CENTRO UNIVERSITARIO DE CIENCIAS EXACTAS E INGENIERÍAS DEPARTAMENTO DE CIENCIAS COMPUTACIONALES

Transcripción

1 CENTRO UNIVERSITARIO DE CIENCIAS EXACTAS E INGENIERÍAS DEPARTAMENTO DE CIENCIAS COMPUTACIONALES PLANEACION DE CLASE DIARIA DE AUDITORÍA INFORMATICA (CC337) CARRERA TSU EN INFORMATICA PROFESOR GRADO 4 GRUPOS NÚMERO DE HORAS 2530 CRÉDITOS TIPO DE CURSO FECHA DE ELABORACIÓN Curso Teórico- Práctico 4 horas 9 FEBRERO/ A COMPRENDER EL USO DE METODOLOGÍA DE AUDITORÍA EN INFORMÁTICA, ESTUDIO Y APLICACIÓN DE LA AUDITORÍA EN INFORMÁTICA EN LAS DIFERENTES FUNCIONES DE UN CENTRO DE PROCESAMIENTO DE INFORMACIÓN, ASÍ COMO EN LAS DIFERENTES FASES DEL CICLO DE VIDA EN UN SISTEMA DE INFORMACIÓN, APLICACIÓN PRÁCTICA DE LA AUDITORÍA EN INFORMÁTICA EN CASOS DE ESTUDIO. CICLO No. Sem. SEMANA SESION 1 OBJETIVOS (PARTICULARES Y ESPECÍFICOS) Y CONTENIDOS PROGRAMÁTICOS Módulo 1. Auditoría de la Seguridad Física de la infraestructura informática. ACTIVIDADES DE ENSEÑANZA APRENDIZAJE El profesor presentará el curso y modo de evaluación El profesor dará una Introducción a la materia en General El alumno comentará acerca del programa Redactará una autobiografía RECURSOS DIDÁCTICOS DURACION EVALUACION 5 puntos 1 2 Objetivo particular:. El alumno entenderá y enunciará las acciones necesarias para la prevención y corrección de protección a equipos que forman parte de la infraestructura informática en las organizaciones. Objetivos Específicos: 1.1 y 1.2 El alumno entenderá la necesidad de acciones de prevención y protección a equipos de cómputo esenciales. Introducción al curso El profesor motivará al alumno a realizar una práctica en la que enunciará todos los riesgos de seguridad observados en el Departamento. T1.- El alumno Investigará en internet y encontrará 6 dispositivos para impedir el robo de computadoras o de partes de ellas, 3 para computadoras de escritorio y 3 para computadoras portatiles, describirá como funciona cada dispositivo y dará su opinion personal acerca de si considera que son utiles o no y por que. Plan de trabajo y guión de práctica.

2 3 1.3 El alumno entenderá la necesidad de acciones de prevención y protección a un CPD. El profesor explicará todos los controles que deberían existir en un CPD. El alumno contestará preguntas de repaso 4 hrs 2 y CPD 1.1 Seguridad Fisica de computadoras de escritorio Medidas de protección contra danos intencionales y no intencionales Medidas contra Robo Total o Parcial Medidas de mantenimiento preventivo Medidas contra el mal uso y abuso del equipo. 1.2 Seguridad Física de computadoras portatiles Medidas de protección contra danos intencionales y no intencionales Medidas contra Robo Total o Parcial Medidas de mantenimiento preventivo Medidas contra el mal uso y abuso del equipo. 1.3 Seguridad fisica de centros de procesamiento de datos. 4 hrs Control de accesos (Alarmas, sensores, CCTV) Medidas de proteccion del sitio (UPS, Piso Elevado, Aire acondicionado, Muros, pisos y techos). Módulo 2. Auditoria de la Seguridad Lógica de la Informacion. y/o laptop y cañón, cuestionario preparado. Objetivo particular:. El alumno sera capaz de ejecutar acciones preventivas para proteger la Confidencialidad, Integridad y Disponibilidad de la Información y explicará que elementos deberán ser considerados para la restauración de los datos.

3 2 4 Objetivos específicos: 2.1 y 2.2 El alumno conocerá la importancia de salvaguardar la Integridad, Confidencialidad y Disponibilidad de la Información. El profesor explicará los Conceptos de Integridad, Confidencialidad y Disponibilidad de la Información. El alumno responderá a preguntas de repaso. 3 5 Los modelos de seguridad El alumno resolverá un caso de estudio a través de la implementación de un modelo de seguridad El profesor explicará la seguridad en los Sistemas operativos Explicará los Antivirus y Virus, y los sistemas operativos más vulnerables. Caballo de troya, gusanos T2.-Investigue en Internet por lo menos a 3 proveedores de software Antivirus. Hará una comparación de Funcionalidad y Costo entre los diferentes programas Antivirus. Y describirá cual programa Antivirus de los comparados le parece el mejor y por que? Seguridad en las Bases de Datos Seguridad en los Documentos XML T3.-Estudio de 3 DBMS y comparar seguridad 4 2.3, 2.4, 2.5, 2.6, 2.7 y 2.8 El alumno conocerá la importancia de salvaguardar la Integridad, Confidencialidad y Disponibilidad de la Información a través de tecnologías de evaluación y rastreo. Seguridad en las aplicaciones Material bibliográfico, y/o laptop y cañón 8 T4.- Investigue en internet y encuentre 5 sistemas diferentes de identificacion y autentificacion biometrica. Explique para que sirven y como funcionan

4 9 El profesor explicará en qué consiste la Biometría y los sistemas que existen. El alumno mediante una breve participación expondrá su investigación , 2.10 y 2.11 El alumno conocerá los distintos tipos de control que deben ejercerse sobre los datos del las organizaciones. El profesor explicará la utilidad de los respaldos Métodos, capacidades, velocidades, costos, medios de almacenamiento, técnicas y procedimientos de backup/restore, pruebas de las técnicas y procedimientos de backup/restore, Administración y Controles de los respaldos, Administración de cintoteca.) El profesor explicará en qué consisten los Planes de contingencia, las Pruebas de recuperación y el Sitio Alterno. Cifras de control. Material bibliográfico, y/o laptop y cañón T5.- El alumno investigará qué es un respaldo incremental? En que consiste? Como funciona? Que ventajas tiene? Que desventajas?como se restaura la información con este tipo de respaldo? T6.-El alumno Investigará en 3 empresas que brinden el servicio de hospedaje para recuperación en caso de desastre.

5 11 Examen parcial 10 puntos Revisión de examen 2.1 Conceptos de Confidencialidad, Integridad y Disponibilidad de la información. 2.2 Conceptos de Identificacion y Autentificación 2.3 Userids (Nomenclatura, estandares, administracion y control (Creacion, Revalidación 2.4 Passwords: (longitud, composicion, nomenclatura, estandares, medidas de proteccion, administración y controles 2.5 Ataques a los Userids, pruebas de penetracion, passwords de arranque en pcs, protectores de pantalla en pcs, Hacker Ético 2.6 Accesos a datos a traves de vistas, aceeso selectivo a la informacion (Read, update, delete 2.7 Biometría 2.8 Virus y Antivirus 2.9 Respaldo y Recuperación de la información (Métodos, capacidades, velocidades, costos, medios de almacenamiento, técnicas y procedimientos de backup/restore, pruebas de las técnicas y procedimientos de backup/restore, Administración y Controles de los respaldos, administración de cintoteca) Planes de contingencia. Pruebas de recuperación. Sitio Alterno Redundancia. (RAID)

6 Módulo 3. Auditoria de la Seguridad en las comunicaciones de Datos. Objetivo Particular: El alumno será capaz de ejecutar acciones preventivas y correctivas para salvaguardar la seguridad física y lógica de la infraestructura y de la información en un ambiente de comunicaciones de datos. Objetivo específico: 3.1 y 3.2 El alumno analizará las vulnerabilidades en las redes de comunicación de la información a través de los componentes del modelo OSI y de los tipos de redes. 3.3, 3.4 y 3.5 alumno estudiará el cortafuegos y encriptación como medios de protección a las redes (de intrusos como Crakers, Sniffers, scan etc.) y disminución de tráfico indeseado,. El profesor explicará a grandes rasgos el Modelo OSI de comunicaciones y deberá hacer énfasis en los puntos que se deben evaluar y calificar para el cumplimiento de las especificaciones. El profesor explicará las vulnerabilidades en las redes como alteración de bits, ausencia de tramas, alteración de secuencia, indagación, suplantación, modificación, intercepción de canales, cableado de cobre propenso a escuchas y registro de incidencias, control físico de exploradores físicos (sniffers) etc. El alumno elaborará un resumen que contenga 5 riesgos de seguridad de la red y 5 medios de resolución Seguridad en la Internet y Servidores web T7.-Inv. qué es Kerberos, cómo funciona, que mecanismos de seguridad utiliza. El profesor explicará el uso y significado de los Firewalls o cortafuegos. -Enrutadores como cortafuegos - Comprobación de puertos y sesiones -Los cortafuegos tienen un proxy para observar entradas y salidas de archivos -proxy SMTP (para quitar los datos de cabecera antes que el correo electrónico abandone el cortafuegos) -proxy http -los firewalls y su métodos de encriptación Material bibliográfico, y/o laptop y cañón Material bibliográfico, y/o laptop y cañón 16 Trabajo 1.El trabajo consiste en una visita de investigacion a cualquier empresa, organizacion o institucion de la localidad que cuente con un departamento de informatica. 15 puntos

7 El profesor explicará la Criptografía. (Métodos, Firmas Digitales, PGP) y su beneficio. CIFRADO -Algoritmo de cifrado -Claves -Función de dispersión -MAC Message Authentication Code T8.- El alumno investigará lo que es un packet sniffer? Para que sirve? Por que podria ser peligroso? Investigue por lo menos 2 marcas comerciales y mencione sus caracteristicas y costos. Como funciona el metodo de encriptacion RSA? Por que se considera muy seguro? 9 17 El profesor expondrá algunas vulnerabilidades. (Hackers, Snnifers, Denial of service, scan, probe,crakers etc.) El alumno contestará a algunas preguntas de repaso. Material bibliográfico, y/o laptop y cañón 18 Visita a Centro de cómputo 3.1 Modelo OSI de comunicaciones. 3.2 Seguridad Fisica en redes LAN, WAN o MAN, Wired o Wireless. 3.3 Firewalls (cortafuegos) Encriptacion. (Metodos, Firmas Digitales, PGP) 3.5 Vulnerabilidades. (Hackers, Snnifers, Denial of service, scan, probe,crakers etc.)

8 10 19 Módulo 4. Auditoría durante el ciclo de desarrollo e implementación de los sistemas de información. Objetivo Particular: El alumno aplicara las técnicas para establecer y evaluar controles desde el inicio hasta la implementación de los sistemas de información, así como aplicar las tecnicas de auditoría y revisión de la entrada y salida de información. Objetivo específico: 4.1 El alumno reconocerá la necesidad de separar el ambiente de desarrollo y el de producción. El profesor explicará en qué consiste el ambiente de desarrollo y el ambiente de producción. -organización de los datos -organización del personal -organización del equipo Seguridad en los componentes para el desarrollo de software T9.- Inv.El paquete de Java que es usado para la autenticación, clases y metodos. Material bibliográfico, y/o laptop y cañón y 4.3 El alumno enunciará los estándares aplicables a las metodologías de desarrollo, pruebas, y control de cambios para el aseguramiento de la calidad del Software. El profesor explicará la importancia de los estándares para las Metodologías de desarrollo y pruebas del Software. 21 El alumno hará una entrega parcial de su portafolios. 7.5 puntos Abril, Bibliografía 22 Segundo examen parcial 10 puntos 4.1 Separación de ambientes de desarrollo y de operación o producción. 4.2 Metodologías de desarrollo y pruebas. (Estándares) 4.3 Manejo de Cambios, Administracion y Controles

9 Módulo 5. Uso de la metodología de la Auditoria de Sistemas para establecer el control de las funciones de un centro de procesamiento de información. 10 hrs Objetivo Particular: El alumno aplicará las técnicas y metodología de la auditoría en informática en las funciones de un centro de procesamiento de información, El alumno sera capaz de nombrar las habilidades técnicas y personales que debe poseer una persona que se dedique a la realización de auditorias de sistemas. Objetivo específico: 5.1 y 5.2 El alumno identificará el objetivo de la auditoría y los puntos a ser evaluados. 5.3, 5.4 y 5. 6 El alumno comprobará la necesidad de la elaboración de un plan detallado tanto como la requisición de la autorización y apoyo de la dirección para su desarrollo e implementación. El profesor mostrará todas las áreas de un sistema de información y sus componentes a ser evaluados. También explicará los porcentajes de riesgo que deberían identificarse para su priorización. El alumno elaborará una matriz de riesgos en su cuaderno sobre los componentes a auditar en un laboratorio de cómputo. El profesor explicará la Etapa de adecuación de Auditoria, Etapa de Formalización de Auditoria, Etapa de desarrollo de Auditoria, y Etapa de implementación de Auditoria. El alumno contestará algunas preguntas de repaso, Bibliografía 25 El profesor mostrará el contenido de un informe final. T10.- Caso de estudio: uso de políticas a seguir Business workflow El alumno conocerá la estructura de un informe de auditoría, Bibliografía 26 Auditoría

10 El alumno describirá el perfil de un auditor. 15 puntos 14 El profesor listará los conocimientos técnicos y habilidades de un auditor El alumno identificará las cualidades, habilidades y conocimientos que un auditor debe tener para su ejercicio., Bibliografía 28 Expositor invitado 5.1 Etapa preliminar de Auditoria(Diagnósticos de la situación actual) 5.2 Etapa de justificación de Auditoria 5.3 Etapa de adecuación de Auditoria 5.4 Etapa de formalización de Auditoria 5.5 Etapa de desarrollo de Auditoria 5.6 Etapa de implementación de Auditoria 5.7 Elaboración del informe de auditoría en informática 5.8 Habilidades Tecnicas del Auditor/a, Habilidades Personales del Auditor/a

11 15 29 Módulo 6. Administración y Controles en las instalaciones Informáticas. Objetivo Particular: El alumno será capaz de hacer uso de los recursos informáticos en un marco legal, ético y socialmente aceptable. Objetivo específico: 6.1, 6.2 y 6.3 El alumno conocerá los diferentes ramificaciones de las licencias aplicables al software, así como políticas y otras reglamentaciones. El alumno realizará una exposición por equipo (Primera parte)software:gpl,lgp, licencia propietaria BSD, licencia dual, licencia apache, licencia motzilla etc. El profesor discutirla las funciones de la BSA. El profesor explicará el uso de NetEtiqueta, Emoticons, Uso/Abuso del correo electronico, notas cadena en la red, juegos de computadora en el ambiente de trabajo, usar la infraestructura para fines diferentes de las organizaciones, protectores de pantalla no adecuados, Documentación de Políticas de Seguridad. 10 puntos, Bibliografía 30 El alumno realizará una exposición en equipo (Segunda parte) y 6.5 El alumno ubicará las funciones y tareas del personal en el área de informática y la causa de los fraudes económicos que afectan a la infraestructura informática. 6.1 Derechos de autor. Licencias de Software. BSA. 6.2 NetEtiqueta, Emoticons, Uso/Abuso del correo electrónico, notas cadena en la red, juegos de computadora en el ambiente de trabajo, usar la infraestructura para fines diferentes de las organizaciones, protectores de pantalla no adecuados 6.3 Documentación de Políticas de Seguridad 6.4 Organización de los Recursos Humanos en una instalación informática 6.5 Fraudes económicos en perjuicio de la infraestructura informática. El profesor explicará las tareas y funciones de los puestos de informática. Así como fraudes económicos en perjuicio de la infraestructura informática. (Compras de equipo o contratos de mantenimiento que exceden o no cumplen los requerimientos. El alumno elaborará una conclusión general del curso. Entrega de portafolios, Bibliografía 7.5 puntos

12 Entrega de resultados y entrega de trabajos atrasados y 34 Entrega de calificaciones finales Nombre y firma del profesor M.S.I Elsa Estrada Guzmán Visto Bueno del Pdte. de Academia MSI. Luis Antonio Medellín Serna Jefe del Depto. Dr. Marco Pérez Cisneros