🚀 go-pugleaf

Mike <foo@bar.com> wrote in news:Xns92BC98DC1E8F9foobarcom@192.37.2.30:

> Hola grupo
> 
> Me place escribir un poco sobre los controles de auditoria a realizar
> a un centro de computos EN SI (estructura edilicia, servicios, 
> administracion), no a los sistemas albergados dentro del mismo.
> Hace un par de a�os (un poco mas, creo que en el 98) escribi unas
> listas de control para las auditorias que realice a las instalaciones
> de mi empresa en dos paises hermanos. Los puntos eran mas o menos los 
> siguientes (no tengo mis planillas aqui):
> 
> a) Nivel constructivo
> * El centro de computos se considera adecuado en lineas generales para
> albergar los servidores y sistemas de soporte (espacio, zonas de 
> transito, etc.)?
> * El piso se encuentra sobre-elevado?
> * Se contemplo que no pasen conducciones de gas y/o agua por las
> paredes y/o techo?
> * La iluminacion es considerada anti-incendio (por ej. iluminacion 
> fluorescente con arrancador electronico)?
> * El circuito de tension que alimenta los sistemas esta adecuadamente 
> diferenciado de otros circuitos de tension?
> * El cuarto dispone de sistema de proteccion contra inundaciones?
> * En caso de existir desagote hacia la red de la calle. Se contemplo
> la instalacion de valvulas de uno solo sentido para evitar el ingreso
> de agua desde la calle?
> 
> b) Seguridad general
> * El cuarto dispone de sistema de deteccion de humo?
> * El cuarto dispone de sistema de extincion automatica de incendios
> (por ej. INERGEN)?
> * Existe alarma contra robos?
> * Existe circuito cerrado de television?
> * El mismo se monitorea desde una ubicacion remota?
> 
> c) Servicios de soporte
> * El circuito de tension dispone de alimentacion por UPS?
> * Las UPS son redundantes?
> * El cuarto dispone de sistema de aire acondicionado?
> * Existe aire acondicionado redundante?
> * Las fuentes de alimentacion de los servidores o racks estan
> instaladas en forma redundante?
> * Los ventiladores de los servidores o racks estan instalados en forma
> redundante?
> * Se dispone de grupo electrogeno?
> * Existe grupo electrogeno redundante?
> 
> c) Seguridad del cuarto
> * Existe sistema de control de acceso al cuarto (por ej. tarjeta 
> magnetica + password)?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) sobre la autorizacion de acceso al cuarto de computos?
> * Existe un listado del personal autorizado a ingresar y cualquier 
> restriccion particular al acceso (por ej. administradores vs personal
> de limpieza)?
> 
> d) Procedimientos generales
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) para el alta/baja/modificacion de usuarios?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) para la compra/retiro/reemplazo de hardware?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) para la compra/retiro/reemplazo de software?
> * Existe procedimiento administrativo (escrito y aprobado por la
> Gerencia o Jefatura de IT) sobre la operacion de los sistemas ubicados
> en el centro de computos?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) para el entrenamiento de nuevos usuarios?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) para la limpieza del centro de computos?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) para la autorizacion de tareas de mantenimiento al cuarto de
> computos o los sistemas de soporte (ej. aire acondicionado, etc.)?
> * Existe procedimiento administrativo (escrito y aprobado por la
> Jefatura de IT) sobre la realizacion de backups?
> * Existe procedimiento administrativo (escrito y aprobado por la
> Jefatura de IT) para la restauracion de datos desde backup?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) para el almacenamiento de cintas de backup?
> * Existe procedimiento administrativo (escrito y aprobado por la 
> Gerencia) de Plan de Contingencia (Recuperacion en caso de Desastre)?
> * Existe procedimiento administrativo (escrito y aprobado por la
> Jefatura de IT) sobre la configuracion de seguridad a nivel hardware?
> * Existe procedimiento administrativo (escrito y aprobado por la
> Jefatura de IT) sobre la configuracion de seguridad a nivel software?
> 
> e) Miscelaneas
> * Se realizan los backups de tal forma de poder recuperar cualquier
> dato en un periodo de tiempo razonable (por ej. backup full los
> viernes, backups incrementales de lunes a jueves, cintas para los
> ultimos 2 meses)?
> * Se realizan 2 juegos de cintas de backup?
> * Se almacenan las cintas de backup en caja fuerte ignifuga?
> * Se almacena uno de los juegos de backups en una ubicacion remota?
> * Se dispone del hardware necesario para recuperar cintas de backup de
> un tipo obsoleto?
> * Se registran los entrenamientos realizados, tanto al personal del 
> centro de computos como a los usuarios finales?
> * Se lleva una bitacora de las altas/bajas/modificaciones a los
> usuarios? * Se lleva una bitacora de los incidentes (errores, etc.) en
> los sistemas?
> 
> f) Instalacion de los sistemas
> * Existe formulario completo y firmado sobre la instalacion de cada 
> servidor?
> * Se lleva una bitacora de control de cambios (hardware/software) a
> los servidores?
> 
> g) Capacitacion
> * El personal que opera en el centro de computos esta adecuadamente 
> capacitado y/o calificado?
> * Se realizan capacitaciones periodicas de actualizacion?
> * Se entrena al personal en normativas especificas (por ej. 21CFR11
> y/o GMP para el caso de la industria farmaceutica)?
> 
> h) Auditorias y acuerdos
> * Se realizan y registran adecuadamente auditorias a los proveedores
> de hardware/software/servicios?
> * Existe un acuerdo formal (escrito y aprobado) entre el departamento
> de IT y sus clientes (otros departamentos)?
> * Existe un acuerdo formal (escrito y aprobado, ej. contrato) con los 
> proveedores de hardware/software/servicios?
> 
> Bueno, si encuentro las planillas y me he olvidado de algo ya lo 
> posteare.
> Espero que esto le sirva a alguien.
> Saludos,
> 
> Nekromancer
> @work in UK
> 

    	Hola Mike :-)

    	    	Gracias, hace un tiempo pedi ayuda sobre el tema y no quede 
satisfecho, aunque me dieron direcciones interesantes.

    	    	Un saludo.

    	    	    	    	    	Kien.

PD: Tengo un buen proyecto en mente, y si va a buen puerto necesitare de tu 
experiencia (asi como con la de alguno mas). �Puedo contar con ella?.