Source: http://docplayer.es/960996-Universidad-estatal-a-distancia.html
Timestamp: 2016-10-22 04:18:44+00:00

Document:
Gabriel Poblete Márquez
1 UNIVERSIDAD ESTATAL A DISTANCIA AUDITORIA INTERNA ESTUDIO SOBRE LA SEGURIDAD FISICA Y LÓGICA DEL DATA CENTER DE LA UNED INFORME FINAL X2 1. INTRODUCCIÓN Origen del Estudio Objetivo General Alcance Limitaciones Deberes en el trámite de informes y plazos que se deben observar RESULTADOS DEL ESTUDIO DE LOS CONTROLES DE SEGURIDAD FISICA Área donde se ubican los servidores institucionales Sobre libro de anotaciones para acceso a la DTIC Del registro de algunos Server del Data Center en el sistema de inventario Del Control de salida de activos en el DATA CENTER Sobre el Inventario de activos en el DATA CENTER realizado por la Auditoría Interna De la Identificación de activos del DATA CENTER en el contrato de seguro Sobre seguridad lógica del Data Center De la creación e inhabilitación de usuarios en el correo electrónico y los sistemas de información institucional Sobre controles de acceso lógico a las de Bases de Datos3 2.4 Sobre la existencia de un lugar alterno para respaldo y recuperación de las operaciones en la Institución CONCLUSIONES RECOMENDACIONES ANEXOS4 1. INTRODUCCIÓN: 1.1 Origen del Estudio El presente Estudio se originó en atención al Plan Anual de Trabajo de la Auditoría Interna de la UNED para el año 2011, en el área de Auditoría en Tecnología de la Información. 1.2 Objetivo General Evaluar la seguridad física y lógica del DATA CENTER de las Oficinas Centrales de la UNED. 1.3 Alcance El estudio abarcó la evaluación de Seguridad Física del área asignada al Data Center, ubicado en oficinas de la Dirección de Tecnología, Información y Comunicaciones (DTIC), sitio donde residen los servidores institucionales; además se evaluó la seguridad lógica de estos equipos. El período objeto de estudio está comprendido del 01 de febrero del 2010 al 01 de febrero del Se abarcaron los acuerdos tomados por el Consejo de Rectoría en ese período. 1.4 Limitaciones En este estudio se presentaron las siguientes limitaciones: La DTIC no cuenta con la lista de todos los usuarios que utilizan los sistemas de información automatizados en la institución; tampoco se tiene identificado por sistemas, el acceso concedido a cada funcionario, según el perfil informático respectivo. 45 El documento denominado inventario activos tecnológicos aportado por la DTIC y el listado de inventario suministrado por la Oficina de Contabilidad General, presentan diferencias entre sí, aspecto que dificulta conciliar los datos relacionados con el equipo existente y el software del Data Center. 1.5 Deberes en el trámite de informes y plazos que se deben observar Con el fin de prevenir sobre los deberes del titular subordinado, en el trámite de informes y de los plazos que se deben observar, a continuación se citan los artículos Nos. 36 y 38 de la Ley General de Control Interno; así como el artículo Nº 39 sobre las causales de responsabilidad administrativa. Artículo 36. Informes dirigidos a los titulares subordinados. Cuando los informes de auditoría contengan recomendaciones dirigidas a los titulares subordinados, se procederá de la siguiente manera: a) El titular subordinado, en un plazo improrrogable de diez días hábiles contados a partir de la fecha de recibido el informe, ordenará la implantación de las recomendaciones. Si discrepa de ellas, en el transcurso de dicho plazo elevará el informe de auditoría al jerarca, con copia a la auditoría interna, expondrá por escrito las razones por las cuales objeta las recomendaciones del informe y propondrá soluciones alternas para los hallazgos detectados. b) Con vista de lo anterior, el jerarca deberá resolver, en el plazo de veinte días hábiles contados a partir de la fecha de recibo de la documentación remitida por el titular subordinado; además, deberá ordenar la implantación de recomendaciones de la auditoría interna, las soluciones alternas propuestas por el titular subordinado o las de su propia iniciativa, debidamente fundamentadas. Dentro de los primeros diez días de ese lapso, el auditor interno podrá apersonarse, de oficio, ante el jerarca, para pronunciarse sobre las objeciones o soluciones alternas propuestas. Las soluciones que el jerarca ordene implantar y que sean distintas de las propuestas por la auditoría interna, estarán sujetas, en lo conducente, a lo dispuesto en los artículos siguientes. c) El acto en firme será dado a conocer a la auditoría interna y al titular subordinado correspondiente, para el trámite que proceda. 56 .. Artículo 38. Planteamiento de conflictos ante la Contraloría General de la República. Firme la resolución del jerarca que ordene soluciones distintas de las recomendadas por la auditoría interna, esta tendrá un plazo de quince días hábiles, contados a partir de su comunicación, para exponerle por escrito los motivos de su inconformidad con lo resuelto y para indicarle que el asunto en conflicto debe remitirse a la Contraloría General de la República, dentro de los ocho días hábiles siguientes, salvo que el jerarca se allane a las razones de inconformidad indicadas. Una vez completado el expediente que se formará al efecto. El hecho de no ejecutar injustificadamente lo resuelto en firme por el órgano contralor, dará lugar a la aplicación de las sanciones previstas en el capítulo V de la Ley Orgánica de la Contraloría General de la República, N 7428, de 7 de setiembre de Artículo 39. Causales de responsabilidad administrativa. El jerarca y los titulares subordinados incurrirán en responsabilidad administrativa y civil, cuando corresponda, si incumplen injustificadamente los deberes asignados en esta Ley, sin perjuicio de otras causales previstas en el régimen aplicable a la respectiva relación de servicios. 2. RESULTADOS DEL ESTUDIO: 2. 1 DE LOS CONTROLES DE SEGURIDAD FISICA Área donde se ubican los servidores institucionales. La UNED concentra la mayoría de los equipos (servidores, switch, enrutadores, etc.) que manejan los programas e información sensible de la institución en la Dirección de Tecnología, Información y Comunicaciones (en adelante DTIC); en un área ubicada en el tercer piso del edificio B, denominado Granja de Servidores que mide 27,09 metros cuadrados, según informe IE-9640 sobre el Rediseño electrónico y mejoras para cuarto de servidores, del 10 de octubre del 2010, realizado por el Ing. Andrés Morales Jiménez. En el área se encuentran instalados más de 40 equipos (SERVER), y se observaron las debilidades (Ver anexo 1) que a continuación se enuncian: 67 1. Espacio: No se evidencia la planificación del espacio de distribución entre racks, observándose poca separación, y por ende, ausencia de puntos de flexibilidad para brindar mantenimiento, además de obstaculizar la distribución del aire proporcionado por el dispositivo del control ambiental. 2. Temperatura: El equipo de aire acondicionado instalado en esta área es de confort, aunque cumple hasta la fecha con el objetivo de bajar la temperatura, incrementa los riesgos en los equipos de alto valor que se ubican en el Data Center, al no ser una unidad de aire acondicionado de precisión, equipo que es el indicado para realizar una climatización controlada para este tipo de Centros de Procesamiento de la Información. Seguidamente se indican las siguientes debilidades asociadas: a. Es un equipo de confort y no cuenta con un sistema de medición del estado ambiental o monitoreo de indicadores, que sirvan para accionar controles compensatorios, de detección o tomar acciones correctivas. b. No cuenta con sistemas de alarmas en caso de fallo, o de autorregulación y ajuste del clima, con tecnología que permita comunicar al personal variaciones importantes como desconexión o fallas en el equipo de aire acondicionado, no cuenta con control de humedad. c. Carece de dispositivos de detección de filtraciones de agua, entre otros, por lo que de materializarse un riesgo inherente al control ambiental, no se podría atender la contingencia con la oportunidad requerida. d. Por el comportamiento de equipos similares se conoce que pueden expulsar agua o congelarse, afectando el control del clima o siendo una fuente de riesgo de un cortocircuito eléctrico. e. No se evidenció que se cuenta con una instalación que permita implementar una estrategia de corriente de aire continua, que asegure mitigar los problemas causados por exceso de calor de todos los equipos por igual. f. El piso del Data Center no fue construido con piso elevado, situación que afecta entre otros aspectos, las corrientes de aire que podrían obtenerse de contar con este. g. No se observa que la distribución de los pasillos se haya planeado en función de favorecer la circulación de aire, o se haya distribuido el espacio 78 según el procedimiento conocido como hot aisle/cold aisle ( pasillo caliente/pasillo frío ). 3. Infraestructura y Ambiente Las paredes y cielorrasos del Data Center no distan del material del resto del área con que se construyó la DTIC: a. No se observa que sean construidos con material aislante al calor. (Elementos ignífugos). b. No se evidencia que sean paredes donde se haya considerado la estabilidad térmica. c. La estancia donde se colocan los servidores no cuenta con suelos técnicos flotantes registrables. d. No se observa que se cuente con paredes y techos sellados con un material que reduzca al máximo la aparición de polvo o estática. e. No se encontró evidencia de un dictamen técnico o similar, que determine y asegure que esta área cuenta con la capacidad y resistencia suficiente para soportar tanto la carga o peso concentrado como distribuido, de los cuantiosos equipos instalados. Sobre este particular, existe un acuerdo del CONRE, tomado en Sesión , Art. 1 inciso 1), celebrada el 14 de marzo del 2011, que le asigna al Ing. Carlos Morgan Marín, Asesor de la Rectoría, el análisis de esta situación con el fin de determinar: la solución más apropiada para un centro de datos de la UNED con un criterio de calidad que pueda certificarse internacionalmente. En el documento Análisis y Valoración de propuestas de soluciones para el centro de datos (DATA CENTER) de la UNED del 15 de junio del 2011, elaborado por el Ing. Morgan Marín, se indicó en la página No. 5 lo siguiente: La evaluación realizada al centro de datos actual de la UNED, evidencia que este no responde a los criterios de calidad sobre la instalación y la gestión normalmente aceptados. En conclusión, cualquier solución futura para el centro de datos de la UNED, exige la aplicación de un criterio de calidad que pueda certificarse internacionalmente y que le permita simultáneamente a la universidad valorar y financiar progresivamente la calidad que se desea para un momento dado. (El subrayado es nuestro). 89 Este documento fue enviado al Consejo de Rectoría mediante oficio R de 20 de junio del 2011, y el señor Morgan Marín le realiza una serie de recomendaciones al señor Rector, entre ellas: Una vez realizado el diseño del centro de datos, considerando las observaciones y recomendaciones de los Ingenieros Federico Arce Miranda y Andrés Morales Jiménez, y en consecuencia, determinada la lógica de inversión según las posibilidades financieras de la UNED, dicha lógica de inversión deberá realizarse inmediatamente, sobre todo en lo que se refiere a la redistribución espacial de los racks, UPS y transformadores secos, todo el costo podrá ascender a unos 70 millones de colones, de acuerdo a las estimaciones iniciales. La situación descrita, evidencia que esta debilidad es de conocimiento de la Administración e involucra la toma de acciones inmediatas por parte de la Rectoría, en este proceso gradual para establecer una solución a la seguridad física del lugar. 4. Sistema de Extinción de incendios. a. El personal entrevistado desconoce si el equipo de detección de humo instalado se prueba periódicamente. b. No se cuenta con un sistema de ductos y alimentación de algún producto que pueda contrarrestar los efectos de un cortocircuito eléctrico o un incendio en esta área. c. No se evidencia que la puerta principal cuente con protección anti incendio. d. En el momento de la inspección realizada por la Auditora responsable del estudio, los equipos para extinción de incendios se encontraban ubicados en el suelo y no en una altura adecuada para fácil acceso y uso. 5. Seguridad a. No se cuenta con puertas con sistema de acceso automatizado con tarjeta electrónica o biométrica. b. No se observan sistemas de circuito cerrado de televisión. 910 c. El área no cuenta con salidas de emergencia, que permitan al personal salir en caso de un siniestro, o que le permita al personal de bomberos acceder al sitio en una contingencia, como es el caso de incendios. En línea con lo anterior, la norma Seguridad Física y ambiental incisos a, b, g y h del Manual de normas técnicas para la gestión y el control de las tecnologías de información, emitido por la Contraloría General de la República y publicado en la Gaceta N 119 del 21 de junio de 2007, señalan: La organización debe proteger los recursos de TI estableciendo un ambiente físico seguro y controlado, con medidas de protección suficientemente fundamentadas en políticas vigentes y análisis de riesgos. Como parte de esta protección debe considerar: a. Los controles de acceso a las instalaciones: seguridad perimetral, mecanismos de control de acceso a recintos o áreas de trabajo, protección de oficinas, separación adecuada de áreas. b. La ubicación física segura de los recursos TI. g. El acceso de terceros. h. Los riesgos asociados con el ambiente. Lo regulado por la normativa vinculante emitida por la Contraloría General de la República en adelante CGR, es coincidente con lo que al respecto establecen sobre el tema, estándares internacionales o guías de mejores prácticas en materia de Tecnologías de Información, tales como Cobit e ISO, al indicar: DS12.4 Protección Contra Factores Ambientales de Cobit 4.1, 1 indica que la Administración debe: Diseñar e implementar medidas de protección contra factores ambientales. Deben instalarse dispositivos y equipo especializado para monitorear y controlar el ambiente. 1 Cobit se fundamenta en los Objetivos de Control existentes de la Information Systems Audit and Control Foundation (ISACF), mejorados a partir de estándares internacionales técnicos, profesionales, regulatorios y específicos para la industria, ha sido desarrollado como un estándar generalmente aplicable y aceptado para las buenas prácticas de seguridad y control en Tecnología de Información (TI) 1011 Adicionalmente la Norma ISO en el Objetivo de Control y controles de su anexo A, apartado A.9 Seguridad física y ambiental indica: A Perímetro de Control seguridad física. Control. Se deben utilizar perímetros de seguridad (barreras tales como paredes y puertas de ingreso controlado o recepcionistas) para proteger áreas que contienen información y medios de procesamiento de información. A Controles de entrada físicos Control Se deben proteger las áreas seguras mediante controles de entrada apropiados para asegurar que sólo se permita acceso al personal autorizado.. A Protección contra Control amenazas externas y ambientales. Control Se debe diseñar y aplicar protección física contra daño por fuego, inundación, terremoto, explosión, disturbios civiles y otras formas de desastre natural o creado por el hombre.. A.9.2 Seguridad del equipo Objetivo Objetivo: Evitar la pérdida, daño, robo o compromiso de los activos y la interrupción de las actividades de la organización. A Ubicación y protección del equipo. Control El equipo debe estar ubicado o protegido para reducir los riesgos de las amenazas y peligros ambientales, y las oportunidades para el acceso no autorizado. A Servicios públicos. Control El equipo debe ser protegido de fallas de energía y otras interrupciones causadas por fallas en los servicios públicos. 2 ISO/IEC fue preparado por el Comité Técnico Conjunto ISO/IEC JTC 1, Tecnología de la información, Subcomité SC 27, Técnicas de seguridad TI. 1112 Sobre esta realidad, el objetivo de control DS12.3 Acceso Físico, de Cobit 4.1 indica que la Administración debe: Definir e implementar procedimientos para otorgar, limitar y revocar el acceso a locales, edificios y áreas de acuerdo con las necesidades del negocio, incluyendo las emergencias. El acceso a locales, edificios y áreas debe justificarse, autorizarse, registrarse y monitorearse. Esto aplica para todas las personas que accedan a las instalaciones, incluyendo personal, clientes, proveedores, visitantes o cualquier tercera persona. Sobre las debilidades detectadas, tanto el Encargado de Seguridad Digital como el Director de la DTIC fueron consultados, rescatando las siguientes observaciones: El Ing. Johnny Saborío Alvarez, Analista de Sistemas, con las funciones de Encargado de Seguridad Digital en entrevista del 23 de junio del 2011, dijo con respecto al control de acceso: se usaba en la DTIC un sistema electrónico de tarjeta pero con la remodelación efectuada al sitio, no se volvió a utilizar. El Director de la DTIC, Mag. Francisco Durán Montoya, manifestó en el oficio DTIC del 26 de julio de 2011, sobre la carencia de un control para el acceso que: Desde el año 2008 se han realizado diferentes reportes y solicitudes para la atención al tema del Control de Acceso, sin embargo no se ha realizado ninguna gestión hasta el momento. Todas las debilidades señaladas, podrían exponer a la Administración a pérdidas sensibles de información y comprometer el cumplimiento de los objetivos institucionales, con efectos financieros negativos de llegar a materializarse pérdidas de activos Sobre el libro de anotaciones para acceso a la DTIC En el periodo de estudio se observó el uso de un libro de anotaciones para registrar el acceso a la DTIC, en este se anota la entrada y salida de personas ajenas a esta Dirección. Se solicita al visitante que anote el nombre, dependencia, hora de entrada y salida; sin embargo, en algunas ocasiones los datos requeridos no son registrados en su totalidad. 1213 Refiriéndose a esta situación, el Director de la DTIC informó que: esta bitácora no es monitoreada ; revelando que aunque exista ese control, no es supervisado por ningún funcionario de la DTIC, tampoco han sido asignadas formalmente tales funciones a algún funcionario. Al respecto, el Manual de normas de Control Interno para el sector público publicado en la Gaceta N 26 de 6 febrero de 2009, en sus normas Documentación y registro de la gestión institucional y Supervisión constante indican que: El jerarca y los titulares subordinados, según sus competencias, deben establecer las medidas pertinentes para que los actos de la gestión institucional, sus resultados y otros eventos relevantes, se registren y documenten en el lapso adecuado y conveniente, y se garanticen razonablemente la confidencialidad y el acceso a la información pública, según corresponda El jerarca y los titulares subordinados, según sus competencias, deben ejercer una supervisión constante sobre el desarrollo de la gestión institucional y la observancia de las regulaciones atinentes al SCI, así como emprender las acciones necesarias para la consecución de los objetivos. Como complemento a este criterio, en la Normativa ISO-27001, en su apartado Control de registros, se aborda el tema señalado, normando: Se deben establecer y mantener registros para proporcionar evidencia de conformidad con los requerimientos y la operación efectiva del SGSI. Deben ser protegidos y controlados. El SGSI 1 debe tomar en cuenta cualquier requerimiento legal o regulador relevante. Los registros deben mantenerse legibles, fácilmente identificables y recuperables. Se deben documentar e implementar los controles necesarios para la identificación, almacenaje, protección, recuperación tiempo de retención y disposición de los registros. Se deben mantener registros del desempeño del proceso tal como se delinea en 4.2 y de todas las ocurrencias de incidentes de seguridad significativos relacionados con el SGSI 3. EJEMPLO. Son ejemplos de registros los libros de visitantes, los registros de auditoría y las solicitudes de autorización de acceso. 3 Sistema de Gestión de Seguridad de la Información (SGSI) 1314 Esta situación podría eventualmente dejar al descubierto accesos no autorizados a la DTIC, inclusive al DATA CENTER, con el riesgo de no contar con evidencia o registros de personal interno, e incluso externo a la UNED que visita el área para realizar diferentes tareas, entre ellas, la de mantenimiento a los servidores institucionales u otros trabajos contratados Del registro de algunos Server del Data Center en el sistema de inventario. Los equipos principales denominados Server (servidores), suman un valor aproximado de $ , según datos cuantificados en el oficio DTIC del 13 de diciembre de 2010, enviado por el MSc. Vigny Alvarado Castillo, en ese entonces Director de la DTIC, al Lic. Alverto Cordero Fernández, Director Financiero, en respuesta al oficio DF Dicha suma no se pudo corroborar en el listado de activos aportado por la Oficina de Contabilidad General, al determinarse que existen errores en el registro y clasificación de los mismos, ya que en la información suministrada por esa Unidad se evidenció que se registraron contablemente dispositivos que son Servidores con clase 676 y 677 como clase 624, que corresponde a switch o equipo de comunicación. Sobre esta situación la normativa vinculante sobre esta materia Manual de Normas de Control Interno para el Sector Público, aprobado por la CGR, y publicado en la Gaceta N 26 de 6 de febrero de 2009 en su apartado Verificaciones y conciliaciones periódicas señala: La exactitud de los registros sobre activos y pasivos de la institución debe ser comprobada periódicamente mediante las conciliaciones, comprobaciones y otras verificaciones que se definan, incluyendo el cotejo contra documentos fuentes y el recuento físico de activos tales como el mobiliario y equipo, los vehículos, los suministros en bodega u otros, para determinar cualquier diferencia y adoptar las medidas procedentes. Esta situación podría exponer a la administración a una inadecuada planificación de contrataciones futuras, de bienes o de mantenimiento, además no obtendría información confiable y oportuna sobre la cantidad y estado de los bienes, para el 1415 análisis y toma de decisiones administrativas frente a su estado y uso eficiente, así como la priorización de recursos para inversión Del Control de salida de activos en el DATA CENTER. Para el registro de salida de activos de la DTIC, se utiliza un documento en formato Microsoft Word, que se imprime una vez que se completa la información requerida ante la salida de activos de esta Dirección; sin embargo, se observaron algunas debilidades de control (ver anexo2), porque aunque indica el nombre de la persona que despacha el activo, no se solicita, y por ende no consta en ese registro la firma del funcionario que autoriza la salida del activo, ni se estampa el sello de la DTIC. Sobre esta situación, se consultó al Director de la DTIC, Mag. Francisco Durán Montoya en entrevista del 1 de julio de 2011: Los equipos, la información o software son solicitados al encargado del Data Center por medio de un proceso formal utilizando formulario u oficio? indicando que: existe un procedimiento no escrito, pero cualquier funcionario de la DTIC puede entregar un activo. Sobre este particular el señor Durán Montoya, durante la misma entrevista, aseveró que: Los activos son cedidos a funcionarios de la institución que diariamente ven y que tienen la autoridad para retiro de estos fuera del DATA CENTER ; los contratistas y terceras personas que pertenecen ya sea a empresas que dan mantenimiento no están claramente identificadas, no siempre es la misma persona que llega a retirar un activo; no se les solicita identificación. En este aspecto, las normas Regulaciones y dispositivos de seguridad ; y Formularios Uniformes del Manual de Normas de Control Interno para el Sector Público N CO-DFOE emitido por la CGR, publicado en la Gaceta N 26 de 6 de febrero de 2009, indican que: El jerarca y los titulares subordinados, según sus competencias, deben disponer y vigilar la aplicación de las regulaciones y los dispositivos de seguridad que se estimen pertinentes según la naturaleza de los activos y la relevancia de los riesgos asociados, para garantizar su rendimiento óptimo y su protección contra pérdida, deterioro o uso irregular, así como para prevenir cualquier daño a la integridad física de los funcionarios que deban utilizarlos. 1516 4.4.2 El jerarca y los titulares subordinados, según sus competencias, deben disponer lo pertinente para la emisión, la administración, el uso y la custodia, por los medios atinentes, de formularios uniformes para la documentación, el procesamiento y el registro de las transacciones que se efectúen en la institución. Asimismo, deben prever las seguridades para garantizar razonablemente el uso correcto de tales formularios. (El subrayado es nuestro). La falta de puntos de control en los documentos utilizados en el trámite de transacciones institucionales como la de referencia, podría generar incumplimiento en la normativa vinculante, situación que expone eventualmente a la Administración Activa a pérdidas de equipo e información, y al personal involucrado ante una entrega indebida de equipo, a posibles causales de responsabilidad en sus diferentes tipos Sobre el Inventario de activos en el DATA CENTER realizado por la Auditoría Interna. La DTIC carece de un listado de activos actualizado, esto fue evidenciado en el inventario de equipos que realizó esta Auditoría Interna, en el DATA CENTER versus la información suministrada mediante documento sin número de oficio enviado por el Director de la DTIC, en ese entonces el Msc. Vigny Alvarado Castillo, de fecha 16 de febrero del Durante la verificación se evidenció que: 1) Cinco (5) de los equipos no coincidían con número de patrimonio que indicaba el listado suministrado. 2) Diez (10) activos no estaban en el sitio; no obstante, posterior a la revisión de los oficios de traslado de equipo emitidos por la DTIC, se determinó que esos activos fueron enviados a otros departamentos o dados de baja. Mantener un inventario actualizado de equipos ubicados en la Granja de Servidores de la DTIC, permite, entre otras cosas, planear adecuadamente su mantenimiento, actualización e incluso su remplazo, lo cual favorece la continuidad de las operaciones de la Organización. Toda esta situación incumple lo establecido en las normas Verificaciones y conciliaciones periódicas y Utilidad, del Manual de normas de control interno para el sector público N CO-DFOE, emitido por la CGR publicado en la Gaceta N 26 del 6 de febrero de 2009, que indican: 1617 4.4.5 Verificaciones y conciliaciones periódicas La exactitud de los registros sobre activos y pasivos de la institución deber ser comprobada periódicamente mediante las conciliaciones, comprobaciones y otras verificaciones que se definan, incluyendo el cotejo contra documentos fuentes y el recuento físico de activos tales como mobiliario y equipo,., para determinar cualquier diferencia y adoptar las medidas procedentes Utilidad La información debe poseer características que la hagan útil para los distintos usuarios, en términos de pertenencia, relevancia, suficiencia y presentación adecuada, de conformidad con las necesidades específicas de cada destinatario. Según entrevista aplicada el 01 de julio del 2011, el Director de la DTIC, sobre el tema expresó: no existe un encargado de manejar esta información razón por la que se den diferencias en los datos suministrados en lo que corresponde a inventario del DATA CENTER. Esta situación podría exponer negativamente a la Institución en caso de materializarse un evento indeseado como robo y hurto, o ante una eventual catástrofe natural o producto de un delito, con las correspondientes pérdidas no solo económicas por el valor del activo, sino a la privación de información sensible. Además debilita el control interno al no existir una asignación de responsabilidades para la ejecución de la tarea de registro y control de activos. También podría limitar a las Autoridades Universitarias en la toma de decisiones relacionada con el aseguramiento, mantenimiento y futuras inversiones tecnológicas. 2.2 De la Identificación de activos del DATA CENTER en el contrato de seguro. La UNED paga el contrato de seguro, N EQE el cual mantiene una vigencia anual al 01 de setiembre de cada año; a saber ,00. Equipo Fijo Sabanilla y ,00 en Discos Duros Sabanilla entre otros. A la fecha no están identificados por número de placa, número de serie y marca, los activos que están cubiertos por la póliza respectiva, de acuerdo con el oficio OCG del 31 de mayo del 2011, enviado por el Mag. Carlos Chaves Quesada, Contador General. 1718 Al respecto el Artículo 12. Deberes del jerarca y de los titulares subordinados en el sistema de control interno de la Ley General de Control Interno publicada en la Gaceta N 169 de 04 de setiembre de Indica que: En materia de control interno, al jerarca y los titulares subordinados les corresponderá cumplir, entre otros, los siguientes deberes: a) Velar por el adecuado desarrollo de la actividad del ente o del órgano a su cargo. b) Tomar de inmediato las medidas correctivas, ante cualquier evidencia de desviaciones o irregularidades. Además, la norma 4.3 Protección y conservación del patrimonio, del Manual de normas técnicas para la gestión y el control de las tecnologías de Información N CO-DFOE, emitida por la CGR y publicada en la Gaceta N 119 del 21 de junio de 2007, indica que: 4.3 El jerarca y los titulares subordinados, según sus competencias, deben establecer, evaluar y perfeccionar las actividades de control pertinentes a fin de asegurar razonablemente la protección, custodia, inventario, correcto uso y control de los activos pertenecientes a la institución, incluyendo los derechos de propiedad intelectual. Sobre este particular se consultó a la Licda. Lorena Aguilar Solano, Coordinadora de seguros de la UNED, en entrevista efectuada el 21 de julio del 2011 indicando que: Estoy en este puesto aproximadamente hace un año y tengo a cargo todo el proceso para determinar los activos que se encuentran cubiertos por la póliza está llevándose a cabo pues anteriormente no se manejaba este control, todo esto se pudo realizar luego de consultoría efectuada por el CICAP (Centro de Investigación y Capacitación en Administración Pública) de la Universidad de Costa Rica en el mes de marzo de 2011 y en donde se efectuó un análisis al contrato de Equipo Electrónico vigente con el fin de determinar las condiciones de aseguramiento, políticas de control y manejo del riesgo y reportes al instituto para establecer la cobertura según indica este informe.(pág. 3 resumen ejecutivo). Se efectuó una solicitud ante el INS para modificación a la póliza y en el mes de Agosto (día 11) se tienen prevista la visita del agente del INS para verificar la infraestructura en lo que respecta a 1819 instalaciones eléctricas, sistemas de detección y protección contra incendios, brigada o grupos de emergencia, entre otros. Igualmente indicó posteriormente en mensaje de correo electrónico de 14 de Marzo de 2012, que: La propuesta ya la envió el INS pero está por aprobar en la Vicerrectoría Ejecutiva Esta condición genera que la institución pague periódicamente importantes sumas de dinero al Instituto Nacional de Seguros, por la adquisición de seguros, con la finalidad de proteger sus equipos, no obstante, al no estar identificados tales activos por placa de inventario, marca y serie en la póliza respectiva, ante cualquier pérdida o evento adverso, resultará realmente difícil hacer efectivo algún reclamo a la institución aseguradora, perdiéndose la finalidad u objetivo de adquisición del seguro y por ende el posible resarcimiento Sobre seguridad lógica del Data Center De la creación e inhabilitación de usuarios en el correo electrónico y los sistemas de información institucional. El activo más importante que posee la institución luego de sus funcionarios, es la información, por lo tanto, deben existir técnicas más allá de la seguridad física que la aseguren, tales como las que brinda la Seguridad Lógica (aplicación de barreras y procedimientos que resguarden el acceso a los datos y sólo se permita su acceso a las personas autorizadas para hacerlo). Los controles de acceso son establecidos con el objetivo de resguardar la información confidencial de accesos no autorizados. A continuación de detallan las debilidades detectadas: 1. Administración de cuentas y claves de usuarios No se encontró evidencia de un procedimiento escrito, debidamente aprobado, divulgado y actualizado, que regule entre otras, las actividades relacionadas con la creación e inhabilitación de usuarios, el control, mantenimiento, inactividad de usuarios; entrega, reasignación de contraseñas de la institución. Según el Director de la DTIC Mag. Francisco Durán Montoya en entrevista sobre el tema, efectuada el 01 de julio del 2011, explicó: se cuenta con un procedimiento por escrito a nivel de Recursos Humanos para que las jefaturas reporten los movimientos de personal para que se realicen los cambios respectivos. 1920 A pesar de la carencia de procedimientos escritos que regulen la creación de los diferentes tipos de usuarios, ya sea para solicitud de usuario de correo electrónico, uso de equipos en la red de datos y acceso a los sistemas de información, según el Mag. Durán Montoya en entrevista efectuada el 26 de agosto de 2011; la DTIC cuenta con varios procesos no documentados, por ejemplo, para acceso a los sistemas de información, el jefe o encargado de cada oficina es quien envía la solicitud al Director de la DTIC, indicando en el oficio los sistemas que requieren ser utilizados por cada funcionario ; además hizo referencia a la página web de la UNED en donde se encuentra un formulario de solicitud para acceso a equipos de la red institucional. Según el Mag. Johnny Saborío Álvarez quien ejerce las funciones de Encargado de Seguridad Digital, en la entrevista efectuada el 23 de Junio de 2011, ante la consulta formulada por parte de esta unidad Fiscalizadora, sobre la existencia de un proceso para realizar la administración de las cuentas de usuarios en caso de cese por pensión, traslado de funciones o muerte, indicó: Se envía nota indicando el movimiento, pero se han encontrado casos de personas que hasta se han pensionado y siguen activas en algún sistema; o la persona puede que esté en la UNED pero en otra área, con acceso a un sistema que ya no debe manejar, esto porque no se comunica a la DTIC sobre el movimiento y no tenemos a nivel de seguridad digital de la DTIC documentación que indique cual es el procedimiento a seguir. Para el caso de los funcionarios de DTIC que se trasladan, se les cambia la cuenta de correo electrónico, esto se efectúa mediante oficio en donde se les explica los motivos del cambio de código de usuario. En relación con lo anterior, esta Auditoría Interna ubicó la existencia del documento denominado Uso de correo electrónico, aprobado por el Consejo de Rectoría en Sesión N 1605 Artículo IV, inciso 2), celebrada el 26 de agosto de 2009, que hace referencia a la Gestión y control del servicio de correo electrónico y en su punto No. 1, establece: N 1. Indicar a la Oficina de Recursos Humanos la responsabilidad de informar a la Dirección de Tecnología, Información y Comunicaciones (DTIC) cuando un funcionario deja de laborar para la institución, con el fin de eliminar la correspondiente cuenta de correo electrónico.(el subrayado es nuestro) 20 Mostrar más
Tel: 2527 2276 Telefax: 2224 9684 Apdo. 474-2050 / San Pedro de Montes de Oca UNIVERSIDAD ESTATAL A DISTANCIA AUDITORÍA INTERNA SEGUIMIENTO DE RECOMENDACIONES DE LOS INFORMES DE AUDITORIA INTERNA, EMITIDOS Más detalles Texto ordenado al / /20
REQUISITOS MÍNIMOS DE GESTIÓN, IMPLEMENTACIÓN Y CONTROL DE LOS RIESGOS RELACIONADOS CON TECNOLOGÍA INFORMÁTICA, SISTEMAS DE INFORMACIÓN Y RECURSOS ASOCIADOS PARA LAS ENTIDADES FINANCIERAS -Última comunicación Más detalles Nº 8292 LEY GENERAL DE CONTROL INTERNO
Nº 8292 LA ASAMBLEA LEGISLATIVA DE LA REPÚBLICA DE COSTA RICA DECRETA: LEY GENERAL DE CONTROL INTERNO CAPÍTULO I Disposiciones Generales Artículo 1 - Contenido y ámbito de aplicación. Esta Ley establece Más detalles Normas de control interno para el Sector Público
NORMAS DE CONTROL INTERNO PARA LAS ENTIDADES, ORGANISMOS DEL SECTOR PÚBLICO Y DE LAS PERSONAS JURÍDICAS DE DERECHO PRIVADO QUE DISPONGAN DE RECURSOS PÚBLICOS ESTRUCTURA DEL CÓDIGO El código de las Normas Más detalles Modelo de Política de Seguridad de la Información para Organismos de la Administración Pública Nacional
Modelo de Política de Seguridad de la Información para Organismos de la Administración Pública Nacional Versión 1 Julio-2005 Política Modelo Documento Público A fin de garantizar la autoría e integridad Más detalles DESTRUCCION DE MERCANCIAS DE EMPRESAS COMERCIALES NOVIEMBRE 2013
AUD 018-2014 1. INTRODUCCION 1.1. Origen del estudio DESTRUCCION DE MERCANCIAS DE EMPRESAS COMERCIALES NOVIEMBRE 2013 El estudio al que se refiere el presente informe se efectuó en cumplimiento del Plan Más detalles Contraloría General De La República INTRODUCCIÓN
MANUAL DE NORMAS DE CONTROL INTERNO Honduras, C.A. 1 MANUAL DE NORMAS DE CONTROL INTERNO CERTIFICACIÓN ACUERDO ADMINISTRATIVO Nº. 027/2003 El Tribunal Superior de Cuentas CONSIDERANDO: Que el mejoramiento Más detalles ALIRIO BARBOSA PEÑA Presidente Junta Directiva. ÁLVARO CANO AGUILLÓN Rector. LUIS ALFONSO GONZÁLEZ BERNAL Director de Planeación y Acreditación
[POLÍTICA DE SEGURIDAD] Incorporación de TIC en Procesos Educativos 2013-2019 [Universitaria Virtual Internacional] [2013] ALIRIO BARBOSA PEÑA Presidente Junta Directiva ÁLVARO CANO AGUILLÓN Rector LUIS Más detalles ACUERDO SUGEF 2-10 REGLAMENTO SOBRE ADMINISTRACIÓN INTEGRAL DE RIESGOS
ACUERDO SUGEF 2-10 REGLAMENTO SOBRE ADMINISTRACIÓN INTEGRAL DE RIESGOS Aprobado por el Consejo Nacional de Supervisión del Sistema Financiero, mediante Artículo 9, del acta de la sesión 862-2010. Celebrada Más detalles Capítulo VI POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN
Capítulo VI POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN En este capitulo se elaboraran las políticas de seguridad con el propósito de proteger la información de la empresa, estas servirán de guía para la Más detalles T:. (506) 501 8000 F:. (506) 501 8100 C: contraloria.general@cgr.go.cr S: http://www.cgr.go.cr Apdo. 1179-1000, San José, Costa Rica
INFORME No. DFOE-SOC-IF-67-2010 30 de setiembre, 2010 DIVISIÓN DE FISCALIZACIÓN OPERATIVA Y EVALUATIVA INFORME SOBRE EL SERVICIO DE TRATAMIENTO A MENORES DE EDAD CON ADICCIÓN A LAS DROGAS POR PARTE DEL Más detalles METODOLOGÍA PARA LA GESTIÓN DE LA SEGURIDAD INFORMÁTICA (Proyecto)
METODOLOGÍA PARA LA GESTIÓN DE LA SEGURIDAD INFORMÁTICA (Proyecto) Oficina de Seguridad para las Redes Informáticas Página 1 INDICE Sumario... 4 Introducción... 5 Objeto... 6 Objetivos... 6 Alcance... Más detalles T E S I N A INSTITUTO POLITÉCNICO NACIONAL MODELO DE SEGURIDAD PARA EL SERVICIO DE SOPORTE TÉCNICO BRINDADO POR EMPRESAS OUTSOURCING
INSTITUTO POLITÉCNICO NACIONAL UNIDAD PROFESIONAL INTERDISCIPLINARIA DE INGENIERÍA Y CIENCIAS SOCIALES Y ADMINISTRATIVAS MODELO DE SEGURIDAD PARA EL SERVICIO DE SOPORTE TÉCNICO BRINDADO POR EMPRESAS OUTSOURCING Más detalles Políticas de Seguridad para personal de empresas proveedoras
Políticas de Seguridad para personal de empresas proveedoras Fecha: 22/5/2014 Referencia: PS-PRV v3.2 EJIE S.A. Mediterráneo, 14 01010 Vitoria-Gasteiz Posta-kutxatila / Apartado: 809 01080 Vitoria-Gasteiz Más detalles APLICACIÓN DE LOS ESTANDARES ISO 17799 Y 27001 PARA EL DIAGNÓSTICO DE LA SEGURIDAD FÍSICA Y LÓGICA EN LABORATORIOS DE INFORMÁTICA.
APLICACIÓN DE LOS ESTANDARES ISO 17799 Y 27001 PARA EL DIAGNÓSTICO DE LA SEGURIDAD FÍSICA Y LÓGICA EN LABORATORIOS DE INFORMÁTICA. CLARA CARDOSO ARTEAGA MANUEL GUILLERMO ZULUAGA CONTRERAS UNIVERSIDAD MINUTO Más detalles Y DE CONDUCTA Y ETICA DE FIDUCIARIA FIDUCOR S.A.
MP-DES-PLA-001 Página 0 DE FIDUCIARIA FIDUCOR S.A. CONTROL DE CAMBIOS No. de Vigente a partir de la Fecha Descripción 1 Febrero 21 de 2008 Aprobado mediante Acta de Junta Directiva No. 273 de Febrero 21 Más detalles UNIVERSIDAD CARLOS III DE MADRID ESCUELA POLITÉCNICA SUPERIOR
UNIVERSIDAD CARLOS III DE MADRID ESCUELA POLITÉCNICA SUPERIOR INGENIERÍA TÉCNICA EN INFORMÁTICA DE GESTIÓN PROYECTO FIN DE CARRERA AUDITORÍA PRÁCTICA DE BASES DE DATOS BAJO INFORMIX Autor: Mª Isabel Romero Más detalles MANUALES DE OPERACIÓN PARA MANTENIMIENTO DEL PROGRAMA ANUAL DE ASEGURAMIENTO INTEGRAL. 2012 Página 1
MANUALES DE OPERACIÓN PARA MANTENIMIENTO DEL PROGRAMA ANUAL DE ASEGURAMIENTO INTEGRAL 2012 Página 1 CONTENIDO 1. PROCEDIMIENTO A SEGUIR EN CASO DE SINIESTRO. 1.1. PROCEDIMIENTO PARA LA ATENCIÓN A SINIESTROS Más detalles Guía Práctica para el Desarrollo de Planes de Contingencia de Sistemas de Información
Guía Práctica para el Desarrollo de Planes de Contingencia de Sistemas de Información Lima, Febrero 2001 Elaboración : Sub-Jefatura de Informática Impresión : En el Taller Gráfico del Instituto Nacional Más detalles EMPRESA DE GENERACIÓN ELÉCTRICA DE AREQUIPA S. A. - EGASA MANUAL DE ORGANIZACIÓN Y FUNCIONES REVISIÓN N 5
EMPRESA DE GENERACIÓN ELÉCTRICA DE AREQUIPA S. A. - EGASA MANUAL DE ORGANIZACIÓN Y FUNCIONES REVISIÓN N 5 Aprobado en Sesión de Directorio N 017/2005 del 11 de julio del 2005 PRESENTACIÓN La estructura Más detalles MANUAL DEL SISTEMA DE ATENCIÓN AL CONSUMIDOR FINANCIERO SAC
MANUAL DEL SISTEMA DE ATENCIÓN AL CONSUMIDOR FINANCIERO SAC Acciones & Valores S.A. - Bogotá D.C. Página 1 MANUAL DEL SISTEMA DE ATENCIÓN AL CONSUMIDOR FINANCIERO CONTENIDO 1. CONSIDERACIONES GENERALES Más detalles Compendio de Gobierno Corporativo Almacenes Éxito S.A.
Compendio de Gobierno Corporativo Almacenes Éxito S.A. Título I. Código de Buen Gobierno Preámbulo Historia de la Compañía La historia de Almacenes Éxito S.A. es la suma de muchas historias empresariales Más detalles Presentación. Buenos Aires, noviembre de 2014. Dr. Daniel G. Reposo Síndico General de la Nación. Normas Generales de Control Interno
Presentación La Sindicatura General de la Nación, en su rol de Órgano Rector del Sistema de Control Interno del Poder Ejecutivo Nacional, normativo, de supervisión y coordinación, tiene entre sus funciones Más detalles 2013 Rev 1 GESTION INTEGRAL. Moisés Benítez Gerente de Tecnología
2013 Rev 1 GESTION INTEGRAL Moisés Benítez Gerente de Tecnología POLITICAS DE SEGURIDAD INFORMATICA Las políticas de seguridad informática tienen por objeto establecer las medidas de índole técnica y de Más detalles PRESIDENCIA DE LA REPÚBLICA DEL ECUADOR
PRESIDENCIA DE LA REPÚBLICA DEL ECUADOR COORDINACIÓN GENERAL DE PLANIFICACIÓN Y GESTIÓN ESTRATÉGICA PROYETO FORTALECIMIENTO DE LAS CAPACIDADES ESTRATÉGICAS INSTITUCIONALES MARZO 2015 Contenido 1 DATOS Más detalles Tipo de Documento: CÓDIGO CÓDIGO DE BUEN GOBIERNO CORPORATIVO BANCO GNB SUDAMERIS TABLA DE CONTENIDO
TABLA DE CONTENIDO INTRODUCCIÓN ALCANCE 1. MECANISMOS Y PRÁCTICAS GENERALES DE GOBIERNO DEL BANCO... 5 1.1. ADMINISTRACIÓN DEL BANCO GNB SUDAMERIS.... 5 1.1.1. ASAMBLEA GENERAL DE ACCIONISTAS.... 5 1.1.2. Más detalles GUÍA GENERAL DE AUDITORÍA PÚBLICA.
DGAG001 SECRETARÍA DE GUÍA GENERAL DE AUDITORÍA PÚBLICA. ABRIL 2000 Índice Presentación 3 Objetivo 4 Marco Jurídico 4 I. Definición de la Auditoría Pública 5 II. Guía General de Auditoría Pública 5 2.1. Más detalles Guía para la elaboración de un Documento de seguridad v1.4
INSTITUTO FEDERAL DE ACCESO A LA INFORMACIÓN PÚBLICA Guía para la elaboración de un Documento de seguridad v1.4 Dirección General de Clasificación y Datos Personales 17 Julio 2009 Guía para la elaboración Más detalles 2016 © DocPlayer.es Política de privacidad | Condiciones del servicio | Feedback

References: Artículo 36
 Artículo 38
 resolución 
 Artículo 39
 Artículo 12
 Artículo 1
 Artículo 9