| |
La Informàtica avui, està integrant en la gestió de l'empresa, i per això les normes i estàndards pròpiament informàtics deuen estar, sotmesos als generals de la mateixa. A causa de la seva importància en el funcionament d'una empresa, existeix l'Auditoria Informàtica. L'Auditoria Informàtica és un examen crític que es realitza amb la finalitat d'avaluar l'eficàcia i eficiència d'una empresa.
|
Els principals objectius que constitueixen a l'auditoria Informàtica són:
- el control de la funció informàtica,
- l'anàlisi de l'eficiència dels Sistemes Informàtics,
- la verificació del compliment de la Normativa en aquest àmbit
- i la revisió de l'eficaç gestió dels recursos informàtics.
|
 |
| Hem seleccionat els següents articles per a vostè: |
El servei d'auditoria en la Llei Orgànica de Protecció de Dades
Font: belt.es
Auditoria Informàtica
Abast de l'Auditoria Informàtica
Característiques de l'Auditoria Informàtica
Plans de Contingència
Font: monografias.com
Ja no hi ha excusa per a perdre arxius
Font: monografias.com
El servei d'auditoria en la Llei Orgànica de Protecció de Dades |
L'article 9 de la Llei Orgànica de Protecció de Dades de Caràcter Personal (des d'ara LOPD) estableix que, tant el Responsable del Fitxer com l'Encarregat del Tractament, deuran adoptar les mesures no només d'índole tècnic sinó també d'índole organitzatiu per a garantir la seguretat i evitar la pèrdua, alteració i destrucció de fitxers amb dades de caràcter personal.
Però aquest article gaudeix del seu propi desenvolupament reglamentari materialitzat en el Reial decret 994/1999, de 11 de juny, pel qual s'aprova el Reglament de Mesures de Seguretat.
Concretament, el seu article 17 estableix que "Els sistemes d'informació i instal·lacions de tractament de dades se sotmetran a una auditoria interna o externa, que verifiqui el compliment del present Reglament, dels procediments i instruccions vigents en matèria de seguretat de dades, almenys, cada dos anys".
No obstant això, aquesta no va ser la primera llei que parla d'això, sinó que ja en la Instrucció 1/1995, de 1 de març, de l'Agència de Protecció de Dades, relativa a Prestació de Serveis d'Informació sobre Solvència Patrimonial i Crèdit, es parla de la realització d'una auditoria en el que al tema de protecció de dades es refereix, a l'establir que la implantació, idoneïtat i eficàcia de les mesures de seguretat, deurà acreditar-se mitjançant una auditoria i la remissió de l'informe final de la mateixa a l'Agència de Protecció de Dades.
No obstant això, l'auditoria pot presentar-se en dues figures diferents; una interna i altra externa.
Pel que fa a l'auditoria interna, els dubtes sobre una efectiva independència són àmplies, al ser realitzada per personal intern de la pròpia organització.
De l'auditoria externa, dir que és realitzada per una empresa externa i que gens té a veure amb l'organització auditada.
Encara que la visió que tenim avui dia sobre una bona auditoria de seguretat de protecció de dades de caràcter personal, es queda en el plànol de la simple auditoria sobre el compliment de les mesures de seguretat, que podria qualificar-se com d'incomplet i considerar que deu ser completada amb l'auditoria informàtica, tal com estableix la LOPD al parlar de mesures d'índole tècnica i organitzativa.
Però quin és el principal comès en una auditoria? És verificar l'adequació de procediments, mesures, estàndards de seguretat establerts pel responsable del tractament i el Reglament de Mesures de Seguretat. Una vegada realitzat l'anàlisi de tot l'anterior i detectades les anomalies, l'auditor procedirà a proposar les mesures correctores necessàries.
Els passos d'una auditoria són principalment:
• Fixació del calendari i dels interlocutors, tant de l'empresa auditada com de l'empresa que audita.
• Recollida de la documentació i informació oportuna.
• Entrevistes amb els usuaris.
• Anàlisis de la documentació i de la informació prèviament recollida.
• Lliurament de l'Informe d'Auditoria i del Reglament de Mesures de seguretat.
Però què succeeix amb la figura de l'Auditor? El problema principal radica que no s'hagi regulada en cap manual i no existeix cap registre referent a això, pel que l'únic requisit radica en la seva qualificació i experiència en diferents projectes.
El que sí devem tenir clar és que l'Auditor deu ser una persona en constant formació degut al fet que la rapidesa amb la qual progressen les noves tecnologies fa que, en cas contrari, es quedi desfasat i fora del mercat laboral.
Abast de l'Auditoria Informàtica
L'abast ha de definir amb precisió l'entorn i els límits que va a desenvolupar-se l'auditoria informàtica, es completa amb els objectius d'aquesta. L'abast ha de figurar expressament en l'Informe Final, de manera que quedi perfectament determinat no solament fins que punts s'ha arribat, sinó quals matèries frontereres han estat omeses. Exemple: Se sotmetran els registres gravats a un control d'integritat exhaustiu? Es comprovarà que els controls de validació d'errors són adequats i suficients ? La indefinició dels abastos de l'auditoria compromet l'èxit de la mateixa.
Control d'integritat de registres: Hi ha Aplicacions que comparteixen registres, són registres comuns. Si una Aplicació no té integrat un registre comú, quan ho necessiti utilitzar no ho va trobar i, per tant, l'aplicació no funcionaria com deuria. Control de validació d'errors: Es corrobora que el sistema que s'aplica per a detectar i corregir errors sigui eficient.
Característiques de l'Auditoria Informàtica
La informació de l'empresa i per a l'empresa, sempre important, s'ha convertit en un Actiu Real de la mateixa, com els seus Estocs o matèries primeres si les hi ha. Per tant, han de realitzar-se inversions informàtiques, matèria de la qual s'ocupa l'Auditoria d'Inversió Informàtica.De la mateixa manera, els Sistemes Informàtics han de protegir-se de manera global i particular: a això es deu l'existència de l'Auditoria de Seguretat Informàtica en general, o a l'auditoria de Seguretat d'alguna de les seves àrees, com poguessin ser Desenvolupament o Tècnica de Sistemes.Quan es produeixen canvis estructurals en la Informàtica, es reorganitza d'alguna forma la seva funció: s'està en el camp de l'Auditoria d'Organització Informàtica.Aquests tres tipus d'auditories engloben a les activitats auditores que es realitzen en una auditoria parcial. D'altra manera: quan es realitza una auditoria de l'àrea de Desenvolupament de Projectes de la Informàtica d'una empresa, és perquè en aquest Desenvolupament existeixen, a més d'ineficiències, debilitats d'organització, o d'inversions, o de seguretat, o alguna barreja d'elles. Símptomes de Necessitat d'una Auditoria Informàtica:Les empreses acudeixen a les auditories externes quan existeixen símptomes ben perceptibles de debilitat. Aquests símptomes poden agrupar-se en classes:
- Símptomes de descoordinació i desorganització:
- No coincideixen els objectius de la Informàtica de la Companyia i de la pròpia Companyia.
- Els estàndards de productivitat es desvien sensiblement dels termes mitjans aconseguits habitualment.
[Pot ocórrer amb algun canvi massiu de personal, o en una reestructuració fallida d'alguna àrea o en la modificació d'alguna Norma important]
- Símptomes de dolenta imatge i insatisfacció dels usuaris:
- No s'atenen les peticions de canvis dels usuaris. Exemples: canvis de Programari en els terminals d'usuari, refrescament de panells, variació dels fitxers que deuen posar-se diàriament a la seva disposició, etc.
- No es reparen les avaries de Maquinari ni es resolen incidències en terminis raonables. L'usuari percep que està abandonat i desatès permanentment.
- No es compleixen en tots els casos els terminis de lliurament de resultats periòdics. Petites desviacions poden causar importants desajustaments en l'activitat de l'usuari, especialment en els resultats d'Aplicacions crítiques i sensibles.
- Símptomes de debilitats econòmic-financer:
- Increment desmesurat de costos.
- Necessitat de justificació d'Inversions Informàtiques (l'empresa no està absolutament convençuda de tal necessitat i decideix contrastar opinions).
- Desviacions Pressupostàries significatives.
- Costos i terminis de nous projectes (deuen auditar-se simultàniament a Desenvolupament de Projectes i a l'òrgan que va realitzar la petició).
- Símptomes d'Inseguretat: Avaluació de nivell de riscos
- Seguretat Lògica
- Seguretat Física
- Confidencialitat[Les dades són propietat inicialment de l'organització que els genera. Les dades de personal són especialment confidencials]
- Continuïtat del Servei. És un concepte encara més important que la Seguretat. Estableix les estratègies de continuïtat entre fallades mitjançant Planes de Contingència Totals i Locals.
- Centre de Procés de Dades fora de control. Si tal situació arribés a percebre's, seria pràcticament inútil l'auditoria. Aquesta és la raó per la qual, en aquest cas, el símptoma deu ser substituït pel mínim indici.
Plans de Contingència
Per exemple, l'empresa sofreix un cort total d'energia o explota, Com segueixo operant en altre lloc? El que generalment es demana és que es facin Backups de la informació diàriament i que a part, sigui doble, per a tenir un Backup en l'empresa i un altre fora d'aquesta. Una empresa pot tenir unes oficines paral·leles que posseeixin serveis bàsics (llum, telèfon, aigua) distints dels de l'empresa principal, és a dir, si a l'empresa principal li proveïa telèfon Telecom, a les oficines paral·leles, Telefònica. En aquest cas, si es produeix la inoperancia de Sistemes en l'empresa principal, s'utilitzaria el Backup per a seguir operant en les oficines paral·leles. Els Backups es poden acumular durant dos mesos, o el temps que estipuli l'empresa, i després es van reciclant.
Ja no hi ha excusa per a perdre arxius
|
Crear una còpia de seguretat del contingut del nostre PC és una d'aquestes coses que, com alimentar-nos bé o canviar l'oli de l'acte, tots sabem que cal fer, però que pocs portem a terme.
Durant anys els experts en computadores ens han advertit que devem fer una versió de respatller del nostre disc dur regularment, però la majoria no hem fet cas. Això ocorre perquè tradicionalment s'ha cregut que aquesta tasca és tediosa, laboriosa o cara, depenent del mètode que s'utilitzi.
Encara recordo com, quan començava a fer ús de l'ordinador, em sentaba i passava llarga estona ficant i traient dotzenes de disquets en el PC per a tenir una còpia del disc dur. Més endavant, vaig haver de bregar amb drives de cintes voluminosos i programaris complicats per a crear la còpia de seguretat.
Però salvaguardar la nostra informació s'ha tornat més important que mai. Els ordinadors sempre han estat artefactes fràgils, subjectes a descompondre's i fallar. Ara també són el blanc d'atacs massius de pirates informàtics, programadors de virus i altres delinqüents digitals. Aquestes agressions poden corrompre o destruir els nostres arxius, o forçar-nos a reformatejar el disc dur, el que també esborra tota la nostra informació.
Així que, quin sistema de respatller pot protegir-nos contra tals pèrdues, sent prou fàcil d'usar com perquè la gent ho usi regularment? Jo recomano comprar un disc dur extern i utilitzar un programari de respatller automatitzat per a copiar la informació del disc dur principal a aquest disc de seguretat de manera regular.
Per a superar la resistència habitual de l'usuari, qualsevol mètode de crear còpies de seguretat deu ser senzill, disposar de l'espai suficient i ser automàtic. Així mateix, deurà funcionar segons un horari que li fixem, sense que hàgim de parar-li esment i sense que hàgim de realitzar cap operació manual.
Això descarta copiar els arxius manualment a un CD, DVD o altre tipus de discos extraíbles. Pot ser que aquest sistema resulti útil per a alguns, però requereix massa esforços manuals i això no ho fa un mètode eficaç per a la majoria de la gent. A més, és summament fàcil quedar-se sense espai o discos suficients per a emmagatzemar tota la informació.
Altre mètode, subscriure's a un servei que fa una còpia automàtica a través d'Internet, té l'avantatge de ser automàtic, però pot ser també costós. A més, els serveis basats en la Web rarament ofereixen l'espai suficient per a copiar la major part de la informació que contenen els enormes discos durs d'avui, llevat que un estigui disposat a pagar molt.
Però, si s'utilitza correctament, el mètode del disc dur extern ofereix suficient espai, pot ser totalment automàtic i sorprenentment econòmic. Ni tan sols cal obrir el pc o instal·lar cap accessori dintre d'ella. Avui dia és veritablement fàcil adquirir un disc dur extern que es pot connectar a una màquina Windows o Macintosh mitjançant un cable USB 2.0 o un port FireWire, i els sistemes operatius actuals ho reconeixen immediatament i costa aproximadament menys de US$100. Ho mantinc connectat al meu pc
Cada nit, a les 2 a. m., el programari s'activa i sincronitza les carpetes clau que vaig designar en el meu disc dur amb carpetes idèntiques en el disc dur extern. Després de la primera vegada solament copia els arxius nous o modificats. Si en algun moment esborro accidentalment un document o carpeta puc recuperar-lo fàcilment des del disc de seguretat.
Fa poc vaig provar un mètode més senzill: un disc dur que inclou programari, cridat OneTouch II, de Maxtor Corp. Aquest producte consisteix en un disc dur extern, llest per a funcionar quan es connecta amb una màquina Windows o Macintosh a través d'un cable USB 2.0 o FireWire. Inclou un programari simple i eficaç per a còpies de seguretat, amb versions tant per a Windows com per a Mac. El programari pot activar-se amb només estrènyer un botó, o entrar en funcionament automàticament en un horari determinat.
Actualment, el OneTouch II està disponible en EUA en dues versions relativament grans i cares: un model de 250 gigaoctets, que costa en aquest país US$329,95, i altre de 300 gigaoctets, que val allí US$379,95. Ambdós estan disponibles a Amèrica Llatina al preu base d'EUA, més impostos locals.
Aquests models tenen una capacitat superior a la qual l'usuari terme mitjà necessita, però la companyia assegura que produirà versions més petites, a preus més reduïts, per a començaments de l'any pròxim.
La clau del OneTouch II és el programari que inclou, una versió especial i simplificada de Retrospect, un programa de Dantz Development Corp. Aquest pot copiar automàticament tota la informació del seu disc dur o certs documents i carpetes.
En la meva prova, feta amb una Hewlett-Packard Pavilion, el OneTouch II es va instal·lar ràpida i fàcilment i el programari va funcionar bé. La meva única queixa és que la còpia de seguretat inicial va ser bastant lenta. Copiar uns 51 gigaoctets d'informació va prendre més de 12 hores. Els respatllers subsegüents, que només van copiar els arxius nous o modificats, van anar molt més ràpids. Vaig esborrar un parell d'arxius i vaig poder recuperar-los ràpidament utilitzant la funció de "restaurar" del programa.
OneTouch II és un bon producte, però encara que un triitriï aquest mètode, que inclou un programari, o un disc dur extern que usa un programari comprat per separat, fer una còpia de seguretat dels nostres arxius en un disc dur extern té molt sentit.
|
