constituyen las Redes Nodales, Líneas, Concentradores, Multiplexores, Redes Locales,
etc. no son sino el soporte físico-lógico del Tiempo Real. El auditor tropieza con la
dificultad técnica del entorno, pues ha de analizar situaciones y hechos alejados entre sí,
y está condicionado a la participación del monopolio telefónico que presta el soporte.
Como en otros casos, la Auditoria de este sector requiere un equipo de especialistas,
expertos simultáneamente en Comunicaciones y en Redes Locales (no hay que olvidarse
que en entornos geográficos reducidos, algunas empresas optan por el uso interno de
Redes Locales, diseñadas y cableadas con recursos propios).
El auditor de Comunicaciones deberá inquirir sobre los índices de utilización de las
líneas contratadas con información abundante sobre tiempos de desuso. Deberá
proveerse de la topología de la Red de Comunicaciones, actualizada, ya que la
desactualización de esta documentación significaría una grave debilidad. La inexistencia
de datos sobre cuantas líneas existen, cómo son y donde están instaladas, supondría que
se bordea la Inoperatividad Informática. Sin embargo, las debilidades más frecuentes o
importantes se encuentran en las disfunciones organizativas. La contratación e
instalación de líneas va asociada a la instalación de los Puestos de Trabajo
correspondientes (Pantallas, Servidores de Redes Locales, Computadoras con tarjetas de
Comunicaciones, impresoras, etc.). Todas estas actividades deben estar muy
coordinadas y de ser posible, dependientes de una sola organización.
Auditoria de la Seguridad informática:
La computadora es un instrumento que estructura gran cantidad de información, la cual
puede ser confidencial para individuos, empresas o instituciones, y puede ser mal
utilizada o divulgada a personas que hagan mal uso de esta. También puede ocurrir
robos, fraudes o sabotajes que provoquen la destrucción total o parcial de la actividad
computacional. Esta información puede ser de suma importancia, y el no tenerla en el
momento preciso puede provocar retrasos sumamente costosos.
En la actualidad y principalmente en las computadoras personales, se ha dado otro
factor que hay que considerar: el llamado "virus" de las computadoras, el cual, aunque
tiene diferentes intenciones, se encuentra principalmente para paquetes que son
copiados sin autorización ("piratas") y borra toda la información que se tiene en un
disco. Al auditar los sistemas se debe tener cuidado que no se tengan copias "piratas" o
bien que, al conectarnos en red con otras computadoras, no exista la posibilidad de
transmisión del virus. El uso inadecuado de la computadora comienza desde la
utilización de tiempo de máquina para usos ajenos de la organización, la copia de
programas para fines de comercialización sin reportar los derechos de autor hasta el
acceso por vía telefónica a bases de datos a fin de modificar la información con
propósitos fraudulentos.
La seguridad en la informática abarca los conceptos de seguridad física y seguridad
lógica. La seguridad física se refiere a la protección del Hardware y de los soportes de
datos, así como a la de los edificios e instalaciones que los albergan. Contempla las
situaciones de incendios, sabotajes, robos, catástrofes naturales, etc.
La seguridad lógica se refiere a la seguridad de uso del software, a la protección de los
datos, procesos y programas, así como la del ordenado y autorizado acceso de los
usuarios a la información.
Un método eficaz para proteger sistemas de computación es el software de control de
acceso. Dicho simplemente, los paquetes de control de acceso protegen contra el acceso
no autorizado, pues piden del usuario una contraseña antes de permitirle el acceso a
información confidencial. Dichos paquetes han sido populares desde hace muchos años
en el mundo de las computadoras grandes, y los principales proveedores ponen a
disposición de clientes algunos de estos paquetes.
Ejemplo: Existe una Aplicación de Seguridad que se llama SEOS, para Unix, que lo que
hace es auditar el nivel de Seguridad en todos los servidores, como ser: accesos a
archivos, accesos a directorios, que usuario lo hizo, si tenía o no tenía permiso, si no
tenía permiso porque falló, entrada de usuarios a cada uno de los servidores, fecha y
hora, accesos con password equivocada, cambios de password, etc. La Aplicación lo
puede graficar, tirar en números, puede hacer reportes, etc.
La seguridad informática se la puede dividir como Area General y como Area
Especifica (seguridad de Explotación, seguridad de las Aplicaciones, etc.). Así, se
podrán efectuar Auditorias de la Seguridad Global de una Instalación Informática –
Seguridad General- y Auditorias de la Seguridad de un área informática determinada –
Seguridad Especifica -.
Con el incremento de agresiones a instalaciones informáticas en los últimos años, se han
ido originando acciones para mejorar la Seguridad Informática a nivel físico. Los
accesos y conexiones indebidos a través de las Redes de Comunicaciones, han acelerado
el desarrollo de productos de Seguridad lógica y la utilización de sofisticados medios
criptograficos.
El sistema integral de seguridad debe comprender:
• Elementos administrativos
• Definición de una política de seguridad
• Organización y división de responsabilidades
• Seguridad física y contra catástrofes (incendio, terremotos, etc.)
• Prácticas de seguridad del personal
• Elementos técnicos y procedimientos
• Sistemas de seguridad (de equipos y de sistemas, incluyendo todos los
elementos, tanto redes como terminales.
• Aplicación de los sistemas de seguridad, incluyendo datos y archivos
• El papel de los auditores, tanto internos como externos
• Planeación de programas de desastre y su prueba.
La decisión de abordar una Auditoria Informática de Seguridad Global en una empresa,
se fundamenta en el estudio cuidadoso de los riesgos potenciales a los que está
sometida. Se elaboran "matrices de riesgo", en donde se consideran los factores de las
"Amenazas" a las que está sometida una instalación y los "Impactos" que aquellas
puedan causar cuando se presentan. Las matrices de riesgo se representan en cuadros de
doble entrada <
ocurrencia de los elementos de la matriz.
El cuadro muestra que si por error codificamos un parámetro que ordene el borrado de
un fichero, éste se borrará con certeza.
