HALLAZGOS DE AUDITORIA DE SISTEMAS

Los hallazgos de auditoria de sistemas, pueden desarrollarse al igual que los hallazgos de auditoria financiera, operacional o gubernamental, para cada hallazgo se pueden desarrollar los atributos del hallazgo, los cuales se comentan a continuación:

Condición: “Lo que es”
Aquello que el auditor encuentra o descubre

Criterio: “Lo que debe ser”
Marco de referencia con el que se compara la condición para encontrar divergencias. Ley, reglamento, carta, circular, memorando, procedimiento, norma de control interno, norma de sana administración, principio de contabilidad generalmente aceptado, opinión de un experto o finalmente juicio del auditor.
Para auditorías de sistemas de información y TI: GAISP, COBIT, ISO 17799, SB 443/2003, NAG 270 y otros.

Causa: “Por qué”
El origen de la condición observada. El porqué de la diferencia entre la condición y el criterio, deberán ser desarrolladas de acuerdo a la explicación que de el responsable.

Efecto: “Las consecuencias”
Surge de las diferencias entre la condición y el criterio, el efecto tendrá un resultado positivo o negativo

Recomendación: “Arregla la condición”
La recomendación se deberá elaborar habiendo desarrollado los anteriores atributos del hallazgo. La recomendación deberá emitirse con la idea de mejorar o anular la condición y llegar al criterio atacando la causa y arreglar el efecto para futuras situaciones. La recomendación deberá ser viable técnica y económicamente.

Windows y las Pistas de Auditoria

En Windows contamos con la “Directiva de Seguridad Local” la cual permite definir o parametrizar de que eventos/sucesos queremos que Windows guarde la información, podemos ingresar a esta opción de la siguiente forma: Inicio – Configuración – Panel de Control – Herramientas Administrativas – Directiva de Seguridad Local. Con esta herramienta podemos habilitar/deshabilitar entre otras las siguientes opciones:

• Directivas de cuenta
o Directiva de contraseñas
 Forzar el historial de contraseñas
 Longitud mínima de contraseña
 Vigencia máxima de contraseña
o Directiva de bloqueo de cuentas
 Duración del bloqueo de cuenta
 Reestablecer la cuenta de bloqueos después de
 Umbral de bloqueos de la cuenta

• Directivas locales
o Directiva de auditoría (Opciones deshabilitadas por defecto)
 Auditar el acceso a objetos
 Auditar el acceso del servicio de directorio
 Auditar el cambio de directivas
 Auditar el seguimiento de procesos
 Auditar el uso de privilegios
 Auditar la administración de cuentas
 Auditar sucesos de inicio de sesión
 Auditar sucesos de inicio de sesión de cuenta
 Auditar sucesos del sistema
o Asignación de derechos de usuario
 Administrar los registros de auditoría y seguridad
 Cambiar la hora del sistema
 Restaurar archivos y directorios
o Opciones de seguridad
 Inicio de sesión interactivo: no requerir Ctrl + Alt + Supr
 Dispositivos: permitir el desbloqueo sin tener que iniciar sesión
 Cuentas: cambiar el nombre de la cuenta administrador

La habilitación de las anteriores opciones se conoce como Hardering de Windows, puesto que se hacen más fuerte/seguro el sistema operativo. Habilitadas las opciones deseadas de la Directiva de Seguridad Local, lo siguiente es ir monitoreando o realizar revisiones post en busca de eventos ilíticos, esto lo podemos realizar ingresando al siguiente programa: Inicio – Configuración – Panel de Control – Herramientas Administrativas – Visor de Sucesos.

En el Visor de Sucesos podemos visualizar los sucesos agrupados en: Aplicación, Seguridad, Sistema, Internet Explorer, por cada uno de estos elementos se despliega la siguiente información: Tipo, Fecha, Hora, Origen, Categoría, Suceso, Usuario, Equipo. Esta información si es algo complicado buscar o analizar en el Visor de Sucesos de Windows, la podemos exportar en formato plano para luego realizar el análisis con CAATTs: Excel, Access, IDEA, ACL, Gestor F1 Audisis y aplicar Técnicas de Detección de Fraudes.

Un ejemplo algo trivial podría ser: Queremos saber si se cambio la hora en un equipo que tiene Windows (NT, XP) suponiendo que el equipo cuenta con un programa de control de asistencia, y no tiene restricciones de usuario (Se ingresa con un usuario Administrador de Windows).

Para poder realizar esta tarea necesitamos habilitar la Directiva de auditoría, la opción Auditar sucesos del sistema, una vez hecho esto cada vez que se cambie la hora se generará un suceso que será guardado con los números de evento 520 y 577, de esta forma podemos monitorear y detectar los eventos guardados por Windows. Para tener fuerza probatoria de responsabilizar a un determinado usuario por el ilícito como siempre comentamos, no basta con recurrir a la tecnología (habilitar los sucesos), esto debe ir acompañado de una entrega formal del equipo haciendo responsable al usuario y asignándole la propiedad temporal debiendo firmar la conformidad el usuario.


Revisión de las Pistas de Auditoria

Finalmente, los datos almacenados de suceso/eventos tanto los normales como los que no lo son que podemos denominarlos como errores, irregulares, ilegales, ilícitos, o fraudes deben ser monitoreados constantemente, justamente para detectarlos a tiempo y también para que este tipo de controles sirvan como un elemento disuasivo y pasen de simples controles detectivos a ser controles preventivos.

La ISO 17799 indica:

“10.10.2. Los procedimientos para el uso del monitoreo de las instalaciones de procesamiento de información deben ser establecidos y los resultados de las actividades de monitoreo deben ser revisadas regularmente.”

Las personas encargadas de realizar las tareas de revisión en orden de prioridad deberían ser los siguientes, cada uno desde su punto de vista particular de acuerdo a sus funciones, formación y experiencia:
• Auditor (Interno)
• Auditor de Sistemas (Interno)
• Oficial de Seguridad de la Información (Interno)
• Administrador de la Base de Datos (Interno)
• Auditor (Externo)

LA FAMILIA ISO 27000

• ISO 27000: Contiene términos y definiciones que se emplean en toda la serie 27000.

• ISO 27001: Es la norma principal de la serie y contiene los requisitos del sistema de gestión de seguridad de la información. Tiene su origen en la BS 7799-2:2002 y es la norma con arreglo a la cual se certifican por auditores externos los SGSI de las organizaciones.

• ISO 27002: Es el nuevo nombre de ISO 17799:2005, manteniendo 2005 como año de edición. Es una guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información. No es certificable. Contiene 39 objetivos de control y 133 controles, agrupados en 11 dominios.

• ISO 27003: Guía de implementación de SGSI e información acerca del uso del modelo PDCA y de los requerimientos de sus diferentes fases.

• ISO 27004: Métricas y las técnicas de medida aplicables para determinar la eficacia de un SGSI y de los controles relacionados. Estas métricas se usan fundamentalmente para la medición de los componentes de la fase “Do” (Implementar y Utilizar) del ciclo PDCA.

• ISO 27005: Guía de técnicas para la gestión del riesgo de la seguridad de la información y servirá, por tanto, de apoyo a la ISO27001 y a la implantación de un SGSI. Recogerá partes de ISO/IEC TR 13335.

• ISO 27006: Requisitos para la acreditación de entidades de auditoría y certificación de sistemas de gestión de seguridad de la información.

• ISO 27007: Guía de auditoría de un SGSI.

• ISO 27011: Guía de gestión de seguridad de la información específica para telecomunicaciones.

• ISO 27012: Guía de gestión de seguridad de la información específica para la industria automotriz

• ISO 27013: Guía de gestión de seguridad de la información específica para la asociación mundial de loterías

• ISO 27014: Guía de gestión de seguridad de la información específica para sistemas de información en los transportes

• ISO 27031: Guía de continuidad de negocio en cuanto a tecnologías de la información y comunicaciones.

• ISO 27032: Consistirá en una guía relativa a la ciberseguridad.

• ISO 27033: Es una norma consistente en 7 partes: gestión de seguridad de redes, arquitectura de seguridad de redes, escenarios de redes de referencia, aseguramiento de las comunicaciones entre redes mediante gateways, acceso remoto, aseguramiento de comunicaciones en redes mediante VPNs y diseño e implementación de seguridad en redes. Provendrá de la revisión, ampliación y renumeración de ISO 18028.

• ISO 27034: Guía de seguridad en aplicaciones.

• ISO 27799: Es un estándar de gestión de seguridad de la información en el sector sanitario aplicando ISO 17799 (actual ISO 27002).

FUENTE:
http://www.iso27000.es/iso27000.html
http://spain.irca.org/inform/issue14/ISO27007.html