Puedes practicar con mas ejercicio en esta gu铆a con Ejercicios resueltos Sql. Ejercicios Sql
lunes, 7 de julio de 2014
Ejercicio Access
AUDITOR脥A INFORM脕TICA
Si analizamos el
nacimiento y la existencia de la auditor铆a inform谩tica desde un punto de vista empresarial, tendremos que empezar
analizando el contexto organizativo y ambiental en el que se mueve.
Empezaremos diciendo
que tanto dentro del contexto estrat茅gico como del operativo de las organizaciones actuales, los sistemas de
informaci贸n y la arquitectura que los soporta
desempe帽an un importante papel como uno de los soportes b谩sicos para la
gesti贸n y el control del negocio, siendo as铆 unos de los requerimientos b谩sicos
de cualquier organizaci贸n. Esto da lugar a los sistemas de informaci贸n de una
organizaci贸n.
Concepto de Auditor铆a en inform谩tica.
La auditor铆a en inform谩tica se desarrolla en funci贸n de
normas, procedimientos y t茅cnicas definidas por institutos establecidos a nivel
nacional e internacional; por lo tanto, nada m谩s se se帽alar谩n algunos aspectos
b谩sicos para su entendimiento.
As铆, la auditor铆a en
inform谩tica es:
A) Un proceso formal ejecutado por especialistas del 谩rea de
auditor铆a y de inform谩tica; se orienta a
la verificaci贸n y aseguramiento de las pol铆ticas y procedimientos establecidos para el manejo y uso adecuado
de la tecnolog铆a de inform谩tica en la organizaci贸n se lleve a cabo de una
manera oportuna y eficiente.
B) Las actividades ejecutadas por los profesionales del 谩rea
de Inform谩tica y de auditor铆a encaminadas a evaluar el grado de cumplimiento de
pol铆ticas, controles y procedimientos correspondientes al uso de los recursos
de inform谩tica por el personal de la
empresa (usuarios, inform谩tica, alta direccion, etc.). Dicha evaluacion deber谩
ser la pauta para la entrega del informe
de auditor铆a en inform谩tica, el cual ha de contener las observaciones,
recomendaciones y 谩reas de oportunidad para el mejoramiento y la optimizaci贸n permanente de la tecnolog铆a de inform谩tica en el negocio.
C) El conjunto de acciones" que realiza el personal
especializado en las 谩reas de auditor铆a
y de inform谩tica para el aseguramiento continuo de que todos los
recursos de inform谩tica operen en un ambiente de seguridad y control
eficientes, con la finalidad de proporcionar a la alta direcci贸n o niveles
ejecutivos la certeza de que la informaci贸n que pasa por el 谩rea se manejan con
los conceptos b谩sicos de integridad, totalidad, exactitud, confiabilidad, etc.
D) Proceso metodol贸gico que tiene el prop贸sito principal de
evaluar todos los recursos (humanos, materiales, financieros, tecnologicos,
etc.) Relacionados con la funci贸n de inform谩tica para garantizar al negocio que
dicho conjunto opera con un criterio de integraci贸n y desempe帽os de niveles
altamente satisfactorios para que apoyen la productividad y rentabilidad de la
organizaci贸n.(Hern谩ndez, 1997).
La auditor铆a
inform谩tica es el proceso de recoger, agrupar y evaluar evidencias para
determinar si un sistema informatizado salvaguarda los activos, mantiene la
integridad de los datos, lleva a cabo eficazmente los fines de la organizaci贸n
y utiliza eficientemente los recursos.
De este modo la auditoria inform谩tica sustenta y confirma la
consecuci贸n de los objetivos tradicionales de la auditoria:
• Objetivos de protecci贸n de activos e integridad de datos.
• Objetivos de gesti贸n que abarcan, no solamente los de
protecci贸n de activos, sino tambi茅n los de eficacia y eficiencia.
El auditor eval煤a y comprueba en determinados momentos del
tiempo los controles y procedimientos inform谩ticos m谩s complejos, desarrollando
y aplicando t茅cnicas mecanizadas de auditor铆a, incluyendo el uso del software.
En muchos casos, ya no es posible verificar manualmente los procedimientos
informatizados que resumen, calculan y clasifican datos, por lo que se deber谩
emplear software de auditoria y otras t茅cnicas asistidas por ordenador.
El auditor es responsable de revisar e informar a la
Direcci贸n de la Organizaci贸n sobre el dise帽o y funcionamiento de los controles
implantados y sobre la fiabilidad de la informaci贸n suministrada.
Se pueden establecer
tres grupos de funciones a realizar por un auditor inform谩tico:
• Participar en las
revisiones durante y despu茅s del dise帽o, realizaci贸n, implantaci贸n y
explotaci贸n de las aplicaciones inform谩ticas, as铆 como en las fases an谩logas de
realizaci贸n de cambios importantes.
• Revisar y juzgar los controles implantados en los sistemas
inform谩ticos para verificar su adecuaci贸n a las 贸rdenes e instrucciones de la
Direcci贸n, requisitos legales, protecci贸n de confidencialidad y cobertura ante
errores y fraudes.
• Revisar y juzgar el nivel de eficacia, utilidad,
fiabilidad y seguridad de los equipos e informaci贸n.
¿Qu茅 es la seguridad inform谩tica?
La seguridad inform谩tica o seguridad de tecnolog铆as de la informaci贸n es el
谩rea de la inform谩tica que se enfoca en la protecci贸n de la infraestructura computacional
y todo lo relacionado con esta y, especialmente, la informaci贸n contenida o
circulante. Para ello existen una serie de est谩ndares, protocolos, m茅todos,
reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a
la infraestructura o a la informaci贸n. La seguridad inform谩tica comprende
software (bases de datos, metadatos, archivos), hardware y todo lo que la
organizaci贸n valore (activo) y signifique un riesgo si esta informaci贸n
confidencial llega a manos de otras personas, convirti茅ndose, por ejemplo, en
informaci贸n privilegiada.
Esta consiste en asegurar que los recursos del sistema de informaci贸n
(material inform谩tico o programas) de una organizaci贸n sean utilizados de la
manera que se decidi贸 y que el acceso a la informaci贸n all铆 contenida, as铆 como
su modificaci贸n, s贸lo sea posible a las personas que se encuentren acreditadas
y dentro de los l铆mites de su autorizaci贸n, denegando todo posible acceso a
otro agente externo no autorizado.
Es importante se帽alar que el concepto de seguridad de la informaci贸n no
debe ser confundido con el de “seguridad inform谩tica”, ya que este 煤ltimo solo
se encarga de la seguridad en el medio inform谩tico, pero la informaci贸n puede
encontrarse en diferentes medios o formas, y no solo en medios inform谩ticos.
El objetivo principal de la seguridad inform谩tica es que esta debe
establecer normas que minimicen los riesgos a la informaci贸n o infraestructura
inform谩tica. Estas normas incluyen horarios de funcionamiento, restricciones a
ciertos lugares, autorizaciones, denegaciones, perfiles de usuario, planes de
emergencia, protocolos y todo lo necesario que permita un buen nivel de
seguridad inform谩tica minimizando el impacto en el desempe帽o de los
trabajadores y de la organizaci贸n en general y como principal contribuyente al
uso de programas realizados por programadores.
Est谩ndares de Seguridad inform谩tica
En cada organizaci贸n que tenga su operatividad basada en tecnolog铆as de la
informaci贸n, es recomendable implementar buenas pr谩cticas de seguridad
inform谩tica, ya que en la mayor铆a de casos en que no se sigue un proceso de
implementaci贸n adecuado, puede generar huecos que aumenten la posibilidad de
riesgos en la informaci贸n. Para el efecto, se crean normas y est谩ndares
internacionales de alto nivel para la administraci贸n de la seguridad
inform谩tica como son: la BS 7799, la ISO 17799 y la ISO/IEC 27001.
La norma BS 7799 es el est谩ndar de seguridad de informaci贸n creado por
British Standards Institution (BSI) como un conjunto de controles de seguridad
y de metodolog铆as para su correcta aplicaci贸n.
Esta norma le ayuda a las empresas a proteger sus activos e informaci贸n en
todas sus formas, electr贸nica y/o impresa, en t茅rminos de:
• La confidencialidad: Que asegura que s贸lo las personas autorizadas tengan
acceso a la informaci贸n.
• La integridad: Que salvaguarda la exactitud e integridad de la
informaci贸n y de los m茅todos de procesamiento.
• La disponibilidad: Que asegura el acceso de los usuarios autorizados a la
informaci贸n y a los activos relacionados cuando es necesario.
La norma BS 7799 es un amplio plan para la implementaci贸n efectiva de los
niveles y controles para la seguridad de la informaci贸n. El conjunto de
controles requeridos por la norma brinda a los profesionales de tecnolog铆a de
la informaci贸n un modelo eficaz para el desarrollo de pol铆ticas y procesos de
seguridad de la informaci贸n en todo el 谩mbito de las organizaciones. Esta
presenta los requisitos para un Sistema de Gesti贸n de la Seguridad de la
Informaci贸n (SGSI). De esta forma, ayuda a identificar, administrar y minimizar
la variedad de amenazas a las cuales est谩 expuesta regularmente la informaci贸n
en las empresas.
Esta norma se encuentra dividida en 2 partes:
• Parte 1
Surge en 1995 y fue modificada en 1999. Es un conjunto de controles que
incluye las buenas pr谩cticas de gesti贸n de seguridad de la informaci贸n. Desde
su publicaci贸n por parte de la Organizaci贸n Internacional de Normas (ISO) en
Diciembre de 2000, la ISO 17799 surge como la norma t茅cnica de seguridad de la
informaci贸n m谩s reconocida a nivel mundial.
• Parte 2
Denominada BS7799-2, y modificada en 2002, contiene la especificaci贸n para
el establecimiento, implementaci贸n, operaci贸n, monitorizaci贸n, revisi贸n,
mantenimiento y mejora de un SGSI documentado y basado en los controles y
objetivos de control establecidos en la primera parte. Es precisamente esta
segunda parte que permite que las organizaciones puedan certificarse.
La correcta aplicaci贸n de los controles definidos en la norma BS 7799
permite a las empresas presentarse a una auditoria de certificaci贸n de seguridad
de la informaci贸n. La certificaci贸n les asegurar谩 a los clientes y asociados
que los niveles de la informaci贸n en las redes, sistemas empresariales y la
gesti贸n de la informaci贸n segura y confiable. La certificaci贸n BS7799 permite
muchas ventajas operativas y estrat茅gicas para las empresas. Una empresa
certificada con la norma BS7799 puede marcar un factor diferenciador y
estrat茅gico frente a sus competidores no certificados.
Entre los beneficios espec铆ficos de la norma se encuentran los siguientes:
• Mejoramiento de la seguridad empresarial: Las empresas har谩n un manejo
efectivo de sus riesgos, lo cual generar谩 una mejora sustancial en los niveles
de seguridad y tratamiento de la informaci贸n.
• Planeaci贸n m谩s efectiva de la seguridad: Esta norma re煤ne 127 controles
de seguridad en diez 谩reas o secciones. Estos controles permitir谩n que las
iniciativas en materia de seguridad sean m谩s completas, manejables y pr谩cticas
por sus costos.
• Menor responsabilidad civil: La responsabilidad civil de las empresas en
incidentes de seguridad podr谩 reducirse.
• Mayor confianza del cliente: Los clientes con una alta sensibilidad o
manejo de informaci贸n altamente cr铆tica buscan apoyo concreto en organizaciones
que mantienen un alto perfil en seguridad, as铆 estableciendo mejores niveles de
confianza entre empresas que tienen sus procesos de seguridad debidamente
certificados.
• Alianzas comerciales: Las compa帽铆as pueden utilizar la acreditaci贸n como
un requisito de seguridad para sus asociados y vendedores.
• Auditorias de seguridad m谩s precisas y confiables: La norma contempla un
proceso de acreditaci贸n con auditores externos que comprobar谩n y evaluar谩n las
pol铆ticas de seguridad instauradas.
• E-Commerce m谩s seguro: Esta normativa confiere a los vendedores una
especie de compromiso con la seguridad hacia los compradores que utilizan este
tipo de tecnolog铆a para sus transacciones.
ISO 17799
Este est谩ndar internacional de alto nivel para la administraci贸n de la
seguridad de la informaci贸n, fue publicado por la ISO (Organizaci贸n
Internacional de Estandarizaci贸n) en diciembre del a帽o 2000 con el objeto de
desarrollar un marco de seguridad sobre el cual trabajen las organizaciones. El
est谩ndar de seguridad de la informaci贸n ISO 17799 es un descendiente directo de
la BS 7799.
La ISO 17799, al definirse como una gu铆a en la implementaci贸n del sistema
de administraci贸n de la seguridad de la informaci贸n, se orienta a preservar los
siguientes principios de la seguridad inform谩tica que preservaba la BS 7799 que
son la confidencialidad, integridad y disponibilidad
Los principios anteriormente mencionados, los cuales se direccional a la
protecci贸n de los activos de informaci贸n, constituyen las normas b谩sicas
deseables en cualquier organizaci贸n (sea del tipo que sea); sin embargo, cada
empresa, organizaci贸n o instituci贸n, puede mostrar mucho m谩s 茅nfasis en alg煤n
dominio en espec铆fico de la norma ISO 17799 dependiendo de los objetivos
empresariales.
El objetivo de la seguridad de los datos es asegurar la continuidad de las
operaciones de la organizaci贸n, reducir al m铆nimo los da帽os causados por una
contingencia, as铆 como optimizar la inversi贸n en tecnolog铆as de seguridad.
Esta norma da la pauta en la definici贸n sobre cu谩les metodolog铆as, normas o
est谩ndares t茅cnicos pueden ser aplicados en el sistema de administraci贸n de la
seguridad de la informaci贸n, se puede entender que estos est谩ndares son
auxiliares y ser谩n aplicados en alg煤n momento al implementar el mismo.
La aplicaci贸n de esta norma garantiza la existencia de una serie de
procesos que permiten evaluar, mantener y administrar la seguridad de la
informaci贸n.
Las pol铆ticas, est谩ndares locales y los procedimientos se encuentran
adaptados a las necesidades de la organizaci贸n debido a que el proceso mismo de
su elaboraci贸n integra mecanismos de control y por 煤ltimo, la certificaci贸n
permite a las organizaciones demostrar el estado de la seguridad de la
informaci贸n, situaci贸n que resulta muy importante en aquellos convenios o
contratos con terceras organizaciones que establecen como requisito contractual
la certificaci贸n BS7799.
El 茅xito de la implementaci贸n del est谩ndar de seguridad ISO 17799 requiere
de una serie de procedimientos donde, inicialmente, el an谩lisis de riesgos
identificar谩 los activos de la informaci贸n y las amenazas a las cuales se
encuentra expuesta.
El an谩lisis de riesgos guiar谩 en la correcta selecci贸n de los controles que
apliquen a la organizaci贸n; este proceso se conoce en la jerga del est谩ndar
como Statement of Applicability, que es la definici贸n de los controles que
aplican a la organizaci贸n con objeto de proporcionar niveles pr谩cticos de
seguridad de la informaci贸n y medir el cumplimiento de los mismos.
A continuaci贸n, se describir谩n cada una de las diez 谩reas de seguridad con
el objeto de esclarecer los objetivos de estos controles:
• Pol铆ticas de seguridad: El est谩ndar define como obligatorias las
pol铆ticas de seguridad documentadas y procedimientos internos de la
organizaci贸n que permitan su actualizaci贸n y revisi贸n por parte de un Comit茅 de
Seguridad.
• Seguridad organizacional: Establece el marco formal de seguridad que debe
integrar una organizaci贸n, tales como un foro de administraci贸n de la seguridad
de la informaci贸n, un contacto oficial de seguridad (Information System
Security Officer – ISSO), revisiones externas a la infraestructura de seguridad
y controles a los servicios de outsourcing, entre otros aspectos.
• Clasificaci贸n y control de activos: El an谩lisis de riesgos generar谩 el
inventario de activos que deber谩 ser administrado y controlado con base en
ciertos criterios de clasificaci贸n y etiquetado de informaci贸n, es decir, los
activos ser谩n etiquetados de acuerdo con su nivel de confidencialidad.
• Seguridad del personal: Contrario a lo que uno se puede imaginar, no se
orienta a la seguridad del personal desde la 贸ptica de protecci贸n civil, sino a
proporcionar controles a las acciones del personal que opera con los activos de
informaci贸n. El objetivo de esta 谩rea del est谩ndar es contar con los elementos
necesarios para mitigar el riesgo inherente a la interacci贸n humana, es decir,
establecer claras responsabilidades por parte del personal en materia de
seguridad de la informaci贸n.
• Seguridad f铆sica y de entorno: Identificar los per铆metros de seguridad,
de forma que se puedan establecer controles en el manejo de equipos,
transferencia de informaci贸n y control de los accesos a las distintas 谩reas con
base en el tipo de seguridad establecida.
• Comunicaciones y administraci贸n de operaciones: Integrar los
procedimientos de operaci贸n de la infraestructura tecnol贸gica y de controles de
seguridad documentados, que van desde el control de cambios en la configuraci贸n
de los equipos, manejo de incidentes, administraci贸n de aceptaci贸n de sistemas,
hasta el control de c贸digo malicioso.
• Control de acceso: Habilitar los mecanismos que permitan monitorear el
acceso a los activos de informaci贸n, que incluyen los procedimientos de
administraci贸n de usuarios, definici贸n de responsabilidades o perfiles de
seguridad y el control de acceso a las aplicaciones.
• Desarrollo de sistemas y mantenimiento La organizaci贸n debe disponer de
procedimientos que garanticen la calidad y seguridad de los sistemas desarrollados
para tareas espec铆ficas de la organizaci贸n.
• Continuidad de las operaciones de la organizaci贸n: El sistema de
administraci贸n de la seguridad debe integrar los procedimientos de recuperaci贸n
en caso de contingencias, los cuales deber谩n ser revisados de manera constante
y puestos a prueba con la finalidad de determinar las limitaciones de los
mismos.
• Requerimientos legales: La organizaci贸n establecer谩 los requerimientos de
seguridad que deben cumplir todos sus proveedores, socios y usuarios; 茅stos se
encontrar谩n formalizados en los contratos o convenios.
Cada una de las 谩reas establece una serie de controles que ser谩n
seleccionados dependiendo de los resultados obtenidos en el an谩lisis de
riesgos, adem谩s, existen controles obligatorios para toda organizaci贸n, como es
el de las pol铆ticas de seguridad cuyo n煤mero depender谩 m谩s de la organizaci贸n
que del est谩ndar, el cual no establece este nivel de detalle.
ISO/IEC 27001
La informaci贸n tiene una importancia fundamental para el funcionamiento y
quiz谩 incluso sea decisiva para la supervivencia de la organizaci贸n. El hecho
de disponer de la certificaci贸n seg煤n ISO/IEC 27001 le ayuda a gestionar y
proteger sus valiosos activos de informaci贸n. ISO/IEC 27001 es la 煤nica norma
internacional auditable que define los requisitos para un sistema de gesti贸n de
la seguridad de la informaci贸n (SGSI). La norma se ha concebido para garantizar
la selecci贸n de controles de seguridad adecuados y proporcionales. Ello ayuda a
proteger los activos de informaci贸n y otorga confianza a cualquiera de las
partes interesadas, sobre todo a los clientes. La norma adopta un enfoque por
procesos para establecer, implantar, operar, supervisar, revisar, mantener y
mejorar un SGSI.
La ISO/IEC 27001 es una norma adecuada para cualquier organizaci贸n, grande
o peque帽a, de cualquier sector o parte del mundo. La norma es particularmente
interesante si la protecci贸n de la informaci贸n es cr铆tica, como en finanzas,
sanidad sector p煤blico y tecnolog铆a de la informaci贸n (TI). ISO/IEC 27001 tambi茅n
es muy eficaz para organizaciones que gestionan la informaci贸n por encargo de
otros, por ejemplo, empresas de subcontrataci贸n de TI. Puede utilizarse para
garantizar a los clientes que su informaci贸n est谩 protegida
El hecho de certificar un SGSI seg煤n la norma ISO/IEC 27001 puede aportar
las siguientes ventajas a la organizaci贸n:
• Demuestra la garant铆a independiente de los controles internos y cumple
los requisitos de gesti贸n corporativa y de continuidad de la actividad
comercial.
• Demuestra independientemente que se respetan las leyes y normativas que
sean de aplicaci贸n.
• Proporciona una ventaja competitiva al cumplir los requisitos
contractuales y demostrar a los clientes que la seguridad de su informaci贸n es
primordial.
• Verifica independientemente que los riesgos de la organizaci贸n est茅n
correctamente identificados, evaluados y gestionados al tiempo que formaliza
unos procesos, procedimientos y documentaci贸n de protecci贸n de la informaci贸n.
• Demuestra el compromiso de la c煤pula directiva de su organizaci贸n con la
seguridad de la informaci贸n.
• El proceso de evaluaciones peri贸dicas ayuda a supervisar continuamente el
rendimiento y la mejora.
Nota: las organizaciones que simplemente cumplen la norma ISO/IEC 27001 o
las recomendaciones de la norma del c贸digo profesional, ISO/IEC 17799 no logran
estas ventajas.
La implantaci贸n de ISO/IEC 27001 en una organizaci贸n es un proyecto que
suele tener una duraci贸n entre 6 y 12 meses, dependiendo del grado de madurez
en seguridad de la informaci贸n y el alcance, entendiendo por alcance el 谩mbito
de la organizaci贸n que va a estar sometido al Sistema de Gesti贸n de la
Seguridad de la Informaci贸n (en adelante SGSI) elegido. En general, es
recomendable la ayuda de consultores externos.
Aquellas organizaciones que hayan adecuado previamente de forma rigurosa
sus sistemas de informaci贸n y sus procesos de trabajo a las exigencias de las
normativas legales de protecci贸n de datos (p.ej., en Espa帽a la conocida LOPD y
sus normas de desarrollo, siendo el m谩s importante el Real Decreto 1720/2007,
de 21 de diciembre de desarrollo de la Ley Org谩nica de Protecci贸n de Datos) o
que hayan realizado un acercamiento progresivo a la seguridad de la informaci贸n
mediante la aplicaci贸n de las buenas pr谩cticas de ISO/IEC 27002, partir谩n de
una posici贸n m谩s ventajosa a la hora de implantar ISO/IEC 27001.
El equipo de proyecto de implantaci贸n debe estar formado por representantes
de todas las 谩reas de la organizaci贸n que se vean afectadas por el SGSI,
liderado por la direcci贸n y asesorado por consultores externos especializados
en seguridad inform谩tica generalmente Ingenieros o Ingenieros T茅cnicos en
Inform谩tica, derecho de las nuevas tecnolog铆as, protecci贸n de datos y sistemas
de gesti贸n de seguridad de la informaci贸n (que hayan realizado un curso de
implantador de SGSI).
La certificaci贸n de un SGSI es un proceso mediante el cual una entidad de
certificaci贸n externa, independiente y acreditada audita el sistema,
determinando su conformidad con ISO/IEC 27001, su grado de implantaci贸n real y
su eficacia y, en caso positivo, emite el correspondiente certificado.
Antes de la publicaci贸n del est谩ndar ISO 27001, las organizaciones
interesadas eran certificadas seg煤n el est谩ndar brit谩nico BS 7799-2.
Desde finales de 2005, las organizaciones ya pueden obtener la
certificaci贸n ISO/IEC 27001 en su primera certificaci贸n con 茅xito o mediante su
recertificaci贸n trienal, puesto que la certificaci贸n BS 7799-2 ha quedado
reemplazada.
El Anexo C de la norma muestra las correspondencias del Sistema de Gesti贸n
de la Seguridad de la Informaci贸n (SGSI) con el Sistema de Gesti贸n de la
Calidad seg煤n ISO 9001:2000 y con el Sistema de Gesti贸n Medio Ambiental seg煤n
ISO 14001:2004, hasta el punto de poder llegar a certificar una organizaci贸n en
varias normas y con base en un sistema de gesti贸n com煤n.
Luego de esto se implantan nuevas ISOs, actualiz谩ndolas para su 贸ptimo y
completo desarrollo de su labor. Aqu铆 se encuentra un listado de las siguientes
realizadas luego del a帽o 2005:
ISO/IEC 27004 - son m茅tricas para la gesti贸n de seguridad de la
informaci贸n. Es la que proporciona recomendaciones de qui茅n, cu谩ndo y c贸mo
realizar mediciones de seguridad de la informaci贸n. Publicada el 7 de diciembre
del 2009, no se encuentra traducida al espa帽ol actualmente.
ISO/IEC 27005 - trata la gesti贸n de riesgos en seguridad de la informaci贸n.
Es la que proporciona recomendaciones y lineamientos de m茅todos y t茅cnicas de
evaluaci贸n de riesgos de Seguridad en la Informaci贸n, en soporte del proceso de
gesti贸n de riesgos de la norma ISO/IEC 27001. Es la m谩s relacionada a la actual
British Standard BS 7799 parte 3. Publicada en junio de 2008.
ISO/IEC 27006:2007 - Requisitos para la acreditaci贸n de las organizaciones
que proporcionan la certificaci贸n de los sistemas de gesti贸n de la seguridad de
la informaci贸n. Esta norma espec铆fica00 requisitos espec铆ficos para la
certificaci贸n de SGSI y es usada en conjunto con la norma 17021-1, la norma
gen茅rica de acreditaci贸n.
ISO/IEC 27007 - Es una gu铆a para auditar al SGSI. Se encuentra en
preparaci贸n.
ISO/IEC 27799:2008 - Es una gu铆a para implementar ISO/IEC 27002 en la
industria de la salud.
ISO/IEC 27035:2011 - Seguridad de la informaci贸n – T茅cnicas de Seguridad –
Gesti贸n de Incidentes de Seguridad. Este standard hace foco en las actividades
de: detecci贸n, reporte y evaluaci贸n de incidentes de seguridad y sus
vulnerabilidades. (1)
ISACA
Es el acr贸nimo de Information Systems Audit and Control Association
(Asociaci贸n de Auditor铆a y Control de Sistemas de Informaci贸n), una asociaci贸n
internacional que apoya y patrocina el desarrollo de metodolog铆as y
certificaciones para la realizaci贸n de actividades de Gobierno de las
Tecnolog铆as de Informaci贸n, Auditor铆a, Riesgos, Controles y Seguridad de
Sistemas de Informaci贸n.
ISACA fue fundada en el a帽o 1967 cuando un grupo de auditores en sistemas
inform谩ticos percibieron la necesidad de centralizar la fuente de informaci贸n y
metodolog铆a para el 谩rea de operaci贸n. Fue en 1969 que el grupo se formaliz贸 a
asociaci贸n, originalmente incorporada como EDP Auditors Association.
En 1976 el nombre pas贸 a ser ISACA, por el que es actualmente conocida, y
se estableci贸 la primera certificaci贸n profesional de auditor铆a de sistemas de
informaci贸n, o CISA.
ISACA actualmente cuenta con m谩s de 110.000 miembros en todo el mundo y con
presencia en alrededor de 80 pa铆ses equivalente a 200 cap铆tulos locales.
ISACA ofrece cuatro certificaciones, las cuales son reconocidas a nivel
mundial para los profesionales de Auditor铆a, Seguridad, Gobierno y Riesgo de
TI, para esto ISACA lleva a cabo ex谩menes de certificaci贸n dos veces al a帽o, en
junio y diciembre.
Los requisitos para certificarte son los siguientes:
Aprobar el examen
Experiencia relevante
Apegarte al c贸digo de 茅tica ISACA
Apegarte al programa de educaci贸n profesional continua
Cumplimiento con los est谩ndares de ISACA
ISACA administra las siguientes certificaciones internacionales:
- Certified
Information Systems Auditor (CISA)
La certificaci贸n CISA es reconocida en todo el mundo como aquella
designaci贸n profesional relativa a los especialistas en controles, monitoreo y
evaluaci贸n (auditor铆a) de las plataforma tecnol贸gicas de una organizaci贸n y sus
sistemas de informaci贸n.
- Certified
Information Security Manager (CISM)
La certificaci贸n CISM reconoce a las personas que dise帽an, construyen,
eval煤an y gestionan la seguridad de la informaci贸n de las empresas. CISM es la
credencial l铆der que deben tener los administradores de la seguridad de la
informaci贸n.
- Certified in the
Governance of Enterprise IT (CGEIT)
La certificaci贸n CGEIT reconoce a una amplia gama de profesionales por su
conocimiento y aplicaci贸n de los principios y pr谩cticas de gobierno de las
tecnolog铆as de la informaci贸n.
- Certified in
Risk and Information Systems Control (CRISC)
La certificaci贸n CRISC reconoce a los profesionales que tienen amplia
experiencia en la gesti贸n integral de riesgos relativos a las tecnolog铆as de la
informaci贸n. Asimismo, reconoce a los profesionales especialistas en el
dise帽o, implementaci贸n y evaluaci贸n de controles para los sistemas de
informaci贸n.
ISACA actualmente atiende a unos 95.000 electores (miembros y profesionales
con certificaciones ISACA) en unos 160 pa铆ses. Los cargos de los miembros son
tales como auditor, consultor, educador, profesional de seguridad, regulador,
director ejecutivo de informaci贸n y auditor interno. Trabajan en casi todas las
categor铆as de la industria. Hay una red de cap铆tulos de ISACA con 170 cap铆tulos
establecidos en 160 pa铆ses.
Inteligencia de Negocios
Qu茅 es Inteligencia de Negocios?
Inteligencia de Negocios es la habilidad para transformar los datos en
informaci贸n, y la informaci贸n en conocimiento, de forma que se pueda optimizar
el proceso de toma de decisiones en los negocios.
Desde un punto de vista m谩s pragm谩tico, y asoci谩ndolo directamente con las
tecnolog铆as de la informaci贸n, podemos definir Inteligencia de Negocios como el
conjunto de metodolog铆as, aplicaciones y tecnolog铆as que permiten reunir,
depurar y transformar datos de los sistemas transaccionales e informaci贸n
desestructurada (interna y externa a la compa帽铆a) en informaci贸n estructurada,
para su explotaci贸n directa (reporting, an谩lisis OLTP / OLAP, alertas...) o
para su an谩lisis y conversi贸n en conocimiento, dando as铆 soporte a la toma de
decisiones sobre el negocio.
La inteligencia de negocio act煤a como un
factor estrat茅gico para una empresa u organizaci贸n, generando una
potencial ventaja competitiva, que no es otra que proporcionar informaci贸n privilegiada para responder a los problemas de negocio:
entrada a nuevos mercados, promociones u ofertas de productos, eliminaci贸n de
islas de informaci贸n, control financiero, optimizaci贸n de costes, planificaci贸n
de la producci贸n, an谩lisis de perfiles de clientes, rentabilidad de un producto
concreto, etc...
Los principales productos de Inteligencia de Negocios que existen hoy en d铆a
son:
Cuadro de Mando Integral.
Sistema de Soporte a la Decisi贸n.
Sistema de Informaci贸n Ejecutiva.
Por otro lado, los principales componentes de or铆genes de datos en el
Business Intelligence que existen en la actualidad son:
Datamart
Datawarehouse
Los sistemas y componentes del BI se diferencian de los sistemas
operacionales en que est谩n optimizados para preguntar y divulgar sobre datos.
Esto significa t铆picamente que, en un datawarehouse, los datos est谩n
desnormalizados para apoyar consultas de alto rendimiento, mientras que en los
sistemas operacionales suelen encontrarse normalizados para apoyar operaciones
continuas de inserci贸n, modificaci贸n y borrado de datos. En este sentido, los
procesos ETL (extracci贸n, transformaci贸n y carga), que nutren los sistemas BI,
tienen que traducir de uno o varios sistemas operacionales normalizados e
independientes a un 煤nico sistema desnormalizado, cuyos datos est茅n
completamente integrados.
En definitiva, una soluci贸n BI completa permite:
Observar ¿qu茅
est谩 ocurriendo?
Comprender ¿por
qu茅 ocurre?
Predecir ¿qu茅
ocurrir铆a?
Colaborar ¿qu茅
deber铆a hacer el equipo?
Decidir ¿qu茅
camino se debe seguir?
|
Tutorial Exel
En este Tutorial se podr谩 realizar ejercicio sobre:
- Barras de desplazamiento.
- Lista descolgable.
- Funci贸n Indice.
- Casillas de Verificaci贸n.
- Validaci贸n de Datos.
- Lista dependientes.
- Insertar una funci贸n para d铆gito verificador.
- Validaci贸n de Fecha.
Ejemplo del ejercicio con un sistema de Facturaci贸n. Sistema Facturacion
domingo, 6 de julio de 2014
Tutorial Power Pivot
Las tecnolog铆as de informaci贸n y comunicaci贸n (TIC’s), son fundamentales en el funcionamiento de las organizaciones, y exigen a los empleados conocimientos m谩s s贸lidos y avanzados sobre herramientas tecnol贸gicas como planillas electr贸nicas, las cuales permiten consultar bancos de datos y generar informes, reportes, planillas, etc. Excel es uno de las m谩s populares planillas electr贸nicas del mercado, con recursos extremadamente poderosos, para muchos poco conocidos y muy 煤tiles para recolectar, analizar, interpretar y representar informaci贸n necesarias para tomar decisiones empresariales.
Cada minuto crece un volumen de datos que proviene de sistemas de informaci贸n y bancos de datos provenientes de todo el mundo. Los gerentes, ejecutivos, analistas de negocios, contadores, administradores, en fin, los responsables de las decisiones saben que los datos deben estar disponibles, sin embargo el acceso a ellos es complejo y casi siempre depende de los profesionales de inform谩tica, que en general siempre tienen otras prioridades. De esta forma las empresas se ven perjudicadas ante la imposibilidad de que sus usuarios puedan disfrutar de los datos transform谩ndolos en informaci贸n que vaya en beneficio de la empresa.
Power Pivot permite analizar y relacionar grandes vol煤menes de datos de distintas fuentes de datos externas donde los usuarios finales pueden construir sus propios tableros de an谩lisis y de inteligencia de negocios de manera independiente. Power Pivot Permite realizar distintos an谩lisis de datos que provienen de diferentes fuentes. Es una soluci贸n que redefine la l铆nea entre en el 谩rea de TI y los roles de usuario final. Brinda al usuario final la posibilidad de realizar el modelado, el an谩lisis, la personalizaci贸n de los datos y compartir dichos resultados con otros empleados dentro de la organizaci贸n. Viene integrado con Excel 2013 y es la mejor novedad que ha tra铆do Excel en muchos a帽os. Puede crear aplicaciones de inteligencia de negocios, dashboard (tableros de control), reportes en poco tiempo. Power Pivot brinda un mejor lenguaje de f贸rmulas llamado DAX y est谩 creado para trabajar en la nube (office 365, Sharepoint). Es inteligencia de negocios para usuarios de Excel.
En este tutorial usted podr谩 seguir paso a paso c贸mo hacer una Pivot Table con distintas fuentes de datos.
Tutorial Power Pivot
Suscribirse a:
Entradas
(
Atom
)
