AFI_Abril Hernández: Etapas y Lineamientos del Proceso de Auditoria Informática

Conceptos

Proceso: Conjunto de actividades mutuamente relacionadas o que interactúan, las cuales transforman elementos de entrada en resultados
Procedimiento: Forma especificada para llevar a cabo una actividad o un proceso
No conformidad: Incumplimiento de un requisito
Conformidad: Cumplimiento de un requisito
Requisito: Necesidad o expectativa establecida, generalmente implícita u obligatoria

Etapas

FASE	ACTIVIDADES
Conocimiento del sistema o área auditada	Identificar el origen de la auditoria. Realizar visitas para conocer procesos, activos informáticos, procesos y organización del área auditada. Determinar las vulnerabilidades, y amenazas informáticas a que está expuesta la organización. Determinar el objetivo de la auditoría de acuerdo a las vulnerabilidades, y amenazas informáticas encontradas.
Planeación de la Auditoria de Sistemas	Elaborar el plan de auditoría Seleccionar los estándares a utilizar de acuerdo al objetivo (CobIT, MAGERIT, ISO/IEC 27001, ISO/IEC 27002, otro) De acuerdo al estándar elegido, seleccionar los ítems que serán evaluados que estén en relación directa con el objetivo y alcances definidos en el plan. Seleccionar el equipo de trabajo y asignar tareas específicas Determinar las actividades que se llevarán a cabo y los tiempos en que serán llevadas a cabo en cada ítem evaluado. (Programa de auditoría) Diseñar instrumentos para recolección de información (formatos de entrevistas, formatos de listas de chequeo, formatos de cuestionarios) Diseñar el plan de pruebas (formato pruebas)
Ejecución de la Auditoria de Sistemas	Aplicar los instrumentos de recolección de información diseñados Ejecutar las pruebas del plan de pruebas Levantar la información de activos informáticos de la organización auditada Determinar las vulnerabilidades y amenazas informáticas aplicando una metodología (MAGERIT) Realizar la valoración de las amenazas y vulnerabilidades encontradas y probadas Realizar el proceso de evaluación de riesgos Determinar el tratamiento de los riesgos
Resultados de la Auditoria de Sistemas	Determinar las soluciones para los hallazgos encontrados (controles) Elaborar el Dictamen para cada uno de los procesos evaluados. Elaborar el informe final de auditoría para su presentación y sustentación Integrar y organizar los papeles de trabajo de la auditoria Diseñar las políticas y procedimientos integrando los controles definidos

ISO 2001:2015

Es una norma desarrollada basándose en todos los retos empresariales con los que se enfrentan las empresas de hoy en día no importando tamaño y sector. La norma es lo suficientemente flexible como para ofrecer a las organizaciones no solo una herramienta para la gestión de la calidad, sino también un marco significativo para la mejora empresarial gracias a la eficacia y la mejora de la satisfacción del cliente.

Requisitos de la norma: