Ester Chicano Tejada - Auditoría de seguridad informática. IFCT0109

5. Identificación y registro de los ficheros con datos de carácter personal utilizados por la organización

6. Explicación de las medidas de seguridad para la protección de los datos de carácter personal recogidas en el Real Decreto 1720/2007

7. Guía para la realización de la auditoría bienal obligatoria de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal

8. Resumen

Ejercicios de repaso y autoevaluación

Capítulo 3 Análisis de riesgos de los sistemas de información

1. Introducción

2. Introducción al análisis de riesgos

3. Principales tipos de vulnerabilidades, fallos de programa, programas maliciosos y su actualización permanente, así como criterios de programación segura

4. Particularidades de los distintos tipos de código malicioso

5. Principales elementos del análisis de riesgos y sus modelos de relaciones

6. Metodologías cualitativas y cuantitativas de análisis de riesgos

7. Identificación de los activos involucrados en el análisis de riesgos y su valoración

8. Identificación de las amenazas que pueden afectar a los activos identificados previamente

9. Análisis e identificación de las vulnerabilidades existentes en los sistemas de información que permitirían la materialización de amenazas, incluyendo análisis local, análisis remoto de caja blanca y de caja negra

10. Optimización del proceso de auditoría y contraste de vulnerabilidades e informe de auditoría

11. Identificación de las medidas de salvaguarda existentes en el momento de la realización del análisis de riesgos y su efecto sobre las vulnerabilidades y amenazas

12. Establecimiento de los escenarios de riesgo entendidos como pares activo-amenaza susceptibles de materializarse

13. Determinación de la probabilidad e impacto de materialización de los escenarios

14. Establecimiento del nivel de riesgo para los distintos pares de activo y amenaza

15. Determinación por parte de la organización de los criterios de evaluación del riesgo, en función de los cuales se determina si un riesgo es aceptable o no

16. Relación de las distintas alternativas de gestión de riesgos

17. Guía para la elaboración del plan de gestión de riesgos

18. Exposición de la metodología NIST SP 800-30

19. Exposición de la metodología Magerit versión 2

20. Resumen

Ejercicios de repaso y autoevaluación

Capítulo 4 Uso de herramientas para la auditoría de sistemas

1. Introducción

2. Herramientas del sistema operativo tipo Ping, Traceroute, etc.

3. Herramientas de análisis de red, puertos y servicios tipo Nmap, Netcat, NBTScan, etc.

4. Herramientas de análisis de vulnerabilidades tipo Nessus

5. Analizadores de protocolos tipo WireShark, DSniff, Cain & Abel, etc.

6. Analizadores de páginas web tipo Acunetix, Dirb, Parosproxy, etc.

7. Ataques de diccionario y fuerza bruta tipo Brutus, John the Ripper, etc.

8. Resumen

Ejercicios de repaso y autoevaluación

Capítulo 5 Descripción de los aspectos sobre cortafuegos en auditorías de sistemas informáticos

1. Introducción

2. Principios generales de cortafuegos

3. Componentes de un cortafuegos de red

4. Relación de los distintos tipos de cortafuegos por ubicación y funcionalidad

5. Arquitecturas de cortafuegos de red

6. Otras arquitecturas de cortafuegos de red

7. Resumen

Ejercicios de repaso y autoevaluación

Capítulo 6 Guías para la ejecución de las distintas fases de la auditoría de sistema de información

1. Introducción

2. Guía para la auditoría de la documentación y normativa de seguridad existente en la organización auditada

3. Guía para la elaboración del plan de auditoría

4. Guía para las pruebas de auditoría

5. Guía para la elaboración del informe de auditoría

6. Resumen

Ejercicios de repaso y autoevaluación

Bibliografía

Capítulo 1

Criterios generales comúnmente aceptados sobre auditoría informática

La complejidad y evolución de los sistemas de información hace necesaria la aparición de profesionales informáticos que se encarguen de evaluar su correcto funcionamiento y detectar aquellos puntos débiles que requieran la adopción de medidas correctivas y preventivas para evitar pérdidas de información relevante que podrían conllevar costes importantes a las organizaciones.

Por este motivo, la figura del auditor informático se hace cada vez más presente en las organizaciones: un profesional independiente que evalúe la eficiencia de sus sistemas informáticos y que sea capaz de formular recomendaciones y propuestas de mejora con la finalidad de mantener la integridad y exactitud de los datos y así garantizar un servicio correcto dentro de unos estándares de calidad.

En este capítulo, se enumeran las características principales tanto de la actividad de la auditoría informática como de la figura del profesional auditor, además de introducir las principales tareas que se deben ejecutar para que la auditoría cumpla con los objetivos previstos.

La auditoría es el análisis exhaustivo de los sistemas informáticos con la finalidad de detectar, identificar y describir las distintas vulnerabilidades que puedan presentarse.

En el momento de desempeñar las funciones de auditoría en un sistema de información, los auditores deben cumplir una serie de normas éticas y un código deontológico para cumplir con profesionalidad y rigidez sus objetivos.

El código deontológico consiste en una serie de preceptos en los que se determinan los derechos exigibles a ciertos profesionales cuando desempeñan su actividad con el fin de ajustar los comportamientos profesionales a unos principios éticos y morales adecuados.

En el caso de la auditoría informática, existe una organización internacional que diseña los estándares de auditoría y control de sistemas de información aceptados por la comunidad general de auditoría.

Esta organización, llamada ISACA (Information Systems Audit and Control Association), expide además el certificado CISA (Certified Information Systems Auditor) a quien cumpla los requisitos estipulados en cuanto a normas, código ético, procedimientos de control, etc.

Los miembros que pertenecen a ISACA y los que están en posesión del certificado CISA deben comprometerse a comprender y cumplir las diez Normas de Auditoría de Sistemas de Información:

1 El auditor de los sistemas de información debe ser independiente del ente auditado, tanto en actitud como en apariencia.

2 Para que la auditoría se desarrolle de un modo objetivo, la función de auditoría debe ser independiente del área que se pretende auditar.

3 El auditor debe cumplir con los preceptos del Código de Ética Profesional de la ISACA. Nota: El Código de Ética Profesional de la ISACA está formado por una serie de directivas de actuación profesional y personal que deben seguir todos los miembros que forman parte de la asociación.

4 El auditor debe tener los suficientes conocimientos técnicos y destrezas para desempeñar correctamente las funciones de auditoría encomendadas.

5 El auditor de sistemas de información debe reciclar continuamente sus conocimientos para mantener en un nivel adecuado su competencia técnica.

6 Las auditorías de sistemas de información deben ser planificadas y supervisadas con suficiente rigor para mantener la seguridad de que se cumplen los objetivos de auditoría establecidos y las normas estipuladas.