Definición de un procedimiento para la realización de auditoría en seguridad informática

Abstract

El presente trabajo se ha desarrollado para proporcionar un procedimiento básico para la realización de auditorías en seguridad informática, específicamente en el área de redes con arquitectura cliente-servidor, este procedimiento se puede extender a diversas áreas de los sistemas de información y puede profundizar en cada uno de los elementos evaluados dentro de una organización. En este procedimiento se han propuesto puntos de evaluación en materia de seguridad informática, importantes para determinar el nivel de fiabilidad del sistema en general, dejando en claro que cada práctica debe desarrollarse de acuerdo a las características propias de la organización y de su sistema de información. Los elementos que se consideraron para el desarrollo del procedimiento auditor se dividen en dos categorías: la seguridad física y la seguridad lógica. Dentro de la seguridad física están presentes las políticas de seguridad física, el acceso físico a los componentes de hardware y al recinto de servidores. Por parte de la seguridad lógica se consideraron los aspectos de seguridad en el acceso, en el perímetro y en el canal. La operatividad del procedimiento se basa en la implementación de diversos recursos que permiten el desarrollo de la labor auditora como: herramientas de software, cuestionarios, listas de verificación, etc. que hacen posible exhibir de manera sistemática los resultados obtenidos. Para llevar a cabo el desarrollo de este procedimiento, se hizo un análisis de diversas metodologías de carácter libre, para el desarrollo de auditorías en tecnologías de información, de las cuales se tomaron los aspectos más importantes y se enfocaron al tema de seguridad informática, basándose en un estándar de código abierto para su diseño. Se implementó dicho procedimiento para evaluar los resultados y la puesta en marcha de una auditoría dentro de la red interna en el Instituto Tecnológico y de Estudios Superiores de Monterrey, Campus Cuernavaca; esto permitió recopilar información relevante en el tema de seguridad informática, para definir una serie de medidas que permitan minimizar los riesgos y las probabilidades de fallos en la red interna a causa de acciones malintencionadas o descuidos.