Auditorías de tecnología de la información: definición y ejemplo

Auditorías de tecnología de la información

En el entorno técnico actual, es posible mover millones (¡miles de millones!) De dólares, valores o materias primas con solo hacer clic en un botón. Además, cada vez se almacena más información confidencial, como registros médicos y financieros, en repositorios accesibles en línea. La tecnología de la información ofrece grandes ventajas, pero también crea enormes riesgos debido a la complejidad cada vez mayor. Las empresas y los gobiernos necesitan una forma de asegurarse de que identifican, comprenden y mantienen estos riesgos. Una de las principales formas en que lo hacen es a través de las auditorías de tecnología de la información .

Las auditorías de tecnología de la información (auditorías de TI) son procesos formales y documentados mediante los cuales las organizaciones evalúan su tecnología (hardware, software, operaciones y procesos) para identificar el cumplimiento de las políticas y procedimientos de la organización. Las auditorías de TI se pueden realizar junto con otras auditorías organizacionales, como las financieras / contables, pero también se pueden realizar de forma independiente.

Analicemos mejor la necesidad de auditorías de TI, cómo se realizan y varios tipos clave de auditorías de TI.

¿Por qué la necesidad de auditorías de TI?

A medida que el uso de la tecnología de la información por parte de consumidores, empresas y gobiernos se ha generalizado, también lo ha hecho nuestra dependencia de esos sistemas. A nivel macro, nuestro comercio nacional, comercio internacional y operaciones gubernamentales han llegado a depender cada vez más de la tecnología. En los últimos años, las agencias gubernamentales (locales, estatales, federales) han gastado más de $ 100 millones en sistemas de TI. ¡Agregue las empresas comerciales y los gastos de TI fácilmente superan los $ 1 mil millones!

Debido a esta dependencia de los sistemas y procesos de TI, las organizaciones necesitan una forma de asegurarse de que pueden tener fe en el funcionamiento de los sistemas y poder confiar en los resultados de estos sistemas. La mejor manera de garantizar la confiabilidad es inspeccionar los sistemas, medir el impacto e informar sobre estos hallazgos. Ese es el propósito de las auditorías de TI, y su función sigue creciendo en todas las organizaciones, a medida que aumenta la necesidad de seguridad, privacidad y confidencialidad.

Al comprender la creciente importancia de la tecnología, el gobierno federal, junto con la mayoría de los estados, ha creado puestos de director de información (CIO) que se encargan específicamente de ejecutar las estrategias de TI de la organización. Una parte importante de la estrategia es la creación de requisitos y estándares para la creación y uso de sistemas de TI, que se convierte en la guía para las auditorías de TI.

Cómo se realizan las auditorías de TI

Las auditorías de TI generalmente las realiza personal especialmente capacitado (y a menudo certificado). Quienes realizan la revisión, conocidos como auditores, pueden ser personal interno que está llamado a realizar la auditoría o personal externo que realiza las auditorías como un servicio. Como se señaló anteriormente, la auditoría de TI puede ser parte de una auditoría de toda la organización que lo abarca todo o solo los sistemas de TI. Además, la auditoría de TI también se puede dividir en evaluaciones más pequeñas y solo se pueden inspeccionar sistemas u operaciones específicos dentro de la organización de TI.

Independientemente de quién realice la auditoría de TI o el alcance de lo que auditen, todos siguen un conjunto bien documentado de procedimientos y procesos rígidos para garantizar que todas las áreas estén cubiertas y revisadas por completo. Usando estas pautas y las listas de verificación que las acompañan, los auditores inspeccionan a las personas, los procesos / controles y la tecnología involucrados en el alcance de la auditoría. Durante esta revisión, los auditores evalúan el cumplimiento de las políticas de la organización y / o las regulaciones gubernamentales, junto con la identificación de los riesgos de incumplimiento. También evaluarán las ineficiencias en los sistemas, procesos y procedimientos de TI y recomendarán pasos para minimizar los riesgos y corregir cualquier desempeño deficiente.

Ejemplos de auditorías de TI

Debido a la complejidad de los sistemas de TI, la mayoría de las auditorías de TI generalmente no están estandarizadas y están muy personalizadas para las necesidades de la organización. Sin embargo, hay muchos subcomponentes que se incorporan con frecuencia en las auditorías de TI de la organización y sirven como un buen ejemplo de este tipo de revisiones. Las áreas comunes de auditoría de TI incluyen:

• Controles de TI
• Recuperación ante desastres / continuidad empresarial
• Seguridad de datos e información

La mayoría de las auditorías de TI revisarán los controles que el grupo de TI tiene sobre su hardware, aplicaciones, red y procesos. La revisión de los controles será tan amplia como para comprender la estrategia de TI general de la organización y tan detallada como la política de contraseñas para cada aplicación individual administrada. Aquí, el auditor buscará comprender si la organización tiene la supervisión adecuada sobre cualquier cambio en los sistemas de TI (procesos de gestión de cambios), control sobre qué tecnología se gestiona (gestión de activos) y quién tiene la capacidad de utilizar los activos gestionados (gestión de acceso ).

Como se señaló anteriormente, las organizaciones han comenzado a depender en gran medida de sus sistemas de TI. Como tal, es importante comprender qué sucede si esos sistemas dejan de estar disponibles. Durante una auditoría de TI de los planes de recuperación ante desastres de una organización, los auditores evaluarán el riesgo asociado con la pérdida de uno o más sistemas clave. El enfoque del plan es garantizar que el objetivo / propósito de la organización pueda continuar después de una interrupción de la tecnología, por lo que los auditores inspeccionarán los procesos y herramientas que se utilizan para restaurar las funciones de la organización. Los auditores determinarán la evidencia de que existe un plan de desastre, que se ha probado con éxito y que se implementan los controles necesarios cuando se enfrenta a una emergencia tecnológica.

Asegurar la información contenida dentro de los repositorios de TI de una organización se ha vuelto más crítico a medida que la tecnología expande el acceso a esa información. Por lo tanto, un enfoque clave de muchas auditorías de TI son las prácticas de seguridad de la información de la organización. Muchas industrias tienen regulaciones y requisitos para tales revisiones, y la mayoría de las demás se toman en serio la protección de los datos que se les confían. Los auditores de TI revisarán las políticas de información para la adquisición, almacenamiento, recuperación y eliminación de información protegida y seguridad física de la tecnología y el personal involucrado. Los auditores buscarán cualquier debilidad y vulnerabilidad en los propios sistemas de TI y en los procesos de manejo de información que estén en su lugar.

Resumen de la lección

En la actualidad, las organizaciones dependen en gran medida de los complejos sistemas de tecnología de la información. La operación eficiente de esos sistemas, de acuerdo con las políticas de la organización y las regulaciones de la industria, es fundamental para el éxito. Las auditorías de tecnología de la información ayudan a garantizar este cumplimiento al identificar, comprender y minimizar los riesgos asociados en nuestro entorno de tecnología avanzada.