Trabajo Colaborativo 1 - Auditoria Unad

AUDITORIA DE SISTEMAS TRABAJO COLABORATIVO 1

PRESENTADO POR JULIO CESAR VELOSA CASTAÑEDA – COD 1.116.248.599 CAROLINA ARROYAVE – COD 1.115.069.784 EDWAR ALBERTO RUBIO

GRUPO: 90168_30

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA – UNAD INGENIERIA DE SISTEMAS PALMIRA, VALLE 17 MARZO 2016

Tabla de contenido

Desarrollo de la Actividad......................................................................................................4 Mapa mental............................................................................................................................4 Empresa seleccionada.............................................................................................................5 Referencias Bibliográficas......................................................................................................7

Desarrollo de la Actividad – Parte individual Cuadro consolidado las de las vulnerabilidades, amenazas y riesgos

Empresa: Discenter´s Autor: Julio Cesar Velosa N°

Vulnerabilidad

Amenazas

Riesgo

1

La empresa no cuenta con plan de contingencia en caso de pérdida de la información Sistema operativo desactualizado Windows xp

Desastre natural

No se cuenta con Seguridad lógica procedimientos para la administración de los datos

Manipulación Fallas del sistema Software malicioso

Los equipos no cuentan con cuentas con sus respectivas contraseñas Los usuarios del sistema no están capacitados en las herramientas tecnológicas básicas (Dropbox y uso de Excel)

Suplantación de identidad y acceso de terceros

Actualmente el sistema operativo no tiene soporte, se encuentra desactualizado y algunas aplicaciones no son compatibles ya con este sistema Suplantación de identidad, acceso a datos sensibles dentro de la red Los usuarios no cuentan con las competencias básicas para el manejo de los formatos que presenta la institución Inseguridad en la red

2

3

4

5 6

Errores de usuario

No existe control en el Uso de los recursos acceso a internet de la empresa para otros fines No existe control en el Los usuarios con acceso a los acceso al equipo documentos principal el cual se principales de la encuentra sin institución (carpeta de contraseña, pueden

Categoría

Software

Seguridad lógica

Seguridad lógica, acceso a los datos, integridad de los datos

redes

Red insegura, Redes, seguridad alteración de la lógica información, accesos no autorizados a la

google drive Dropbox) 7 8 9

10

11

12

13 14

y acceder a los documentos importantes para la institución La empresa no utiliza Errores de firewall en lo equipos o configuración en la red La configuración del Errores de router es la por defecto configuración El sistema operativo El sistema no cuenta con cuenta con parches con parches de y actualizaciones seguridad y actualizaciones, software no es licenciado Fallos en la red Mala configuración que compromete la seguridad de las empresas al instalar routers, switches y otros equipos de red sin las ramificaciones de seguridad de cada dispositivo. La canaleta se El cableado de datos encuentra en malas se encuentra expuesto condiciones y en algunos casos no hay El cableado La manipulación de estructurado de la red esta red presenta se encuentra a la daños, rupturas y su intemperie transmisión de datos suelen presentar varias caídas de paquetes de información. No hay seguimiento en La empresa no cuenta la seguridad de la con controles de información seguridad informática No se analiza el tráfico al no analizar el en busca de virus tráfico en busca de software malintencionado, correo no deseado, contenido inapropiado e

información

Red lógica insegura

redes

Red lógica insegura

redes

Falla y caídas en el software sistema operativo

Fallas en las redes comunicaciones

Fallas en las redes comunicaciones Daños de las Redes comunicaciones.

No hay detección de Seguridad lógica intrusos, contención y/o eliminación Accesos no Seguridad lógica autorizados del sistema

intrusiones El trabajador externo puede ser una víctima incógnita, indirecta y presencial a una agresión externa en contra de la Empresa. Introducción de información falsa

15

La prestación del servicio técnico es realizado por los estudiantes

16

No existe control de los dispositivos de almacenamiento (USB, cd, discos) La red es de acceso No hay una publico segmentación de la red ya que los usuarios de la área administrativa y los usuarios normales (estudiantes) están conectados en la misma red y no existe un dispositivo de control

17

Atentados a las Manejo y control instalaciones de la de personal empresa (vandalismo) Alteración o pérdida Hardware de la información registrada en base de datos o equipos Acceso no Manejo y control autorizado a la red de personal redes

Empresa Avidesa de Occidente Autor: carolina arroyave No .

1

Vulnerabilidades

Amenazas

Riesgos

En el área de logística se encuentran regletas, switches extensiones eléctricas sin protección ni organización, cableado Cableado desorganizado, lo que Expuesto

Categoria

Se puede presentar Seguridad Física algún corto eléctrico

no cumple con la normas establecidas para la organización del cableado 2

Algunos equipos del área Inicio de Sesión de producción no cuentan de personal no con contraseñas de inicio autorizado de sesión

Cualquier persona puede tener acceso a la información Seguridad Lógica almacenada en los equipos.

3

En el área de Silos encuentra un equipo cómputo con hardware mal estado por falta mantenimiento

Se puede presentar un grave daño en el hardware del equipo Hardware debido al polvo que almacena internamente

4

5

se Daño de de Hardware, Perdida en de información de

El departamento de Perdida logística presenta caída de información red constante

Debido a la caída de la red constante se presentar Seguridad Logica de puede perdida de la información en los Red módulos de producción

Debido a la configuración de Algunos equipos de Problema con red de cada equipo al no tener un IP fija cómputo no cuentan con actualizaciones no se podrán Seguridad Logica una IP fija según el host automáticas actualizar las bases de la empresa

de datos enviadas Red directamente desde el servidor.

6

7

8

9

Copias de Seguridad mal Perdida configuradas en 5 equipos Información del área de contabilidad

No se puede actualizar la Falla en apertura información de la base de datos de de módulos producción por Módulos de producción y problemas de despachos desactualizados apertura de módulos Seguridad Lógica en 3 equipos del área de por problema de despachos actualización del ejecutable Cableado de voz y datos por fuera de las canaletas en oficina de cartera Cableado Expuesto

Falta de activación de Perdida de Office en 3 equipos del información área de procesos

Perdida de Información 10

No se pueden realizar las copias de seguridad automáticas desde de los PCS hasta el Seguridad Lógica servidor de copias causando perdida de información

Fallos en disco duro de servidor de producción

Falla en Seguridad comunicaciones y Lógica transmisión de datos Red La suite de office al no estar activada en estos equipos limita las funciones como tal del software causando así el no poder actualizar datos.

Seguridad Lógica

Se puede dañar el disco duro totalmente causando gran pérdida de información para la Hardware empresa

11

No poseen control de navegación por lo tanto existe Falta de control de riesgo de infección navegación en 3 equipos del área de procesos Acceso a internet por virus causando Seguridad Lógica perdida de abierto información u otros daños

Empresa playtech Autor:Edward Alberto rubio

N°

Vulnerabilida des

Amenazas

Riesgos

Categorí a

1

No hay un procedimiento el cual controle los periféricos de entrada y salida

Humano hurto de información

Perdida de confidencialidad de la información

Hardware

2

No hay redundancia en las conexiones de red

Tecnológica

Perdida de disponibilidad de la información en caso tal que se tenga un corte por el proveedor de claro

Hardware

3

No se cuenta con un ambiente apropiado del servidor físico que hay en la compañía , se encuentra a la vista de todos

Humano y ambiental

En caso de lluvias puede dañarse por humedad. Al estar al alcance de todo el personal puede haber daño por estática.

Seguridad física

4

Falta de controles en los equipos que pueden tener acceso a la red, no se cuenta con filtrado Mac, ni con filtrado de ip.

Humano

Perdida de confidencialidad e integridad de la información, puede ser causa también de amenazas externas

Seguridad lógica

5

No tiene un procedimiento de contraseñas ni en los equipos informáticos, ni en el ingreso de base de datos

Humano

Acceso no autorizados a la información core de la compañía

Seguridad lógica

6

No se tiene un procedimiento definido para el manejo remoto de los servidores

Entrada o Accesos no autorizados

Accesos no autorizados a la base de datos

Seguridad lógica

7

No se cuenta con seguridad de cámaras

Entrada o Accesos no autorizados

Accesos no autorizados

Seguridad física

8

No se cuenta con un sistema de humo

Ambiental

Daños físicos en la compañía y posibles pérdidas de información

Seguridad física

10

El servidor no se encuentra en un rack, esta puesto en la parte superior de la oficina con otros equipos informáticos

Daños físicos ambientales

Daños por corto circuito y estática, posible pérdida de la información

Seguridad física

11

No hay un procedimiento el cual identifique los puertos activos en el servidor

Entrada o Accesos no autorizados

Accesos no autorizados de información

Seguridad lógica

12

Falta un legales procedimiento de manejo de licencias

Problemas legales por uso de licencias e instalaciones no permitidas

Seguridad lógica

13

Falta de controles en los privilegios de los computadores de la compañía

Problemas legales por instalación de software no autorizado

Seguridad lógica

Humano manipulación incorrecta

OBJETIVOS

OBJETIVO GENERAL Realizar auditoria a las redes de datos y al manejo de la información por parte de los usuarios (directivos, docentes y estudiantes) dentro de la empresa discenter’s de la ciudad de Tuluá. OBJETIVOS ESPECÍFICOS 

Conocer los usuarios del sistema con el fin de analizar los posibles riesgos que se puedan



presentar, mediante visita a la empresa y entrevista con los usuarios Conocer la infraestructura de red de la empresa con el fin de analizar los riesgos que se pueden presentar en la seguridad de la información, mediante visita a la empresa y



entrevista con los encargados de soporte técnico. Elaborar plan de auditoria mediante la creación de formatos para la recolección de información, planes estratégicos, estándar a seleccionar y los procesos relacionados en el



objetivo de la auditoria, con el fin de obtener información confiable. Elaborar las pruebas necesarias para la determinación de los riesgos existentes en la red de datos y los controles y acceso de los usuarios, para la elaboración de la matriz de riesgos



midiendo su ocurrencia e impacto. Generar dictamen sobre la auditoria para los procesos evaluados, presentando el informe de resultados