• Descripció

El present curs denominat Auditoria Tècnica i de Certificació pretén donar les pautes més esteses i utilitzades actualment en les empreses per verificar la correcta gestió i pràctiques que les diferents organitzacions duen a terme en relació a l'auditoria i la certificació.

Habitualment les organitzacions més madures en la gestió de la seguretat recorren a activitats d'auditoria per completar el seu cicle de gestió i verificar la manera en què els controls de seguretat dissenyats compleixen de manera eficaç i eficient els seus objectius. D'aquesta manera, obtenen una retroalimentació en el seu sistema de gestió que permetrà continuar en la millora contínua de les mesures de seguretat implantades per protegir la informació. D'altra banda, perquè aquestes bones pràctiques implantades transcendeixin a altres organitzacions i per tenir un punt de vista més imparcial sobre la qualitat de la seva gestió, les organitzacions desitjaran un reconeixement extern de les seves bones pràctiques. En aquest sentit han sorgit recentment diverses normatives, internacionalment reconegudes i certificables, perquè les organitzacions puguin disposar d'un element diferenciador pel que fa a les seves competidores.

Durant tot aquest curs es donaran els fonaments o els aspectes més importants a considerar per una organització que pretengui aconseguir qualsevol dels dos objectius anteriorment descrits.

Cal tenir present que les casuístiques amb les quals ens podem trobar són enormes, per la qual cosa aquest curs donarà certes indicacions sobre la manera en què s'han d'afrontar les auditories, tant les que es desenvolupin a títol intern (executades internament o amb participació d'una entitat externa) en una organització, com les externes realitzades amb l'objectiu d'obtenir una certificació. Per tant, es donaran les bases per al coneixement de les millors pràctiques d'auditoria aplicades avui dia. No obstant, el detall i el coneixement profund de les tècniques així com del manteniment actualitzat d'aquest coneixement adquirit en el curs és una tasca contínua de l'auditor. Per tant, aquest curs no pretén ser un punt final sinó tot el contrari, un punt d'inici per a una carrera professional dedicada a l'auditoria dels Sistemes d'Informació amb l'objectiu de comprovar l'aplicació de les millors pràctiques en la matèria.

• L'assignatura en el conjunt del pla d'estudis

L'assignatura d'Auditoria Tècnica es troba dins de l'especialització de Gestió i Auditoria de la Seguretat del Màster Interuniversitari en Seguretat de les Tecnologies de la Informació i de les Comunicacions . Aquesta assignatura està pensada com una continuació de l'assignatura de Sistemes de Gestió de la Seguretat de la Informació, i en ella es treballa l'auditoria i certificació dels SGSI.

• Camps professionals en què es projecta

La present assignatura es projecta sobre nombrosos camps professionals, entre els quals podem destacar els següents:

• Auditor de Sistemes de Gestió de la Seguretat de la Informació

• Responsable de seguretat de la informació

• Gestor/a de projectes de programari

• Consultor/a de la gestió de la informació

• Enginyer/a d'integració, proves i implantació

• Integrador/a de sistemes

• Director/a de projectes TIC

• Director/a de desenvolupament

• Coneixements previs

La present assignatura no pressuposa coneixements previs. No obstant, es recomana haver cursat prèviament les assignatures de "Legislació i regulació" i "Sistemes de gestió de la seguretat de la informació". Per aquells estudiants que hagin de cursar complements de formació, es recomana haver cursat prèviament les següents assignatures:

• Estructura de computadors

• Seguretat en xarxes de computadors

• Criptografia

• Informació prèvia a la matrícula

La present assignatura no pressuposa coneixements previs. No obstant, es recomana haver cursat prèviament les assignatures de "Legislació i regulació" i "Sistemes de gestió de la seguretat de la informació". Per aquells estudiants que hagin de cursar complements de formació, es recomana haver cursat prèviament les següents assignatures:

• Estructura de computadors

• Seguretat en xarxes de computadors

• Criptografia

• Objectius i competències

Els objectius generals de l'assignatura poden sintetitzar-se de la següent forma:

• Conèixer els diferents tipus d'auditories de seguretat aplicables als Sistemes d'Informació.

• Conèixer el procés d'auditoria a seguir a Espanya per obtenir una certificació del Sistema de Gestió de la Seguretat de la Informació implantat per una organització.

• Conèixer quin és el procés correcte per realitzar una auditoria de seguretat que comprovi el grau d'implantació dels controls de seguretat.

• Conèixer quins són les tècniques d'auditoria més habituals

Mitjançant la consecució d'aquests objectius, la realització de la present assignatura contribueix a l'adquisició de les següents competències del Màster Universitari en Ciberseguretat i Privacitat:

• CT1 - Capacitat d'anàlisi i síntesi de la seguretat d'un sistema.

• CT2 - Capacitat per exercir l'activitat professional d'acord al codi ètic i als aspectes legals actuals a l'entorn de les TIC

• CT3 - Capacitat de comunicació tant a públic especialitzat com no especialitzat de manera clara i sense ambigüitats.

• CT4 - Capacitat d'aprenentatge autònom consultant informació

• CT5 - Capacitat per seleccionar, aplicar i integrar els coneixements tècnics i científics adequats per resoldre problemes en entorns nous

• CT6 - Coneixement d'eines i tendències tecnològiques del mercat de la seguretat informàtica

• CE32 - Capacitat per gestionar la certificació d'un sistema de gestió de la seguretat de la informació, així com capacitat per comprendre, interpretar i explicar els avantatges que aporta la certificació d'aquests sistemes.

• CE33 - Capacitat d'elaborar i implementar un pla d'auditoria. Ús de les eines habituals per realitzar una auditoria tècnica de seguretat.

• CE35 - Capacitat per aplicar les consideracions legals adquirides per realitzar la gestió d'un incident de seguretat.

• Continguts

Introducció a l'auditoria informàtica

• Definició d'auditoria

• Components d'una auditoria

• Procés d'auditoria

• Programa d'auditoria

• Estandardització de la labor d'auditoria

• Govern de les TIC

• Equip auditor

• El peritatge informàtic

Auditoria de certificació ISO 27001

• Sistemes de gestió de la seguretat de la informació

• Certificació de SGSI contra l'estàndard ISO/IEC 27001

• Procés de certificació de SGSI contra la ISO 27001

Auditoria tècnica de seguretat

• Factors d'èxit d'una auditoria tècnica

• Abast de l'auditoria tècnica

• Tipus d'auditories

• Planificació d'una auditoria tècnica de seguretat

Metodologies

• Metodologies i guies del NIST

• Metodologies del moviment de programari lliure

• Metodologia de la indústria de les targetes de crèdit

• Estàndards d'auditoria de la ISACA

Tècniques d'auditories

• Revisió de documentació

• Entrevistes

• Visites d'auditoria

• Proves tècniques de sistemes d'informació i comunicacions

• Consulta dels recursos d'aprenentatge de la UOC per a l'assignatura

• Informació addicional sobre els recursos d'aprenentatge i eines de suport

El material didàctic del curs es compon de diferents mòduls didàctics en format web i paper.

• Informacions sobre l'avaluació a la UOC

A la UOC, l'avaluació generalment és virtual. S'estructura entorn de l'avaluació contínua, que inclou diferents activitats o reptes; l'avaluació final, que es porta a terme mitjançant proves o exàmens, i el treball final de la titulació.

Les activitats o proves d'avaluació poden ser escrites i/o audiovisuals, amb preguntes aleatòries, proves orals síncrones o asíncrones, etc., d'acord amb el que decideixi cada equip docent. Els treballs finals representen el tancament d'un procés formatiu que implica la realització d'un treball original i tutoritzat que té com a objectiu demostrar l'adquisició competencial feta al llarg del programa.

Per verificar la identitat de l'estudiant i l'autoria de les proves d'avaluació, la UOC es reserva la potestat d'aplicar diferents sistemes de reconeixement de la identitat i de detecció del plagi. Amb aquest objectiu, la UOC pot dur a terme enregistrament audiovisual o fer servir mètodes o tècniques de supervisió durant l'execució de qualsevol activitat acadèmica.

Així mateix, la UOC pot exigir a l'estudiant l'ús de dispositius electrònics (micròfons, càmeres o altres eines) o programari específic durant l'avaluació. És responsabilitat de l'estudiant assegurar que aquests dispositius funcionen correctament.

El procés d'avaluació es fonamenta en el treball personal de l'estudiant i pressuposa l'autenticitat de l'autoria i l'originalitat de les activitats acadèmiques. Al web sobre integritat acadèmica i plagi de la UOC hi ha més informació respecte d'aquesta qüestió.

La manca d'autenticitat en l'autoria o d'originalitat de les proves d'avaluació; la còpia o el plagi; la suplantació d'identitat; l'acceptació o l'obtenció de qualsevol activitat acadèmica a canvi d'una contraprestació o no; la col·laboració, l'encobriment o l'afavoriment de la còpia, o l'ús de material, programari o dispositius no autoritzats en el pla docent o l'enunciat de l'activitat acadèmica, inclosa la intel·ligència artificial i la traducció automàtica, entre altres, són conductes irregulars en l'avaluació que poden tenir conseqüències acadèmiques i disciplinàries greus.

Aquestes conductes irregulars poden comportar el suspens (D/0) en les activitats avaluables que es defineixin en el pla docent -incloses les proves finals- o en la qualificació final de l'assignatura, sigui perquè s'han utilitzat materials, programari o dispositius no autoritzats durant les proves (com l'ús d'intel·ligència artificial no permesa, xarxes socials o cercadors d'informació a internet), perquè s'han copiat fragments de text d'una font externa (internet, apunts, llibres, articles, treballs o proves d'altres estudiants, etc.) sense la citació corresponent, per la compravenda d'activitats acadèmiques, o perquè s'ha dut a terme qualsevol altra conducta irregular.

Així mateix, i d'acord amb la normativa acadèmica, les conductes irregulars en l'avaluació també poden donar lloc a la incoació d'un procediment disciplinari i a l'aplicació, si escau, de la sanció que correspongui, de conformitat amb el que estableix la normativa de convivència de la UOC.

En el marc del procés d'avaluació, la UOC es reserva la potestat de:

• Sol·licitar a l'estudiant que acrediti la seva identitat segons el que estableix la normativa acadèmica.
• Sol·licitar a l'estudiant que acrediti l'autoria del seu treball al llarg de tot el procés d'avaluació, tant en l'avaluació contínua com en l'avaluació final, per mitjà d'una entrevista oral síncrona, que pot ser objecte d'enregistrament audiovisual, o pels mitjans que estableixi la Universitat. Aquests mitjans tenen l'objectiu de verificar els coneixements i les competències que garanteixin la identitat de l'estudiant. Si no és possible garantir que l'estudiant és l'autor de la prova, aquesta pot ser qualificada amb una D, en el cas de l'avaluació contínua, o amb un suspens, en el cas de l'avaluació final.

Intel·ligència artificial en el marc de l'avaluació

La UOC reconeix el valor i el potencial de la intel·ligència artificial (IA) en l'àmbit educatiu, alhora que posa de manifest els riscos que comporta si no s'utilitza de manera ètica, crítica i responsable. En aquest sentit, en cada activitat d'avaluació s'informarà l'estudiantat sobre les eines i els recursos d'IA que es poden utilitzar i en quines condicions. Per la seva banda, l'estudiantat es compromet a seguir les indicacions de la UOC a l'hora de dur a terme les activitats d'avaluació i de citar les eines utilitzades i, concretament, a identificar els textos o les imatges generats per sistemes d'IA, els quals no podrà presentar com si fossin propis.

Amb relació a fer servir o no la IA per resoldre una activitat, l'enunciat de les activitats d'avaluació indica les limitacions en l'ús d'aquestes eines. Cal tenir en compte que fer-les servir de manera inadequada, com ara en activitats en què no estan permeses o no citar-les en les activitats en què sí que ho estan, es pot considerar una conducta irregular en l'avaluació. En cas de dubte, es recomana que, abans de lliurar l'activitat, es faci arribar una consulta al professorat col·laborador de l'aula.

• Consulta del model d'avaluació