AUDITORIA DE LA OFIMÁTICA
INTRODUCCION
Partiendo de la definición realizada por SCHILL acerca de la ofimática, que dice que, como el sistema informatizado que genera, procesa, almacena, recupera, comunica y presenta datos relacionados con el funcionamiento de la oficina.
Las primeras aplicaciones de la ofimática se realizan o se desarrollaron sobre los ordenadores centrales de las organizaciones.
La evolución sufrida en el entorno microinformático ha condicionado el desarrollo de los sistemas ofimáticos actuales. El aumento de la potencia de calculo, la alta calidad de los productos y la reducción de costos de los ordenadores personales y las estaciones de trabajo; ha desplazado el desarrollo de aplicaciones ofimáticas a plataformas microinformáticas y redes de área local.
CONTROLES DE AUDITORIA
En los problemas que se presentan diariamente en las oficinas de las organizaciones existen dos características:
La distribución de las aplicaciones por los diferentes departamentos de la organización en lugar de encontrarse en una única ubicación centralizada; y el traslado de responsabilidad sobre ciertos controles de los sistemas de información a usuarios finales no dedicados profesionalmente a la informática, que pueden no comprender de un modo adecuado la importancia de los mismos y la forma de realizarlos.
Como consecuencia de los dos factores enunciados, se ha generado una problemática propia en este tipo de entornos: adquisiciones poco planificadas; desarrollos eficaces e ineficientes, incluso en procesos críticos para el correcto funcionamiento de la organización; falta de conciencia de los usuarios acerca de la seguridad de la información; utilización de copias ilegales de aplicaciones; procedimientos de copias de seguridad deficientes; escasa formación del personal; ausencia de documentación suficientes; etc.
Economía, eficacia y eficiencia
Determinar sí el intervalo ofimático refleja con exactitud los equipos y aplicaciones existentes en la organización.
Esta se refleja en todas las compras que realizan las empresas u organizaciones respecto al material de procesamiento de la información. Para evitar esto se deben registrar inventarios.
Determinar y evaluar el procedimiento de adquisiciones de equipos y aplicaciones
Dentro de las políticas de adquisiciones descentralizadas en la que cada departamento se encarga de realizar sus compras, ofrece ventajas en cuanto a flexibilidad y capacidad de reacción de los mismos, pero podría acarrear significativas pérdidas económicas para el conjunto de la organización.
Determinar y evaluar la política de mantenimiento definida en la organización
Los procedimientos descentralizados han propiciado que, en ocasiones, los equipos adquiridos no sean incluidos ni en los inventarios ni en los contratos de mantenimiento, incluso podría llegar a suceder que el persona de la organización encargado del mantenimiento no dispusiera de los conocimientos necesarios para llevarlo a cabo.
Evaluar la calidad de las aplicaciones del entorno ofimático desarrollada por personal de la propia organización.
La utilización de herramientas ofimáticas por los usuarios finales ha propiciado el desarrollo de aplicaciones, en muchos casos sin las debidas garantías de fiabilidad, cuyo mal funcionamiento puede repercutir significativamente en la actividad de la organización cuando se trate de aplicaciones que gestionen procesos críticos.
Por otra parte, tambien es común que los desarrollos en estos entornos no hayan seguido los controles de calidad y seguridad suficientes, posibilitando que algún programador haya introducido “puertas traseras”, bombas lógicas o cualquier otro mecanismo que pudiera perturbar el buen funcionamiento de la aplicación desarrollada.
Evaluar la corrección del procedimiento existente para la realización de los cambios de versiones y aplicaciones.
Los cambios de aplicaciones o de versiones pueden producir situaciones de falta de integración y de compatibilidad entre los nuevos productos instalados y los existentes con anterioridad. Prácticamente la totalidad de las nuevas versiones son capaces de manejar los formatos utilizados por versiones anteriores, pero no siempre ocurre en sentido contrario.
Determinar si los usuarios cuentan con la suficiente formación y la documentación de apoyo necesaria para desarrollar sus tareas de un modo eficaz y eficiente.
Un conocimiento deficiente de las funcionalidades de las aplicaciones por parte de los usuarios finales o de los encargados del mantenimiento, puede ocasionar pérdida de eficacia y eficiencia en la utilización de las mismas. No debemos olvidar que carecer de los conocimientos necesarios puede ser debido tanto a que los usuarios no han sido formados como a que no han aprovechado debidamente los recursos de formación recibidos.
Determinar si el sistema existente se ajusta a las necesidades reales de la organización.
La existencia de equipos obsoletos o infrautilizados puede ocasionar situaciones que por mala distribución de los equipos a las necesidades de la organización, repercuten en el correcto funcionamiento de la misma.
SEGURIDAD
Determinar si existen garantías suficientes para proteger los accesos no autorizados a la información reservada de la empresa y la integridad de la misma.
Las aplicaciones ofimáticas gestionan información reservada como agendas de contactos, informes sobre temas confidenciales, estadísticas obtenidas con información extraída de la base de datos corporativa, etc. Los accesos no autorizados a las inconsistencias en este tipo de información puede comprometer el buen funcionamiento de la organización.
La organización debe establecer las políticas y procedimientos de la seguridad necesarios para garantizar la confidencialidad, integridad y disponibilidad de la información almacenada.
Determinar si el procedimiento de generación de las copias de respaldo es fiable y garantiza la recuperación de la información en caso de necesidad.
La información generada por el sistema debe estar disponible en todo momento. La no disponibilidad de datos, especialmente de aquellos procedimientos críticos para la organización, además de las consabidas pérdidas económicas, podría llevar, en el extremo, a la polarización del departamento.
Determinar si está garantizado el funcionamiento interrumpido de aquellas aplicaciones cuya caída podría suponer perdidas de integridad de la información y aplicaciones.
En las organizaciones se desarrollan procesos en las que una caída de tensión podría ocasionar pérdidas de integridad de la información y aplicaciones manejadas, en ocasiones irrecuperables.
Determinar el grado de exposición ante la posibilidad de intrusión de virus.
Los costos derivados de la intrusión de virus informáticos se han multiplicado en los últimos años: perdida de la información y empleo de recursos y tiempo para restablecer el sistema, llegando en algunos casos a la polarización temporal del departamento.
NORMATIVA VIGENTE
Determinar si en el entorno ofimático se producen situaciones que puedan suponer infracciones a lo dispuesto en la ley orgánica 5/1992, de regulación del tratamiento autorizado de datos de carácter personal (LORTAD).
La LORTAD establece una serie de principios y derechos de los ciudadanos en relación a sus datos de carácter personal incluidos en ficheros autorizados. Así mismo establece un catálogo de infracciones cuya comisión por parte de los responsables de los ficheros de titularidad privada puede dar lugar a sanciones por un importante entre 100.000.ptas y 100.000.000. de ptas.
Determinar si en el entorno ofimático se produce situaciones que puedan suponer infracciones a lo dispuesto en el real decreto legislativo 1/1996, del 12 de abril, sobre la propiedad intelectual.
La mayoría de las copias ilegales utilizadas en las organizaciones corresponden a aplicaciones microinformáticas, en especial a aplicaciones ofimáticas. Este hecho puede provocar que aquellos afectados que sufran algún tipo de daño o perjuicio como consecuencia del incumplimiento de lo dispuesto en el real decreto legislativo sobre la propiedad intelectual, presente reclamaciones ante los tribunales de justicia que puedan derivar incluso causas criminales
