Parcial - Segundo Corte Auditoría Interna - ECCI

Marque sí la afirmación es Falsa o Verdadera. Los sistemas de información únicamente son el soporte técnico definido para atacar un problema funcional que no impacta al negocio.

• Falsa

• Verdadera

¿Cuáles cree usted qué son los riesgos más relevantes que impactan a una  Organización?

• Cambios que se implantaron en ambientes productivos

• Riesgos de incumplimientos regulatorios e impacto a la integridad de la información

• Inexistencia de un marco normativo

• Falta de entendimiento de las iniciativas en un área de desarrollo de software

¿Qué área y/o dependencia técnica tiene como objetivo alinear la estrategia del negocio con la estrategia de tecnología?

• Dirección de Procesos

• Dirección de Infraestructura y Comunicaciones

• Dirección de Arquitectura

• Dirección de Ciberseguridad y Seguridad de la información

¿Identifica el principal riesgo de la inexistencia de un Plan de Continuidad de Negocio?

• Impacto a la disponibilidad de los sistemas críticos

• Falta de integridad en los modelos de las Bases de Datos

• Errores en los desarrollos y pruebas funcionales

• Ineficiencia en los procesos de negocio

A partir de lo definido en los siguientes casos responda las preguntas relacionadas, debe tener en cuenta que la respuesta correcta es única (marque con X):

CASO I

Descripción: en una compañía se ha identificado durante el último trimestre un incremento en las PQR ́s de alrededor del 15% del indicador correspondiente a las transacciones no reconocidas en su App Móvil. El área de Auditoría de Sistemas de la compañía requiere analizar la causa raíz que provoca el incremento, en sus primeros análisis ha identificado que la casuística generalizada tiende a determinar que los clientes aducen que previo a la notificación de la transacción no reconocida hubo un contacto telefónico por parte de un funcionario de la compañía. Si usted hace parte del equipo de Auditoría de Sistemas de la compañía, como resolvería los siguientes cuestionamientos:

¿Cuál sería el primer foco de revisión que deberá revisar el equipo de Auditoría de Sistemas para descartar fraude interno?

• Fuga de información de los clientes y/o explotación de los sistemas de información de la compañía

• Análisis de proveedores que administran la información

• Verificación de errores en los procedimientos de gestión de PQR ́s

• Análisis de las condiciones laborales de los empleados.

CASO I

Si usted hace parte del equipo de Auditoría de Sistemas de la compañía. Con el fin de corroborar que la gestión documentada en las bases de datos de PQR ́s sea confiable. ¿Usted cuál acción realizaría?:

• Cruzaría las PQR´s con los casos materializados de fugas.

• Realizaría entrevistas con los equipos de call center de la organización.

• Identificaría clientes con casuísticas particulares (demográficas) y realizaría contacto telefónico para profundizar en el caso.

• Buscaría algún tipo de respuesta con el regulador de la organización.

CASO II

Descripción: el personal de Auditoría de Sistemas de una multinacional requiere testear los controles de seguridad de una aplicación financiera. Dicho sistema está constituido por una interfaz web, una capa lógica de negocio y una capa de base de datos. Se accede a la aplicación localmente a través de una LAN y remotamente a través de Internet mediante conexión de redes virtuales privadas (VPN). Siendo parte del equipo de Auditoría de Sistemas, ¿cuál es el tipo más apropiado de herramienta de CAATs que el personal debe usar para probar los parámetros de configuración de seguridad para todo el sistema de aplicación?

• Software generalizado de inspección.

• Datos de prueba

• Software de utilidad

• Software experto

CASO II

Siendo parte del equipo de Auditoría de Sistemas, debido a que se accede a la aplicación a través de internet. ¿Cómo debe el personal de Auditoría de Sistemas determinar si debe revisar detalladamente las reglas del firewall y los parámetros de configuración de VPN?

• Análisis documentado del riesgo.

• Disponibilidad de experiencia técnica.

• Método usado en las revisiones anteriores.

• Directrices y mejores prácticas del mercado.

¿Qué características deben ser parte de los controles en el acceso a los datos?

• Controles sobre el acceso físico, de sistemas y de aplicación desde las áreas usuarias y técnicas.

• Log de las aplicaciones y registro fílmico.

• Exclusa de acceso a los centros de procesamiento de datos - CPD

• Solicitud de contraseña en el acceso de todos los datos.

En el comercio electrónico los riesgos más importantes que deben ser controlados son:

• Confidencialidad, Integridad y gestión de cambios.

• Integridad, gestión de cambios y análisis de vulnerabilidades.

• Confidencialidad, Integridad, Disponibilidad, autenticación y no repudio.

• Latencia y timeout de los sistemas.