todos los dispositivos conectados a la red y sus características, de esta manera
• Marca
• Modelo
• Procesador
• Disco Duro
• Memoria RAM
• Configuración IP
• MAC
• Periféricos
• Conexiones
• Antivirus
• Usuario
• Dominio
• Marca
• Modelo
• Firmware
• Seguridad
• Conexiones
• Servicios configurados
• Check List a verificar en Data center:
• Control de acceso
• Estado de conexiones
Bibliografía
https://www.welivesecurity.com/la-es/2015/04/20/auditorias-de-redes/
https://www.bdo.es/es-es/blogs/coordenadas/febrero-2016/uso-de-herramientas-caats-por-el-
auditor-interno