Muy bien, vamos a iniciar nuestro primer paso es obtener la matriz de roles y perfiles.
Siempre es una buena práctica al inicio de cada auditoría, obtener las las información que se tiene
documentada acerca de los procesos, es decir, obtener las políticas, procedimientos y normativas
relacionadas al proceso que vamos a auditar.
En este caso, debemos de obtener antes de solicitar la matriz de roles y perfiles, las políticas,
procedimientos o normativas que se tengan relacionados al otorgamiento de accesos a los usuarios.
Con esta normativa o este documento podremos entender cuáles son los pasos y los requisitos que tiene
la empresa para el otorgamiento de privilegios a los usuarios y en base a lo establecido.
Entonces podemos hacer unas revisión, pero cuando no se tiene establecido nada.
2.
En ese caso vamos a proceder de acuerdo a las mejores prácticas.
Y al final, en nuestro informe de auditoría podemos incluir un hallazgo y una recomendación relacionada
que se tenga documentado.
Las políticas o las normativas relacionadas al otorgamiento de accesos a los usuarios.
Esto es sumamente importante, ya que este documento es un control y que define la guía que debe de
seguir el personal de la empresa para el otorgamiento de privilegios.
Para este caso de estudio, imaginemos que obtuvimos de parte del Departamento de tecnología las políticas
relacionadas a la gestión de acceso, donde se indica que los accesos de los usuarios hacia el sistema
RP de la empresa serán otorgados de acuerdo a lo que se indica en la matriz de roles y perfiles.
Tomando en cuenta el puesto de trabajo de cada empleado y en caso de que se necesite accesos adicionales
a un empleado en particular o a un usuario en particular, entonces se deberá rellenar el formulario
de solicitud de acceso, el cual deberá estar debidamente completado y firmado por el dueño del proceso
o el dueño de los datos antes de que le sea otorgado ese privilegio adicional.
Al final, este formulario será resguardado por el Departamento de Tecnología.
En vista de esto, solicitamos la matriz de roles y perfiles al Departamento de Tecnología o al departamento
que esté a cargo de tenerla.
No necesariamente debe de ser el Departamento de Tecnología.
Puede haber un departamento de gestión de identidades, por ejemplo, gestión de acceso que se encargue
de los accesos de los sistemas.
Puede haber un departamento también en la empresa que tenga que ver con seguridad de la información
y ellos tengan la responsabilidad de otorgar los accesos.
Dependiendo de cómo esté conformada la estructura de la empresa, entonces la función o las actividades
de otorgar acceso pudiera variar.
En este caso tenemos un ejemplo de lo que sería una matriz de roles y perfiles.
Una matriz de roles y perfiles es básicamente una tabla donde se establecen los puestos de trabajo y
los accesos que van a tener cada puesto de trabajo.
Por lo regular se hace a nivel de puesto de trabajo para que de acuerdo a las funciones de cada empleado,
la empresa ya tenga definida cuáles son los accesos que necesitará para realizar las actividades que
le corresponden dentro del sistema.
Los campos de información que tenemos en este formulario son departamento.
Que es el departamento el cual corresponde el perfil, que sería el puesto de trabajo.
El rol, en este caso, lo tenemos a nivel de rol y actividades dentro de cada rol.
El puesto de cajera tendrá el rol de caja que contiene estas actividades.
Hay otros puestos como el de encargado de marketing, que tiene varios roles y cada rol tiene una serie
de actividades.
Dependiendo del puesto, puede variar la cantidad de accesos que requiera para realizar sus funciones.
Aquí tenemos solo 8 perfiles en la vida real.
Sería una matriz mucho más grande que ésta, con más perfiles, más puestos de trabajo, más accesos.
Pero para ser el ejemplo mucho más fácil de entender, solo vamos a trabajar con estos ocho perfiles.
Y sus accesos?
Lo siguiente que vamos a obtener es el listado de empleados.
Es necesario en nuestra validación para confirmar algunos datos sobre los empleados, como el puesto
real que tiene cada empleado el nombre.
Y el departamento, como la información que obtengamos de recursos humanos sería la información real
actual en cuanto a la condición del empleado dentro de la empresa.
Es importante tener esta información para entonces realizar comparativos contra la información que vamos
a obtener en el sistema que vamos a auditar luego de obtener la matriz de roles y perfiles y el listado
de empleados.
Lo siguiente que debemos de hacer es obtener los privilegios de los usuarios dentro del sistema que
vamos a auditar.
Para este ejemplo es el sistema TPV un, dos, tres, que es éste que tengo acá.
Esto es una máquina virtual que la utilicé para instalar nuestro sistema.
Es el sistema игры de nuestro minimarket.
Vamos a esperar que inicie o que ya ha terminado de inicializar.
Bueno, ahora le hablo un poco acerca del sistema.
Este es un sistema gratuito que encontré en Internet.
El mismo lo pueden descargar en la página web TPB gratuito E.com:.
De igual manera, trataré de dejarselo en los recursos descargable para que lo puedan descargar sencillamente
desde la plataforma de VM y lo puedan instalar.
Este sistema no tiene muchos requisitos de agua.
Entiendo.
Que sólo requiere Microsoft Office de 32 bit y listo.
Entiendo que da problemas y si se tiene el office de 64 bit, por qué me pasó una vez este sistema será
interesante que lo puedan tener para que así puedan hacer las prácticas de auditoría que requieran,
incluso lo puedan recomendar para una persona que tenga un negocio pequeño, una bodega o un pequeño
mini market.
Este sistema ofrece opciones de mantenimiento como central para agregar o eliminar clientes, empleados,
productos, proveedores, secciones en forma de pago.
También tiene la opción de caja que es para para el cobro a los clientes.
Listado que es una reportería.
Tenemos el stock que es alimentario de la tienda.
Los clientes con deuda, promociones, envío de mini mensajes, la opción de configuración.
Esto es información acerca del sistema, opciones de accesos.
Esto para cambiar de usuario, agendas, estadísticas, envío de correo electrónico, control de horario
de los empleados.
Es un sistema sencillo pero bien interesante porque tienen buenas opciones, el cual vamos a utilizar
para este taller de estudio, este caso de estudio.
Entonces no tenemos que ser expertos en el sistema ni conocer cada una de las opciones.
Lo único que necesitamos para auditar este sistema o cualquier otro sistema es tener una idea general
acerca de qué se hace en el sistema.
Cuáles son las funciones principales del sistema?
Las opciones?
Muy bien, entonces ya tenemos una visión general del sistema.