Auditoría de Controles
usando
COBIT 5 e ISO 27002
Carlos Lobos Medina, CISA, CISM Academico
AGENDA
Controles de TI
Modelos de Buenas Practicas
Auditoría de Controles
Caso Práctico
Conclusiones
OBJETIVOS DE LAS EMPRESAS
OBJETIVOS DE LAS TI
CONTROLES DE TI
Los controles se diseñan para brindar una garantía razonable de que se logren los objetivos del negocio
Los controles se diseñan para brindar una garantía razonable de que eventos no deseados puedan
evitarse, detectase y/o corregirse
CONTROLES DE TI
¿EXISTIRAN CONTROLES QUE PERMITAN GARANTIZAR DE MANERA RAZONABLE QUE LOS SERVICIOS DE TI SE
ENTREGAN DE ACUERDO A LOS REQUISITOS DEL NEGOCIO?
ALCANCE CONTROLES DE TI
CONTROLES GENERALES
CONTROLES DE APLICACIÓN
Manual de Preparación Examen CRISK 2014
CONTROLES DEL NEGOCIO • Objetivos del Negocio
• Requerimientos • Regulaciones
• Riesgo del Negocio
• Políticas • Procedimientos de Operación • Sistema Operativo • Aplicaciones • Base de Datos • Dispositivos de Red
CATEGORÍA DE CONTROLES DE TI
CONTROLES CORRECTIVOS
Manual de Preparación Examen CRISK 2014
CONTROLES COMPENSATORIOS
CONTROLES DETECTIVOS CONTROLES DISUASIVOS CONTROLES PREVENTIVOS
INTERDEPENDENCIA DE CONTROLES
CONTROL CORRECTIVO
Manual de Preparación Examen CRISK 2014
CONTROL COMPENSATORIO DISUASIVO CONTROL DETECTIVO CONTROL PREVENTIVO EVENTO DE AMENAZA AMENAZA VULNERABILIDAD IMPACTO Reduce Protege Provoca Disminuye Activa Descubre Explota Reduce Factibilidad
ENTORNO DE TI
LAS TI EN LA ACTUALIDAD
FACTOR CLAVE DE DIFERENCIACIÓN
AUMENTO DE LOS NIVELES DE DEPENDENCIA NIVELES OPERATIVOS DE RIESGO ELEVADOS
TOMA DE DECISIONES DE MAYOR IMPACTO OBJETIVOS DEL NEGOCIO IMPULSADOS POR TI
AUMENTO EN LA COMPLEJIDAD Y HETEROGENEIDAD MAYOR INTEGRACIÓN Y FLEXIBILIDAD
¿Cómo saber si los controles existentes
brindan una garantía razonable de que
se logren los objetivos del negocio?
¿Cómo saber si los controles existentes
brindan una garantía razonable de que
eventos no deseados puedan evitarse,
detectase y/o corregirse?
MARCOS Y BUENAS PRÁCTICAS
ISO 27000 Gestión de Seguridad de la Información (SGSI) COBIT Gobernabilidad de TI ISO 20000 Gestión de servicios de TI ITIL ISO 31000 Gestión de Riesgos ISO 22301 Gestión de Continuidad NegocioBENEFICIOS DE LA ADOPCIÓN
ALTA ACEPTACIÓN A NIVEL INTERNACIONAL
REQUISITOS GENERICOS Y NEUTRALES TECNOLOGICAMENTE PROPORCIONAN DIRECTRICES DE IMPLEMENTACIÓN
ALTA APLICABILIDAD EN CUALQUIER TIPO DE ORGANIZACIÓN RECOGEN MEJORES PRACTICAS EN LA MATERIA
PROVEEN DE ELEMENTOS DE CONTROL Y MEDICIÓN
OTORGAN UNA LINEA BASE PARA LA CONDUCCIÓN DE ACTIVIDADES DE AUDITORÍA
COBIT 5.0
FOCO EN EL GOBIERNO DE TECNOLOGÍAS DE INFORMACIÓN
DEFINE 5 PRINCIPIOS ESTABLECE 7 CATALIZADORES
RECOGE BUENAS PRACTICAS DE DIVERSOS MARCOS REEMPLAZA EL 2012 A COBIT 4.1
PROPORCIONA 37 PROCESOS CATALIZADORES PROPORCIONA UNA FAMILIA DE PRODUCTOS
ISO 27002:2013
FACTOR CLAVE DE DIFERENCIACIÓN
AUMENTO DE LOS NIVELES DE DEPENDENCIA NIVELES OPERATIVOS DE RIESGO ELEVADOS
TOMA DE DECISIONES DE MAYOR IMPACTO OBJETIVOS DEL NEGOCIO IMPULSADOS POR TI
AUMENTO EN LA COMPLEJIDAD Y HETEROGENEIDAD MAYOR INTEGRACIÓN Y FLEXIBILIDAD
FOCO EN CONTROLES DE SEGURIDAD DE LA INFORMACIÓN
DEFINE 15 DOMINIOS DE SEGURIDAD ESTABLECE 34 OBJETIVOS DE CONTROL REESTRUCTURA LOS DOMINIOS DE CONTROL
REEMPLAZA A ISO 27002:2005
LINEAMIENTOS DE IMPLEMENTACIÓN DE 114 CONTROLES SE VINCULA UNA FAMILIA DE PRODUCTOS
ISO 27002:2013 - DOMINIOS
Política de seguridad de la Información Organización de la seguridad de la información
Seguridad de recursos humanos Administración de activos
Control de accesos Criptografía
Seguridad física y ambiental Seguridad de operaciones Seguridad de comunicaciones
Adquisición, desarrollo y mantención de sistemas Relaciones con proveedores
Administración de incidentes de seguridad Continuidad de la seguridad de la información
DESAFIO DE LA AUDITORÍA DE CONTROLES
Un reto al que se enfrentan los auditores, cuando llevan a cabo una auditoría de TI, es saber contra qué deben auditar.
Muchas organizaciones no han desarrollado completamente sus líneas de base para los controles de TI en todas las aplicaciones y tecnologías.
POSIBLES ESCENARIOS
ESCENARIO 1: La organización ha adoptado uno o más marcos de referencia para la gestión y operación de las TI
ESCENARIO 2: La organización ha desarrollado un propio de marco de referencia para la gestión y operación de las TI
ESCENARIO 3: La organización no posee un marco de referencia para la gestión y operación de las TI
ESCENARIOS 1
ESCENARIO 1: La organización ha adoptado uno o más marcos de referencia para la gestión y operación de las TI
Seleccionar controles claves del marco adoptado Evaluar efectividad de los controles seleccionados
ESCENARIO 2
ESCENARIO 2: La organización ha desarrollado un propio marco de referencia para la gestión y operación de las TI
Seleccionar controles claves del marco desarrollado
Evaluar efectividad de los controles
ESCENARIO 3
ESCENARIO 3: La organización no posee un marco de referencia para la gestión y operación de las TI
Identificar los marcos aplicables a la labor auditoría
Evaluar efectividad de los controles
Identificar criterios de auditoría específicos
BENEFICIOS PARA EL AUDITOR TI
Un auditor de TI puede hacer uso de estas normas como líneas de base para realizar su auditoría en referencia a ellas.
También pueden ser útiles para informar sobre deficiencias dado que se elimina la subjetividad.
Si se compara la afirmación: “sería conveniente mejorar la seguridad de las contraseñas” con “las contraseñas no están en conformidad con la normativa ISO 27001 sobre seguridad de la información”
ANTECEDENTES DEL CASO
DEFICIENTE ESTIMACIÓN DE RENDIMIENTO
FALTA DE CAPACITACIÓN FALTA DE PERSONAL CLAVE
DEFICIENTE ESTIMACIÓN DE CAPACIDAD ERRORES EN EL SOFTWARE
MALA GESTIÓN DE EXTERNALIZACIÓN PROBLEMAS DE CONTINUIDAD DEL NEGOCIO
EJEMPLO DE APLICACIÓN
PASO 1: Identificar los marcos aplicables
ISO 27002 Controles de Seguridad de la Información COBIT Gobernabilidad de TI
PASO 2: Seleccionar controles claves
PASO 3: Identificar criterios de auditoría específicos
COBIT
APO07.01 Mantener la dotación de personal suficiente y adecuada APO09.04 Supervisar e informar de los niveles de servicio
APO09.05 Revisar acuerdos de servicio y contratos
APO10.05 Supervisar el cumplimiento y el rendimiento del proveedor BAI04.01 Evaluar la disponibilidad, rendimiento y capacidad actual y
crear una línea de referencia
BAI04.02 Evaluar el impacto en el negocio
BAI04.04 Supervisar y revisar la disponibilidad y la capacidad BAI06.01 Evaluar, priorizar y autorizar peticiones de cambio
BAI07.02 Planificar la conversión de procesos de negocio, sistemas y datos
BAI07.05 Ejecutar pruebas de aceptación
DSS04.03 Desarrollar e implementar una respuesta a la continuidad del negocio
PASO 3: Identificar criterios de auditoría específicos
ISO 27002:2013 - DOMINIOS
Política de seguridad de la Información Organización de la seguridad de la información
Seguridad de recursos humanos Administración de activos
Control de accesos Criptografía
Seguridad física y ambiental Seguridad de operaciones Seguridad de comunicaciones
Adquisición, desarrollo y mantención de sistemas Relaciones con proveedores
Administración de incidentes de seguridad Continuidad de la seguridad de la información
PASO 3: Identificar criterios de auditoría específicos
ISO 27002
Controles de Seguridad de la Información
12.1.2 Administración de Cambios 12.1.3 Administración de Capacidad
12.5.1 Instalación de Software en Sistemas Operacionales 14.2.2 Procedimientos de gestión de cambios
14.2.3 Revisión técnica de las aplicaciones después de los cambios en la plataforma operativa
14.2.9 Pruebas de aceptación del sistema
15.2.1 Monitoreo y revisión de los servicios del proveedor
15.2.2 Administración de cambios en los servicios del proveedor 17.1.1 Planificación de la continuidad de la SI
17.1.2 Implementación de la continuidad de la SI
PASO 3: Identificar criterios de auditoría específicos
PASO 4: Evaluar la efectividad de los controles COBIT 5.0 Objetivos de Negocio ISO 27002 Regulaciones CRITERIOS Contexto Riesgo PROCEDIMIENTOS DE AUDITORÍA Auditoría Cumplimiento Auditoría Procedimental Auditoría de Controles Auditoría basada en Riesgos
CONCLUSIONES
La necesidad de implementar controles dependerá de los objetivos del negocio
El entorno de control en el ámbitos de las TI es complejo
La definición de un marco de referencia de TI al interior de las organizaciones es crucial
CONCLUSIONES
Los marcos de referencias como COBIT e ISO 27002 son instrumentos de alto valor en la auditoría de SI El apoyo en marcos y buenas practicas elimina la
subjetividad en actividades de auditoría
La comprensión y uso de estos marcos es clave para un Auditor de SI
La integración de estos marcos (y otros) permite el desarrollo de auditorías de un nivel de alcance y profundidad mucho mayor…. Nos permite hacer mejor nuestro trabajo.
