ESTÁNDARES Y METODOLOGÍAS INTERNACIONALES DE AUDITORIA INFORMATICA
ESTANDARES Y METODOLOGIA DE
AUDITORIA EN SISTEMAS
Auditoría de Sistemas de Información, y las
capacidades necesarias para la realización de dichas auditorías, requieren
estándares de aplicación específica a la auditoría de sistemas. Por lo mismo
que la información es un activo vital para el éxito y la continuidad en el
mercado de cualquier organización. El aseguramiento de dicha información y de
los sistemas que la procesan es, por tanto, un objetivo de primer nivel para la
organización. Para la adecuada gestión de la seguridad de la información, es
necesario implantar un sistema que aborde esta tarea de una forma metódica,
documentada y basada en unos objetivos claros de seguridad y una evaluación de
los riesgos a los que está sometida la información de la organización. Para
fines de orden mostramos los Organismos de Normalización de auditoria de
sistemas de información: Internacionales: ISO/IEC/UIT-T Europeos:
CEN/CENELEC/ETSI americano: COPANT español: AENOR.
NORMAS GENERALES DE LA AUDITORÍA DE
SISTEMAS
La Asociación de Auditoría y Control de Sistemas de
Información ha determinado que la naturaleza especializada de la auditoría de
los sistemas de in formación y las habilidades necesarias para llevar a cabo
este tipo de auditorías, requieren el desarrollo y la promulgación de Normas
Generales para la Auditoría de los Sistemas de Información. La auditoría de los
sistemas de información se define como cualquier auditoría que abarca la
revisión y evaluación de todos los aspectos (o de cualquier porción de ellos)
de los sistemas automáticos de procesamiento de la información, incluidos los
procedimientos no automáticos relacionados con ellos y las interfaces
correspondientes.
OBJETIVOS
Los objetivos de estas normas son los de informar a los
auditores del nivel mínimo de rendimiento aceptable para satisfacer las
responsabilidades profesionales establecidas en el Código de Ética y de
informar a la gerencia y a otras partes interesadas de las expectativas de la
profesión con respecto al trabajo de aquellos que la ejercen.
Título de auditoría: Responsabilidad, autoridad y
rendimiento de cuentas La responsabilidad, la autoridad y el rendimiento de
cuentas abarcados por la función de auditoría de los sistemas de información se
documentarán de la manera apropiada en un título de auditoría o carta de
contratación.
Independencia: Independencia profesional En todas las
cuestiones relacionadas con la auditoría, el auditor de sistemas de información
deberá ser independiente de la organización auditada tanto en actitud como en
apariencia.
La función de auditoría de los sistemas de información
deberá ser lo suficientemente independiente del área que se está auditando para
permitir completar de manera objetiva la auditoría.
Ética y normas profesionales: Código de Ética
Profesional El auditor de sistemas de información deberá acatar el Código de
Ética Profesional de la Asociación de Auditoría y Control de Sistemas de
Información.
Idoneidad: Habilidades y conocimientos El auditor de
sistemas de información debe ser técnicamente idóneo, y tener las habilidades y
los conocimientos necesarios para realizar el trabajo como auditor.
Planificación: Planificación de la auditoría El
auditor de sistemas de información deberá planificar el trabajo de auditoría de
los sistemas de información para satisfacer los objetivos de la auditoría y
para cumplir con las normas aplicables de auditoría profesional.
Ejecución del trabajo de auditoría: Supervisión El
personal de auditoría de los sistemas de información debe recibir la
supervisión apropiada para proporcionar la garantía de que se cumpla con los
objetivos de la auditoría y que se satisfagan las normas aplicables de
auditoría profesional.
Informes: Contenido y formato de los informes En el
momento de completar el trabajo de auditoría, el auditor de sistemas de
información deberá proporcionar un informe, de formato apropiado, a los
destinatarios en cuestión. El informe de auditoría deberá enunciar el alcance,
los objetivos, el período de cobertura y la naturaleza y amplitud del trabajo
de auditoría realizado.
Actividades de seguimiento: Seguimiento El auditor de
sistemas de información deberá solicitar y evaluar la información apropiada con
respecto a hallazgos, conclusiones y recomendaciones relevantes anteriores para
determinar si se han implementado las acciones apropiadas de manera oportuna
ESTÁNDARES O NORMAS INTERNACIONALES
A continuación, se enuncian algunas de las
Normas que el Auditor de Sistemas de información debe conocer. El ajustarse a
estas normas no es obligatorio, pero el auditor de sistemas de información
debe estar preparado para justificar cualquier incumplimiento a estas.
Normas
Internacionales de Auditoría
Emitidas por IFAC (International Federation of
Accountants) en la NIA (Norma Internacional de Auditoria o International
Standard son Auditing, ISA) 15 y 16, donde se establece la necesidad de
utilizar otras técnicas además de las manuales.
Norma ISA 401, sobre Sistemas de Información por
Computadora. SAS No. 94 (The Effect of Information Technology on the Auditor’s Consideration
of Internal Control in a Financial Statement audit) dice que en una
organización que usa Tecnologías de Información, se puede ver afectada en uno
de los siguientes cinco componentes del control interno: el ambiente de
control, evaluación de riesgos, actividades de control, información,
comunicación y monitorio además de la forma en que se inicializan, registran,
procesan y reporta las transacciones.
La
norma SAP 1009 (Statement of
Auditing Practice) denominada Computer Assisted Audit Techniques
(CAATs) o Técnicas de Auditoria Asistidas por Computador, plantea la
importancia del uso de CAAT en auditorias en un entorno de sistemas de información
por computadora.
ISO 9000 es un conjunto de normas sobre calidad y gestión
de calidad, establecidas por la Organización Internacional de Normalización
(ISO). Se pueden aplicar en cualquier tipo de organización o actividad
orientada a la producción de bienes o servicios. Las normas recogen tanto el
contenido mínimo como las guías y herramientas específicas de implantación como
los métodos de auditoría. El ISO 9000 especifica la manera en que una
organización opera sus estándares de calidad, tiempos de entrega y niveles de
servicio. Existen más de 20 elementos en los estándares de esta ISO que se
relacionan con la manera en que los sistemas operan.
Información es confiable, (i.e. si un sistema funciona
sin errores significativos, o fallas durante un periodo de tiempo determinado
bajo un ambiente dado).
ESTÁNDARES ESPECIFICOS
1. ISO 27001:
Esta norma contiene los requisitos del sistema de gestión de seguridad de la
información. Tiene su origen en la BS 7799-2:2002 y es la norma con arreglo a
la cual se certifican por auditores externos los SGSI de las organizaciones.
Enumera en forma de resumen los objetivos de control y controles que desarrolla
la ISO 27002. Esta norma internacional (27001) especifica los requisitos para
establecer, implantar, poner en funcionamiento, controlar, revisar, mantener y
mejorar un SGSI documentado dentro del contexto global de los riesgos de
negocio de la organización. Especifica los requisitos para la implantación de
los controles de seguridad hechos a medida de las necesidades de organizaciones
individuales o partes de las mismas
3. ISO 12207: Este estándar "establece un marco
de referencia común para los procesos del ciclo de vida software, con una
terminología bien definida, que puede ser referenciada por la industria del
software” Tiene como objetivo principal proporcionar una estructura común para
que compradores, proveedores, desarrolladores, personal de mantenimiento,
operadores, gestores y técnicos involucrados en el desarrollo de software usen
un lenguaje común. Contiene procesos, actividades y tareas para aplicar durante
la adquisición de un sistema que contiene software, un producto software puro o
un servicio software, y durante el suministro, desarrollo, operación y
mantenimiento de productos software.
4. ISO/IEC 17799 (denominada también como ISO 27002)
es un estándar para la seguridad de la información. Este estándar internacional
de alto nivel para la administración de la seguridad de la información, fue
publicado por la ISO en diciembre de 2000 con el objeto de desarrollar un marco
de seguridad sobre el cual trabajen las organizaciones. Se define como una guía
en la implementación del sistema de administración de la seguridad de la
información, se orienta a preservar los siguientes principios de la seguridad
informática: Confidencialidad. Asegurar que únicamente personal autorizado
tenga acceso a la información. Integridad. Garantizar que la información no
será alterada, eliminada o destruida por entidades no autorizadas.
COSO
Comentarios
Publicar un comentario