Muy bien, ahora vamos a ver un ejemplo de un informe de auditoría.
Aquí tenemos un informe de ejemplo de una auditoría realizada al controlador de dominio Windows Active
Directory.
Este extracto de informe lo vamos a tomar como referencia para ver las partes que lo componen.
En esta primera página tenemos el título del informe, que es una referencia muy precisa de lo que trata
el informe completo.
Como esta auditoría fue realizada al controlador de dominio Windows Active Directory, a los parámetros
de configuración y temas de seguridad, se colocó un título que abarca la plataforma a la cual se le
realizó la auditoría.
En este caso se menciona que es al controlador de dominio Windows Actríz Directory.
Es bueno siempre mantener este mantener el título resumido y preciso.
Gracias.
No es necesario agregarle otros detalles de las cosas que se vieron en el informe.
Eso se verá más adelante.
En la siguiente página tenemos primero la fecha del informe, que es la fecha de cuando el informe fue
emitido.
El destinatario, que en este caso estuvo dirigido al de al director de Tecnología de la Información,
en esta parte del informe se coloca a la persona responsable de los temas observados en el informe.
Es decir, aquí se coloca el área auditada el dueño o director del área auditada.
Aquí tenemos el texto de introducción del informe, que incluye informaciones muy importante.
Vamos a leerlo para identificarlas.
Dice así En la ejecución de nuestro procedimiento de auditoria interna acerca de la auditoría realizada
al controlador de dominio, hacemos una pausa acá realizada al controlador de dominio.
Aquí tenemos el alcance de la auditoría, que es el proceso al cual se le realizó la auditoría.
En este caso es la plataforma Windows Active Directory, controlador de dominio.
Continuamos leyendo, evaluamos el control interno con el propósito de expresar nuestras conclusiones
sobre dicha plataforma y no para proporcionar una garantía sobre el control interno que tenemos.
Otra parte importante y no para proporcionar una garantía sobre el control interno.
Esta es una reserva o limitaciones de parte de auditoría sobre el proceso que se está auditando, que
se señalan en la introducción del informe.
Continuamos, sin embargo, detectamos algunos asuntos que involucran el control interno y su operación,
que consideramos son condiciones para informar bajo el marco internacional para la práctica de la profesión
de auditoría interna.
Aquí tenemos otra parte muy importante el marco internacional para la práctica profesional de la Auditoría
Interna es un conjunto de normas y guías que regulan el desempeño profesional de los auditores internos
en todo el mundo.
Esta norma se las voy a dejar disponible en los recursos descargable para que la puedan tener y estudiar.
Es importante que todo auditor la lea y la analice.
Continuamos leyendo.
Las condiciones para informar involucran asuntos que llama nuestra atención relacionados con oportunidades
de mejora en el diseño o operación del control interno que podría afectar de forma adversa a la empresa.
Para iniciar, registrar, procesar e informar datos financieros.
Esta auditoría fue realizada al Corte 31 de diciembre de 2019.
Aquí tenemos el corte de la auditoría.
Su alcance consistió en evaluar los parámetros de configuración del servidor controlador de dominio
que tenemos.
Nuevamente el alcance quiso ser más específico que la parte de arriba, pero si hablamos de parámetros
de configuración del Con del servidor controlador de dominio para validar que están acorde a las mejores
prácticas de seguridad.
Muy bien.
Continuamos los hallazgos y recomendaciones enumeradas en este documento, los cuales resultaron de
nuestra consideración del control interno y la revisión de las diferentes evidencias obtenida se presentan
para su conocimiento con el propósito de asistir a la administración en el mejoramiento de sus procedimientos
y controles.
Muy bien.
Hasta aquí llego la parte del introduction, donde podemos observar varias informaciones esenciales
importantísimas que debe tener todo informe.
Aquí tenemos el resumen de los hallazgos, el resumen de los hallazgos no es más que un índice o cuadro
donde se enlistan los hallazgos identificados.
Aquí tenemos una línea que dice A continuación presentamos un resumen de las principales oportunidades
de mejora y su impacto sobre el control interno de la empresa.
En este cuadro, aquí colocamos el número del hallazgo, en este caso colocamos solamente dos.
Para este ejemplo, pero pueden haber una cantidad X de hallazgos en el cuadro.
Aquí se coloca el hallazgo, identificado básicamente como el título de la yagas, con título resumido
y preciso de lo que se trata.
Vemos que dice debilidad de la configuración del parámetro soberãn, registros sobre registro de eventos
de auditoría si se fijan, habla de una debilidad, habla de que se trata de la configuración del parámetro
sobre eventos de auditoría.
No especifica exactamente que se encontró, pero si dice de qué se trata la situación observada en el
segundo.
Hablamos de vulnerabilidad, de seguridad en configuración, de parámetros, de bloqueo de cuenta.
Entonces, sin dar detalles, decimos de manera precisa e donde identificamos esas vulnerabilidades
o esas debilidades identificadas.
De este lado se coloca la valoración del riesgo de cada hallazgo presentada con el nivel de impacto.
Este nivel se coloca luego de hacer una valoración cualitativa de el nivel de impacto que se presenta
en tres niveles bajo, medio y alto.
Esta valoración será asignÃ el auditor que realizó la auditoría y tiene el propósito de indicar a la
gerencia el nivel de atención que deben de prestarle a cada observación.
Muy bien.
Y por último, tenemos el detalle de los hallazgos.
Aquí tenemos un cuadro.
Este formato puede variar dependiendo de la entidad.
E ustedes pueden utilizar este o puedes acomodarlo como usted prefiera.
Básicamente, este cuadro lo que contiene es un pequeño título aquí arriba recomendación de auditoría.
El nombre del departamento o la unidad que se audito Departamento de Tecnología de la Información.
El número del hallazgo.
Este es el primero y el título que vimos en el cuadro anterior.
Debilidad de la configuración del parámetro sobre registros de eventos de auditoría.
Este es el título que se coloca arriba en el índice y las observaciones.
Aquí está el detalle de lo que se observó como resultado de la evaluación realizada sobre la configuración
del parámetro de seguridad del servidor controlador de dominio.
Identificamos que era opción Adita Call luego event.
Esta fue.
Este es el parámetro que se identificó en el controlador de dominio con la debilidad OK y sigue diciendo
que determina si serán registrados los eventos de inicio de sesión de las cuentas de usuario.
No está habilitada de acuerdo a lo sugerido por las mejores prácticas de seguridad.
Si se fijan este texto, esta forma de documentación trata de ser específico y dar ciertos detalles
importante de lo que se observó.
Habla exactamente de la plataforma que se audito.
Cual fue el parámetro que se revisó.
Un breve resumen de para qué sirve el parámetro determina si están registrando los eventos de inicio
de sesión.
Eso es como la utilidad del parámetro, porque no siempre la persona que lee el informe tiene conocimientos
técnicos como para saber de qué trata el parámetro.
Y la condición que genera la debilidad no está habilitada.
Esa configuración no está habilitada de acuerdo a lo sugerido por las normas práctica.
También hablamos que esto es algo sugerido por la práctica.
Entonces es importante mantener este formato de documentación para presentar los informes de auditoría
y las observaciones, de manera que la persona que lo lea pueda entender rápidamente y fácilmente en
qué consiste el hallazgo y pueda tener información precisa de por qué es importante cambiar eso.
Entonces, aquí agregamos una pequeña muletilla ver más detalles de esto en el anexo Evidencia tal.
En este anexo lo que colocamos es mayor evidencia de la situación observada.
Ya puede pudiera hacer un reporte del sistema.
Pudiera ser pantallas también enlaces que hace referencia a la práctica que indican como debe de estar
configurado este parámetro el usuario que consume esta evidencia.
Estos detalles adicionales es el dueño del proceso o la persona que va a corregir la situación observada
en esta parte.
Acá colocamos dos riesgos.
Mencionamos aquí riesgo de mayor impacto porque pudieran haber otros riesgos que vienen implicado por
esta situación.
Pero los que consideramos de mayor impacto o representativos son estos que están acá.
Entonces colocamos riesgo como acceso no autorizado a los sistemas de la empresa a través de ataques
de fuerza bruta que no fueron detectados, dificulta realizar de forma efectiva las actividades de monitoreo
o de seguridad.
Se pudieran ejecutar actividades no autorizadas sin dejar rastros.
Estos son los riesgos que consideramos que genera la debilidad encontrada también más abajo.
Tenemos nuestra recomendación, que para esta observación es evaluar activar el parámetro audit decalogo
ni 20.
De manera que se han registrado los intentos de inicio de sesión fallidos de los usuarios.
Colocamos en nuestra recomendación evaluar activar porque no es recomendable que de manera directa el
auditor diga active, elimine.
No es recomendable que utilicemos mandatos directos porque al final la decisión de lo que se va a realizar
la toma el área auditada o en este caso el Departamento de Tecnología de la Información.
Por eso indicamos evaluar porque ellos deben de hacer una evaluación de si le es factible evaluar ese
parámetro, porque pudieran haber algunas otras implicaciones que afectaría a la operatividad de la
empresa o generaría otros asuntos.
Se activa.
Activan ese parámetro.
Entonces ya por último tenemos un campo para el comentario de la administración y su plan de acción.
El responsable que se hará cargo de solventar esa situación.
Y el plazo de cumplimiento, que sería el tiempo, la fecha máxima que tardarán para cumplir y la cual
tomaremos en cuenta para darle seguimiento a la aplicación de este plan de acción.
Les voy a dejar este documento del informe en los archivos descargable para su para su uso y futuras
consultas.
Así que esta es la estructura de un informe.
Espero les sea de mucha utilidad.