Seguridad Lógica y Física

Auditoría de Sistemas de Información

Auditoría de la Seguridad
Cultura de la Seguridad

No es tan solo un proceso, ni un

gasto de más en las organizaciones.
Es una forma de cultura en las
personas de implementar medidas de
seguridad para prevenir posibles
riesgos.
Tres dimensiones de Seguridad

• Confiabilidad: Cuando se conocen los datos o la

información correspondiente.

• Integridad: Sólo los usuarios autorizados pueden variar

(modificando o borrando) los datos.

• Disponibilidad: Las personas autorizadas pueden acceder

a tiempo a la información autorizada.
Seguridad Física y lógica

1) Auditoría de la Seguridad Física

• Protecciones físicas de datos, programas, Instalaciones,
equipos, redes y soporte.

• Por supuesto hay que considerar a las personas.

2) Auditoría de Seguridad Lógica

• Sólo pueda acceder a los recursos a los que se autorice el

propietario.
Plan de seguridad.

Estrategia planificada de acciones y

productos que llevan a un sistema de
información y sus centros de proceso de
una situación inicial determinada a una
mejor.
Amenaza

Es cualquier persona o cosa vista como posible

fuente de peligro o catástrofe

•Inundación.
•Incendio.
•Robo de datos.
•Sabotaje.
•Falta de procedimientos de emergencia.
•Divulgación de datos.
•Aplicaciones mal diseñadas.
•Gastos fuera de control.
Vulnerabilidad

Situación creada por la falta de controles, es

decir, la amenaza puede suceder.

Ejemplos: falta de control de acceso lógico, de

versiones, falta de encriptación en
telecomunicaciones, inexistencia de control de
respaldos, etc.
Riesgo

Probabilidad de que la amenaza suceda

por una vulnerabilidad.

Todos los riesgos que se presentan se pueden

– Evitar.

– Transferir.

– Reducir.

– Asumir.
Exposición o impacto

Es la evaluación del efecto del

riesgo.
Esta evaluación puede ser en
términos económicos, pérdidas
humanas, imagen de la empresa,
honor, defensa nacional, etc.
Metodología de Análisis de Riesgos
Se aplica para lograr la identificación de la falta de
controles, con el fin de establecer un plan de
contramedidas. Aplicar cuestionario

Identificar riesgos

Calcular Impacto

Identificar contramedidas y su costo

Simular

Crear Informes (Plan de seguridad)

Fuente:

• PIATTINI, M. y DEL PESO, E. (2001). Auditoría Informática.

Un enfoque práctico. Segunda edición. México: Editorial
RA-MA.