 | |
REDESII | | |
 Medición y desempeño de una Red
INSTRUMENTOS DE MEDICIÓN PARA REDES
Una de las principales responsabilidades de un administrador de redes es garantizar el eficiente
desempeño de la red y que
su servicio no se deteriore. Dado que los usuarios nuevos y ocasionales pueden tener
problemas con funciones de red tan
rutinarias como por ejemplo la conexión o entrada, los supervisores de red deben ayudarlos estableciendo rutinas que se
han de seguir. En el caso del software de red IBM, dichas rutinas son archivos por lote
personalizados, que sólo necesitan
escribirse una vez. Netware de Novell incluye argumentos de petición de entrada; aunque el supervisor
sólo le toma unos
cuantos minutos escribirlos, pede ahorrarle horas a los usuarios inexpertos y eliminar muchas frustraciones.
Otra área de la eficiencia de la red que el supervisor debe monitorear son las estadísticas de tráfico de red. Por ejemplo, al
examinar las estadísticas de uso de la impresora, el supervisor puede determinar que es necesario rebobinar e imprimir
ciertos informes de bitácora después de las horas pico. El uso intensivo de ciertos programas de contabilidad, que exigen
demasiado acceso al servidor de archivo, puede disminuir la velocidad de toda la red. El
supervisor puede decidir que es
necesario añadir un servidor de archivos independiente para el departamento de contabilidad,
con el objeto de acelerar el
resto de la red.
El administrador de red es el encargado de una red de área local. Se mencionarán algunos de los
programas más
importantes de administración que emplea un administrador de red como son el administrador de protocolos,
los
analizadores de red, etc.
Hay cinco áreas funcionales de la administración de redes que son la administración de la configuración,
el manejo de fallas,
la administración de desempeño, de la seguridad y de la contabilidad.
ANALIZADORES DE RED
Varias compañías ofrecen analizadores de red, incluyendo Network General. Hewlett-Packard, Spider
System y Novell.
Watchdog, de Network General, es un ejemplo del software (y hardware) que puede emplear un administrador
de red para
garantizar que esta funcione con eficiencia. La estación en la que se carga este software incluye
una tarjeta de interfaz de red
que le permite a la estación de trabajo capturar datos de red en tiempo real. El programa Watchdog
ofrece información
estadística detallada sobre los patrones de tráfico de la red, que puede desplegarse gráficamente de
manera que el
administrador pueda ver qué estaciones de trabajo generan más tráfico.
Watchdog puede reportar las estaciones de trabajo que están generando más paquetes con errores (un indicador
de que la
red puede tener una tarjeta de interfaz de red defectuosa). El administrador de la red también
puede monitorear el tráfico
entre un servidor de archivos y un servidor de impresión, o entre dos estaciones de trabajo, para
examinar cuellos de
botellas potenciales que podrían estar causando congestión en el tráfico de la red.
Una ventaja de recopilar estadísticas de tráfico cuando la red está operando de modo eficiente es que
proporciona una
marca de comparación, que el administrador pueda utilizar para descubrir por qué de pronto una
red empieza a operar con
lentitud. Watchdog también cuenta con una función de revisión de cables que permite verificar
un segmento de la red para
ver si existe algún problema con el cableado. Compass de Microtest ofrece características y funciones
similares.
AUDITORIA DE REDES
El término de Auditoría se ha empleado incorrectamente con frecuencia ya que se ha considerado como
una evaluación cuyo
único fin es detectar errores y señalar fallas. A causa de esto, se ha tomado la frase "Tiene Auditoría"
como sinónimo de que,
en dicha entidad, antes de realizarse la auditoría, ya se habían detectado fallas.
El concepto de auditoría es mucho más que esto. Es un examen crítico que se realiza con el fin de evaluar
la eficacia y
eficiencia de una sección, un organismo, una entidad, etc.
La palabra auditoría proviene del latín auditorius, y de esta proviene la palabra auditor,
que se refiere a todo aquel que tiene
la virtud de oír. Por otra parte, el diccionario Español Sopena lo define como: Revisor de Cuentas colegiado.
En un principio
esta definición carece de la explicación del objetivo fundamental que persigue todo auditor: evaluar
la eficiencia y eficacia.
Auditoría de Redes:
Para el informático y para el auditor informático, el entramado conceptual que constituyen las Redes
Nodales, Líneas,
Concentradores, Multiplexores, Redes Locales, etc. no son sino el soporte físico-lógico del Tiempo Real.
El auditor tropieza
con la dificultad técnica del entorno, pues ha de analizar situaciones y hechos alejados entre sí, y
está condicionado a la
participación del monopolio telefónico que presta el soporte. Como en otros casos, la auditoría de este
sector requiere un
equipo de especialistas, expertos simultáneamente en Comunicaciones y en Redes Locales (no hay que olvidarse
que en
entornos geográficos reducidos, algunas empresas optan por el uso interno de Redes Locales, diseñadas
y cableadas con
recursos propios).
El auditor de Comunicaciones deberá inquirir sobre los índices de utilización de las líneas contratadas
con información
abundante sobre tiempos de desuso. Deberá proveerse de la topología de la Red de Comunicaciones, actualizada,
ya que la
desactualizacion de esta documentación significaría una grave debilidad. La inexistencia de datos sobre
la cuantas líneas
existen, cómo son y donde están instaladas, supondría que se bordea la Inoperatividad Informática. Sin
embargo, las
debilidades más frecuentes o importantes se encuentran en las disfunciones organizativas. La contratación
e instalación de
líneas va asociada a la instalación de los Puestos de Trabajo correspondientes (Pantallas, Servidores
de Redes Locales,
Computadoras con tarjetas de Comunicaciones, impresoras, etc.). Todas estas actividades deben estar
muy coordinadas y a
ser posible, dependientes de una sola organización.
Auditoría de la Seguridad informática:
La computadora es un instrumento que estructura gran cantidad de información, la cual puede ser confidencial
para
individuos, empresas o instituciones, y puede ser mal utilizada o divulgada a personas que hagan mal
uso de esta. También
puede ocurrir robos, fraudes o sabotajes que provoquen la destrucción total o parcial de la actividad
computacional. Esta
información puede ser de suma importancia, y el no tenerla en el momento preciso puede provocar retrasos
sumamente
costosos.
En la actualidad y principalmente en las computadoras personales, se ha dado otro factor que hay que
considerar: el llamado
"virus" de las computadoras, el cual, aunque tiene diferentes intenciones, se encuentra principalmente
para paquetes que son
copiados sin autorización ("piratas") y borra toda la información que se tiene en un disco.
Al auditar los sistemas se debe
tener cuidado que no se tengan copias "piratas" o bien que, al conectarnos en red con otras
computadoras, no exista la
posibilidad de transmisión del virus. El uso inadecuado de la computadora comienza desde la utilización
de tiempo de
máquina para usos ajenos de la organización, la copia de programas para fines de comercialización sin
reportar los derechos
de autor hasta el acceso por vía telefónica a bases de datos a fin de modificar la información con propósitos
fraudulentos.
La seguridad en la informática abarca los conceptos de seguridad física y seguridad lógica. La seguridad
física se refiere a la
protección del Hardware y de los soportes de datos, así como a la de los edificios e instalaciones que
los albergan.
Contempla las situaciones de incendios, sabotajes, robos, catástrofes naturales, etc.
La seguridad lógica se refiere a la seguridad de uso del software, a la protección de los datos, procesos
y programas, así
como la del ordenado y autorizado acceso de los usuarios a la información.
Un método eficaz para proteger sistemas de computación es el software de control de acceso. Dicho simplemente,
los
paquetes de control de acceso protegen contra el acceso no autorizado, pues piden del usuario una contraseña
antes de
permitirle el acceso a información confidencial. Dichos paquetes han sido populares desde hace muchos
años en el mundo
de las computadoras grandes, y los principales proveedores ponen a disposición de clientes algunos de
estos paquetes.
Ejemplo: Existe una Aplicación de Seguridad que se llama SEOS, para Unix, que lo que hace es auditar
el
nivel de Seguridad en todos los servidores, como ser: accesos a archivos, accesos a directorios, que
usuario lo hizo,
si tenía o no tenía permiso, si no tenía permiso porque falló, entrada de usuarios a cada uno de los
servidores, fecha
y hora, accesos con password equivocada, cambios de password, etc. La Aplicación lo puede graficar,
tirar en
números, puede hacer reportes, etc.
La seguridad informática se la puede dividir como Area General y como Area Especifica (seguridad de
Explotación,
seguridad de las Aplicaciones, etc.). Así, se podrán efectuar auditorías de la Seguridad Global de una
Instalación Informática
–Seguridad General- y auditorías de la Seguridad de un área informática determinada – Seguridad Especifica
-.
Con el incremento de agresiones a instalaciones informáticas en los últimos años, se han ido originando
acciones para
mejorar la Seguridad Informática a nivel físico. Los accesos y conexiones indebidos a través de las
Redes de
Comunicaciones, han acelerado el desarrollo de productos de Seguridad lógica y la utilización de sofisticados
medios
criptograficos.
El sistema integral de seguridad debe comprender:
Elementos administrativos
Definición de una política de seguridad
Organización y división de responsabilidades
Seguridad física y contra catástrofes(incendio, terremotos, etc.)
Prácticas de seguridad del personal
Elementos técnicos y procedimientos
Sistemas de seguridad (de equipos y de sistemas, incluyendo todos los elementos, tanto redes como terminales.
Aplicación de los sistemas de seguridad, incluyendo datos y archivos
El papel de los auditores, tanto internos como externos
Planeación de programas de desastre y su prueba.
La decisión de abordar una Auditoría Informática de Seguridad Global en una empresa, se fundamenta en
el estudio
cuidadoso de los riesgos potenciales a los que está sometida. Se elaboran "matrices de riesgo",
en donde se consideran los
factores de las "Amenazas" a las que está sometida una instalación y los "Impactos"
que aquellas puedan causar cuando se
presentan. Las matrices de riesgo se representan en cuadros de doble entrada <<Amenaza-Impacto>>,
en donde se evalúan
las probabilidades de ocurrencia de los elementos de la matriz.
El cuadro muestra que si por error codificamos un parámetro que ordene el borrado de un fichero, éste
se borrará con
certeza.
Definición de Alcance y Objetivos
El alcance de la auditoría expresa los límites de la misma. Debe existir un acuerdo muy preciso entre
auditores y clientes
sobre las funciones, las materias y las organizaciones a auditar.
A los efectos de acotar el trabajo, resulta muy beneficioso para ambas partes expresar las excepciones
de alcance de la
auditoría, es decir cuales materias, funciones u organizaciones no van a ser auditadas.
Tanto los alcances como las excepciones deben figurar al comienzo del Informe Final.
Las personas que realizan la auditoría han de conocer con la mayor exactitud posible los objetivos a
los que su tarea debe
llegar. Deben comprender los deseos y pretensiones del cliente, de forma que las metas fijadas puedan
ser cumplidas.
Una vez definidos los objetivos (objetivos específicos), éstos se añadirán a los objetivos generales
y comunes de a toda
auditoría Informática: La operatividad de los Sistemas y los Controles Generales de Gestión Informática.
Estudio Inicial
Para realizar dicho estudio ha de examinarse las funciones y actividades generales de la informática.
Para su realización el auditor debe conocer lo siguiente:
Organización:
Para el equipo auditor, el conocimiento de quién ordena, quién diseña y quién ejecuta es fundamental.
Para realizar
esto en auditor deberá fijarse en:
1) Organigrama:
El organigrama expresa la estructura oficial de la organización a auditar.
Si se descubriera que existe un organigrama fáctico diferente al oficial, se pondrá de manifiesto tal
circunstancia.
2) Departamentos:
Se entiende como departamento a los órganos que siguen inmediatamente a la Dirección. El equipo auditor
describirá brevemente las
funciones de cada uno de ellos.
3) Relaciones Jerárquicas y funcionales entre órganos de la Organización:
El equipo auditor verificará si se cumplen las relaciones funcionales y Jerárquicas previstas por el
organigrama, o por
el contrario detectará, por ejemplo, si algún empleado tiene dos jefes.
Las de Jerarquía implican la correspondiente subordinación. Las funcionales por el contrario, indican
relaciones no
estrictamente subordinables.
Flujos de Información:
Además de las corrientes verticales intradepartamentales, la estructura organizativa cualquiera que
sea, produce corrientes
de información horizontales y oblicuas extradepartamentales.
Los flujos de información entre los grupos de una organización son necesarios para su eficiente gestión,
siempre y cuando
tales corrientes no distorsionen el propio organigrama.
En ocasiones, las organizaciones crean espontáneamente canales alternativos de información, sin los
cuales las funciones no
podrían ejercerse con eficacia; estos canales alternativos se producen porque hay pequeños o grandes
fallos en la estructura
y en el organigrama que los representa.
Otras veces, la aparición de flujos de información no previstos obedece a afinidades personales o simple
comodidad. Estos
flujos de información son indeseables y producen graves perturbaciones en la organización.
-
Número de Puestos de trabajo
El equipo auditor comprobará que los nombres de los Puesto de los Puestos de Trabajo de la organización
corresponden a las funciones
reales distintas.
Es frecuente que bajo nombres diferentes se realicen funciones idénticas, lo cual indica la existencia
de funciones operativas
redundantes.
Esta situación pone de manifiesto deficiencias estructurales; los auditores darán a conocer tal circunstancia
y expresarán el
número de puestos de trabajo verdaderamente diferentes.
Número de personas por Puesto de Trabajo
Es un parámetro que los auditores informáticos deben considerar. La inadecuación del personal determina
que el número de
personas que realizan las mismas funciones rara vez coincida con la estructura oficial de la organización.
Entorno Operacional
El equipo de auditoría informática debe poseer una adecuada referencia del entorno en el que va a desenvolverse.
Este conocimiento previo se logra determinando, fundamentalmente, los siguientes extremos:
Situación geográfica de los Sistemas:
Se determinará la ubicación geográfica de los distintos Centros de Proceso de Datos en la empresa. A
continuación, se
verificará la existencia de responsables en cada unos de ellos, así como el uso de los mismos estándares
de trabajo.
b. Arquitectura y configuración de Hardware y Software:
Cuando existen varios equipos, es fundamental la configuración elegida para cada uno de ellos, ya que
los mismos deben
constituir un sistema compatible e intercomunicado. La configuración de los sistemas esta muy ligada
a las políticas de
seguridad lógica de las compañías.
Los auditores, en su estudio inicial, deben tener en su poder la distribución e interconexión de los
equipos.
Inventario de Hardware y Software:
El auditor recabará información escrita, en donde figuren todos los elementos físicos y lógicos de la
instalación. En cuanto a Hardware
figurarán las CPUs, unidades de control local y remotas, periféricos de todo tipo, etc.
El inventario de software debe contener todos los productos lógicos del Sistema, desde el software básico
hasta los
programas de utilidad adquiridos o desarrollados internamente. Suele ser habitual clasificarlos en facturables
y no facturables.
d. Comunicación y Redes de Comunicación:
En el estudio inicial los auditores dispondrán del número, situación y características principales de
las líneas, así como de los accesos a la red
pública de comunicaciones.
Igualmente, poseerán información de las Redes Locales de la Empresa.
Aplicaciones bases de datos y ficheros
El estudio inicial que han de realizar los auditores se cierra y culmina con una idea general de los
procesos informáticos
realizados en la empresa auditada. Para ello deberán conocer lo siguiente:
Volumen, antigüedad y complejidad de las Aplicaciones
Metodología del Diseño
Se clasificará globalmente la existencia total o parcial de metodología en el desarrollo de las aplicaciones.
Si se han utilizados
varias a lo largo del tiempo se pondrá de manifiesto.
Documentación
La existencia de una adecuada documentación de las aplicaciones proporciona beneficios tangibles e inmediatos
muy importantes.
La documentación de programas disminuye gravemente el mantenimiento de los mismos.
Cantidad y complejidad de Bases de Datos y Ficheros.
El auditor recabará información de tamaño y características de las Bases de Datos, clasificándolas en
relación y jerarquías.
Hallará un promedio de número de accesos a ellas por hora o días. Esta operación se repetirá con los
ficheros, así como la
frecuencia de actualizaciones de los mismos.
Estos datos proporcionan una visión aceptable de las características de la carga informática.
Determinación de recursos de la auditoría Informática
Mediante los resultados del estudio inicial realizado se procede a determinar los recursos humanos y
materiales que han de
emplearse en la auditoría.
Recursos materiales
Es muy importante su determinación, por cuanto la mayoría de ellos son proporcionados por el cliente.
Las herramientas
software propias del equipo van a utilizarse igualmente en el sistema auditado, por lo que han de convenirse
en lo posible las
fechas y horas de uso entre el auditor y cliente.
Los recursos materiales del auditor son de dos tipos:
Recursos materiales Software
Programas propios de la auditoria: Son muy potentes y Flexibles. Habitualmente se añaden a las
ejecuciones de los
procesos del cliente para verificarlos.
Monitores: Se utilizan en función del grado de desarrollo observado en la actividad de Técnica
de Sistemas del auditado y
de la cantidad y calidad de los datos ya existentes.
Recursos materiales Hardware
Los recursos hardware que el auditor necesita son proporcionados por el cliente. Los procesos de control
deben efectuarse
necesariamente en las Computadoras del auditado.
Para lo cuál habrá de convenir, tiempo de maquina, espacio de disco, impresoras ocupadas, etc.
Informe Final
La función de la auditoría se materializa exclusivamente por escrito. Por lo tanto la elaboración final
es el exponente de su
calidad.
Resulta evidente la necesidad de redactar borradores e informes parciales previos al informe final,
los que son elementos de
contraste entre opinión entre auditor y auditado y que pueden descubrir fallos de apreciación en el
auditor.
Estructura del informe final:
El informe comienza con la fecha de comienzo de la auditoría y la fecha de redacción del mismo. Se incluyen
los nombres del
equipo auditor y los nombres de todas las personas entrevistadas, con indicación de la jefatura, responsabilidad
y puesto de
trabajo que ostente.
Definición de objetivos y alcance de la auditoría.
Enumeración de temas considerados:
Antes de tratarlos con profundidad, se enumerarán lo más exhaustivamente posible todos los temas objeto
de la auditoría.
Cuerpo expositivo:
Para cada tema, se seguirá el siguiente orden a saber:
a) Situación actual. Cuando se trate de una revisión periódica, en la que se analiza no solamente una
situación sino
además su evolución en el tiempo, se expondrá la situación prevista y la situación real
b) Tendencias. Se tratarán de hallar parámetros que permitan establecer tendencias futuras.
c) Puntos débiles y amenazas.
d) Recomendaciones y planes de acción. Constituyen junto con la exposición de puntos débiles, el verdadero
objetivo de la auditoría informática.
e) Redacción posterior de la Carta de Introducción o Presentación.
Modelo conceptual de la exposición del informe final:
- El informe debe incluir solamente hechos importantes.
La inclusión de hechos poco relevantes o accesorios desvía la atención del lector.
- El Informe debe consolidar los hechos que se describen en el mismo.
El término de "hechos consolidados" adquiere un especial significado de verificación objetiva
y de estar documentalmente
probados y soportados. La consolidación de los hechos debe satisfacer, al menos los siguientes criterios:
El hecho debe poder ser sometido a cambios.
Las ventajas del cambio deben superar los inconvenientes derivados de mantener la situación.
No deben existir alternativas viables que superen al cambio propuesto.
La recomendación del auditor sobre el hecho debe mantener o mejorar las normas y estándares existentes
en
Carta de introducción o presentación del informe final:
La carta de introducción tiene especial importancia porque en ella ha de resumirse la auditoría realizada.
Se destina
exclusivamente al responsable máximo de la empresa, o a la persona concreta que encargo o contrato la
auditoría.
Así como pueden existir tantas copias del informe Final como solicite el cliente, la auditoría no hará
copias de la citada carta
de Introducción.
La carta de introducción poseerá los siguientes atributos:
Tendrá como máximo 4 folios.
Incluirá fecha, naturaleza, objetivos y alcance.
Cuantificará la importancia de las áreas analizadas.
Proporcionará una conclusión general, concretando las áreas de gran debilidad.
Presentará las debilidades en orden de importancia y gravedad.
En la carta de Introducción no se escribirán nunca recomendaciones.
CRMR (Computer resource management review)
Definición de la metodología CRMR:
CRMR son las siglas de <<Computer resource management review>>; su traducción más adecuada,
Evaluación de la
gestión de recursos informáticos. En cualquier caso, esta terminología quiere destacar la posibilidad
de realizar una
evaluación de eficiencia de utilización de los recursos por medio del management.
Una revisión de esta naturaleza no tiene en sí misma el grado de profundidad de una auditoría informática
global, pero
proporciona soluciones más rápidas a problemas concretos y notorios.
Supuestos de aplicación:
En función de la definición dada, la metodología abreviada CRMR es aplicable más a deficiencias organizativas
y gerenciales
que a problemas de tipo técnico, pero no cubre cualquier área de un Centro de Procesos de Datos.
El método CRMR puede aplicarse cuando se producen algunas de las situaciones que se citan:
Se detecta una mala respuesta a las peticiones y necesidades de los usuarios.
Los resultados del Centro de Procesos de Datos no están a disposición de los usuarios en el momento
oportuno.
Se genera con alguna frecuencia información errónea por fallos de datos o proceso.
Existen sobrecargas frecuentes de capacidad de proceso.
Existen costes excesivos de proceso en el Centro de Proceso de Datos.
Efectivamente, son éstas y no otras las situaciones que el auditor informático encuentra con mayor frecuencia.
Aunque
pueden existir factores técnicos que causen las debilidades descritas, hay que convenir en la mayor
incidencia de fallos de
gestión.
Areas de aplicación:
Las áreas en que el método CRMR puede ser aplicado se corresponden con las sujetas a las condiciones
de aplicación
señaladas en punto anterior:
Gestión de Datos.
Control de Operaciones.
Control y utilización de recursos materiales y humanos.
Interfaces y relaciones con usuarios.
Planificación.
Organización y administración.
Ciertamente, el CRMR no es adecuado para evaluar la procedencia de adquisición de nuevos equipos (Capacity
Planning) o
para revisar muy a fondo los caminos críticos o las holguras de un Proyecto complejo.
Objetivos:
CRMR tiene como objetivo fundamental evaluar el grado de bondad o ineficiencia de los procedimientos
y métodos de
gestión que se observan en un Centro de Proceso de Datos. Las Recomendaciones que se emitan como resultado
de la
aplicación del CRMR, tendrán como finalidad algunas de las que se relacionan:
Identificar y fijas responsabilidades.
Mejorar la flexibilidad de realización de actividades.
Aumentar la productividad.
Disminuir costes
Mejorar los métodos y procedimientos de Dirección.
Alcance:
Se fijarán los límites que abarcará el CRMR, antes de comenzar el trabajo.
Se establecen tres clases:
Reducido. El resultado consiste en señalar las áreas de actuación con potencialidad inmediata de obtención
de beneficios.
Medio. En este caso, el CRMR ya establece conclusiones y Recomendaciones, tal y como se hace en la auditoría
informática ordinaria.
Amplio. El CRMR incluye Planes de Acción, aportando técnicas de implementación de las Recomendaciones,
a la par que
desarrolla las conclusiones.
Información necesaria para la evaluación del CRMR:
Se determinan en este punto los requisitos necesarios para que esta simbiosis de auditoría y consultoría
pueda llevarse a
cabo con éxito.
El trabajo de campo del CRMR ha de realizarse completamente integrado en la estructura del Centro de
Proceso de Datos
del cliente, y con los recursos de éste.
Se deberá cumplir un detallado programa de trabajo por tareas.
El auditor-consultor recabará determinada información necesaria del cliente.
Se tratan a continuación los tres requisitos expuestos:
Integración del auditor en el Centro de Procesos de Datos a revisar
No debe olvidarse que se están evaluando actividades desde el punto de vista gerencial. El contacto
permanente del auditor
con el trabajo ordinario del Centro de Proceso de Datos permite a aquél determinar el tipo de esquema
organizativo que se
sigue.
Programa de trabajo clasificado por tareas
Todo trabajo habrá de ser descompuesto en tareas. Cada una de ellas se someterá a la siguiente sistemática:
Identificación de la tarea.
Descripción de la tarea.
Descripción de la función de dirección cuando la tarea se realiza incorrectamente.
Descripción de ventajas, sugerencias y beneficios que puede originar un cambio o modificación de tarea
Test para la evaluación de la práctica directiva en relación con la tarea.
Posibilidades de agrupación de tareas.
Ajustes en función de las peculiaridades de un departamento concreto.
Registro de resultados, conclusiones y Recomendaciones.
Información necesaria para la realización del CRMR
El cliente es el que facilita la información que el auditor contrastará con su trabajo de campo.
Se exhibe a continuación una Checklist completa de los datos necesarios para confeccionar el CRMR:
Datos de mantenimiento preventivo de Hardware.
Informes de anomalías de los Sistemas.
Procedimientos estándar de actualización.
Procedimientos de emergencia.
Monitarización de los Sistemas.
Informes del rendimiento de los Sistemas.
Mantenimiento de las Librerías de Programas.
Gestión de Espacio en disco.
Documentación de entrega de Aplicaciones a Explotación.
Documentación de alta de cadenas en Explotación.
Utilización de CPU, canales y discos.
Datos de paginación de los Sistemas.
Volumen total y libre de almacenamiento.
Ocupación media de disco.
Manuales de Procedimientos de Explotación.
Esta información cubre ampliamente el espectro del CRMR y permite ejercer el seguimiento de las Recomendaciones
realizadas.
Caso Práctico de una Auditoría de Seguridad Informática <<Ciclo de Seguridad>>
A continuación, un caso de auditoría de área general para proporcionar una visión más desarrollada y
amplia de la
función auditora.
Es una auditoría de Seguridad Informática que tiene como misión revisar tanto la seguridad física del
Centro de
Proceso de Datos en su sentido más amplio, como la seguridad lógica de datos, procesos y funciones informáticas
más
importantes de aquél.
Ciclo de Seguridad
El objetivo de esta auditoría de seguridad es revisar la situación y las cuotas de eficiencia de la
misma en los órganos más
importantes de la estructura informática.
Para ello, se fijan los supuestos de partida:
El área auditada es la Seguridad. El área a auditar se divide en: Segmentos.
Los segmentos se dividen en: Secciones.
Las secciones se dividen en: Subsecciones.
De este modo la auditoría se realizara en 3 niveles.
Los segmentos a auditar, son:
Segmento 1: Seguridad de cumplimiento de normas y estándares.
Segmento 2: Seguridad de Sistema Operativo.
Segmento 3: Seguridad de Software.
Segmento 4: Seguridad de Comunicaciones.
Segmento 5: Seguridad de Base de Datos.
Segmento 6: Seguridad de Proceso.
Segmento 7: Seguridad de Aplicaciones.
Segmento 8: Seguridad Física.
Se darán los resultados globales de todos los segmentos y se realizará un tratamiento exhaustivo del
Segmento 8, a
nivel de sección y subsección.
Conceptualmente la auditoria informática en general y la de Seguridad en particular, ha de desarrollarse
en seis fases
bien diferenciadas:
Fase 0. Causas de la realización del ciclo de seguridad.
Fase 1. Estrategia y logística del ciclo de seguridad.
Fase 2. Ponderación de sectores del ciclo de seguridad.
Fase 3. Operativa del ciclo de seguridad.
Fase 4. Cálculos y resultados del ciclo de seguridad.
Fase 5. Confección del informe del ciclo de seguridad.
A su vez, las actividades auditoras se realizan en el orden siguiente:
Comienzo del proyecto de Auditoría Informática.
Asignación del equipo auditor.
Asignación del equipo interlocutor del cliente.
Cumplimentación de formularios globales y parciales por parte del cliente.
Asignación de pesos técnicos por parte del equipo auditor.
Asignación de pesos políticos por parte del cliente.
Asignación de pesos finales a segmentos y secciones.
Preparación y confirmación de entrevistas.
Entrevistas, confrontaciones y análisis y repaso de documentación.
Calculo y ponderación de subsecciones, secciones y segmentos.
Identificación de áreas mejorables.
Elección de las áreas de actuación prioritaria.
Preparación de recomendaciones y borrador de informe
Discusión de borrador con cliente.
Entrega del informe.
Causas de realización de una Auditoría de Seguridad
Esta constituye la FASE 0 de la auditoría y el orden 0 de actividades de la misma.
El equipo auditor debe conocer las razones por las cuales el cliente desea realizar el Ciclo de Seguridad.
Puede haber
muchas causas: Reglas internas del cliente, incrementos no previstos de costes, obligaciones legales,
situación de ineficiencia
global notoria, etc.
De esta manera el auditor conocerá el entorno inicial. Así, el equipo auditor elaborará el Plan de Trabajo.
Estrategia y logística del ciclo de Seguridad
Constituye la FASE 1 del ciclo de seguridad y se desarrolla en las actividades 1, 2 y 3:
Fase 1. Estrategia y logística del ciclo de seguridad
Designación del equipo auditor.
Asignación de interlocutores, validadores y decisores del cliente.
Cumplimentación de un formulario general por parte del cliente, para la realización del estudio inicial.
Con las razones por las cuales va a ser realizada la auditoría (Fase 0), el equipo auditor diseña el
proyecto de Ciclo
de Seguridad con arreglo a una estrategia definida en función del volumen y complejidad del trabajo
a realizar, que
constituye la Fase 1 del punto anterior.
Para desarrollar la estrategia, el equipo auditor necesita recursos materiales y humanos. La adecuación
de estos se realiza
mediante un desarrollo logístico, en el que los mismos deben ser determinados con exactitud. La cantidad,
calidad,
coordinación y distribución de los mencionados recursos, determina a su vez la eficiencia y la economía
del Proyecto.
Los planes del equipo auditor se desarrolla de la siguiente manera:
Eligiendo el responsable de la auditoria su propio equipo de trabajo. Este ha de ser heterogéneo en
cuanto a
especialidad, pero compacto.
Recabando de la empresa auditada los nombres de las personas de la misma que han de relacionarse con
los
auditores, para las peticiones de información, coordinación de entrevistas, etc.
Mediante un estudio inicial, del cual forma parte el análisis de un formulario exhaustivo, también inicial,
que los
auditores entregan al cliente para su cumplimentación.
Según los planes marcados, el equipo auditor, cumplidos los requisitos 1, 2 y 3, estará en disposición
de comenzar la "tarea
de campo", la operativa auditora del Ciclo de Seguridad.
Ponderación de los Sectores Auditados
Este constituye la Fase 2 del Proyecto y engloba las siguientes actividades:
FASE 2. Ponderación de sectores del ciclo de seguridad.
Asignación de pesos técnicos. Se entienden por tales las ponderaciones que el equipo auditor hace de
los
segmentos y secciones, en función de su importancia.
Asignación de pesos políticos. Son las mismas ponderaciones anteriores, pero evaluadas por el cliente.
Asignación de pesos finales a los Segmentos y Secciones. El peso final es el promedio del peso técnico
y del
peso político. La Subsecciones se calculan pero no se ponderan.
Se pondera la importancia relativa de la seguridad en los diversos sectores de la organización informática
auditada.
Operativa del ciclo de Seguridad
Una vez asignados los pesos finales a todos los Segmentos y Secciones, se comienza la Fase 3, que implica
las siguientes
actividades:
FASE 3. Operativa del ciclo de seguridad
Preparación y confirmación de entrevistas.
Entrevistas, pruebas, análisis de la información, cruzamiento y repaso de la misma.
5.3. FUNCIONAMIENTO DE RED
Una de las principales responsabilidades de un administrador de redes es garantizar el eficiente desempeño
de la red y que
su servicio no se deteriore. Dado que los usuarios nuevos y ocasionales pueden tener problemas con funciones
de red tan
rutinarias como por ejemplo la conexión o entrada, los supervisores de red deben ayudarlos estableciendo
rutinas que se han
de seguir. En el caso del software de red de IBM, dichas rutinas son archivos por lote personalizados,
que solo necesitan
escribirse una sola vez. Netware de Novell incluye argumentos de petición de entrada; aunque al supervisor
sólo le toma
unos cuantos minutos escribirlos, pueden ahorrarle horas a los usuarios inexpertos y eliminar muchas
frustraciones.
Otra área del funcionamiento de la red que el supervisor de monitorear son las estadísticas del tráfico
de la red. Por ejemplo,
al examinar las estadísticas de uso de la impresora, el supervisor puede determinar que es necesario
rebobinar e imprimir
ciertos informes de bitácora después de las horas pico. El uso intensivo de ciertos programas de contabilidad,
que exigen
demasiado acceso al servidor de archivo, puede disminuir la velocidad de toda la red. El supervisor
puede decidir que es
necesario añadir un servidor de archivos independiente para el departamento de contabilidad, con el
objeto de acelerar el
resto de la red.
| 
