Auditoría de Conformidad: Documentación Técnica y Despliegue de Software en Entornos de Producción

Auditoría de Estándares y Procedimientos en Desarrollo de Software

Este documento detalla los procedimientos de auditoría para verificar la aplicación de estándares y la correcta gestión de la documentación técnica y el despliegue de software en entornos de producción.

Verificación de Estándares en Aplicaciones Desarrolladas

Mediante la revisión de la documentación de las últimas aplicaciones desarrolladas, se debe verificar la aplicación de los estándares en vigencia.

Papeles de Trabajo

• Descripción de la verificación realizada a los estándares.
• Análisis de los estándares de documentación existentes.
• Análisis de los resultados obtenidos.

Referencia de Control: C-27

Objetivo de la Prueba

Determinar la existencia de una adecuada documentación técnica en cada aplicación, así como su correcta administración.

Procedimiento de Auditoría

1. Solicitar la documentación técnica de una aplicación y verificar que contenga, al menos, lo siguiente (independientemente de que esté escrita o en formato digital):
   • Definición del problema.
   • Flujograma general de la aplicación (narración gráfica del flujo de información en la aplicación).
   • Descripción gráfica y narrativa de los archivos, tablas, bases de datos, etc.
   • Descripción gráfica y narrativa de los menús y entidades relacionadas.
2. Mediante conversaciones con analistas y programadores, determinar si la documentación técnica o alguna sección de la misma se actualiza cada vez que se modifica un programa.
3. Determinar si la custodia de la documentación técnica es apropiada:
   • Que esté restringida a todo el personal en un archivo bajo llave.
   • Que esté bajo la custodia de una persona responsable.
   • Que los analistas y programadores no tengan acceso a la documentación técnica, salvo autorización expresa para realizar cambios o modificaciones.
4. Verificar que exista una copia externa de la documentación técnica en otra instalación fuera del edificio.
5. Verificar que existen controles adecuados sobre la documentación de los sistemas que consideren, al menos, lo siguiente:
   • La documentación de los sistemas se debe almacenar con seguridad.
   • La lista de acceso a la documentación de los sistemas se debe limitar al máximo y ser autorizada por el propietario de la aplicación.
   • La documentación de los sistemas mantenida o suministrada a través de una red pública se debe proteger adecuadamente.

Referencia de Control: C-28

Objetivo de la Prueba

Determinar que existen procedimientos adecuados para controlar la implantación del software en el servidor de producción.

Procedimiento de Auditoría

Verificar que existen procedimientos adecuados para controlar la implantación de software en los servidores de producción para evitar el riesgo de manipulación de programas y datos.

1. La actualización de las bibliotecas de los programas operativos debe realizarse por el responsable autorizado y debidamente supervisado.

Los programas operativos deberían tener solo un código ejecutable.