Pruebas de acceso a la integridad del negocio y su información se ve amenazada cuando falla la gestión
de accesos lógicos, verificar de manera efectiva el acceso a la información o más bien dicho, los
controles de acceso a la información.
Nunca antes había sido tan importante.
El rápido crecimiento del número de usuarios y de la complejidad de la distribución de accesos a múltiples
fuentes de datos con distintos niveles de criticidad, importancia y demás, es un reto para la seguridad
de la información.
Por tal motivo, es recomendable utilizar controles de accesos basados en roles, que consiste en asignar
derechos de acceso a los usuarios de la organización en función de sus responsabilidades y las tareas
que realiza.
Esto garantiza que los usuarios sólo puedan tener acceso a los niveles que pertenecen.
El otorgamiento de privilegios a los sistemas de la empresa debe hacerse en base a solicitudes apropiadamente
autorizadas y sólo si son estrictamente necesarios para el cumplimiento de las funciones de cada usuario.
Estos accesos deben estar aprobados por el dueño de los datos o individuo con autoridad para tales fines,
que usualmente es el gerente, director, jefe o encargado del proceso y dueño de los activos de información.
Los dueños de los activos de información o dueños de los datos deben determinar las reglas apropiadas
de control de acceso.
Los derechos de accesos y las restricciones para roles de usuarios específicos, tomando en cuenta los
riesgos de seguridad de la información asociados.
Esto debe de estar planteado en un documento formal donde se establezcan los accesos permitidos para
cada función o perfil.
Para esto, por lo regular se utiliza una matriz de roles y perfiles de usuarios.
Una matriz de roles y perfiles es una tabla donde cada rol, puesto de trabajo o función dentro de la
empresa tiene establecido los niveles de accesos o privilegios que deben de poseer.
Por ejemplo, una persona con el puesto de cajero tendría asignado el rol de cajero con acceso a las
actividades de cobro y cuadro de caja.
Un rol es una colección o agrupación de permisos definidos en el sistema que se le pueden asignar a
los usuarios.
La combinación de estos roles definirá entonces nuestro perfil de usuario, que sería algo semejante
como al puesto de trabajo, en este caso caerá.
En una auditoría de accesos debemos de obtener dicha matriz y verificar que los privilegios estén otorgados
de acuerdo a ella
en los trabajos de pruebas de acceso.
Es importante para el auditor verificar lo siguiente.
La utilización de un identificador único para cada usuario.
De esta forma se puede vincular a los usuarios responsable de sus acciones.
Se debería permitir el uso de identificadores de grupo sólo cuando sea muy necesario para el desarrollo
de las actividades de la empresa.
Un identificador único se refiere a que cada persona debe de tener una cuenta de usuario única.
Existen otras modalidades como las cuentas de grupo, que es una cuenta de usuario utilizada por diferentes
personas.
También debemos de verificar la existencia de evidencia de autorización del dueño de los datos de aquellos
accesos otorgados a los usuarios que están fuera de lo establecido en la matriz de roles y perfiles.
También hay que verificar que el nivel de acceso asignado es adecuado y es importante también que esté
establecida una revisión periódica de los accesos de los usuarios y su eliminación en caso de que sea
necesario.
Ahora bien, nosotros como auditores, cómo podemos hacer una auditoría de accesos?
Veamos este caso de estudio.
Un supermercado pequeño llamado ABECÉ Minimarket nos contrató para auditar sus controles internos de
TAI.
Producto de un entendimiento y una evaluación de riesgo, determinamos que debemos revisar los accesos
de los usuarios del Sistema de Recursos Empresariales RP llamado TPB 1-2-3, con el cual se administran
los procesos del negocio.
Muy bien.
Para realizar esta auditoría vamos a hacer lo siguiente.
Número 1.
Vamos a obtener la matriz de roles y perfiles.
Que es el documento formal que nos definirá cuáles son los privilegios que deben de tener los usuarios.
Número 2 vamos a obtener el listado de empleados de recursos humanos.
Esto nos servirá para corroborar ciertas informaciones referente al puesto de trabajo de cada empleado.
Vamos a obtener un reporte, pantallas o informaciones de cuáles son los accesos actuales de los usuarios
en el sistema.
Luego vamos a verificar que el sistema ERP o actualizado el puesto de trabajo de los usuarios.
Es decir, comparando el puesto de trabajo registrado en el sistema versus el que tiene recursos humanos,
vamos a verificar que los accesos están otorgados de acuerdo a la matriz de roles y perfiles.
Este básicamente es el grueso de la revisión, que es verificar que los accesos otorgados a los usuarios
en el sistema RP están acorde a la matriz de roles y perfiles.
Para esto vamos a utilizar la plantilla que la verá más adelante.
Y por último, en caso de identificar accesos adicionales o accesos que están fuera de la matriz de
roles y perfiles, vamos a solicitar evidencia de la autorización y así vamos a concluir esta auditoría.