UNIVERSIDAD TECNOLGICA NACIONAL

Facultad Regional Crdoba Ingeniera en Sistemas de Informacin

Curso: 5k2 Profesor: Ing. Antonelli Matterson JTP: Ing. Spesso

Ctedra: AUDITORA DE SISTEMAS DE INFORMACIN

AUDITORA DE BASES DE DATOS

Grupo N: Loza, Patricia A. Cargnelutti, Pablo R. Sosa Agero, Paula

Leg. 41393 45990 33432

Crdoba, Mayo de 2008

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

ndice:

Introduccin ...............................................................................................3 La Auditora de BD es importante porque ......................................................4 Qu es la Auditora de BD? .........................................................................4 Objetivos Generales de la Auditora de BD.....................................................4 Aspectos Claves ..........................................................................................5 Mediante la auditora de bases de datos se evaluar ......................................5 Metodologas para la auditora de Base de Datos ...........................................6 Planificacin de la Auditoria de BD................................................................6 Metadatos .......................................................................................................... 7 Consideraciones Generales......................................................................... 12 Objetivos de Control en el ciclo de vida de una Base de Datos ...................... 12 Estudio previo y Plan de Trabajo ................................................................ 12 Concepcin de la Base de Datos y Seleccin del Equipo................................ 14 Diseo y Carga ......................................................................................... 15 Explotacin y Mantenimiento...................................................................... 15 Revisin post-implantacin......................................................................... 16 Sistema de Gestin de Base de Datos SGBD ................................................ 17

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Introduccin
Las bases de datos son el activo ms importante para las organizaciones, ya que poseen toda la informacin de la empresa, datos confidenciales que en manos ajenas puede ser muy riesgoso. Por ello se deben controlar aspectos cruciales en la seguridad de la misma, conceder privilegios respecto a los usuarios de los datos y tambin denegarlos. Con la auditora de bases de datos se busca monitorear y garantizar que la informacin est segura, adems de brindar ayuda a la organizacin para detectar posibles puntos dbiles y as tomar precauciones para resguardar an ms los datos.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Qu es la Auditora de BD?
Es el proceso que permite medir, asegurar, demostrar, monitorear y registrar los accesos a la informacin almacenada en las bases de datos incluyendo la capacidad de determinar: Quin accede a los datos Cundo se accedi a los datos Desde qu tipo de dispositivo/aplicacin Desde que ubicacin en la Red Cul fue la sentencia SQL ejecutada Cul fue el efecto del acceso a la base de datos Es uno de los procesos fundamentales para apoyar la responsabilidad delegada a IT por la organizacin frente a las regulaciones y su entorno de negocios o actividad.

Objetivos Generales de la Auditora de BD

Disponer de mecanismos que permitan tener trazas de auditora completas y automticas relacionadas con el acceso a las bases de datos incluyendo la capacidad de generar alertas con el objetivo de: Mitigar los riesgos asociados con el manejo inadecuado de los datos Apoyar el cumplimiento regulatorio. Satisfacer los requerimientos de los auditores Evitar acciones criminales Evitar multas por incumplimiento

La importancia de la auditora del entorno de bases de datos radica en que es el punto de partida para poder realizar la auditora de las aplicaciones que utiliza esta tecnologa.

La Auditora de BD es importante porque:

Toda la informacin financiera de la organizacin reside en bases de datos y deben existir controles relacionados con el acceso a las mismas. Se debe poder demostrar la integridad de la informacin almacenada en las bases de datos. Las organizaciones deben mitigar los riesgos asociados a la prdida de datos y a la fuga de informacin. La informacin confidencial de los clientes, son responsabilidad de las organizaciones. Los datos convertidos en informacin a travs de bases de datos y procesos de negocios representan el negocio. Las organizaciones deben tomar medidas mucho ms all de asegurar sus datos. Deben monitorearse perfectamente a fin de conocer quin o qu les hizo exactamente qu, cundo y cmo.
Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Trminos similares a Auditora de Base de Datos Auditora de Datos Monitoreo de Datos La auditora de la bases de datos se realiza en base a una metodologa. Dicha metodologa deriva de un marco de buenas prcticas en seguridad de base de datos aplicado sobre la documentacin de la versin de la base de datos auditada.

Mediante la auditora de bases de datos se evaluar:

Definicin de estructuras fsicas y lgicas de las bases de datos Control de carga y mantenimiento de las bases de datos Integridad de los datos y proteccin de accesos Estndares para anlisis y programacin en el uso de bases de datos Procedimientos de respaldo y de recuperacin de datos.

Aspectos Claves
No se debe comprometer el desempeo de las bases de datos Soportar diferentes esquemas de auditora Se debe tomar en cuenta el tamao de las bases de datos a auditar y los posibles SLA establecidos

Segregacin de funciones El sistema de auditora de base de datos no puede ser administrado por los DBA del rea de IT

Proveer valor a la operacin del negocio Informacin para auditora y seguridad Informacin para apoyar la toma de decisiones de la organizacin Informacin para mejorar el desempeo de la organizacin

Auditora completa y extensiva Cubrir gran cantidad de manejadores de bases de datos Estandarizar los reportes y reglas de auditora

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Planificacin de la Auditoria de BD
1. 2. 3. 4. 5. 6. Identificar todas las bases de datos de la organizacin Clasificar los niveles de riesgo de los datos en las bases de datos Analizar los permisos de acceso Analizar los controles existentes de acceso a las bases de datos Establecer los modelos de auditora de BD a utilizar Establecer las pruebas a realizar para cada BD, aplicacin y/o usuario

Metodologas para la auditora de Base de Datos

Metodologa Tradicional

El auditor revisa el entorno con la ayuda de una lista de control (Checklist), que consta de una serie de cuestiones a verificar, registrando los resultados de su investigacin. En esta investigacin se confecciona una lista de control de todos los aspectos a tener en cuenta. Metodologa de evaluacin de riesgos

Este tipo de metodologa, conocida tambin por Risk oriented approach es la que propone la ISACA y empieza fijando los objetivos de control que minimizan los riesgos potenciales a los que est sometido el entorno. Considerando los riesgos de: o Dependencia por la concentracin de Datos o Accesos no restringidos en la figura del DBA o Incompatibilidades entre el sistema de seguridad de accesos del SGBD y el general de instalacin o Impactos de los errores en Datos y programas o Rupturas de enlaces o cadenas por fallos del softw. o Impactos por accesos no autorizados o Dependencias de las personas con alto conocimiento tcnico Se pueden definir los siguientes Controles: Objetivo de control: el SGBD deber preservar la confidencialidad de la BD Tcnicas de Control: se establecen niveles y tipos de usuarios, privilegios para el control de acceso a la base datos

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Metadatos: Modelos de datos:

Un modelo de datos define las reglas generales para la especificacin de la estructura de los datos y el conjunto de operaciones permitidas sobre ellos.

Estructuras:
conjunto de conceptos que permiten representar las caractersticas estticas de los datos. Las estructuras se pueden especificar de dos maneras: Representacin de los datos e interrelaciones entre ellos: descripcin de empleado, departamento e interrelacin. Restricciones sobre los datos: ningn empleado cobra ms que su jefe.

Metadatos:
Metadatos (del griego , meta, encima de y latn datum, lo que se da, dato), literalmente sobre datos, son datos que describen otros datos, metadatos son datos sobre datos. Otro concepto que algunos autores siguen es, que los metadatos son datos estructurados y codificadas que describen caractersticas de instancias (objetos) conteniendo informaciones para ayudar a identificar, descubrir, valorar y administrar las instancias descritas. Los metadatos pueden describir colecciones de objetos y tambin los procesos en los que estn involucrados, describiendo cada uno de los eventos, sus componentes y cada una de las restricciones que se les aplican. Por ejemplo, una fotografa en la boda de un amigo con nuestra cmara digital. La fotografa, una vez guardada en el disco duro de nuestro ordenador, es el dato. Si nos fijamos en las propiedades, hay toda una coleccin de datos asociados a la fotografa: el nombre, la fecha, el formato, el propietario, (y algunos de ellos ya son aadidos automticamente por nuestra cmara). Ese tipo de informacin son metadatos. Es decir, informacin sobre un objeto que le proporcionan un valor aadido.
Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Beneficios de los metadatos:

Los metadatos adhieren contenido, contexto y estructura a los objetos de informacin, asistiendo de esta forma al proceso de recuperacin de conocimiento desde colecciones de objetos. Los metadatos permiten generar distintos puntos de vista conceptuales para sus usuarios o sistemas, y liberan a estos ltimos de tener conocimientos avanzados sobre la existencia o caractersticas del objeto que describen. Los metadatos permiten el intercambio de la informacin sin la necesidad de que implique el intercambio de los propios recursos. En cada proceso productivo, o en cada etapa del ciclo de vida de un objeto de informacin, se van generando metadatos para describirlos y metadatos para describir dichos metadatos (manual o automticamente), generando de esta forma valor aadido a los recursos. Los metadatos permiten preservar los objetos de informacin permitiendo migrar (gracias a la informacin estructural) sucesivamente stos, para su posible uso por parte de las futuras generaciones.

Clasificacin:
Contenido. Subdividir metadatos por su contenido es lo ms comn. Se puede separar los metadatos que describen el recurso mismo de los que describen el contenido del recurso. Es posible subdividir estos dos grupos ms veces, por ejemplo para separar los metadatos que describen el sentido del contenido de los que describen la estructura del contenido o los que describen el recurso mismo de los que describen el ciclo vital del recurso. Variabilidad. Segn la variabilidad se puede distinguir metadatos mutables (voltiles) y inmutables (No voltiles). Los inmutables no cambian. Los mutables difieren de parte a parte, por ejemplo el contenido de un vdeo. Funcin. Los datos pueden ser parte de una de las tres capas de funciones: subsimblicos, simblicos o lgicos. Estos no contienen informacin sobre su significado. Los simblicos describen datos subsimblicos, es decir aaden sentido. Los datos lgicos describen cmo los datos simblicos pueden ser usados para deducir conclusiones lgicas, es decir aaden comprensin.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Ciclo de vida:
El ciclo de vida de los metadatos comprende las fases creacin, manipulacin y destruccin. Creacin Se pueden crear metadatos manualmente, semi automticamente o automticamente. El proceso manual puede ser muy laborioso, dependiente del formato usado y del volumen deseado, hasta un grado en el que los seres humanos no puedan superarlo. Por eso, el desarrollo de utillaje semiautomtico o automtico es ms que deseable. En la produccin automtica el software adquiere las informaciones que necesita sin ayuda externa. Aunque el desarrollo de algoritmos tan avanzados est siendo objeto de investigacin actualmente, no es probable que la computadora vaya a ser capaz de extraer todos los metadatos automticamente. En vez de ello, se considera la produccin semiautomtica ms realista; aqu un servidor humano sostiene algoritmos autnomos con la aclaracin de inseguridades o la proposicin de informaciones que el software no puede extraer sin ayuda. Manipulacin Si los datos cambian, los metadatos tienen que cambiar tambin. Aqu se hace la pregunta quien va a adaptar los metadatos. Hay modificaciones que pueden ser manejadas sencilla y automticamente, pero hay otras donde la intervencin de un servidor humano es indispensable. La meta produccin, el reciclaje de partes de recursos para crear otros recursos, demanda atencin particular. La fusin de los metadatos afiliados no es trivial, especialmente si se trata de informacin con relevancia jurdica, como por ejemplo la gestin de derechos digitales. Destruccin En algunos casos es conveniente eliminar los metadatos juntos con sus recursos, en otros es razonable conservar los metadatos, por ejemplo para supervisar cambios en un documento de texto. Almacenamiento Hay dos posibilidades para almacenar metadatos: depositarlos internamente, en el mismo documento que los datos, o depositarlos externamente, en su mismo recurso. Inicialmente, los metadatos se almacenaban internamente para facilitar la administracin. Hoy, por lo general, se considera mejor opcin la localizacin externa porque hace posible la concentracin de metadatos para optimizar operaciones de busca. Por contra, existe el problema de cmo se liga un recurso con sus metadatos. La mayora de los estndares usa URIs, la tcnica de localizar documentos en la World Wide Web, pero este mtodo propone otras preguntas, por ejemplo qu hacer con documentos que no tienen URI.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Codificacin Los primeros y ms simples formatos de los metadatos usaron texto no cifrado o la codificacin binaria para almacenar metadatos en ficheros. Hoy, es comn codificar metadatos usando XML. As, son legibles tanto por seres humanos como por computadoras. Adems este lenguaje tiene muchas caractersticas a su favor, por ejemplo es muy simple integrarlo en la World Wide Web. Pero tambin hay inconvenientes: los datos necesitan ms espacio de memoria que en formato binario y no est claro cmo convertir la estructura de rbol en un corriente de datos. Por eso, muchos estndares incluyen utilidades para convertir XML en codificacin binaria y viceversa, de forma que se anen las ventajas de los dos. Vocabularios controlados y ontologas Para garantizar la uniformidad y la compatibilidad de los metadatos, muchos sugieren el uso de un vocabulario controlado fijando los trminos de un campo.

Crtica sobre los metadatos:

Algunos expertos critican fuertemente el uso de metadatos. Sus argumentos ms sustanciosos son: Los metadatos son costosos y necesitan demasiado tiempo. Las empresas no van a producir metadatos porque no hay demanda y los usuarios privados no van a invertir tanto tiempo. Los metadatos son demasiado complicados. La gente no acepta los estndares porque no los comprende y no quiere aprenderlos. Los metadatos dependen del punto de vista y del contexto. No hay dos personas que aadan los mismos metadatos. Adems, los mismos datos pueden ser interpretados de manera totalmente diferente, dependiendo del contexto. Los metadatos son ilimitados. Es posible adherir ms y ms metadatos tiles y no hay fin. Los metadatos son superfluos. Ya hay buscadores potentes para textos, y en el futuro la tcnica query by example (busqueda basada en un ejemplo) va a mejorarse, tanto para localizar imgenes como para msica y vdeo. Algunos estndares de metadatos estn disponibles pero no se aplican: los crticos lo consideran una prueba de las carencias del concepto de metadatos. Hay que anotar que este efecto tambin puede ser causado por insuficiente compatibilidad de los formatos o por la enorme diversidad que amedrenta a las empresas. Fuera de eso hay formatos de metadatos muy populares.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

10

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Monitorizacin
o o o o o o Registros de auditora Revisin de uso de sistemas Proteccin de logs Logs de administradores y operadores Logs de fallo del sistema Sincronizacin de relojes

Control de Acceso
o o o o o o o o o o o o o o o o Requerimientos del negocio para el control de accesos Poltica de control de accesos Gestin de accesos de usuario Registro de usuarios Gestin de privilegios Gestin de contraseas de usuario Revisin de los derechos de acceso de los usuarios Responsabilidades de los usuarios Uso de contraseas Equipamiento informtico de usuario desatendido Poltica de pantallas y mesas limpias Poltica de uso de los servicios de red Identificacin de equipos en la red Proteccin a puertos de diagnstico remoto y configuracin Control de conexin a las redes Control de enrutamiento en red

Si existen los controles sobre la BD se pueden disear pruebas de cumplimiento que permitan verificar la consistencia de los mismos. Prueba de Cumplimiento: listar privilegios y perfiles existentes en el SGBD Si estas pruebas detectan inconsistencias en los controles, se disean otros tipos de pruebas denominadas pruebas sustantivas. Prueba sustantiva: Comprobar si la informacin ha sido corrompida comparndola con otra fuente, o revisando, los documentos de entrada de datos y las transacciones que se han ejecutado. Se valoran los resultados obtenindose conclusiones que sern comentadas y discutidas con los responsables directos del rea con el fin de comprobar resultados. En estos comentarios se describe la situacin, el riesgo existente y la deficiencia a soluciones aportando en su caso la posible solucin.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

11

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Consideraciones Generales
Se deben tomar en cuenta todas las capas de acceso a la informacin Se debe tener importante atencin en los accesos de los usuarios con privilegios de acceso Se debe tratar de tener informacin contextual para determinar como se creo la violacin al control Se deben tener reglas de auditora uniformes a travs de todas las bases de datos y sistema Se deben segregar las funciones entre los auditores y los usuarios con privilegios de acceso

Objetivos de Control en el ciclo de vida de una Base de Datos

F O R M A C I O N

ESTUDIO PREVIO Y PLAN DE TRABAJO

CONCEPCION DE LA BD Y SELECCIN DEL EQUIPO

DISEO Y CARGA

EXPLOTACION Y MANTENIMIENTO

D O C U M E N T A C I O N

C A L I D A D

REVISION POST-IMPLEMENTACION

Estudio previo y Plan de Trabajo

En esta primera fase, se elaborara un estudio tecnolgico de la viabilidad, donde se contemplaran distintas alternativas para alcanzar los objetivos del proyecto acompaados de un anlisis coste-beneficio para cada una de las opciones. Se debe considerar entre estas alternativas la posibilidad de no llevar a cabo el proyecto (no siempre est justificada la implantacin de un sistema de bases de datos).

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

12

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Se debe comprobar que la alta direccin revisa los informes de los estudios de viabilidad ya que es la que decide seguir adelante o no con el proyecto. Esto es fundamental porque los tcnicos han de tener en cuenta que si no existe una decidida voluntad de la organizacin en un conjunto, impulsada por los directivos, aumenta considerablemente el riesgo de fracasar en la implantacin del sistema. Si se decide llevar a cabo el proyecto es fundamental que se establezca un plan director, debiendo el auditor verificar que ste plan se emplea para el seguimiento y gestin del proyecto y que cumple con los procedimientos generales de gestin del proyecto y que tenga aprobados la organizacin. Se debe establecer en esta fase de aprobacin la estructura orgnica del proyecto y de la unidad que gestionar el control de la BD. Se pueden establecer acerca de este tema dos objetivos de control Asignacin de responsabilidades para la planificacin, organizacin, dotacin de plantillas y control de los activos de datos de la organizacin (DA) Algunas tareas son:

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

13

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Asignacin de la responsabilidad de administracin de la Base de Datos (DBA)

En resumen, el DBA se encarga de autorizar el acceso a la base de datos, de coordinar y vigilar su empleo, y de adquirir los recursos necesarios de software y hardware. El DBA es la persona responsable cuando surgen problemas como violaciones a la seguridad o una respuesta lenta del sistema. Cuando se establecen las responsabilidades de estas funciones hay que tener en cuenta uno de los principios fundamentales del control interno: la separacin de funciones. Se recomienda una separacin de funciones entre: - El personal de desarrollo de sistemas y el de explotacin. - Explotacin y control de datos. - Administracin de bases de datos y desarrollo.

Concepcin de la Base de Datos y Seleccin del Equipo

La metodologa de desarrollo de diseo de Base de Datos debera tambin emplearse para especificar los documentos fuentes, los mecanismos de control, las caractersticas de seguridad y las pistas de auditora a incluir en el sistema, estos ltimos aspectos generalmente se descuidan, lo que produce mayores costes y problemas cuando se quieren incorporar una vez concluida la implementacin de la base de datos y la programacin de las aplicaciones. El auditor debe analizar la metodologa de diseo para determinar si es no aceptable, y luego comprobar su correcta utilizacin. Como mnimo una metodologa de diseo de BD debera contemplar dos fases de diseo: lgico y fsico. COBIT dedica importancia a la definicin, de la arquitectura de la informacin, que contempla cuatro objetivos de control relativos a:

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

14

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

- Modelo de arquitectura de informacin, y su actualizacin, que es necesaria para mantener el modelo consistente con las necesidades de los usuarios y con el plan estratgico de tecnologa de la informacin. - Datos y diccionario de datos corporativo. - Esquema de clasificacin de datos en cuanto a su seguridad. - Niveles de seguridad Respecto de la seleccin de equipos se deber realizar un procedimiento en que se consideren: necesidades de la empresa (ponderadas) prestaciones que ofrecen los distintos SGBD candidatos impacto del software en cuanto a medidas de seguridad

Diseo y Carga
Se examinan si los diseos se han realizados correctamente, verificando la estructura y las relaciones entre los datos, se controlan tambin las especificaciones de almacenamiento de datos, la seguridad de los mismos. El auditor tendr que tomar una muestra de ciertos elementos (tablas, vistas, ndices) y comprobar que su definicin es completa, que ha sido aprobada por el usuario y que el administrador de la base de datos particip en su establecimiento. Aprobado el diseo de datos se procede a la carga ya sea manualmente, por migracin o con soporte tcnico, esto merece especial atencin ya que existen riesgos de prdida de informacin por lo que deber estar correctamente planificada la carga de la Base de datos. Se realizan pruebas paralelas, que atienden a los criterios establecidos por la alta gerencia, y se establecen controles que aseguren la integridad de los mismos. Se busca minimizar los errores en la carga y de es especial tratamiento a estas entradas errneas.

Explotacin y Mantenimiento
Pasadas las pruebas de Aceptacin se establecen los procedimientos de explotacin y mantenimiento de la BD asegurando la congruencia y exactitud en la aplicacin de estos procedimientos, modificndose solo cuando sea necesario y previa autorizacin. COBIT establece que el auditor debe llevar a cabo una auditoria sobre el rendimiento del sistema de BD verificando adems de los ajustes y optimizacin en el rediseo lgico y fsico, el correcto funcionamiento del SO.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

15

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Clasificacin de los Objetivos de Control para la gestin de Datos ISACA

Revisin post-implantacin Se debera establecer el desarrollo de un plan para efectuar una revisin postimplantacin de todo sistema nuevo o modificado con el fin de evaluar si: - Se han conseguido los resultados esperados. - Se satisfacen las necesidades de los usuarios. - Los costes y beneficios coinciden con lo previsto Otros procesos Auxiliares Capacitar y formar a todo el personal no solo en el producto que se instala como BD sino tambin sobre todo el contexto que hace al SGBD. El auditor tendr que revisar la documentacin que se produce a lo largo de todo el proceso, para verificar si es suficiente y si se ajusta a los estndares establecidos por la metodologa adoptada en la empresa.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

16

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

ADITORA Y CONTROL INTERNO EN UN ENTORNO DE BASE DE DATOS Cuando el auditor, se encuentra en el sistema en explotacin, deber estudiar el SGBD y su entorno. Como se seala en Menkus (1991Deberan considerarse el

control, la integridad y la seguridad de los datos compartidos por mltiples usuarios.

Entorno de BD

SISTEMA DE GESTION DE BASE DE DATOS SGBD Entre los componentes del SGBD podemos destacar el ncleo _.El Kernel_, el catlogo (componente fundamental para asegurar la seguridad de la base de datos), las utilidades para el administrador de la base de datos (entre la que se pueden encontrar algunas para crear usuario, conceder privilegios y resolver otras cuestiones relativas a la confidencialidad); las que se encargan de la recuperacin de la BD: rearranque, copias de respaldo, ficheros diarios _Log_, etc. Y algunas funciones de auditora, as como los lenguajes de la cuarta generacin (L4G) que incorpora el propio SGBD. Se debern auditar las ayudas y procedimientos propios del SGBD evaluando su completitud. Tipos de Software Software de Auditora Software que ayudan a la extraccin de datos, seguimientos de transacciones, datos de prueba etc. Algunos pueden ser propios del SGBD, y/o paquetes desarrollados propios de la organizacin o comprados por ejemplo: RSA The Security Division of EMC

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

17

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Sistema de monitorizacin y Ajustes Ofrecen mayor informacin para optimizar el sistema, pudiendo ser en determinadas ocasiones verdaderos sistemas expertos que proporcionan la estructura ptima de la base de datos y de ciertos parmetros del SGBD y del SO. Sistema Operativo El SO es de suma importancia ya que el SGBD se apoyar en l, en mayor o menor medida (segn se trate de un SGBD dependiente o independiente) en los servicios que le ofrezca; eso en cuanto a control de memoria, gestin de reas de almacenamiento intermedio (Buffers), manejo de errores, control de confidencialidad, mecanismo de interbloqueo, etc. Control de Transacciones Es un elemento ms del entorno del SGBD con responsabilidades de confidencialidad y rendimiento. Existen controles de (adems de los antes mencionados): Control de accesos al sistema operativo Procedimientos de log-on seguro Identificacin y autenticacin de los usuarios Sistema de gestin de contraseas Utilizacin de utilidades del sistema Timeout de sesiones Limitacin del tiempo de conexin Control de acceso a la informacin y aplicaciones Restriccin de acceso a la informacin Aislamiento de sistemas sensibles Protocolos y Sistemas Distribuidos Algunos objetivos de control a la hora de revisar la distribucin de datos El sistema de proceso distribuido debe tener en funcin de administracin de datos centralizada, que establezca estndares generales para la distribucin de datos a travs de aplicaciones. -Deben establecerse unas funciones de administracin de datos y de base de datos fuertes, para que puedan controlar la distribucin de los datos. -Deben de existir pistas de auditora para todas las actividades realizadas por las aplicaciones contra sus propias bases de datos y otras compartidas. -Deben existir controles software para prevenir interferencias de actualizacin sobre las bases de datos en sistemas distribuidos. -Deben realizarse las consideraciones adecuadas de costes y beneficios en el diseo de entornos distribuidos. Paquetes de Seguridad Existen en el mercado varios productos que permiten la implantacin Efectiva de de una poltica de seguridad, puesto que centralizan el Control de accesos, la definicin de privilegios, perfiles de usuarios etc.
Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

18

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Diccionario de Datos Juegan un papel primordial en el entorno de los SGBD en cuanto a la integracin de componentes y al cumplimiento de la seguridad de datos. Los diccionarios de datos se pueden auditar de manera anloga a las bases de datos, ya que, despus de todo, son bases de datos de metadatos. Un fallo en la BD puede atentar contra la integridad de los datos y producir un mayor riesgo financiero, mientras que un fallo en un diccionario (o repositorios), suele llevar consigo un perdida de integridad de los procesos; siendo ms peligrosos los fallos en los diccionarios puesto que pueden introducir errores de forma repetitiva a lo largo del tiempo y son mas difciles de detectar.

Herramientas CASE (Compuer Aided System/Software Engineering). IPSE (Integrated Project Support Environments) Constituyen una herramienta clave para que el auditor pueda revisar el diseo de la DB, comprobar si se ha empleado correctamente la metodologa y asegurar un nivel mnimo de calidad.

Lenguajes de Generacin de Cuarta generacin (L4G) independientes Son elementos a considerar en el entrono del SGBD De los objetivos de control para los L4G, destacan los siguientes: El L4G debe ser capaz de operar en el entorno de proceso de datos con controles adecuados. Las aplicaciones desarrolladas con L4G deben seguir los mismos procedimientos de automatizacin y peticin que los proyectos de desarrollo convencionales. Las aplicaciones desarrolladas con L4G deben sacar ventajas de las caractersticas incluidas en el mismo. Uno de los peligros ms graves de los L4G es que no se aplican controles con el mismo rigor que a los programas desarrollados con lenguajes de tercera generacin. Otros problemas pueden ser la ineficacia y elevado consumo de recursos El Auditor deber estudiar los controles disponibles el los L4G, en caso negativo, recomendar su construccin con lenguajes de tercera generacin.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

19

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Facilidades de Usuario El auditor deber investigar las medidas de seguridad que ofrecen estas herramientas (Interfaz grfica de usuario) y bajo que condiciones han sido instaladas; las herramientas de este tipo deberan proteger a los usuarios de sus propios errores.

Herramientas de Minera de Datos Estas herramientas ofrecen soporte a la toma de decisiones sobre datos de calidad integrados en el almacn de datos Se deber controlar la poltica de refresco y carga de los datos en el almacn a partir de las bases de datos operacionales existentes, as como la existencia de mecanismos de retroalimentacin que modifican las bases de datos operacionales a partir de los datos del almacn.

Aplicaciones El auditor deber controlar que las aplicaciones no atentan contra la integridad de los datos de la base. Tcnicas para el Control de Base de Datos en un entorno complejo Existen muchos elementos del entorno del SGDB que influyen el la seguridad e integridad de los datos, en los que cada uno de apoya en la operacin correcta y predecidle de otra. El efecto de esto es: debilitar la seguridad global del sistema, reduciendo la fiabilidad e introduciendo un conjunto de controles descoordinados y solapados, difciles de gestionar.

Cuando el auditor se enfrenta a un entrono de este tipo, puede emplear, entre otras, dos tcnicas de control:

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

20

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Matrices de Control Sirven para identificar los conjuntos de datos del SI juntos con los controles de seguridad o integridad implementados sobre los mismos. CONTROLES DE SEGURIDAD DATOS TRANSACCIONES DE ENTRADA REGISTRO DE BASE DE DATOS PREVENTIVOS DETECTIVOS CORRECTIVOS Verificacin Cifrado Informe de Reconciliacin Informe de excepcin Copia de seguridad

Los controles se clasifican como se puede observar en detectivos, preventivos y correctivos

Anlisis de los Caminos de Acceso

Con esta tcnica se documentan el flujo, almacenamiento y procesamiento de los datos en todas las fases por las que pasan desde el mismo momento en que se introducen, identificando los componentes del sistema que atraviesan (tanto Hw como Sw) y los controles asociados

ORDENADOR PERSONAL MONITOR DE MULTIPROC

ORDENADOR PAQUET E DE PROGRA MA SGB D SO DA TO

USUARIO Seguridad Cifrado Formacin * Controles * Procedimientos

Control de Acceso * Registro de Transacciones

Control de Acceso * Control de Integridad De datos Control de Acceso * Registro de Acceso * Informe de Excepciones

Controles

Control de Acceso * Cifrado * Control de Integridad

Copias de Seguridad Fichero diario de Integridad de Datos

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

21

UNIVERSIDAD TECNOLGICA NACIONAL AUDITORA SI/TI

MAYO 2008

Glosario de Trminos
Base de datos: Es un conjunto de datos relacionados entre s. Por datos entendemos hechos conocidos que pueden registrarse y que tienen un significado implcito. Sistema de gestin de bases de datos (SGBD): Es un conjunto de programas que permite a los usuarios crear y mantener una base de datos. Diccionario de Datos o Repositorio de una aplicacin, proyecto, etc. Consiste en una Base de Datos o Catlogo de los propios datos de la aplicacin a la que pertenece. Por tanto guarda informacin imprescindible para el funcionamiento de dicha aplicacin y para su uso, o en el caso de un proyecto para el desarrollo del mismo, de sta forma damos la importancia que se merece al Repositorio y as en los objetivos destacaremos los aspectos fundamentales de la seguridad.

Cargnelutti, Pablo R. Loza, Patricia A. Sosa Agero, Paula

22