By Riesgos asociados con la seguridad de la información ¿Qué es el riesgo? El riesgo es una condición del mundo real, en el cual hay una exposición a la adversidad conformada por una combinación de circunstancias del entorno donde hay posibilidad de pérdidas. Los riesgos informáticos son exposiciones tales como atentados y amenazas a los sistemas de información. Riesgo asociados con los datos La preocupación principal de cualquier organización debe ser sus datos, porque suele ser un recurso único.
Los datos recopilado con el tiempo casi nunca se pueden recuperar del mismo modo e ncluso cuando esto es posible, el proceso es demasiado costoso y tarda mucho tiemp 2 La preocupación po b’ ap Swipe View next pase personalizadas, viene spú’e son susceptibles de i la destrucción del ha didas del negocio. do si no son os y aplicaciones bien el culpable de stre natural o una descarga en la corriente, el culpable del daño del software es casi siempre una persona.
Riesgo de información En ocasiones, la negligencia de las corporaciones y el uso descuidado de la tecnología, sobre todo en las conexiones públicas a Internet, crean «huecos» o vulnerabilidades en la seguridad. Tipos de riesgo de información: Riesgo de integridad Riesgo de procesamiento Información Riesgo de acceso Riesgos asociados con el uso de equipos informáticos Si bien las historias acerca de daños a los IS por ataques dolosos en Internet acaoaran titulares. a verdad acerca de los riesgos tiempo de interrupción del semicio es una falla en el hardware. Entre los riesgos para el hardware están el daño físico de las computadoras, el equipo periférico y los medios de comunicaciones. Las causas principales de tales daños son los desastres naturales, las Interrupciones prolongadas y omentáneas del suministro eléctrico así como el vandalismo.
Entre los desastres naturales que plantean un riesgo para los IS están los incendios, las inundaciones, los terremotos, los huracanes, los tornados y los rayos, los cuales pueden destruir el hardware, el software o ambos y, además, provocar la parálisis total o parcial de los sistemas o las líneas de comunicaciones. Las inundaciones pueden arruinar los medios de almacenamiento y provocar cortocircuitos que quemen componentes delicados como los microchips. Los rayos y las descargas del voltaje provocan que se fundan cables diminutos y destruyen los ircuitos.
Administración del riesgo La administración del riesgo consiste en todos los esfuerzos para preservar los activos y la capacidad de una empresa para generar dinero. El proceso de la administración del riesgo para desarrollar e implementar un programa de administración del riesgo se requieren cinco pasos: Paso 1. Identificar y comprender los riesgos. Paso 2. Evaluar los riesgos. paso 3. Seleccionar métodos para administrar el riesgo. Paso 4. Implementar la decisión. Paso 5: Evaluar y revisar.
Control y financiamiento del riesgo El control del riesgo implica minimizar las pérdidas por medio de u prevención, evitación y/o reducción. El financiamiento del riesgo se enfoca en contar con fondos disponibles para cubrir las pérdidas que el control del riesgo no puede eliminar 12 fondos disponibles para cubrir las pérdidas que el control del riesgo no puede eliminar Metas de seguridad de la información La función de los controles y la seguridad de la computadora es proteger los sistemas contra incidentes accidentales y el robo intencional y el daño de datos y las aplicaciones.
Las metas principales de la seguridad de la información son: Reducir el riesgo de que los sistemas y las organizaciones dejen e operar. Mantener la confidencialidad de la información. Asegurar la integridad y la confiabilidad de los recursos de datos. Asegurar la disponibilidad ininterrumpida de los recursos de datos y las operaciones en línea. Asegurar el cumplimiento de las políticas y las leyes acerca de la seguridad y la privacidad.
Los controles Los controles son restricciones impuestas a un usuario o un sistema y se usan para proteger los sistemas contra los riesgos o para reducir el daño causado a los sistemas, las aplicaciones y los datos. Solidez de un programa y controles de introducción de datos Se dice que un programa de computadora es «sólido» si: No contienen defectos y maneja bien las situaciones imprevistas. Resisten el uso inadecuado, como la Introducción o el procesamiento incorrecto de los datos.
Considera todos los usos erróneos o agresiones posibles. ncluye código que produce de inmediato un mensaje si un usuario se equivoca o Intenta alterar un proceso. Los controles también traducen las políticas empresariales en funciones del sistema. Respaldo Es probable que el modo más fácil de protección contra la pérdida de datos sea duplicar de manera automática todos los datos cada ierto tiempo, un proceso respaldo de los datos. 30F 12 Controles de acceso datos cada cierto tiempo, un proceso denominado respaldo de los datos.
Los controles de acceso son medidas adoptadas para asegurar que sólo quienes están autorizados tengan acceso a una computadora o red o a ciertas aplicaciones o datos. Los expertos prefieren clasificar los controles de acceso en tres grupos: Lo que usted sabe: incluye los códigos de acceso como las identificaciones de usuarios, los números de cuenta y las contraseñas. Lo que usted tiene: es algún tipo de dispositivo, como una tarjeta e seguridad, la cual usa de manera directa o la cual cambia sin cesar los códigos de acceso y los exhibe para usted.
Quien usted es: incluye sus características físicas unicas o biométricas. Transacciones atómicas En un IS eficiente, un usuario introduce los datos sólo una vez y los datos se registran en distintos archivos para propósitos diferentes, según las Instrucciones programadas del sistema. una transacción atómica (del griego átomos, indivisible) es un conjunto de transacciones indivisibles que se ejecutan todas o ninguna; nunca sólo una parte.
La utilización de transacciones tómicas asegura que ocurren sólo entradas completas en todos los archivos adecuados. Rastros de verificaciones contables Se requieren pasos adicionales para rastrear las transacciones de modo que: 1) cuando se detectan agresiones, sea posible seguirlas y 2) el temor de una detección desanime en forma indirecta a los agresores. El rastro de verificación contable: una serie de hechos uién registró cuáles documentados que ayuda 40F 12 transacciones, en qué mo a aprobación de quién. aprobación de quién.
Se crea en forma automática un rastro de verificación contable mediante datos como la fecha y la hora de la ransacción o el nombre o la contraseña del usuario que actualiza el archivo. El rastro de verificación contable es el instrumento más importante del auditor de los sistemas de información, el profesional cuya actividad es detectar casos de errores o de fraudes e investigarlos. Medidas de seguridad Varios modos en que las organizaciones pueden protegerse contra ataques son: El uso de firewalls: es hardware y software que bloquean el acceso a los recursos de cómputo.
La autenticación y el cifrado: La autenticación es el proceso de asegurar que la persona que envía un mensaje a o recibe un ensaje de usted es en esencia tal persona. La codificación de un mensaje a una forma ilegible para un interceptor se denomina cifrado. Las firmas digitales: Una firma digital es un modo de autenticar los mensajes en línea, similar a una firma física en un papel, pero implementada con cifrado de clave pública.
Los certificados digitales: para autenticar una firma digital, los compradores y los vendedores deben emplear certificados digitales que son archivos de computadora que equivalen a las tarjetas de identificación, porque asocian la identidad de una persona con la clave pública de esa persona. Las medidas de recuperación Las medidas de seguridad pueden reducir los incidentes indeseables, pero nadie puede controlar todos los desastres.
Plan de recuperación empresarial Con el fin de prepararse para los incidentes, naturales o malintencionados, muchas organizaciones tienen programas bien planificados, llamados planes de recuperación empresarial (también se deno programas bien planificados, llamados planes de recuperación empresarial (también se denominan planes de recuperación ante desastres, planes de reanudación empresarial o planes de continuidad empresarial). Los planes detallan lo que debe hacerse y quién debe hacerlo si se interrumpen los sistemas importantes.
Los expertos proponen nueve pasos para desarrollar un plan de recuperación empresarial: 1. Obtener el compromiso de la administración con el plan. La administración, debe nombrar a un coordinador de recuperación empresarial para desarrollar el plan y ejecutarlo si ocurre un desastre. 2. Establecer un comité de planificación. El coordinador establece un comité de planificación formado por representantes de todas las unidades empresariales que dependen de los IS basados en computadoras. . Realizar una valoración de riesgos y un análisis de impactos.
El comité valora cuáles operaciones pueden ser dañadas por los desastres y cuánto tiempo la organización puede continuar operando sin los recursos dañados. 4. Priorizar las necesidades de recuperación. 5. Seleccionar un plan de recuperación. 6. Seleccionar los vendedores. 7. Desarrollar e implementar el plan. 8. Probar el plan. 9. Probar y evaluar de manera continua Control interno de operaciones El sistema de control interno o sistema de gestión es un conjunto de áreas funcionales en una empresa y de acciones specializadas en la comunicación y el control en el interior de la empresa.
Control Interno Administrativo Existe un solo sistema de control interno, el administrativo, que es el plan de organización da empresa, con sus 6 2 correspondientes procedi odos operacionales V correspondientes procedimientos y métodos operacionales y contables, para ayudar, mediante el establecimiento de un medio adecuado al logro del objetivo administrativo de: Mantenerse informado de la situación de la empresa. Coordinar Funciones. Asegurarse de que están logrando los objetivos establecidos. Mantener una ejecución eficiente
Determinar si la empresa está operando conforme a las políticas establecidas. Objetivos de la administración El control de medio ambiente o ambiente control. EL control de evaluación de riesgo El control y sus actividades El control de sistema de comunicación e información El control de supervisión y monitoreo. Control Interno Contable Que todas las operaciones se registren: oportunamente, por el importe correcto; en las cuentas apropiadas, y, en el periodo contable en que se llevan a cabo, con el objeto de permitir la preparación de estados financieros y mantener el control contable de los activos.
Que todo lo contabilizado exista y que lo que exista este contabilizado, investigando cualquier diferencia para adoptar la consecuente y apropiada acción correctiva. Que las operaciones se realicen de acuerdo con autorizaciones generales y especificas de la administración. Que el acceso de los activos se permita solo de acuerdo con autorización administrativa.
Actividad económica de la empresa y su control interno Cambio en las organizaciones y el control interno Por los cambios tecnológicos, las aplicaciones económicas y por la llamada globalización de la economía, las organizaciones han enido evolucionando rápidamente y por ello los riesgos y, por ficarse, cambiándose a ende, los controles ha ten’ 7 2 nivel empresarial de una ende, los controles ha tenido que modificarse, cambiándose a nivel empresarial de una sociedad industrial o de consumo a una sociedad de la información del conocimiento y en cuanto a nivel tecnológico de una cultura telefónica a una cultura telemática.
Cambios en las organizaciones Nuevos sistemas Los sistemas de control interno se han rodeado también de nuevos subsistemas desarrollados informáticamente, integrados en el esquema de la organización por el conjunto de planes, étodos, principios, normas internas, procedimientos y mecanismos de verificación y evaluación, adoptados con el fin de procurar que todas las actividades operativas, actuaciones en general y administración de la información sean adecuadamente comunicadas y utilizadas.
Objetivos de los controles internos Nueva cultura de control interno Los riesgos varian La segregación de funciones en las actividades van cambiando. En las organizaciones hoy en día el personal va variando. Los valores morales de las personas se han invertido antiguamente se creía más en la buena fe de las personas. Objetivos básicos Proteger los activos y salvaguardar los bienes de la institución Verificar la razonabilidad y confianza de los informes financieros Promover la correcta utilización de las normas y políticas de la empresa Lograr el cumplimiento de las metas y objetivos programados.
Elementos del control interno Elementos de organizació ner un plan lógico y claro 80F 12 de las funciones organiza establezca líneas claras de segregue las funciones de los empleados. Elementos de sistema y procedimientos: un sistema adecuado para la autorización de transacciones y procedimientos seguros ara registrar sus resultados en términos financieros. Elementos de personal: en este va incluidos personas competentes en todos los niveles para cumplir con sus obligaciones satisfactoriamente.
Normas de calidad y ejecución claramente definidas y comunicadas al personal. Elementos de supervisión: una evaluación efectiva donde se examinen todos los normas y procedimientos en las dependencias. Normas Universales de Control Interno por áreas de balance Efectivo Normas universales para lograr control interno sobre las operaciones de caja Registrar los ingresos en forma inmediata Depositar intactos los ingresos diarios
Separar el manejo de efectivo del mantenimiento de registros contables No permitir que ninguna persona maneje una operación desde su iniciación hasta su conclusión Centralizar, tanto como sea posible, la recepción de efectivo Colocar las cajas registradoras en forma tal que los clientes puedan observar las cantidades registradas Efectuar todos los desembolsos por medio de cheque, con excepción de caja chica Establecer que las conciliaciones bancarias se efectúen por personas que no sean responsables de la emisión de cheques o del manejo de efectivo. El control interno sobre los desembolsos
Los cheques deberán ser pre numerados y toda la numeración erán ser inutilizados y controlada, los cheques ca 2 archivados en la secuencia s cheques pagados cheques con una maquina protectora. Esta práctica impide la alteración de los cheques Podrán requerirse dos firmas en cada cheque. Los funcionarios autorizados para firmar los cheques deberán revisar la documentacion comprobatoria y perforar tales documentos en el momento de firmar, con el fin de prevenir una segunda presentación de estos mismos documentos El funcionario que firma cheques deberá mantener control sobre os mismos hasta el momento en que son puestos en el correo.
Normalmente, el cheque llega a manos del funcionario completo en todos sus detalles con excepción de la firma. Es imperativo que los cheques firmados no regresen a la custodia del empleado que los preparó. Las conciliaciones en el manejo de ingresos o desembolsos y los estados de cuenta del banco deberán ser recibidos directamente por tal empleado y sin haber sido abiertos. Fraudes descubiertos en el área de desembolsos: La emisión de cheques no registrados La omisión en la conciliación bancaria de cheques en circulación El pago doble de comprobantes
Preparación y pago de comprobantes falsos Disminución de los descuentos sobre compras Aumento de los totales en las columnas de crédito a caja, acompañado de la disminución del efectivo recibido. El desfalco por medio de cheques no registrados. La disminución de las devoluciones y bonificaciones sobre compras, acompañada por la sustracción de una cantidad de efectivo equivalente. La falsificación de cheques y la obtención de firmas autorizadas en cheques en blanco El aumento en las cantidades de los comprobantes Cuentas por cobrar y transacciones de ventas: Documentos por cobrar nformes para uso de 0 DF 12
