🚀 go-pugleaf

Hola grupo

Me place escribir un poco sobre los controles de auditoria a realizar a 
un centro de computos EN SI (estructura edilicia, servicios, 
administracion), no a los sistemas albergados dentro del mismo.
Hace un par de a�os (un poco mas, creo que en el 98) escribi unas listas 
de control para las auditorias que realice a las instalaciones de mi 
empresa en dos paises hermanos. Los puntos eran mas o menos los 
siguientes (no tengo mis planillas aqui):

a) Nivel constructivo
* El centro de computos se considera adecuado en lineas generales para 
albergar los servidores y sistemas de soporte (espacio, zonas de 
transito, etc.)?
* El piso se encuentra sobre-elevado?
* Se contemplo que no pasen conducciones de gas y/o agua por las paredes 
y/o techo?
* La iluminacion es considerada anti-incendio (por ej. iluminacion 
fluorescente con arrancador electronico)?
* El circuito de tension que alimenta los sistemas esta adecuadamente 
diferenciado de otros circuitos de tension?
* El cuarto dispone de sistema de proteccion contra inundaciones?
* En caso de existir desagote hacia la red de la calle. Se contemplo la 
instalacion de valvulas de uno solo sentido para evitar el ingreso de 
agua desde la calle?

b) Seguridad general
* El cuarto dispone de sistema de deteccion de humo?
* El cuarto dispone de sistema de extincion automatica de incendios (por 
ej. INERGEN)?
* Existe alarma contra robos?
* Existe circuito cerrado de television?
* El mismo se monitorea desde una ubicacion remota?

c) Servicios de soporte
* El circuito de tension dispone de alimentacion por UPS?
* Las UPS son redundantes?
* El cuarto dispone de sistema de aire acondicionado?
* Existe aire acondicionado redundante?
* Las fuentes de alimentacion de los servidores o racks estan instaladas 
en forma redundante?
* Los ventiladores de los servidores o racks estan instalados en forma 
redundante?
* Se dispone de grupo electrogeno?
* Existe grupo electrogeno redundante?

c) Seguridad del cuarto
* Existe sistema de control de acceso al cuarto (por ej. tarjeta 
magnetica + password)?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) sobre la autorizacion de acceso al cuarto de computos?
* Existe un listado del personal autorizado a ingresar y cualquier 
restriccion particular al acceso (por ej. administradores vs personal de 
limpieza)?

d) Procedimientos generales
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) para el alta/baja/modificacion de usuarios?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) para la compra/retiro/reemplazo de hardware?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) para la compra/retiro/reemplazo de software?
* Existe procedimiento administrativo (escrito y aprobado por la Gerencia 
o Jefatura de IT) sobre la operacion de los sistemas ubicados en el 
centro de computos?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) para el entrenamiento de nuevos usuarios?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) para la limpieza del centro de computos?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) para la autorizacion de tareas de mantenimiento al cuarto de 
computos o los sistemas de soporte (ej. aire acondicionado, etc.)?
* Existe procedimiento administrativo (escrito y aprobado por la Jefatura 
de IT) sobre la realizacion de backups?
* Existe procedimiento administrativo (escrito y aprobado por la Jefatura 
de IT) para la restauracion de datos desde backup?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) para el almacenamiento de cintas de backup?
* Existe procedimiento administrativo (escrito y aprobado por la 
Gerencia) de Plan de Contingencia (Recuperacion en caso de Desastre)?
* Existe procedimiento administrativo (escrito y aprobado por la Jefatura 
de IT) sobre la configuracion de seguridad a nivel hardware?
* Existe procedimiento administrativo (escrito y aprobado por la Jefatura 
de IT) sobre la configuracion de seguridad a nivel software?

e) Miscelaneas
* Se realizan los backups de tal forma de poder recuperar cualquier dato 
en un periodo de tiempo razonable (por ej. backup full los viernes, 
backups incrementales de lunes a jueves, cintas para los ultimos 2 
meses)?
* Se realizan 2 juegos de cintas de backup?
* Se almacenan las cintas de backup en caja fuerte ignifuga?
* Se almacena uno de los juegos de backups en una ubicacion remota?
* Se dispone del hardware necesario para recuperar cintas de backup de un 
tipo obsoleto?
* Se registran los entrenamientos realizados, tanto al personal del 
centro de computos como a los usuarios finales?
* Se lleva una bitacora de las altas/bajas/modificaciones a los usuarios?
* Se lleva una bitacora de los incidentes (errores, etc.) en los 
sistemas?

f) Instalacion de los sistemas
* Existe formulario completo y firmado sobre la instalacion de cada 
servidor?
* Se lleva una bitacora de control de cambios (hardware/software) a los 
servidores?

g) Capacitacion
* El personal que opera en el centro de computos esta adecuadamente 
capacitado y/o calificado?
* Se realizan capacitaciones periodicas de actualizacion?
* Se entrena al personal en normativas especificas (por ej. 21CFR11 y/o 
GMP para el caso de la industria farmaceutica)?

h) Auditorias y acuerdos
* Se realizan y registran adecuadamente auditorias a los proveedores de 
hardware/software/servicios?
* Existe un acuerdo formal (escrito y aprobado) entre el departamento de 
IT y sus clientes (otros departamentos)?
* Existe un acuerdo formal (escrito y aprobado, ej. contrato) con los 
proveedores de hardware/software/servicios?

Bueno, si encuentro las planillas y me he olvidado de algo ya lo 
posteare.
Espero que esto le sirva a alguien.
Saludos,

Nekromancer
@work in UK