UNIVERSIDAD CENTRAL DEL ECUADOR FACULTAD DE CIENCIAS ADMINISTRATIVAS CARRERA DE CONTABILIDAD Y AUDITORIA Riesgos para auditoria de sistemas informáticos, y propuesta de un modelo aplicativo para las Pymes en el Ecuador Trabajo de titulación, modalidad proyecto de investigación para la obtención del título de Ingeniero en Contabilidad y Auditoría, Contador Público Autorizado Autor: Bryan Wladimir Salazar Abad Tutora: Ing. Mónica de Jesús Jimbo Santana, MBA. Quito, D.M., diciembre de 2018 REFERENCIAS DEL AUTOR: Bryan Wladimir Salazar Abad, [email protected], [email protected], [email protected] REFERENCIAS DEL TUTOR: Ing. Mónica de Jesús Jimbo Santana, MSC, [email protected] REFERENCIAS INVESTIGATIVAS: Auditoría de sistemas informáticos, metodologías de auditoría de sistemas, proyectos de análisis de riesgos, riesgos para auditoria de sistemas informáticos, prevención/detección de riesgos. Ubicación en el repositorio: Facultad de Ciencias Administrativas, Carrera de Contabilidad y Auditoría, Auditoría Informática. Salazar Abad, Bryan Wladimir. (2018). Riesgos para auditoria de sistemas informáticos, y propuesta de un modelo aplicativo para las PYMES en el Ecuador. Trabajo de titulación, modalidad proyecto de investigación para la obtención del título de Ingeniera en Contabilidad y Auditoría, Contadora Pública Autorizada. Facultad de Ciencias Administrativas. Carrera de Contabilidad y Auditoría. Quito, D.M.: UCE. 107p. DERECHOS DE AUTOR Yo, Salazar Abad Bryan Wladimir, en calidad de autora y titular de los derechos morales y patrimoniales del trabajo de titulación RIESGOS PARA AUDITORIA DE SISTEMAS INFORMÁTICOS, Y PROPUESTA DE UN MODELO APLICATIVO PARA LAS PYMES EN EL ECUADOR, modalidad presencial de conformidad con el Art. 114 del CÓDIGO ORGÁNICO DE LA ECONOMÍA SOCIAL DE LOS CONOCIMIENTOS, CREATIVIDAD E INNOVACIÓN, concedo a favor de la Universidad Central del Ecuador una licencia gratuita, intransferible y no exclusiva para el uso no comercial de la obra, con fines estrictamente académicos. Conservo a mi favor todos los derechos de autor sobre la obra, establecidos en la normativa citada. Asimismo, autorizo a la Universidad Central del Ecuador para que realice la digitalización y publicación de este trabajo de titulación en el repositorio virtual, de conformidad a lo dispuesto en el Art. 144 de la Ley Orgánica de Educación Superior. El autor declara que la obra objeto de la presente autorización es original en su forma de expresión y no infringe el derecho de autor de terceros, asumiendo la responsabilidad por cualquier reclamación que pudiera presentarse por esta causa y liberando a la Universidad de toda responsabilidad. En la ciudad de Quito, a los 20 días del mes de Diciembre del 2018 Salazar Abad Bryan Wladimir C.C. 172387485-3 [email protected] [email protected] iii APROBACIÓN DEL TUTOR DEL TRABAJO DE TITULACIÓN Yo, MSc. Mónica de Jesús Jimbo Santana, en calidad de tutor del trabajo de titulación, RIESGOS PARA AUDITORIA DE SISTEMAS INFORMÁTICOS, Y PROPUESTA DE UN MODELO APLICATIVO PARA LAS PYMES EN EL ECUADOR, elaborado por el estudiante SALAZAR ABAD BRYAN WLADIMIR, de la Carrera de Contabilidad y Auditoría, Facultad de Ciencias Administrativas de la Universidad Central del Ecuador, APRUEBO, en consideración que el trabajo de titulación reúne los requisitos y méritos necesarios en el campo metodológico y epistemológico, para ser sometido al jurado examinador que se designe en virtud de continuar con el proceso de titulación determinado por la Universidad Central del Ecuador. En la ciudad de Quito, a los 20 días del mes de diciembre de 2019 MSc. Mónica de Jesús Jimbo Santana C.C. 1710471150 iv APROBACIÓN DEL TUTOR DEL NIVEL DE SIMILITUD DEL TRABAJO DE TITULACIÓN Yo, MSc. Mónica de Jesús Jimbo Santana, en calidad de tutor del trabajo de titulación, RIESGOS PARA AUDITORIA DE SISTEMAS INFORMÁTICOS, Y PROPUESTA DE UN MODELO APLICATIVO PARA LAS PYMES EN EL ECUADOR, elaborado por la estudiante SALAZAR ABAD BRYAN WLADIMIR, de la Carrera de Contabilidad y Auditoría, Facultad de Ciencias Administrativas de la Universidad Central del Ecuador, APRUEBO, el nivel de similitud en correspondencias con los parámetros establecidos considerando el resultado del programa especializado para tal efecto, el análisis y revisión personal. Se anexa la hoja resumen del programa especializado en imagen PDF En la ciudad de Quito, a los 19 días del mes de enero de 2019 MSc. Mónica de Jesús Jimbo Santana C.C. 1710471150 v URKUND vi DEDICATORIA A todos quienes formaron parte de este proceso de formación académica y personal. Fue un largo camino de aprendizaje en cada uno de los niveles, por ello dedico esto a todas esas personas que aportaron con un granito de arena por mínimo que sea a la consecución de este objetivo. Salazar Abad Bryan Wladimir vii AGRADECIMIENTOS A mi familia, por ser el apoyo incondicional en este arduo proceso de formación, y que a pesar de las dificultades nunca desmayaron y siempre apoyaron cada nuevo emprender de su hijo; en particular quiero hacer una mención a Michael Salazar, mi hermano, quien me demostró y me enseñó que nada es imposible. También agradezco a Mónica del Jesús Jimbo Santana, quien además de ser directora de mi trabajo de titulación y docente, me dio su guía, apoyo y sobre todo una amistad por la cual estaré siempre agradecido. Quizás tenga una larga lista de agradecimientos, pero quiero comentar que todos cometemos el pecado de la vanidad muy a menudo, es normal somos humanos, pero también tenemos ese don de admitir errores o situaciones y ser agradecidos con cada ser que contribuyó a ello; no importa que tan inteligente seas que tan lejos hayas llegado, un buen trabajo, un buen proyecto, una buena tesis, una buena familia, etc., no lo haces solo; por ello mis agradecimientos es para todos quienes con su esfuerzo y honestidad me extendieron la mano, por ustedes estoy aquí, y para ustedes mi eterna gratitud. Bryan Wladimir Salazar Abad -“Sí se siente gratitud y no se la expresa, es como envolver un regalo y no darlo.”- William Arthur Ward viii CONTENIDO DERECHOS DE AUTOR ............................................................................................... iii APROBACIÓN DEL TUTOR DEL TRABAJO DE TITULACIÓN ............................. iv APROBACIÓN DEL TUTOR DEL NIVEL DE SIMILITUD DEL TRABAJO DE TITULACIÓN .................................................................................................................. v URKUND .................................................................................................................... vi DEDICATORIA ............................................................................................................. vii AGRADECIMIENTOS ................................................................................................. viii CONTENIDO .................................................................................................................. ix LISTA DE TABLAS ..................................................................................................... xiii LISTA DE FIGURAS ................................................................................................... xvi RESUMEN .................................................................................................................. xix ABSTRACT ................................................................................................................... xx INTRODUCCIÓN ............................................................................................................ 1 1 MARCO REFERENCIAL .......................................................................... 3 1.1 Definiciones ................................................................................................ 3 1.1.1 Auditoria de Sistemas Informáticos ............................................................ 3 Sistemas Informáticos ................................................................................. 3 1.1.1.1.1 Componentes de un Sistema Informático .................................................... 3 1.1.1.1.2 Tipos de Sistemas Informáticos .................................................................. 4 Análisis De Riesgos .................................................................................... 4 1.1.1.2.1 Definición .................................................................................................... 5 1.2 Metodologías de Análisis de Riesgos Informáticos .................................... 5 1.2.1 Modelo de Análisis Riesgos ........................................................................ 6 1.2.2 Metodologías de Análisis de Riesgos Informáticos .................................... 6 COBIT 5.0 ................................................................................................... 6 1.2.2.1.1 Gobierno y Administración ......................................................................... 7 1.2.2.1.2 Principios de COBIT 5 ................................................................................ 8 1.2.2.1.3 Habilitadores de COBIT 5 ........................................................................... 8 1.2.2.1.3.1 Cascada de COBIT 5 ................................................................................... 9 COSO ERM ............................................................................................... 10 ix 1.2.2.2.1 Componentes de COSO ERM. .................................................................. 10 1.2.2.2.2 Características Claves de un Programa ERM Estratégico ........................ 10 1.2.2.2.3 Cultura de Riesgos .................................................................................... 11 1.2.2.2.4 Modelo de Madurez .................................................................................. 12 1.2.2.2.5 Gestión de Riesgos Empresariales Integrado con Estrategia y Desempeño ................................................................................................ 12 1.2.2.2.6 Principios ................................................................................................... 12 Series ISO/IEC 27000 ............................................................................... 13 1.2.2.3.1 Listado de Series ISO/IEC 27000 ............................................................. 13 ITIL ........................................................................................................... 16 1.2.2.4.1 Qué es ITIL ............................................................................................... 16 1.2.2.4.2 Soporte al servicio ..................................................................................... 17 1.2.2.4.2.1 Centro de Servicios ................................................................................... 17 1.2.2.4.2.2 Gestión de incidentes ................................................................................ 17 1.2.2.4.2.3 Gestión de Problemas ................................................................................ 17 1.2.2.4.2.4 Gestión de Configuraciones ...................................................................... 18 1.2.2.4.2.5 Gestión de Versiones ................................................................................. 18 1.2.2.4.3 Provisión del servicio ................................................................................ 18 1.2.2.4.3.1 Gestión de Niveles de Servicio ................................................................. 18 1.2.2.4.3.2 Gestión Financiera ..................................................................................... 19 1.2.2.4.3.3 Gestión de la Capacidad ............................................................................ 19 1.2.2.4.3.4 Gestión de la Continuidad del Servicio ..................................................... 19 1.2.2.4.3.5 Gestión de la Disponibilidad ..................................................................... 19 1.2.2.4.4 ITIL en la actualidad ................................................................................. 20 MAGERET ................................................................................................ 20 1.2.2.5.1 Objetivos de MAGERET .......................................................................... 20 1.2.2.5.2 Método de análisis de riesgos. ................................................................... 21 1.2.2.5.3 Proceso de gestión de riesgos .................................................................... 22 1.2.2.5.4 Conclusiones MAGERET ......................................................................... 22 CRISP- DM ............................................................................................... 23 1.2.2.6.1 Qué es CRIS DM ....................................................................................... 23 x