C: Licenciado Enrique Navarrete Porras, Coordinador de la Unidad Gestión Integral de la Información Archivo de Gestión, Auditoría Interna

Transcripción

1 Auditoría Interna 22 de junio, 2017 AI-of Doctora Lissette Navas Alvarado Directora General Instituto Costarricense de Investigación y Enseñanza En Nutrición y Salud Asunto: Remisión del Informe de Auditoría de Carácter Especial sobre la Evaluación del Inventario de las Computadoras y Paquetes de Cómputo para el 2017 Estimada doctora: Para su conocimiento y lo de su competencia, me permito remitirle el informe N AI , que contiene los resultados del inventario de equipos de cómputo y licencias adquiridos e instalados a 07 de junio del Mucho le agradeceré informar a esta Auditoria Interna las medidas adoptadas para la implementación de la recomendación, la cual se rigen por lo establecido en el artículo 36 de la Ley General de Control Interno. El artículo de referencia dispone que el titular subordinado en un plazo improrrogable de diez días hábiles (contados a partir de la fecha de recibido el informe) debe ordenar la implementación de la recomendación. Si discrepa de ellas, en el transcurso de dicho plazo (10 días hábiles) elevará el informe de auditoría al Consejo Técnico, con copia a la Auditoría Interna, expondrá por escrito las razones por las que objeta la recomendación del informe y propondrá soluciones alternas para el hallazgo detectado. El Consejo Técnico deberá resolver en el plazo de veinte días hábiles (contados a partir de la fecha de recibo de la documentación remitida por la Dirección General) y además ordenar la implantación de la recomendación de la auditoría interna o la solución propuesta por la Dirección General o la de su propia iniciativa, debidamente fundamentada. El acto en firme será dado a conocer tanto a la Auditoría Interna como a la Dirección General. Atentamente, Licenciada Ana Teresa Guillén Sánchez Auditora Interna ATGS/gvs/Correspondencia UAI 2017 Adjunto: Informe N con los resultados de la Auditoría de Carácter Especial sobre la Evaluación del Inventario de las Computadoras y Paquetes de Cómputo para el 2017 C: Licenciado Enrique Navarrete Porras, Coordinador de la Unidad Gestión Integral de la Información Archivo de Gestión, Auditoría Interna 1/1 Tres Ríos, Cartago, Costa Rica, Centroamérica / Tel. (506) / Fax. (506) /

2 AUDITORIA INTERNA DEL INSTITUTO COSTARRICENSE DE INVESTIGACIÓN Y ENSEÑANZA EN NUTRICIÓN Y SALUD INFORME DE AUDITORÍA DE CARÁCTER ESPECIAL SOBRE LA EVALUACIÓN DEL INVENTARIO DE LAS COMPUTADORAS Y PAQUETES DE CÓMPUTO PARA EL AÑO 2017 Junio 2017 Página 2 de 7

3 Tabla de contenido Resumen Ejecutivo Introducción Origen de la Auditoría Objetivo de la Auditoría Naturaleza y Alcance de la Auditoría Metodología Aplicada Comunicación preliminar de los resultados de la Auditoría Resultados Licencias del sistema operativo y del office instalado Identificación de los activos informáticos Otros programas que contienen las computadoras Conclusión Recomendación a la Unidad de Gestión Integral de la Información... 7 Página 3 de 7

4 Resumen Ejecutivo Qué examinamos? La auditoría consistió en evaluar la razonabilidad de la información contenida en el sistema de información que registra los resultados del inventario de equipos y licencias adquiridas e instaladas, el cual es administrado por la Unidad de Gestión Integral de la Información, para verificar que los equipos de cómputo existentes contienen programas con la licencia que corresponde o que sean de código abierto. Porqué es importante? Esta auditoría es importante porque se cumple con lo dispuesto en el Decreto Ejecutivo N JP, publicado mediante Gaceta N 43 del 01 de marzo del 2013, referente al Reglamento para la Protección de los Programas de Cómputo en los Ministerios e Instituciones Adscritas al Gobierno Central, que establece la realización anual de una auditoría para verificar que los equipos de cómputo existentes contengan programas con la licencia que corresponde o que sean de código abierto. Qué encontramos? Que todos los equipos analizados contienen la respectiva licencia del sistema operativo Windows y del office instalado y en las mismas condiciones se encuentra el programa antivirus que contienen esos equipos, pero se observa que el sistema de información que registra los resultados del inventario de equipos y licencias adquiridas e instaladas, el cual es administrado por la Unidad de Gestión Integral de la Información no contiene el detalle de los otros programas instalados en cada computador, con indicación de la fecha de la instalación, la persona responsable de hacer la instalación y los detalles del licenciamiento Qué sigue? Se giró recomendación a la Unidad de Gestión Integral de la Información para que se actualice el sistema de información con el detalle de los programas instalados en cada computador, indicando por cada uno el funcionario responsable que autoriza su instalación, la fecha de instalación y la persona responsable de realizarla, indicando los detalles del licenciamiento o si corresponde a software libre. Página 4 de 7

5 1. Introducción 1.1. Origen de la Auditoría La Auditoría se realizó de conformidad con lo establecido en el plan de trabajo del 2017, con el fin de cumplir lo dispuesto en el Decreto Ejecutivo N JP, publicado en Gaceta N 43 del 01 de marzo del 2013, referente al Reglamento para la Protección de los Programas de Cómputo en los Ministerios e Instituciones Adscritas al Gobierno Central, que establece la realización anual de una auditoría para verificar que los equipos de cómputo existentes contengan programas con la licencia que corresponde o que sean de código abierto Objetivo de la Auditoría El objetivo consistió en evaluar la razonabilidad de la información contenida en el sistema de información que registra los resultados del inventario de equipos y licencias adquiridas e instaladas, el cual es administrado por la Unidad de Gestión Integral de la Información Naturaleza y Alcance de la Auditoría Para verificar la exactitud en el registro de los datos de licencias de software, se seleccionó una muestra de las computadoras instaladas utilizando el muestreo aleatorio simple, considerando una probabilidad de ocurrencia de 75,0%, nivel de confianza de 98,0% y un margen de desviación o error de 10,0%, excluyendo de la población las computadoras evaluadas en el 2014, 2015 y De acuerdo con lo anterior, de una población de 93 computadoras fueron seleccionadas Metodología Aplicada El estudio se realizó atendiendo en lo aplicable, la Ley N 8292 Ley General de Control Interno, el Manual de Normas Técnicas para la Gestión y el Control de las Tecnologías de Información, El Decreto Ejecutivo N JP que contiene el Reglamento para la Protección de los Programas de Cómputo en los Ministerios e Instituciones Adscritas al Gobierno Central y las Normas para el Ejercicio de la Auditoría en el Sector Público. La verificación física de los programas instalados en cada computador, fue realizado por un funcionario de la Unidad de Gestión Integral de la Información con potestad para acceder a los sistemas como administrador, quien fue acompañado por un funcionario de la auditoría Interna y en todos los casos se contó con la presencia y autorización de los usuarios de los equipos. El proceso consistió en verificar el dato de la clave de las licencias del sistema operativo y office instalado en cada equipo, reportado en el sistema de información en Excel de la Unidad de Gestión Integral de la Información. La revisión se realizó por medio de un programa de cómputo que extrae los códigos almacenados dentro del computador, también observando los datos de la etiqueta adherida por el proveedor en el CPU. Página 5 de 7

6 También por medio de un software se realizó un inventario de todos los programas instalados en cada computador, esto con el fin de determinar si cada uno está ajustado a los términos de licenciamiento o corresponde a software de código abierto Comunicación preliminar de los resultados de la Auditoría La comunicación del resultado, conclusión y recomendación producto de la auditoría a que alude el presente informe, se realizó el 21 de junio, 2017, en la oficina de la Auditoría Interna en presencia del licenciado Enrique Navarrete Porras, Coordinador de la Unidad de Gestión Integral de la Información, a quien se convocó mediante el oficio AI-of del 20 de junio, 2017, manifestando estar de acuerdo con el informe y la recomendación que contiene, quedando evidencia de su opinión con la firma del acta por la discusión del informe. 2. Resultados 2.1. Licencias del sistema operativo y del office instalado El 100% de las llaves del Sistema Operativo Windows y el 100% del Sistema Office que se identificaron en el análisis físico coinciden con las reportadas en el sistema de información, administrado por la Unidad de Gestión Integral de la Información y que se respalda con la documentación que se genera en el proceso de contratación administrativa. Además de las llaves de las licencias mencionadas, el sistema de información reporta que los equipos analizados cuentan con la licencia antivirus de Mcafee, esa llave es la misma para todos los equipos analizados y es producto de la contratación realizada con la empresa Grupo informático Ginsocop, S.A. que fue prorrogada y pagada en noviembre del 2016, cubriendo de esa forma los servicios del año Identificación de los activos informáticos Como parte del procedimiento de revisión del inventario de licencias de software, se observó que el total de las computadoras de la muestra tienen la etiqueta de patrimonio correspondiente y un usuario responsable de su utilización, datos que coincidieron con los registros en el sistema de información Administrado por la Unidad de Gestión Integral de la Información. Esto facilitó la localización de los equipos de la muestra y representa un adecuado control sobre esos equipos Otros programas que contienen las computadoras Los otros programas identificados en la revisión corresponden a controladores que permiten el funcionamiento y comunicación con los diferentes dispositivos, los cuales fueron adquiridos con la compra de los equipos. También se logró identificar software de accesos libre instalados con la autorización del licenciado Enrique Navarrete Porras, Coordinador de la Unidad de Gestión Integral de la Información. Actualmente no se incluye en el sistema de información del inventario de equipos y licencias adquiridas, datos que se solicitan en el Decreto JP por cada equipo, Página 6 de 7

7 como son la descripción de todos los programas instalados, el funcionario que autoriza la instalación, fecha de instalación y persona responsable de hacer la instalación y los detalles del licenciamiento. 3. Conclusión La verificación del inventario de los programas de cómputo, en la muestra seleccionada, nos permite establecer con certeza razonable que las computadoras del Inciensa contienen el sistema operativo y el office de acuerdo al licenciamiento requerido por la empresa Microsoft y que el antivirus instalado también cumple con requerimientos similares establecidos por la empresa McAfee y que el resto de los programas instalados cumplen con las normas sobre derechos de autor ya que corresponden a software de uso libre. En la Unidad de Gestión Integral de la Información deben seguir avanzando en mejorar la evidencia de que se está cumpliendo con el Reglamento para la Protección de los Programas de Cómputo, incluyendo en el sistema de información el inventario de todos los programas instalados en cada computador, indicando por cada uno de ellos el nombre de quien autorizó la instalación, la fecha de instalación y la persona responsable de realizarla. 4. Recomendación a la Unidad de Gestión Integral de la Información 4.1. Ampliar el sistema de información, llevado en Excel, que registra los resultados del inventario de equipos y licencias adquiridas e instaladas, con la información de los programas en cada computador, indicando la identidad del funcionario que autoriza la instalación, la fecha de la instalación y la persona responsable de realizarla y todos los detalles del licenciamiento o si corresponde a software libre. Página 7 de 7