Auditoria Informtica de Redes

Seguridad de la Red de Datos

Diciembre, 2012

rea Auditada Seguridad de la red de datos, departamento de telecomunicaciones de la gerencia de tecnologa de informacin de la empresa ACME XXX Alcance de la Auditoria Auditora informtica de la seguridad de la red datos en la gerencia de tecnologa de informacin de la empresa ACME XXX en un lapso aproximado del 14-11-2012 al 14-12-2012 Objetivos de la Auditoria a. Generales: Efectuar una auditoria informtica de la seguridad de la red de datos b. Especficos: -Evaluar las medidas de control interno, para la seguridad de la red de datos. -Evaluar Planes de contingencia -Analizar la informacin suministrada de la seguridad de la red de datos durante el periodo de auditora. -Presentar informe del proceso de auditora informtica, de seguridad de la red de datos.

PROGRAMA DE AUDITORIA Hoja N 1/1 Empresa: ACME XXX Fase Actividad Etapa Preliminar: -Entrevista con el cliente -Levantamiento inicial de informacin -Definicin de alcance y objetivos de la auditora. -Elaboracin de la matriz de anlisis de auditora. I -Elaboracin de la matriz de evaluacin de auditora -Elaboracin del programa de auditora -Elaboracin de los procedimientos de auditora. -Elaboracin de entrevistas -Elaboracin de cuestionarios -Elaboracin de pruebas de Desarrollo de la Auditoria: -Entrevistas con el personal encargado de la gerencia de tecnologa de informacin y departamento de telecomunicaciones -Aplicacin de encuesta y listas de chequeo cuestionarios al encargado de la gerencia de tecnologa de informacin -Aplicacin de entrevista al encargado del departamento de telecomunicaciones -Aplicar herramienta de auditoria II NSAuditor -Recopilacin de informacin y documentacin de polticas de seguridad, control de registros de vulnerabilidades y modificaciones, manuales, contratos de seguro, reportes de la herramienta de auditora NSAuditor -Anlisis de la informacin recopilada en entrevistas, encuestas, lista de chequeos y la observacin directa. Fecha: 14/11/2012 Horas Estimadas Encargados

30

Equipo Nro 4

360 (15 das)

Equipo Nro 4

III IV

-Determinacin y tabulacin de resultados (Hallazgos, observaciones, recomendaciones y conclusiones). - Revisin general de los resultados. - Elaboracin del Pre-Informe. - Elaboracin de informe final. - Presentacin del informe.

120 168

MATRIZ DE ANALISIS
CODIGO MATRIZ DE ANALISIS DE AUDITORIA INFORMATICA DE REDES OBJETIVOS GENERAL ESPECIFICO DIMENSION INDICADOR
Control de acceso a redes Responsabilidades del usuario (talleres de divulgacin sobre uso de la clave, etc ) Administracin y el anlisis de los archivos de registro Entrevista (archivos log) Efectuar una auditoria informtica de la seguridad de la red de datos en la empresa ACME XXX Evaluar las medidas de control interno, Seguridad Lgica para la seguridad de la red de datos Personal calificado Lista de chequeo para el cargo Encuesta concerniente a la gestin de la red de Matriz de Evaluacin datos Mtodo de encriptacin utilizado para la trasmisin y recepcin en la red de datos Revisin de las utilizadas seguridad de datos peridica polticas para la de la red

MASLF-01

INSTRUMENTO

Planes de contingencia y recuperacin ante hechos externos o Entrevista ambientales Evaluar aplicacin de barreras fsicas y procedimientos de control, como Seguridad Fsica medidas de seguridad de la red de datos Mecanismos de Lista de chequeo seguridad dentro y Matriz de Evaluacin alrededor del Centro de Cmputo Observacin Directa Mtodos preventivos riesgos ubicacin. Contratos de seguro, a proveedores, y por mantenimiento.

Tiempo de actividad de los servicios de la red de datos Analizar la informacin suministrada de la Anlisis de seguridad de la red Informacin de datos durante el periodo de auditora Presentar informe del proceso de auditora informtica, de seguridad de la red de datos

la Resultados Obtenidos

Presentacin Informes

de

Informes

INSTRUMENTOS Y TECNICAS

ENCUESTA
CODIGO ESLF-01 01 Existe un plan estratgico de seguridad? Si la respuesta es afirmativa indique en qu estatus se encuentra. SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 02 Se encuentra definido la gestin de usuarios y perfiles de acceso a la red dependiendo del rol que desempean estos en la organizacin? Si la respuesta es afirmativa, especifique. SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 03 Utilizan herramientas para el monitoreo de los servicios de red? Si la respuesta es afirmativa, especifique. SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 04 Existe Gestin de actualizacin o revisin de las polticas implementadas en la red? SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 05 Se controla el acceso a la red de datos fuera del horario laboral? Si la respuesta es afirmativa, especifique SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 06 Existe control en el acceso al centro de dato? Si la respuesta es afirmativa indique l mecanismo utilizado. SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 07 Cuenta con planes de contingencia? Explique SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 08 Existe un procedimiento de seleccin de personal calificado? Explique SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 09 El personal responsable de la administracin de la red de datos fue notificado de forma escrita de las funciones inherentes al cargo? Explique SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________ 10 Existe personal encargado para realizar el monitoreo de los servicios de red? Si la respuesta es afirmativa, especifique. SI NO

Especifique____ _______________________________________________________________ _____________________________________________________________________________

LISTA DE CHEQUEO
CODIGO LCSLF-01 CODIGO Nro 1 2 3 4 5 6 7 8 9 LISTA DE CHEQUEO Se cuenta con polticas documentadas y probadas por la gerencia de tecnologa de informacon para prevenir ataques a la red datos Se cuenta con registro de las cadas de los servicios de red Los empleados tienen conocimiento de la existencia de los controles de seguridad establecidos en la red Se llevan registro de incidentes ocurridos y la solucin implementada Realizan monitoreo de los servicios de la red efectan gestin a los archivos de registro cuentan con planes de contingencia que permita recuperar los servicios de la red al momento de acontecer un incidente existe personal capacitado para realizar la administracin de la red LCSLF-01 SI NO

Cuenta con registro del tiempo en que se encuentran en funcionamiento los servicios de red 10 Cuentan tecnologas de video vigilancia dentro y alrededor del centro de computo Cuentan con algn mecanismo de acceso al centro de computo (guardias de seguridad, 11 carnet de identificacin automtica con cdigos de barras, banda magntica, tarjetas de proximidad por radio frecuencia, sistemas biomtricos)

ENTREVISTA
CODIGO ENSLF-01 1. Tiene definida las responsabilidades de su cargo? 2. Existe un encargado del monitoreo de los servicios de la red de datos? 3. Cuenta con polticas escritas y aprobados por la gerencia de tecnologa de informacon para realizar la gestin de seguridad de la red de datos?

4. Tiene conocimientos de planes documentados que permitan a la organizacin recuperar y restaurar sus funciones crticas parcial o totalmente interrumpidas dentro de un tiempo estimado? 5. Al ocurrir alguna anomala en la red de datos es reportada a sus superiores inmediatamente? 6. Realiza gestin sobre los archivos de registro y utiliza alguna herramienta para ello? 7. Cuenta con adiestramiento continuo para realizar la gestin de seguridad de la red de datos? 8. Realiza revisin peridica de las polticas utilizadas para la seguridad de la red de datos? 9. Participa en el diseo de las polticas de la seguridad de la red de datos? 10. Los incidentes ocurridos en la red de datos y sus soluciones se encuentran documentos?

MATRIZ DE EVALUACION
CODIGO MESLF-01 MATRIZ DE EVALUACION CODIGO EVALUAR Y CALIFICAR EL CUMPLIMIENTO DE LOS EXCELENTE SIGUIENTES ASPECTOS
SI DISPONEN DE SERVIDOR CONTROLADOR DE DOMINIO PARA LA AUTENTICACION DE LOS USUARIOS DE LA RED, Y DEFINIDOS EN GRUPOS, ROLES O PERFILES, HORARIOS DE ACCESO, CADUCIDAD DE LA CLAVE

MESLF-01 BUENO
SE DISPONEN DE CONTROLADO R DE DOMINIO PARA LA AUTENTICACI ON DE LOS USUARIOS DE LA RED, DEFINIDOS EN GRUPOS, NO CUENTAN CON POLITICAS BIEN

SUFICIENTE REGULAR
SI DISPONEN DE SERVIDOR CONTROLADO R DE DOMINIO PARA LA AUTENTICACI ON DE LOS USUARIOS DE LA RED, NO CUENTAN CON GRUPOS, NI PERFILES DEFINIDOS. NO DISPONEN DE SERVIDOR CONTROLADO R DE DOMINIO PARA LA AUTENTICACI ON DE LOS USUARIOS DE LA RED, SOLO CUENTA CO PERFILES DEFINIDOS LOCALMENTE

DEFICIENTE
NO DISPONEN DE SERVIDOR CONTROLADO R DE DOMINIO PARA LA AUTENTICACIO N DE LOS USUARIOS DE LA RED, NO CUENTAN CON PERFILES LOCALES, LOS USUARIOS TIENEN PRIVILEGIOS ADMINISTRATI

CONTROL DE AUTENTICACION

ACCESO

CUANDO REALIZAN GESTION DE LOS ARCHIVOS DE REGISTRO Y ADEMAS DISPONEN DE UN SERVIDOR EXCLUSIVO PARA GESTION DE LOS ARCHIVOS DE ALMANCENMIENT REGISTROS O Y LOS ARCHIVOS SON GUARDADOS POR UN PERIODO DE TIEMPO ENTRE 1 Y 2 AOS

CUANDO EL 100% DEL TIEMPO LOS SERVICIOS SE TIEMPO DE ACTIVIDAD DE LOS ENCUENTRAN SERVICIOS DE LA RED DE DATOS ACTIVOS

ESTABLECIDA S PARA LOS PERFILES CUANDO REALIZAN GESTION DE LOS ARCHIVOS DE REGISTRO Y ADEMAS SI SE DISPONE DE UN SERVIDOR EXCLUSIVO PARA ALMANCENM IENTO Y LOS ARCHIVOS SON GUARDADOS POR UN PERIODO DE TIEMPO DE UN AOS CUANDO EL 90% DEL TIEMPO LOS SERVICIOS SE ENCUENTRAN ACTIVOS

VOS

CUANDO REALIZAN GESTION DE LOS ARCHIVOS DE REGISTRO Y NO SE DISPONE DE UN SERVIDOR PARA ALMANCENM IENTO

CUANDO REALIZAN GESTION DE LOS ARCHIVOS DE REGISTRO EVENTUALME NTE

CUANDO NO SE HACE GESTION SOBRE LOS ARCHIVOS DE REGISTRO

CUANDO EL 80% DEL TIEMPO LOS SERVICIOS SE ENCUENTRAN ACTIVOS SI DISPONEN DE MECANISMOS QUE PERMITAN RESGUARDAR LA SEGURIDAD PERIMETRAL Y EL ACCESO AL CENTRO DE COMPUTOS, UTILIZACIN DE CIRCUITOS CERRADOS, DE TARJETAS DE PROXIMIDAD POR RADIO FRECUENCIA SI

CUANDO EL 60% DEL TIEMPO LOS SERVICIOS SE ENCUENTRAN ACTIVOS SI DISPONEN DE MECANISMOS QUE PERMITAN RESGUARDAR LA SEGURIDAD PERIMETRAL Y EL ACCESO AL CENTRO DE COMPUTOS, UTILIZACIN DE TARJETAS DE PROXIMIDAD POR RADIO FRECUENCIA

SI DISPONEN DE MECANISMOS QUE PERMITAN RESGUARDAR LA SEGURIDAD PERIMETRAL Y EL ACCESO AL CENTRO DE MECANISMOS DE SEGURIDAD COMPUTOS, UTILIZACIN DE DENTRO Y ALREDEDOR DEL CENTRO GUARDIAS, DE CMPUTO UTILIZACIN DE SISTEMAS BIOMTRICOS, CIRCUITOS CERRADOS, TARJETAS DE PROXIMIDAD POR RADIO FRECUENCIA

PLANES

DE

CONTINGENCIA

SI DISPONEN DE MECANISMOS QUE PERMITAN RESGUARDAR LA SEGURIDAD PERIMETRAL Y EL ACCESO AL CENTRO DE COMPUTOS, UTILIZACIN DE SISTEMAS BIOMTRICOS , CIRCUITOS CERRADOS, TARJETAS DE PROXIMIDAD POR RADIO FRECUENCIA Y SI CUENTAN CON SI CUENTAN

CUANDO ES MENOR AL 60% DEL TIEMPO LOS SERVICIOS SE ENCUENTRAN ACTIVOS SI NO DISPONEN DE MECANISMOS QUE PERMITAN RESGUARDAR LA SEGURIDAD PERIMETRAL Y EL ACCESO AL CENTRO DE COMPUTOS.

CUENTAN SI

CUENTAN SI

CUENTAN

RECUPERACIN ANTE HECHOS PLANES QUE PERMITAN A LA EXTERNOS O AMBIENTALES ORGANIZACIN RECUPERAR Y RESTAURAR SUS FUNCIONES CRTICAS PARCIAL O TOTALMENTE INTERRUMPIDAS DENTRO DE UN TIEMPO MENOR A UNA HORA DESPUS DE UNA INTERRUPCIN NO DESEADA O DESASTRE

CON PLANES QUE PERMITAN A LA ORGANIZACI N RECUPERAR Y RESTAURAR SUS FUNCIONES CRTICAS PARCIAL O TOTALMENTE INTERRUMPI DAS DENTRO DE UN TIEMPO ENTRE UNA Y DOS HORAS DESPUS DE UNA INTERRUPCI N NO DESEADA O DESASTRE

CON PLANES QUE PERMITAN A LA ORGANIZACI N RECUPERAR Y RESTAURAR SUS FUNCIONES CRTICAS PARCIAL O TOTALMENTE INTERRUMPI DAS DENTRO DE UN TIEMPO ENTRE DOS Y CUATRO HORAS DESPUS DE UNA INTERRUPCI N NO DESEADA O DESASTRE

CON PLANES QUE PERMITAN A LA ORGANIZACI N RECUPERAR Y RESTAURAR SUS FUNCIONES CRTICAS PARCIAL O TOTALMENTE INTERRUMPI DAS DENTRO DE UN TIEMPO ENTRE CUATRO Y OCHO HORAS DESPUS DE UNA INTERRUPCI N NO DESEADA O DESASTRE

CON PLANES QUE PERMITAN A LA ORGANIZACI N RECUPERAR Y RESTAURAR SUS FUNCIONES CRTICAS PARCIAL O TOTALMENTE INTERRUMPID AS DENTRO DE UN TIEMPO MAYOR A OCHO HORAS DESPUS DE UNA INTERRUPCI N NO DESEADA O DESASTRE

PROCEDIMIENTOS ESPECIFICOS
Cdigo Programa de Auditora Informtica Seccin de Trabajo: PESLF-01

Pgina: 1/1

Empresa: ACME XXX Unidad y/o Departamento: Gerencia de tecnologa de informacin Dimensin: Seguridad Logica Periodo de revision Desde: 14/11/2012 N 1 2 3 4 5 6 7 Procedimientos Reunirse con el encargado de la gerencia de tecnologa de informacon Solicitar las polticas de seguridad de la informacin. Indagar acerca de las estrategias de seguridad de informacin que estn siendo aplicadas. Aplicar encuesta Aplicar lista de chequeo Constatar mediante observacin directa algunas de las respuestas arrojadas en la encuesta. Registrar las observaciones encontradas. ESLF-01 LCSLF-01 Hasta: 14/12/2012 Ref. P/T

Cdigo Programa de Auditora Informtica Seccin de Trabajo: Pgina: 1/1

PESLF-02

Empresa: ACME XXX Unidad y/o Departamento: Departamento de Telecomunicaciones Dimensin: Seguridad Fisica Periodo de revision Desde: 14/11/2012 N 1 Hasta: 14/12/2012 Ref. P/T

Procedimientos Reunirse con el encargado del departamento de telecomunicaciones Realizar entrevista al encargado del departamento de telecomunicaciones Aplicar encuesta Constatar mediante observacin directa algunas de las respuestas arrojadas en la entrevista. Utilizar herramienta de auditoria nsauditor Solicitar planes de contingencia al encargado del departamento de telecomunicaciones Registrar las observaciones encontradas.

2 3 4 5 6 7

ENSLF-01 ESLF-01