ID 523 - Tema 31, 32, 33 - Auditoria interna y segregación

[marioyo100]

Hola, sé que esta pregunta es muy antigua, y quizá no debiera dedicarle mucho tiempo.

En relación con el control de riesgos, ¿Qué función debe estar segregada de la de administrador de sistemas? [N/C]
Tema: 31, 32, 33. Id Pregunta: 523. Auditoría Informática
a) Administrador de seguridad
b) Administrador de red
c) Aseguramiento de calidad
d) Ninguna de las anteriores

Dan como respuesta válida la c) Aseguramiento de la calidad.
No veo por ningún sitio que eso sea así y según el ENS podría ser la a) ya que dice cosas como estas: ¿Qué opináis?:

Artículo 10. La seguridad como función diferenciada.
En los sistemas de información se diferenciará el responsable de la información, el responsable del servicio y el responsable de la seguridad.
El responsable de la información determinará los requisitos de la información tratada; el responsable del servicio determinará los requisitos de los servicios prestados; y el responsable de seguridad determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios.
La responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la prestación de los servicios.
La política de seguridad de la organización detallará las atribuciones de cada responsable y los mecanismos de coordinación y resolución de conflictos.
[...]
El sistema de control de acceso se organizará de forma que se exija la concurrencia de dos o más personas para realizar tareas críticas, anulando la posibilidad de que un solo individuo autorizado, pueda abusar de sus derechos para cometer alguna acción ilícita.
En concreto, se separarán al menos las siguientes funciones:
a) Desarrollo de operación.
b) Configuración y mantenimiento del sistema de operación.
c) Auditoría o supervisión de cualquier otra función.

[Miguelinho]

Coincido contigo. He dado unas vueltas al tema y he echado un vistazo a la interfaz Aseguramiento de Calidad de Métrica (y a sus participantes). No pone ninguna pega. ¿Alguien puede arrojar algo de luz?

[ara]

Creo que los tiros van por diferenciar que un administrador de un servicio no es un responsable de un servicio. Siempre se ha dicho que una persona que despliega (administra) un servicio o desarrolla una aplicación no debería hacer las pruebas que aseguran la calidad del mismo.