El auditor de sistemas es la persona que se encarga de atender y evaluar estos aspectos: Revisión de los diagramas de red: muestran los puntos de conexión entre computadoras, terminales y equipos periféricos como módem, hubs, routers, etcétera. Esta información es importante porque se pueden enlazar las direcciones físicas con los accesos lógicos de terminales. Actualmente existen aplicativos especializados de administración de redes que proveen esta información.
Revisión de las rutas de acceso: son caminos lógicos de acceso a información computarizada, las cuales, empiezan generalmente con un terminal finalizan con los datos. En este camino existen componentes de hardware y software.
Conocer esta ruta es importante porque permite al auditor de sistemas determinar puntos de seguridad física y lógica. La secuencia típica de estos caminos lógicos es:
- Terminales: Son utilizadas por el usuario final para identificarse, constan de una restricción física de uso e identificación del usuario o login de acceso controlada a través de una contraseña o clave.
- Software de telecomunicaciones: es usado para permitir y limitar el acceso a aplicaciones o datos específicos.
- Software de procesamiento de transacciones: utiliza la identificación del usuario realizada en los terminales (User-Id) y asigna niveles y posibilidades de transacción (añadir, modificar, eliminar, obtener reportes, etc.) en una aplicación determinada basada en archivos o tablas de usuario definidas y sólo disponibles para el administrador de seguridad.
- Software de aplicación: los caminos lógicos del procesamiento de los datos definido, permanece según las necesidades determinadas por el cliente, para esto se debe proteger el acceso a los programas que regulan la lógica de estos procesos.
- Software de administración de base de datos: Por medio de éste se accede directamente a la información, debe contar con una ejecución restringida únicamente asequible para el personal que administra la base de datos. Esta categoría engloba diversos aspectos: Inspección de las facilidades del procesamiento de datos, la cual, sirve para entender los controles físicos del personal, visitantes y controles de seguridad del ambiente como extintores, detectores de humo, protectores de polvo, control de temperatura y fuentes alternativas de energía.
Entrevistas con personal de sistemas: estas conversaciones, realizadas generalmente con el administrador de la Red y el gerente de sistemas son claves, pues proveerán de información sobre el control y mantenimiento de los componentes de las rutas de acceso.
Entrevista con el usuario final: se realiza a usuarios finales para conocer las políticas de confidencialidad de los datos en los cuales trabajan.
Revisión de políticas y procedimientos: es la valoración adecuada del auditor acerca de las políticas y procedimientos de la seguridad como son: accesos fisiológicos y entrenamiento formal sobre precauciones de seguridad y el uso de Internet.