Muy bien, ahora vamos a ver un ejemplo de un papel de trabajo.
Este es el papel de trabajo de una auditoría realizada a la seguridad física del centro de cómputo.
En este documento vamos a ver las características de una documentación de auditoría en la primera página.
Aquí tenemos el nombre del comercio o de la empresa.
A veces minimarket, el departamento de auditoría, la división que es auditoría de tecnología, usualmente
dentro del departamento de Auditoría.
Hay varias divisiones, puede ser la auditoría financiera, auditoría operacional, auditoría de sistemas.
Por eso en este documento se indica que es auditoría de tecnología la división correspondiente.
Entonces, más abajo tenemos validación, seguridad física del centro de datos.
Ese es el nombre del proceso auditado o el área auditada.
Seguridad física, centro de cómputos.
Papel de trabajo.
Entonces, en la siguiente página acá tenemos básicamente la información que vimos en la primera página.
Lo tenemos acá.
De encabezado.
Entonces iniciamos con la información del control.
Este es el detalle del control.
El nombre del control, seguridad física del centro de cómputo.
Y esta es la descripción del control.
Existen mecanismos de seguridad física diseminados en las instalaciones del centro de cómputo, tales
como control de acceso, extintores y cámaras de vigilancia para asegurar el resguardo de los activos
de información que ahí reside.
Entonces tenemos acá la descripción del control, ya que la seguridad física del centro de cómputo es
un conjunto de controles ambientales que lo componen.
Entonces, en la descripción somos más específicos acerca de lo que se está tratando.
El tipo de control que es preventivo, de eficiencia del diseño.
Esto es, si en el diseño cómo está conformado el control, identificamos una deficiencia ya de antemano.
Aquí podemos indicar si existe una deficiencia o no?
Descripción de la prueba Ahora vamos a ver más detalles acerca de la prueba que se realizó.
Objetivo Verificar que el centro de cómputo se encuentra respaldado por mecanismos y criterios de seguridad
adecuados.
Nuestra fuente de información la obtuvimos por medio a la visita física al centro de cómputo, es decir,
de manera presencial.
Obtuvimos las informaciones necesarias para dar respuesta a nuestra validación o a nuestra auditoría.
El alcance corresponde al perímetro de seguridad y controles de acceso físico al 31 de julio 2020 que
es el Corte.
Entonces nuestro alcance tiene que ver con el perímetro de seguridad.
Todo el entorno de seguridad y controles de acceso físico.
Y aquí tenemos el detalle del procedimiento a realizar.
Esta es la directriz de lo que se debe hacer.
Por eso indica coordinar una visita al centro de cómputo y verificar la existencia de los mecanismos
de seguridad siguientes.
Es importante que el procedimiento esté bien definido porque el auditor de Bede debe de guiarse por
un documento formalmente establecido.
Esto asegura la calidad del trabajo a realizar para que no solamente esté a criterio de la persona que
esté haciendo la revisión.
Estos procedimientos normalmente están sustentados a mejores prácticas y estándares internacionales.
Entonces aquí vamos a verificar la existencia de estos mecanismos de seguridad física.
Estos controles, como el registro de visitas, mecanismos de autenticación para el acceso, extintores,
cámaras de seguridad, detectores de humo, sensores de humedad y de temperatura, servidores ubicados
en armarios apropiados, desnivel del piso, piso falso, cableado organizado, sistema de refrigeración
con redundancia, sistema de suministro ininterrumpido de energía.
Estos son los controles que se deben de revisar en esta auditoría y concluir en base a los resultados.
Entonces, más abajo, aquí tenemos el resultado de la prueba.
Que se coloca.
Se colocan detalles de lo que se observó y de lo que se realizó.
Empezamos con cuando se realizó la prueba.
La fecha es importante de cuando el auditor realizó la auditoría o la revisión.
Quien realizó la prueba.
El nombre del auditor son informaciones que van siempre a estar en o en una documentación de auditoría
con quien se realizó la prueba.
Quien nos asistió del área ya sea de tecnología del área o su área.
Puede ser una o varias personas.
Cómo se selecciona la muestra en caso de haber sido necesario una muestra?
Aquí se colocan los criterios.
Entonces en procedimiento realizado.
Aquí se documenta qué fue lo que se observó.
Por eso colocamos de manera presencial.
Verificamos en el centro de cómputo de abecé minimarket que es el comercio, los mecanismos de seguridad
siguientes.
Y aquí listamos qué fue lo que vimos.
Existe un formulario de registro de visitas en el cual se registra el nombre, firma, departamento,
fecha y hora de la visita.
Excelente.
Aparte de que corroboramos de que el listado de visita está, detallamos qué se registra en el listado
de visitas.
Para ser específico, el acceso al centro de cómputos es controlado por lectores biométricos y tarjeta
magnética.
Comprobamos la existencia de extintores de incendio, cámaras de seguridad, detectores de humo, sensores
de humedad y temperatura.
Verificamos que los servidores están organizados en red y cuentan con un sistema de refrigeración de
precisión para controlar la temperatura de los equipos.
Existe un aire acondicionado de confort?
Eso es lo corroboramos como contingencia en caso de fallas en el aire de precisión.
Es decir, observamos que tienen un aire de precisión y tienen otro de confort en caso de que falla
el de precisión.
Observamos la existencia de rejillas para la organización del cableado.
Verificamos la existencia de un desnivel del piso en la entrada del centro de datos.
La alimentación energética de los equipos está preservada por dos supes redundantes.
Es decir, aquí detallamos todo lo que observamos de acuerdo a lo que exige el programa.
Acá el procedimiento.
Entonces, luego de detallar lo que observamos y comprobamos, entonces concluimos la conclusión es
nuestra opinión como auditores en base a lo que revisamos aquí ponemos.
Luego de la verificación realizada, comprobamos que el centro de cómputo se encuentra respaldado por
mecanismos y criterios de seguridad adecuados y que sea específico en que si los controles no funcionan
adecuadamente o si identificamos debilidades de controles.
Entonces en eso se basa la conclusión del auditor.
Eso defines y habrá alguna observación, hallazgo o si sencillamente la prueba pasó satisfactoriamente.
Otra parte importante es la evidencia en la documentación de auditoría.
Siempre colocábamos de alguna manera los soportes que sustentan nuestra opinión, es decir, las evidencias
que puedan ser pantallas, fotos, reportes, informaciones que corroboran lo que decimos.
Y aquí tenemos las evidencias, por ejemplo, para este caso la organized de esta manera.
Pero hay muchas formas de organizar las evidencias.
En algunos casos se coloca en documentos, a partes, en carpetas, en archivos de Word, de Excel.
Hay mil maneras de colocar las evidencias, pero lo importante es que quede bien documentada y clara.
Aquí colocamos para cada punto la evidencia que tomamos.
Mecanismos de autenticación para el acceso lector de huella biométrica y tarjeta magnética.
Toma la foto y la colocamos ahí.
La cifra de visitas.
Aquí está.
Este fue el sistema utilizado para registrar las visitas de ese capturamos print screen y lo colocamos
como evidencia.
Sensores de humedad y de temperatura.
Tomamos la foto.
El aparato que se encierra a temperaturas en la taza.
Servidores organizados en rack.
Aquí está la foto de que vimos los servidores que estaban organizados para que el cableado estaba organizado.
Vimos extintores de incendio.
Tiramos la foto, se observa y ahí está.
Detector de humo.
También tomamos una foto donde se observa el detector de humo en el techo de la taza, entre cámaras
de seguridad.
Y ahí está la foto del nivel del piso.
Aquí está la foto.
Es importante en cada foto o en cada soporte.
El lector, la persona que lea o vea ese soporte, quede convencido, al igual que el auditor, de lo
que se dice en el informe.
Si afirmamos que está bien que con el soporte automáticamente la persona llegue a la misma conclusión
de que eso está bien.
Si está mal por igual, hay que tomar la evidencia de manera que convence a cualquiera de que está mal.
Sistema de refrigeración con redundancia.
Aquí tomamos dos fotos la foto de la consola y la foto de las de la salida de aire.
En algunas ocasiones hay evidencia que no se pueden tomar directamente o a veces si el aire acondicionado
no está entre el datacenter, sino que tenemos las rejillas y la consola de aire está en un lugar.
En ese momento de la revisión no tenemos acceso a entrar ahí a ese cuarto.
Pero con la captura de la foto de la rejilla del aire y con la evidencia de que el sensor de temperatura
estaba pensando en la temperatura adecuada, ya con eso es suficiente.
No necesariamente tenemos que tirar la foto al equipo como tal en caso de que se dificulte.
Si tenemos la forma de evidenciar de que existe un aire y está funcionando correctamente, entonces
podemos hacerlo de esa manera que tenemos tema de suministro ininterrumpido de energía los peces que
evidenciamos.
Y por último, nombre y firma del preparador y del revisor, que esto también es una parte importante
en los papeles de trabajo.
Quién preparó el papel de trabajo?
Quién lo documentó?
Debe dejar su nombre y firma y quien lo revisó por igual.
Pueden haber incluso varios revisores y se colocan varios nombres.
Los nombre de cada una de las personas que revisaron su firma como constancia de que ese documento fue
preparado y revisado de acuerdo con las normas internacionales de la actividad de auditoría.
Entonces este es un ejemplo de un papel de trabajo de un documento de auditoría Zeros.
Voy a dejar los recursos descargables para que lo puedan analizar y también utilizar como ejemplo o
guía modelo.
Espero esto les sea de mucha utilidad.