Javier Alberto Carmona Troyo Asesoría y Consultoría en Seguridad Informática

Transcripción

1 Javier Alberto Carmona Troyo Asesoría y Consultoría en Seguridad Informática Auditoría Informática a los Sistemas de Información que son utilizados en la implementación del Sistema de Resultados Electorales Preliminares PREP del proceso electoral 2016 del estado de Baja California INFORME FINAL DE AUDITORIA 29 de Mayo del 2016

2 Nombre de la Auditoria: Auditoría Informática a los Sistemas de Información que son utilizados en la implementación del Sistema de Resultados Electorales Preliminares PREP del proceso electoral 2016 del estado de Baja California, con la finalidad de evaluar la integridad en el procesamiento de la información conforme a la normatividad en términos de funcionalidad. Antecedentes. Esta auditoria se apegará a los Lineamientos del Programa de Resultados Electorales Preliminares (PREP), que ha emitido el Instituto Nacional Electoral (INE), aprobados mediante acuerdo INE/CG108/2016 de fecha 16 de Marzo de 2016, en su capítulo quinto de dichos lineamientos mandatorios, en el que se someterá el sistema informático del PREP a una auditoria. Objetivo de la auditoria. Realizar una auditoría con el fin de evaluar al sistema de información e infraestructura, para verificar el cumplimiento y asegurar la revisión de los controles del sistema de información, en términos de calidad, funcionalidad, análisis de vulnerabilidades de la infraestructura tecnológica de acuerdo a los Lineamientos del Programa de Resultados Electorales Preliminares (PREP) en su capítulo V, que ha emitido el Instituto Nacional Electoral (INE). Para este informe en particular se está auditando la funcionalidad el sistema informático PREP desarrollado por la empresa PODERNET. Alcance de la auditoría: Las actividades que se llevaron a cabo para la realización de esta auditoría son las presentadas en el Plan de Auditoria, las cuales fueron las siguientes: Planeación de la auditoria: la cual consistió en la revisión de la documentación proporcionada al inicio de esta auditoría (Técnica y Reglamentaria) del PREP, para comprender el flujo de información y los procesos implicados en este sistema de información. Ejecución de la auditoria: la revisión del sistema de información PREP que está implementado en el CATD es el objeto de esta auditoría y no el llenado de las actas de escrutinio y cómputo por los funcionarios de casilla, así como la entrega de estas actas a los Centros de Acopio y Transmisión de Datos (CATD). Este proceso de revisión tuvo como primer paso verificar que el personal del PREP, siga de acuerdo al manual de procedimientos, el proceso de acopio y digitalización de las actas de escrutinio y cómputo recibidas, así como la correcta recepción de éstas en el CATD. En este, se verifico la funcionalidad de los Confidencial Página 2 de 5

3 procesos de Foliación, Captura, Validación/Verificación y Publicación de Resultados, y que la información presentada de los resultados electorales preliminares sea íntegra de acuerdo a los estándares indicados en el Procedimiento Técnico Operativo del PREP. Asimismo, se realizó el análisis de vulnerabilidades de la infraestructura tecnológica con respecto a pruebas de penetración, denegación de servicio e inyección de código malicioso. Denegación de Servicios. Cierre de la auditoría: que consiste en la elaboración del presente informe final de la auditoría realizada al sistema informático PREP Cabe aclarar que el equipo auditor proporciono dos informes parciales de auditoría, al concluir alguna de las fases, uno de ellos, el resultado del análisis de vulnerabilidades a la infraestructura tecnológica. Periodo de revisión. Del 16 al 29 de Mayo del presente año con respecto a las actividades arriba mencionadas. Limitaciones del proceso de auditoría. El equipo auditor al momento de realizar la auditoría contaba con la siguiente documentación: Actas de Escrutinio y Cómputo (ficticias) con datos de prueba Dirección URL de la publicación de resultados de un simulacro. Lineamientos del Programa de Resultados Electorales Preliminares. Procedimiento Técnico Operativo del PREP. Plan de Continuidad. Cláusulas del Contrato que Impactan la Auditoría Anexo Técnico, y Plan de Seguridad. Procedimientos de auditoría realizados. Se realizó el análisis y la revisión de todos y cada uno de los planes, procedimientos y manuales (técnicos y normativos) proporcionados para comprender el funcionamiento legal y técnico del sistema informático y de esta manera corroborar la ejecución de actividades en el sistema PREP 2016 por parte del personal del PREP, esta actividad fue realizada del 16 al 20 de Mayo del año en curso. Se realizaron en dos ocasiones pruebas controladas de Caja Negra, con el objeto de verificar la funcionalidad del sistema, distribuidas de la siguiente forma: Confidencial Página 3 de 5

4 a) Primera prueba controlada de Caja Negra que se realizó el 19 de Mayo del año en curso, consistió en la verificación del proceso de Digitalización en el CATD, la verificación de la recepción correcta de las actas digitalizadas, la verificación del proceso de captura en el área Foliación y Captura, todo esto durante la operación del primer simulacro del PREP. b) Se llevó a cabo pruebas de caja negra al equipo de digitalización para verificar la robustez del sistema en cuanto a pruebas de penetración y/o denegación de servicios. Esta prueba se llevó a cabo en las instalaciones del CATD. Asimismo, se verifico que el equipo digitalizador funcionara en forma correcta. c) Se realizó el Análisis de Vulnerabilidades de la Infraestructura Tecnológica el día 25 de Mayo del año en curso: pruebas de negación de servicio, inyección de código malicioso y pruebas de acceso a los diversos recursos del sistema informático del PREP, en el Centro de Cómputo de Posgrado del Instituto Tecnológico de La Paz. Para la realización de estas pruebas se tomó como base las fases que debe llevar un hackeo ético, fases que van desde la recolección de información hasta la explotación de la víctima. Estas fases están avaladas por EC-Council que es el organismo internacional que vela por la seguridad informática en base a seguridad Ofensiva. Así como otras pruebas de ataque de denegación de servicio. Se realizaron dichas pruebas sobre la dirección URL proporcionada por PoderNet a la hora señalada. Hallazgos u observaciones encontradas. Al realizar las primeras verificaciones y pruebas, el personal de PoderNet subsano las diferencias encontradas en la operación del sistema informático con respecto a los procedimientos establecidos en los Manuales de Capacitación y Planes de Seguridad. Se pudo verificar que el sistema cumple con los requisitos de operación y funcionalidad marcados en los Lineamientos del Programa de Resultados Electorales Preliminares (PREP) en su capítulo V, que ha emitido el Instituto Nacional Electoral (INE) Análisis de vulnerabilidades. (no críticas) Se pudo verificar y corroborar que el sistema cumple con el Procedimiento Técnico Operativo del PREP. Confidencial Página 4 de 5

5 Se pudo verificar la robustez del sistema ante diferentes ataques de bombardeo de paquetes. Se obtuvo como resultado del escaneo y análisis de vulnerabilidades al sistema lo siguiente: o No se encontró ninguna vulnerabilidad de nivel Alto o medio. Conclusiones del equipo auditor. Se cumplieron los objetivos planteados en el Plan de Auditoría con respecto al sistema informático del PREP. Como resultado de esta auditoría al sistema informático PREP desarrollado por PoderNet y una vez que fueron atendidas las observaciones y sugerencias proporcionadas por el equipo auditor podemos concluir que: El sistema PREP cumple con los requisitos de operación y funcionalidad marcados en los Lineamientos del Programa de Resultados Electorales Preliminares (PREP) en su capítulo V, que ha emitido el Instituto Nacional Electoral (INE). El sistema PREP cumple con los requisitos de operación y funcionalidad marcados en el Procedimiento Técnico Operativo del PREP. El sistema no cuenta con vulnerabilidades de alto riesgo y responde eficazmente ante ataques de negación de servicio. Confidencial Página 5 de 5