ESCUELA POLITÉCNICA NACIONAL FACULTAD DE INGENIERÍA DE SISTEMAS INGENIERÍA EN SISTEMAS INFORMÁTICOS Y DE COMPUTACIÓN Grupo 6 Integrantes: Julio Mora
Fernando Quezada Luis Reinoso Deysi Tacán Fecha: 13/01/2018 Materia: Auditoría y Evaluación de Sistemas Computacionales
PREGUNTAS
3-1 Para asistir en probar un sistema central de banca que se está adquiriendo, una organización ha suministrado al proveedor datos sensitivos de su sistema de producción existente. La preocupación PRINCIPAL de un auditor de SI es que los datos deben estar: A. estar depurados (sanitized) B. estar completos C. ser representativos D. actuales RESPUESTA: A
3-2 Cuál de las siguientes opciones es la MEJOR medida preventiva para reducir los riesgos de un sistema de TI asociado con posibles desastres naturales? A. Identificar las amenazas naturales B. Elegir una ubicación segura para la instalación C. Mantener los sistemas críticos separados de los l os sistemas generales D. Actualizar y almacenar las copias de respaldo fuera de la sede (offsite) RESPUESTA: B
3-3 Cuando se lleva a cabo una revisión de reingeniería del proceso de negocio, un auditor de SI encontró que un control preventivo clave había sido retirado. En este caso, el auditor de SI debe: A. Informar a la gerencia sobre el hallazgo y determinar si la gerencia está dispuesta a aceptar el riesgo material potencial de no tener ese control preventivo. B. Determinar si un control de detección ha reemplazado al control preventivo durante el proceso y, en caso afirmativo, no informar sobre la eliminación del control preventivo. C. Recomendar que éste y todos los procedimientos de control que existían antes que el proceso fuera sometido a reingeniería sean incluidos en el nuevo proceso. D. Desarrollar un método continuo de auditoría para monitorear los efectos de la eliminación del control preventivo. RESPUESTA: A
3-4 ¿Durante cuál de los pasos siguientes en la reingeniería del proceso de negocio el equipo de benchmarking debe visitar al socio del benchmarking? A. Observación B. Planeación C. Análisis D. Adaptación RESPUESTA: A
3-5 Cuál de las siguientes debilidades debe considerarse la MAS grave en el software de planificación de recursos de empresa (ERP) utilizado por un banco? A. No se han revisado los controles de acceso. B. La documentación disponible es muy limitada. C. No se han sustituido las cintas de copia de respaldo de dos años de antiguedad. D. Se realiza una copia de respaldo de la base de datos una vez al día. RESPUESTA: A
3-6 Cuando audita la fase de requerimientos de una adquisición de software, el auditor de SI debe: A. Evaluar la factibilidad /viabilidad de la tabla de tiempo del proyecto B. Evaluar los procesos de calidad propuestos por el proveedor C. Asegurar que se adquiera el mejor paquete de software D. Revisar la integridad de las especificaciones RESPUESTA: D
3-7 Una organización decide comprar un paquete en lugar de desarrollarlo. En tal caso, las fases de diseño y desarrollo de un ciclo de vida de desarrollo de software tradicional (SDLC) debe ser reemplazado por: A. Etapas de selección y de configuración B. Etapas de factibilidad / viabilidad y de requerimientos C. Etapas de implementación y de prueba D. Nada; no se requiere reemplazo RESPUESTA: A
3-8 Las especificaciones de usuario para un proyecto que usa la metodología tradicional SDLC no se han cumplido. ¿Un auditor de SI que busque las causas debe mirar en cuál de las áreas siguientes? A. Aseguramiento de la calidad B. Requerimientos C. Desarrollo D. Entrenamiento del usuario RESPUESTA: C
3-9 Cuando se introduce arquitectura de cliente ligero (thin client), ¿Cuál de los riesgos siguientes respecto a los servidores aumenta de manera significativa? A. Integridad B. Concurrencia C. Confidencialidad D. Disponibilidad RESPUESTA: D
3-10 ¿Cuál de los siguientes procedimientos deben ser implementados para ayudar a asegurar la integridad de las transacciones entrantes a través del intercambio electrónico de datos (EDI)? A. Conteos de segmento integrados en el portador del conjunto de transacciones B. Un registro del número de mensajes recibidos, verificado periódicamente con el originador de la transacción C. Una pista de auditoría electrónica para rendición de cuentas y rastreo D. Relacionar las transacciones de reconocimiento recibidas con el registro de los mensajes EDI enviados RESPUESTA: A
PREGUNTAS DE CASO DE ESTUDIO A
Un vendedor detallista importante pidió al auditor de SI que revisara su estado de preparación para cumplir con los requisitos de las compañías de las tarjetas de crédito para proteger información del tarjetahabiente. El auditor de SI posteriormente se enteró de la siguiente información: El vendedor usa registros inalámbricos de puntos de venta que se conectan con los servidores siguientes de aplicaciones ubicados en cada tienda. Esos registros utilizan encripción de protección alámbrica equivalente (WEP). El servidor de aplicación, ubicado por lo general en el medio del área de servicio al cliente de la tienda, envía todos los datos de venta a través de una red de frame relay a los servidores de base de datos ubicados en las oficinas centrales corporativas del vendedor, y utilizando encripción fuerte a través de una red privada virtual de Internet (VPN) al procesador de tarjetas de crédito para aprobación de la venta. Las bases de datos corporativas están ubicadas en un subconjunto protegido filtrado (protected screened subset) de la red de área local corporativa. Adicionalmente, los datos agregados de ventas semanales por línea de producto son copiados desde las bases de datos corporativas a los medios magnéticos y enviados por correo a un tercero para análisis de los patrones de compra. Se observó que no han sido aplicados parches al software de base de datos del vendedor en más de dos años. Esto se debe a que se había abandonado el soporte del vendedor para el paquete de base de datos debido a los planes de la gerencia de eventualmente migrar hacia un nuevo sistema ERP. PREGUNTAS
1.- . ¿Cuál de lo siguiente presentaría el riesgo MÁS significativo para el vendedor detallista? A. Los registros inalámbricos de puntos de venta usan encripción WEP. B. Los parches de las bases de datos estaban severamente desactualizados. C. La información de crédito de tarjetahabiente es enviada por Internet. D. Los datos agregados de venta son enviados por correo a un tercero RESPUESTA: C
2. Basado en el estudio del caso, ¿cuál de los siguientes controles sería el MÁS importante para implementar? A. Los servidores de aplicación de la tienda deberían estar ubicados en un área segura. B. Los registros de puntos de venta deberían usar autenticación de dos factores. C. Los puntos de acceso inalámbrico deberían usar filtrado de direcciones MAC. D. Los datos agregados de venta enviados fuera del establecimiento deberían estar encriptados. RESPUESTA: A
CASO DE ESTUDIO B
Una gran empresa industrial ha comenzado un proyecto complejo de TI, con un ERP para reemplazar los principales sistemas de componente de sus departamentos de contabilidad y control de proyecto. Se anticipaban y se llevan a cabo adaptaciones considerables con un método por etapas con entregables parciales. Estos productos son liberados a los usuarios para uso piloto en datos reales y proyectos reales. Entretanto, comienza el diseño y la programación detallada de la siguiente fase. Después de un período de ajuste inicial, los usuarios piloto comienzan a experimentar serias dificultades. En vez de resultados positivos de las pruebas, las funcionalidades ya estabilizadas comenzaron a tener problemas intermitentes; las transacciones se colgaban durante la ejecución y, cada vez con más frecuencia, los datos del proyecto se corrompen en la base de datos. Aparecen problemas adicionales – errores ya corregidos comenzaron a ocurrir nuevamente y la modificaciones funcionales ya probadas tienden a presentar otros errores. El proyecto, ya retrasado, está ahora en una situación crítica. El auditor de SI, después de recoger la evidencia, solicita una reunión inmediata con el director del comité de dirección del proyecto para comunicar los hallazgos y sugerir acciones capaces de mejorar la situación PREGUNTAS CASO DE ESTUDIO B
3.- El auditor de SI debe indicar al director del comité de dirección del proyecto que: A. Los problemas del proyecto observados son un clásico ejemplo de pérdida del control de las actividades del proyecto y disciplina laxa en el cumplimiento de los procedimientos y las metodologías. Se debe nombrar un nuevo jefe de proyecto. B. Los relevos debidos a una subestimación de los esfuerzos del proyecto han conducido a fallas en los procedimientos de control de versiones y modificaciones. Se deben agregar nueva programación y recursos de sistema para resolver el problema raíz C. Los problemas se deben a modificaciones excesivas del sistema después de cada fase de entrega. El procedimiento para el control de las modificaciones debe ser más estricto y más selectivo. D. La naturaleza de los problemas iniciales es tal como para llevar a dudar r especto a la adecuación y confiabilidad de la plataforma. Es necesaria una revisión técnica inmediata de la plataforma de hardware y de software (parámetros, configuración). RESPUESTA: D
2. Para contribuir más directamente a resolver la situación, el auditor de SI debe: A. continuar investigando los problemas para identificar la causa raiz y definir las contramedidas apropiadas B. revisar la validez de las especificaciones funcionales del proyecto como la base para una mejor básica de software C. proponer ser incluido en el equipo del proyecto como consultor para el control de calidad de los entregables
D. contactar al director del proyecto y discutir los planes del proyecto y recomendar redefinir el programa de entrega usando la metodología PERT. RESPUESTA: A
