Auditoría Informática Titulación: Ingeniería Técnica en Informática de Gestión Curso: 3º, Cuatrimestral Créditos: 6 Tipo: Optativa Horas de clase: 4 horas por semana, 15 semanas - 60 horas Horas de teoría: 2 horas por semana, 15 semanas - 30 horas Horas de prácticas: 2 horas por semana, 15 semanas - 30 horas 1 Relaciones con otras asignaturas I. T. Informática de Gestión Programación Estructura y Tecnología de Computadores Lenguajes de programación Est. de Datos y de la Inf. Laboratorio de Programación Sistemas Operativos 1 er curso Estadística Organización y Gestión Empresarial Aspectos Éticos de la Informática Técnicas de Expresión y Comunicación Oral 2º curso Ampliación Sistemas Operativos Herramientas CASE y 4GL Gestión y calidad del Software Interfaces gráficas Bases de Datos Avanzadas Ofimática Avanzada Informática Documental Tipo asignatura Troncal Obligatoria Optativa AUDITORÍA INFORMÁTICA Métodos Cuantitativos de Gestión Técnicas de Contabilidad Empresarial Aspectos Jurídicos de la Informática Sistemas de Ayuda a la Decisión Ing. del software de Gestión Diseño BBDD y Seg.Inf. Software avanzado Redes 3 er curso 2 Objetivo general Dar una visión general del proceso de la AI, con el fin de que los alumnos conozcan las áreas profesionales en auditoría informática. Iniciar al alumno en el conocimiento teórico y en la práctica de la Auditoría de los SI incidiendo en la gran importancia que ha asumido esta disciplina en toda institución cuya administración y producción dependa de un SI. 3 1
Objetivo general (desglose) Enmarcar la AI dentro de la Auditoría Empresarial como una disciplina perfectamente diferenciada Ofrecer los conceptos básicos, principios, normas y procedimientos de la Auditoría en general y de la AI en particular, así como las metodologías, técnicas y herramientas utilizadas en la AI Dar una panorámica de la AI aplicada a diversas: áreas de una organización tecnologías de información de una organización. 4 Temario Teórico i. INTRODUCCIÓN ii. iii. EL PROCESO Y LOS ELEMENTOS DE AUDITORÍA DE SI AUDITORÍA SOBRE ÁREAS 5 I. INTRODUCCIÓN Se introducen los conceptos que son fundamentales en la Auditoría de los SI Información Sistema de información Tecnología de la información Auditoría Sistema de control interno. T1: Conceptos 2h. 6 2
TEMA 1. Conceptos de Sistema de Información y Tecnología de la Información Se define lo que es la información para una organización, sus tipos y fuentes. Se analizan los atributos que la hacen valiosa para la toma de decisiones y lo que hace que sea un recurso crítico para la organización. Se revisan las principales tecnologías de la información Se define lo que es un SI y sus clases 7 TEMA 1. Conceptos de Sistema de Control Interno y de Auditoría. Se introduce el concepto de auditoría y sus tipos. Se introduce el concepto de control interno el porqué de la necesidad de su implantación sus principales componentes. 8 II. EL PROCESO Y LOS ELEMENTOS DE AUDITORÍA DE SI Se introduce el concepto de auditoría de sistemas de información (ASI) Se presenta el proceso general que se sigue para la realización de una ASI Se presenta el concepto de riesgo y algunas metodologías y técnicas que se utilizan en auditoría de SI. Se muestran los estándares éticos y profesionales en ASI T2: Introducción a la auditoría de SI. 2 h. T3: Realización de una Auditoría de SI. 5 h. T4: Metodologías y técnicas aplicadas a la ASI 3 h. 9 3
TEMA 2. Introducción a la Auditoría de Sistemas de Información. Se explican las causas que han hecho necesarios el control y la auditoría de sistemas de información Se exponen los efectos que ha ocasionado el proceso electrónico de los datos sobre los componentes del control interno y sobre la auditoría tradicional. Se exponen las bases teóricas que soportan a la auditoría de sistemas de información. 10 TEMA 3. Realización de una Auditoría de SI Se profundiza en las características de los controles internos. Se dan unas ideas básicas de cómo abordar el estudio de un sistema complejo. Se presentan los tipos de procedimientos que utilizan los auditores. Se da una visión global de los principales pasos a realizar en una auditoría. Se presentan los conceptos de auditoría alrededor del ordenador y auditoría a través del ordenador 11 TEMA 4. Metodologías y técnicas aplicadas a la auditoría de SI Se ven con más detalle conceptos introducidos en el tema 4. Se presentan los estándares éticos y profesionales en ASI. 12 4
III AUDITORÍA SOBRE ÁREAS Se aborda el estudio de distintos tipos de auditoría que pueden realizarse en las principales áreas de un SI T5: Auditoria de la Estructura Organizacional. 3 h. T6: Auditoria de la Seguridad. 3 h. T7: Auditoría de las Aplicaciones 4 h. T8: Auditoria del Plan de Continuidad del Negocio 3 h. 13 TEMA 5. Auditoria de la Estructura Organizacional Se introducen los conceptos de estrategia, políticas y procedimientos. Se presentan algunos principios de gestión y prácticas operativas en SI Se presenta una organización clásica de un departamento de SI Puestos de trabajos típicos. Se exponen las técnicas más utilizadas para auditar este área 14 TEMA 6. Auditoría de la Seguridad Lógica Se aborda la Auditoría de la Seguridad Lógica, de los SI de una organización. Se revisa de una manera general los objetivos que se persiguen con un plan de seguridad las exposiciones a riesgos más frecuentes a las que se ven sometidos los SI los controles más adecuados para mitigar los riesgos Se presentan las técnicas que se utilizan en este tipo de auditoría. 15 5
TEMA 7. Auditoría de las Aplicaciones Uno de los factores que hacen que una aplicación sea eficaz es disponga de controles adecuados en todos sus subsistemas. Se presentan los controles sobre las aplicaciones Entrada Validación Proceso Salida Archivo de datos Integridad de datos Las técnicas para auditar esos controles 16 TEMA 8. Auditoria del Plan de Continuidad del Negocio Se presentan las causas que pueden interrumpir la operación de un SI Se justifica la necesidad de realizar un PCN Se presentan los principales pasos a abordar para la realización del PCN Se muestra como poner a prueba dicho plan. Se muestra como se realiza la revisión del plan. 17 Prácticas Realización de un proyecto de auditoría Papeles de los usuarios simulados por el profesor Simulación pruebas 18 6
Prácticas P-1. Presentación del caso y toma de contacto 1. Presentar el caso de estudio a desarrollar mediante un proceso de auditoría 2. Organizar el trabajo de los alumnos en equipos de trabajo y distribución de funciones. 19 Prácticas P-2. Entrevistas con usuarios representativos 1. Realizar entrevistas con los usuarios representativos de la empresa para obtener información de su percepción del SI P-3. Entrevistas con el personal de SI 1. Entrevistar al personal de SI para obtener información de cómo realizan su trabajo 2. Observar su trabajo para verificar si realizan su trabajo adecuadamente. 20 Prácticas P-6. Análisis del proceso de las transacciones 1. Obtener información de cómo es el proceso de las transacciones objeto de la auditoría para determinar si están establecidos los controles adecuados. P-7. Pruebas de los controles y sustantivas 1. Probar: 1. la eficacia de los controles establecidos 2. el proceso de las transacciones 21 7
Prácticas P-8. Diagnóstico y elaboración del informe final 1. Revisar los resultados de la auditoría, obtenidos en la fase de pruebas 2. Emitir las conclusiones y recomendaciones mediante la confección del Informe Final. P-8. Revisión del informe final y recomendaciones 1. Revisar el Informe Final de auditoría y las recomendaciones emitidas por cada equipo de forma cruzada 22 Bibliografía básica Bernall, R. Coltell, O. Auditoría de los Sistemas de Información. Servicio Publicaciones de la UPV, Octubre 1996. Nava, F. Apuntes de Auditoría Informática. Servicio de Publicaciones de la URJC, En proceso de edición. 23 Bibliografía complementaria Weber, R. Information Systems Control and Audit. Prentice Hall, 1999. Gallegos, F. Manson, D. Allen-Senft, S. Information Technology Control and Audit. Auerbach 1999. Piattini, M. del Peso, E. y otros; Auditoría Informática: Un enfoque práctico. 2ª Edición. Editorial Ra-ma 2000. Information Systems Audit and Control Asociation, IT Governance. CISA Review Manual 2003. 3701 Algolquin Road, Illinois (USA), 2000. Information Systems Audit and Control Foundation, IT Governance Institute. Cobit 3rd Edition. 3701 Algolquin Road, Illinois (USA), 2000. Ministerio de Administraciones Públicas. MAGERIT Metodología para la Gestión de Riesgos tecnológicos.1998. 24 8
Métodos didácticos Clases Magistrales Sesiones de Prácticas Tutorías 25 Evaluación 60 % Nota de la prueba teórica (tipo test) Aprobado 65% 40 % Nota de la práctica Nota informe de auditoría ± nota individual Nota aprobado 5, no pudiendo sacar en alguna de las partes menos de 4. 26 9