auditoria

Auditoría de desarrollo de Proyecto o Aplicaciones.
Manejo manual de la información: Esto hace que el negocio sea muy
dependiente de las personas y propenso a errores y pérdida de información.
Agendamiento de citas manual: El proceso de agendamiento de citas es lento
y poco eficiente.
Facturación y control de productos a través de recibos: Esto ocasiona la
pérdida de información relevante y valiosa sobre los clientes.
Falta de un sistema de registro de clientes: No tienen un sistema de registro
como tal, lo que hace que los reportes en físico deban ser entregados al
encargado para vaciar la información en Microsoft Excel.
Manejo de clientes: Es difícil manejar a los clientes sin un registro que
permita contactarlos en caso de algún imprevisto o para recordarles su cita
programada.
Manejo de productos: Es difícil manejar los productos debido a la falta de un
inventario que permita conocer cuándo deben reabastecerse y el
desconocimiento de los productos existentes o faltantes.
Auditoría de Sistemas.
Página Principal del Spa:
Hallazgo: Se identificó que la página principal del spa cuenta con un diseño
atractivo y una navegación intuitiva. Sin embargo, se detectaron algunas
áreas que requieren mejoras, como la optimización de la velocidad de carga y
la inclusión de información más detallada sobre los servicios ofrecidos.
Recomendación: Se sugiere realizar mejoras en la velocidad de carga de la
página principal, optimizando el tamaño de los recursos multimedia y el
código. Además, se recomienda proporcionar descripciones más detalladas
de los servicios, incluyendo información sobre precios, duración y beneficios.
Módulo de Inicio de Sesión:
Hallazgo: Se constató que el módulo de inicio de sesión cuenta con medidas
de seguridad adecuadas, como el uso de contraseñas encriptadas y
validaciones de inicio de sesión. Sin embargo, se detectó que no existe un
mecanismo de bloqueo de cuentas después de varios intentos fallidos de
inicio de sesión.
Recomendación: Se recomienda implementar un mecanismo de bloqueo de
cuentas después de un número determinado de intentos fallidos de inicio de
sesión, con el fin de prevenir ataques de fuerza bruta y garantizar la
integridad del sistema.
Módulo de Facturación:
Hallazgo: Se encontró que el módulo de facturación permite generar facturas
correctamente y registrar las transacciones de compra a proveedores. Sin
embargo, se identificó la falta de validaciones de integridad en la entrada de
datos, lo que podría llevar a errores o inconsistencias en los registros.
Recomendación: Se sugiere implementar validaciones en la entrada de datos
del módulo de facturación, como la verificación de existencia de proveedores
y la validación de montos y fechas. Esto garantizará la integridad de la
información y reducirá la posibilidad de errores en el registro de
transacciones.
Módulo de Inventario:
Hallazgo: Se observó que el módulo de inventario permite llevar un registro
de los insumos existentes, tanto para la venta como para el uso interno del
spa. No obstante, se detectó la falta de un mecanismo para controlar las
cantidades mínimas y máximas de los insumos, lo que podría llevar a
desabastecimiento o exceso de inventario.
Recomendación: Se recomienda implementar un sistema de control de
inventario que establezca cantidades mínimas y máximas para cada insumo.
Esto permitirá tener un mejor control sobre los niveles de inventario y
facilitará la planificación de compras y reposiciones.
Auditoria de comunicaciones y redes
Hallazgos y Recomendaciones:
1. Rendimiento y Disponibilidad:
Hallazgo: Durante las pruebas de velocidad realizadas, se observó que la
velocidad de conexión a internet del spa puede verse afectada por la
presencia de otros locales o negocios en el centro comercial, especialmente
en momentos de alta demanda.
Recomendación: Se recomienda establecer una comunicación regular con el
centro comercial para monitorear el rendimiento de la red y buscar soluciones
conjuntas en caso de problemas recurrentes. Además, se sugiere establecer
acuerdos de nivel de servicio (SLA) con el centro comercial para garantizar
un rendimiento adecuado y una disponibilidad óptima de la conexión a
internet.
2.
3. Seguridad de la Red:
Hallazgo: Dado que el spa utiliza el servicio de internet proporcionado por el
centro comercial, los detalles específicos sobre la arquitectura de red y los
procedimientos de seguridad son desconocidos para el personal del spa.
Recomendación: Se recomienda solicitar al centro comercial información
detallada sobre la arquitectura de red y las medidas de seguridad
implementadas. Esto permitirá evaluar la seguridad de la red y asegurarse de
que se estén tomando las medidas adecuadas para proteger los datos y la
privacidad del spa. En caso de identificar deficiencias en las medidas de
seguridad, se deben tomar acciones correctivas según las recomendaciones
proporcionadas por el centro comercial o buscar soluciones de seguridad
adicionales para proteger la infraestructura del spa.
4.
5. Redundancia y Continuidad del Servicio:
Hallazgo: No se identificaron medidas de redundancia o planes de
continuidad del servicio en caso de interrupciones o fallas en la conexión a
internet proporcionada por el centro comercial.
Recomendación: Se sugiere al spa establecer planes de contingencia para
garantizar la continuidad del servicio en caso de interrupciones prolongadas o
fallas en la conexión a internet. Esto podría involucrar considerar la
implementación de conexiones de internet alternativas, como un proveedor
de servicio de internet independiente o la configuración de una conexión de
respaldo, como un enlace de datos móviles, para asegurar la operatividad del
spa en situaciones de emergencia.
Auditoría de Seguridad Informática.
Hallazgos y Recomendaciones:
1. Políticas y Procedimientos de Seguridad:
Hallazgo: Se observó que la empresa carece de políticas y procedimientos de
seguridad documentados y actualizados.
Recomendación: Se recomienda desarrollar y documentar políticas y
procedimientos de seguridad que aborden aspectos como el acceso a
sistemas y datos, el manejo de contraseñas, la gestión de parches, el uso
aceptable de los recursos de TI y la respuesta a incidentes de seguridad.
Estas políticas y procedimientos deben ser comunicados y capacitados
adecuadamente a todo el personal.
2.
3. Gestión de Accesos:
Hallazgo: No se implementa un sistema centralizado de gestión de accesos y
no se realiza una revisión periódica de los privilegios de los usuarios.
Recomendación: Se sugiere implementar un sistema centralizado de gestión
de accesos, como un directorio activo o un sistema de gestión de
identidades, para controlar y auditar los privilegios de los usuarios. Además,
se recomienda realizar revisiones periódicas de los privilegios de acceso para
garantizar que solo se otorguen los permisos necesarios y se retiren los
privilegios innecesarios.
4.
5. Protección de Datos:
Hallazgo: No se encontraron medidas adecuadas de protección de datos,
como el cifrado de datos confidenciales y la implementación de políticas de
retención y eliminación segura de información.
Recomendación: Se recomienda implementar medidas de protección de
datos, como el cifrado de datos en reposo y en tránsito, y establecer políticas
de retención y eliminación segura de información. Además, se deben realizar
copias de seguridad periódicas y probar la capacidad de restauración de los
datos en caso de pérdida o corrupción.
6.
7. Actualizaciones y Parches:
Hallazgo: Se detectó que no se realiza una gestión adecuada de las
actualizaciones y parches de software en los sistemas de la empresa.
Recomendación: Se sugiere establecer un proceso formal de gestión de
parches y actualizaciones, que incluya la identificación y priorización de
vulnerabilidades, la implementación oportuna de parches y la realización de
pruebas de validación posterior a la instalación.
8.
9. Concientización y Capacitación en Seguridad:
Hallazgo: No se proporciona capacitación regular en seguridad informática al
personal de la empresa.
Recomendación: Se recomienda implementar un programa de
concientización y capacitación en seguridad informática para todo el
personal. Esto puede incluir sesiones de capacitación periódicas, envío de
correos electrónicos informativos sobre amenazas y buenas prácticas, y
pruebas de phishing simuladas para evaluar la capacidad de los empleados
para reconocer y evitar ataques de ingeniería social.