Fundamentos y Conceptos Clave de la Auditoría de Sistemas de Información

Fundamentos de la Auditoría de Sistemas de Información

¿Qué es la auditoría de sistemas de información?

Es la revisión y evaluación de todos los aspectos (o cualquier porción) de los sistemas automatizados de procesamiento de información, incluyendo los procesos no automatizados relacionados y las interfaces entre ellos. Definición según la Information Systems Audit and Control Association (ISACA).

Definición de auditoría

Es un proceso sistemático de obtención y evaluación objetiva de evidencias respecto a afirmaciones o aseveraciones acerca de hechos y eventos económicos, para determinar el grado de correspondencia entre tales aseveraciones y los criterios establecidos, y comunicar los resultados a los usuarios interesados.

¿Qué es la auditoría en informática?

Es la revisión y la evaluación de los controles, sistemas y procedimientos de informática.

Metodología de Pruebas

• Pruebas sustantivas: También llamadas pruebas de riesgo, su propósito es sustentar cifras y/o determinar el grado de ocurrencia de eventos, hechos, riesgos, etc.
• Pruebas de cumplimiento: También llamadas pruebas de control, verifican el grado de cumplimiento y/o funcionamiento del control.

Gestión de Riesgos y Seguridad

Conceptos fundamentales

• Riesgo (según normas ISO 27002): Es la combinación de la probabilidad de un evento y de sus consecuencias.
• Evaluación de riesgo: Es el proceso global del análisis del riesgo y valoración del riesgo.
• Gestión de riesgo: Actividades dirigidas para dirigir y controlar una organización con respecto al riesgo.
• Riesgo (según COBIT): Es el potencial de que una amenaza específica explote las debilidades de un activo o grupo de activos para ocasionar pérdida y/o daño a los activos. Por lo general, se mide por medio de una combinación del impacto y la probabilidad de ocurrencia.

Objetivos y Gobernanza de la Auditoría

Objetivos principales de la auditoría de sistemas

• Evaluar y verificar el control interno en todos los aspectos de los sistemas automatizados de procesamiento de datos de la empresa.
• Verificar que los sistemas de información automatizados satisfagan los siete criterios de la información de negocios requeridos por COBIT.
• Verificar que los controles utilizados en los sistemas de información protejan a las organizaciones contra los riesgos que podrían afectarlas a través de sus recursos de cómputo.

Aspectos normativos y organizacionales

• Rol de la auditoría interna: Debe establecerse en el estatuto de auditoría externa (Falso). El rol de la función interna de auditoría de SI debe establecerse en un estatuto de auditoría aprobado por la alta dirección (Verdadero).
• Aprobación del estatuto: El estatuto de la auditoría debe ser aprobado por el gerente de TI (Falso). Debe ser aprobado a un nivel apropiado dentro de la organización.
• Vulnerabilidad: La vulnerabilidad es aprovechada por una o más amenazas (Verdadero).
• Asesoría: La auditoría en sistemas de información (ASI) asesora a la administración en asuntos de cómputo (Verdadero).
• Prevención: Prevenir la ocurrencia de situaciones perjudiciales para la organización es uno de los objetivos de la auditoría de sistemas (Falso).