¿Qué es la auditoría informática?

La auditoria informática es un proceso que consiste en recoger, agrupar y evaluar evidencias para determinar si un sistema de información (SI) salvaguardará el activo empresarial, mantiene la integridad de los datos, lleva a cabo eficazmente los fines de la organización, utiliza eficientemente los recursos y cumple con las leyes y regulaciones establecidas.
Permite detectar de forma sistemática el uso de los recursos y los flujos de información, además de detectar los procesos e información crítica para el cumplimiento de su misión y objetivos, identificando necesidades, duplicidades, costos, valor y barreras de flujo de información.
¿Qué es auditar?Consiste en estudiar los mecanismos de control que están implantados en una empresa, determinando si los mismos son adecuados y cumplen con los objetivos. Los mecanismos de control pueden ser directivos, preventivos, de detección, correctivos o de recuperación ante una contingencia.

Los objetivos de la auditoria informática son:

• El control de la función informática
• El análisis de la eficiencia de los sistemas informáticos
• El cumplimento de la normatividad en este ámbito
• La revisión de la eficaz gestión de los recursos informáticos

La auditoria informática sirve para mejorar:

• Desempeño
• Fiabilidad
• Eficacia
• Rentabilidad
• Seguridad
• Privacidad

Generalmente se desarrolla en las siguientes áreas o en combinación de algunas de ellas:

• Dirección corporativa
• Administración del ciclo de vida de los sistemas
• Servicios de entrega y soporte
• Protección y seguridad
• Planes de continuidad y recuperación de desastres

La necesidad de contar con lineamentos y herramientas estándar para al ejercicio de la auditoria informática ha promovido la creación y desarrollo de mejores prácticas como COBIT, COSO e ITIL.
Actualmente la certificación de ISACA para ser CISA (Certified Information Systems Auditor) es una reconocidas y avaladas por los estándares internacionales.
Tipos de auditoria de sistemas

• Auditoria de la gestión: la contratación de bienes y servicios, documentación de programas.
• Auditoria legal del reglamento de protección de datos: cumplimiento legal de las medidas de seguridad exigidas por la ley.
• Auditoria de los datos: clasificación de los datos, estudios de las aplicaciones y análisis de los flujogramas.
• Auditoria de bases de datos: controles de acceso, de actualización, de integridad y calidad de los datos.
• Auditoria de la seguridad: referidos a los datos e información verificando disponibilidad, integridad, confidencialidad y autenticación.
• Auditoria de seguridad física: feriado a la ubicación de la organización, evitando ubicaciones de riesgo y protecciones del entorno.
• Auditoria de seguridad lógica: comprende los métodos de autenticación de sistemas de información.
• Auditoria de las comunicaciones: se refiere a los procesos de autenticación de los sistemas de comunicación.
• Auditoria de seguridad en producción: frente a errores, accidentes y fraudes.

Principales pruebas y herramientas para efectuar una auditoría informática

En la realización de una auditoría informática el auditor puede realizar las siguientes pruebas:

• Pruebas sustantivas: Verifican el grado de confiabilidad del SI del organismo. Se suelen obtener mediante observación, cálculos, muestreos, entrevistas, técnicas de examen analítico, revisiones y conciliaciones. Verifican asimismo la exactitud, integridad y validez de la información.
• Pruebas de cumplimiento: Verifican el grado de cumplimiento de lo revelado mediante el análisis de la muestra. Proporciona evidencias de que los controles claves existen y que son aplicables efectiva y uniformemente.

Las principales herramientas de las que dispone un auditor informático son:

• Observación
• Realización de cuestionarios
• Entrevistas a auditados y no auditados
• Muestreo estadístico
• Flujogramas
• Listas de chequeo
• Mapas conceptuales