Auditoría Informática

Integrantes:

Nancy Monsalve C.I. 9.222.712 Noriarman Páez C.I. 14.269.856 Nadiuska Arenas C.I. 16.530.548 Leopoldo Torres C.I. 23.364.569 Luis Pérez C.I. 18.690.072

Auditoría de Bases de Datos

Empresa Milo, C.A.

Identificación de la Empresa

Empresas MILO, C.A. está alineada con la estrategia de los

negocios, a través de una marca global de herramientas de

belleza para el profesional y en general para todos aquellos que

buscan calidad e innovación para el cuidado del cabello. Nace en

el 2001, con un concepto desarrollado exclusivamente para el

mercado Latinoamericano, bajo los siguientes principios: adaptado

al tipo de cabello, a las posibilidades económicas del consumidor,

a las necesidades del mercado y brindar una imagen impecable.

Alcance

Auditoría Informática de Base de Datos, a la empresa MILO, C.A., durante el período del 31/01/2015 al 28/02/2015.

Objetivos

General

•Realizar Auditoría Informática de Base de Datos de la empresa MILO, C.A.

Específicos

• Diagnosticar la gestión de la Base de Datos.

• Evaluar la gestión de la Base de Datos.

• Analizar la situación actual de la gestión de Base de Datos.

• Presentar informe

Área Evaluada

Se realizó la evaluación en el departamento de sistema donde se encuentra toda la estructura física y lógica de la base de datos de la empresa MILO C.A

Alcance y Limitaciones

ALCANCE:

Se realizó la evaluación en el área del departamento de sistema donde se encuentra toda la estructura física y lógica de la base de datos de la empresa MILO C.A

LIMITACIONES:

No se tuvo ninguna limitación en la aplicación de la lista de verificación en la empresa MILO C.A, debido a que se logró chequear cada uno de los puntos establecidos en la misma.

Aspecto COBIT

Satisfacer las necesidades de las partes interesadas

En Empresas MILO, C.A., la disponibilidad de la información de forma eficiente y eficaz es de

suma importancia para las partes interesadas (la directiva, los empleados, los miembros

ordinarios y los clientes), en tal sentido el enfoque principal de la Auditoría de Base de Datos a

realizar, se basa principalmente en el “Rendimiento” que garantice a las partes interesadas

obtener beneficios dentro del contexto de la Organización, de las metas relacionadas con la TI y

de las metas habilitadoras.

Matriz de AuditoríaOBJETIVOS

Dimension Indicadores InstrumentoGeneral Específicos

Realizar AuditoríaInformática deBase de Datos dela empresa MILO,C.A.

Diagnosticar la gestión de la Base de Datos.

Privilegios de Usuario

Número de usuarios activos.

Número de usuarios inactivos.

Verificar perfiles y roles de usuarios.

Frecuencia de cambio de contraseña.

EntrevistasEncuestas

EstadísticasSeguridad de los Datos

Existe rol de DBA

Existe medios de reguardo de data.

Numero de restauraciones exitosas.

Existe control de acceso.

Numero de caídas del sistema.

Frecuencia de prueba de copias.

Tiempo de restauración de los datos.

Numero de datos perdidos.

Existe un cuarto de servidores.

Cantidad de discos en espejo.

Existen políticas de seguridad.

Existe un plan de contingencia.

OBJETIVOS

Dimension Indicadores InstrumentoGeneral Específicos

Realizar Auditoría Informática de Base de Datos de la empresa MILO, C.A.

Evaluar la gestión de Base de Datos.

Diseño

Existe un diseño lógico.

Existe un diseño físico.

Frecuencia de la inversión en tecnología.

EntrevistasEncuestas

Estadísticas

Mantenimiento

Frecuencia de copias de seguridad

Frecuencia de tareas de afinamiento.

Frecuencia de tareas de mantenimiento.

Rendimiento

Tiempo promedio de espera en las consultas.

Cantidad de usuarios satisfechos.

Frecuencia de pérdida de información.

Cantidad de datos incongruentes.

Existe un ambiente de desarrollo.

Frecuencia de nuevas opciones.

Frecuencia de mejoras en los S.I.

Matriz de AuditoríaMatriz de Auditoría

OBJETIVOS

Dimension Indicadores Instrumento

General Específicos

Realizar Auditoría Informática de Base de Datos de la empresa MILO, C.A.

Diagnosticar la gestión de la Base de Datos.

Documentación

Existe un Diccionario de Datos.Existe documentación de perfiles de usuarios.Existe documentación de procesos (restauración, creación de usuario, entre otros.).Existen comentarios en las tablas.Existe identación en los procedimientos.Verificar los estándares de desarrollo.Existe documentación de control de cambios.Frecuencia de cambios.

EntrevistasEncuestasEstadísticas

Procesos y procedimientos

Existen registros de acceso a usuarios.Cantidad de acceso a aplicaciones.Frecuencia de acceso a aplicaciones.Cantidad de accesos por usuarios.Existe registro de acceso por aplicación.Cantidad de procesos por cada acceso.Cantidad de sistemas de información.

Matriz de Auditoría

OBJETIVOSDimension Indicadores Instrumento

General Específicos

Realizar Auditoría Informática de Base de Datos de la empresa MILO, C.A.

Analizar la situación actual de la gestión de Base de Datos.

DesempeñoCalidad - EfectividadEficiencia - IntegridadConfiabilidadCumplimiento de LeyesConfidencialidad Disponibilidad

Pre-Informe

Presentar informe Resultados Informe

Matriz de Auditoría

Dimensión: Rendimiento de la Base deDatos

Aspectos a Evaluar

•Identificar las tablas de gran tamaño y los procesos más complejos que realiza la base de datos.

•Evaluación de tiempos de respuesta en procesos críticos.

•Evaluar la capacidad de la base de datos bajo pruebas de concurrencias.

•Evaluar el diseño lógico de la base de datos (normalización).

•Revisión de tiempos de espera de consultas y reportes.

•Configuración y uso de recursos físicos (discos, memoria, procesador)

•Medir el grado de satisfacción del cliente, en cuanto al tiempo de repuesta.

N° CARACTERISTICA A CHEQUEAR SI NO

1 ¿Existió una metodología para el diseño de la base de datos? X

2 ¿Se cuenta con un diseño conceptual y lógico de la base de datos? X

3 ¿Existe reporte de fallas de sistema por parte del usuario? X

4 ¿La empresa anualmente realiza inversión en tecnología? X

5 ¿Programan tareas de rutina de afinamiento y mantenimiento? X

6 ¿Se mide la satisfacción de los usuarios? X

7¿Existen un ambiente de desarrollo donde se realicen pruebas de mejoras o nuevas opciones en lo S.I.?

X

8¿Identifican procesos críticos para proponer mejoras las cuales son discutidas con los usuarios afectados?

X

Lista de Chequeo

Hoja de PruebaCÓDIGO HP-5

Tipo de Documento: Rendimiento de la Base de Datos. Pág. 5 de 7

Propósito: Evaluar el tiempo de respuesta de la Base de Datos.

Tipo de Prueba: Pruebas de consentimiento

Auditor: Luis PérezNoriarman Páez

Fecha: 13/02/2015

Empresa: Milo, C.A.

Pre-requisitos: Revisión del hardware existente: disco de almacenamiento, diseño de índices usados, parámetros deconfiguración.

Pasos: Identificación de procesos críticos

Revisión de tiempos de espera de consultas y reportes

Evaluación de tiempos de respuesta en procesos críticos

Evaluación de satisfacción de usuario

Evaluación de perdida de información

Evaluación de inconsistencia de datos

Verificar ambiente de pruebas

Evaluar niveles de rendimiento de los recursos de los servidores.

Resultados Esperados: Lograr un mejor rendimiento en el uso de la base de datos optimizando su desempeño y el manejo de lainformación en la empresa.

Observación: La empresa no realiza mediciones en los usuarios finales, en cuanto a la satisfacción del manejo de lossistemas y tiempo de respuesta.

No se cuenta con un ambiente de desarrollo para evaluar mejoras y/o nuevas opciones en los sistemas deinformación.

Los tiempos de respuesta no son los más óptimos.

Existe frecuente perdida de información

Entrevista

Instrumento: ENTREVISTA

Código: EN-03

Empresa MILO, C.A.

Departamento Evaluado: Departamento de Sistemas

Área Revisada: Sistemas (Procesos y Procedimientos)

Persona Entrevistada: Luis Pérez

N° PREGUNTAS RESPUESTAS

1 ¿Existen registros de acceso de usuarios?

2 ¿Miden la cantidad de accesos por usuarios? ¿Cuál es?

3 ¿Cuál es el número de sistemas de información que acceden a la base de datos?

4 ¿Cuál es la cantidad de accesos a aplicaciones?

5 ¿Qué tan frecuente es el acceso a aplicaciones?

6 ¿Existe registro de acceso por aplicación?

7 ¿Cuál es la cantidad de procesos por cada acceso?

8 ¿Tienen identificados los procesos críticos? ¿Cómo los identifican?

9 ¿Existe registros de transacciones (Log)?

CuestionarioInstrumento: CUESTIONARIO Código: CU-01

Empresa MILO, C.A.

Departamento Evaluado: Departamento de Sistemas

Área Revisada: Coordinación de Base de Datos

Persona Entrevistada: Luis Pérez

No DESCRIPCION Si NO N/A OBSERVACIONES

Diseño de Base de Datos

1 ¿La Base de Datos se encuentra Normalizada?

2 ¿Se hacen inversiones frecuentes de tecnología?

3 ¿Poseen indicadores sobre el uso de recursos físicos de los

servidores (disco, memoria, procesador, etc.)?

4 ¿Los indicadores sobre el uso de los recursos físicos mantienen un

nivel óptimo?

5 ¿La asignación de recursos a la Base de Datos se encuentra bien

distribuida?

Documentación de Base de Datos

6 ¿Cumple con la documentación adecuada?

7 ¿Tiene definido un diccionario de datos?

8 ¿Cumplen con documentación sobre estándares para desarrollo?

9 En el diseño de tablas, ¿aplican comentarios a estas estructuras de

datos?

10 ¿Identifican los procedimientos?

11 ¿Llevan documentación de control de cambios?

CuestionarioRendimiento de Base de Datos

12 ¿Poseen tiempos de respuesta óptimos?

13 ¿La información que proporciona la Base de Datos es

oportuna?

14 ¿Miden el nivel de satisfacción del usuario

15 ¿Los usuarios se encuentran satisfechos?

16 ¿Existe pérdida de información frecuente?

17 ¿Existe inconsistencia en los datos?

18 ¿Evalúan los niveles de rendimiento de los recursos de los

servidores? ¿Son óptimos?

19 ¿Tienen configurado un ambiente de desarrollo para realizar

pruebas de mejoras a procesos?

Copias de Seguridad de Base de Datos

20 ¿Poseen políticas de seguridad alineadas con las normas de la

empresa?

21 ¿Existe un funcionamiento adecuado de las copias de

seguridad?

22 ¿Existe respuesta rápida y oportuna de los datos

restaurados?

23 ¿Existe configuración de discos espejos y servidores de

respaldo?

24 ¿Realizan mantenimiento en archivos log de forma periódica?

Procedimiento

Uno de los procedimientos de auditoría a seguir se basa en lo siguiente:

5. Evaluar el rendimiento de la base de datos.Cuando se diseña una base de datos, se debe asegurar de que realiza todas las operaciones importantes de forma rápida y correcta. Es importante identificar las tablas de gran tamaño y los procesos más complejos que realizará la base de datos. También se debe prestar atención al rendimiento en cuanto a los recursos del sistema operativo utilizados (espacio, memoria, procesador) y los efectos que puede tener en el rendimiento el aumento del número de usuarios con acceso a la base de datos.

Proceso Rendimiento de Base de Datos

Análisis de los Resultados

Pregunta 12: ¿Poseen tiempos de respuesta óptimos?NOPregunta 13: ¿La información que proporciona la Base de Datos es oportuna?SIPregunta 14: ¿Miden el nivel de satisfacción del usuario?NOPregunta 15: ¿Los usuarios se encuentran satisfechos?NO

Análisis:Se pudo comprobar que los tiempos de respuesta no son óptimos, sin embargo ellos consideran que la información es oportuna, es decir la información es obtenida en el momento que se solicita. Por otro lado, se detectó que no miden el nivel de satisfacción de los usuarios, no obstante afirman que los usuarios no se encuentran satisfechos, lo cual implica desconocimiento de las necesidades de los usuarios finales.

Análisis de los ResultadosPregunta 16: ¿Existe pérdida de información frecuente?NOPregunta 17: ¿Existe inconsistencia en los datos?NOPregunta 18: ¿Evalúan los niveles de rendimiento de los recursos de los servidores? ¿Son óptimos?NOPregunta 19: ¿Tienen configurado un ambiente de desarrollo para realizar pruebas de mejoras a procesos?NO

Análisis:Se pudo comprobar que no existe perdida de datos continuamente, además la base de datos mantiene consistencia en los datos, lo cual indica que existe alto grado confiabilidad en la información que se muestra a los usuarios. Se comprobó que no evalúan el rendimiento de los servidores, por lo tanto no se tiene estadísticas de indicadores y no se puede precisar si es óptimo el funcionamiento. Por último, se observó que la empresa no cuenta con un ambiente de desarrollo configurado para la realización de pruebas y mejoras de los sistemas de información.

GRACIAS