Modelo de Gestión de TI

Para muchas empresas, la información y la tecnología que las soportan representan sus más valiosos activos, aunque con frecuencia son poco entendidos. Las empresas exitosas reconocen los beneficios de la tecnología de información y la utilizan para impulsar el valor de sus interesados (stakeholders). Estas empresas también entienden y administran los riesgos asociados, tales como el aumento en requerimientos regulatorios, así como la dependencia crítica de muchos procesos de negocio en TI.

 

Estas empresas también entienden y administran los riesgos asociados, tales como el aumento en requerimientos regulatorios, así como la dependencia crítica de muchos procesos de negocio en TI.

 

El Gobierno De TI es responsabilidad de los ejecutivos, del consejo de directores y consta de liderazgo, estructuras y procesos organizacionales que garantizan que la TI de la empresa sostiene y extiende las estrategias y objetivos organizacionales.

Más aún, el gobierno de TI integra e institucionaliza las buenas prácticas para garantizar que la TI de la empresa sirve como base a los objetivos del negocio. De esta manera, el gobierno de TI facilita que la empresa aproveche al máximo su información, maximizando así los beneficios, capitalizando las oportunidades y ganando ventajas competitivas.

 

Para que la TI tenga éxito en satisfacer los requerimientos del negocio, la dirección debe implantar un sistema de control interno o un marco de trabajo. El marco de trabajo de control COBIT contribuye a estas necesidades de la siguiente manera:

1. Estableciendo un vínculo con los requerimientos del negocio  
2. Organizando las actividades de TI en un modelo de procesos generalmente aceptado  
3. Identificando los principales recursos de TI a ser utilizados  
4. Definiendo los objetivos de control gerenciales a ser considerados  

 

 

Modelo   COBITMejores prácticas para  Gestión de 

Tecnologías Informáticas

 CONCEPTO BÁSICOS

MODELO COBIT (Control Objectives for Information Systems and related Technology)

Modelo para evaluar y/o auditar la gestión y control de los de Sistemas de Información y Tecnología relacionada (IT):

 

Es el resultado de una investigación con expertos de varios paises, desarrollada por la “Information, Systems Audit and Control Association “ISACA”.
Esta asociación se ha constituido en el organismo normalizador y orientador en el control y la auditoría de los sistemas de Información y Tecnología (IT).
El modelo CobIT ha sido aceptado y adoptado por organizaciones en el ámbito mundial.

 

O b j e t i v o s y B e n e f i c i o s

• Proveer un marco único reconocido a nivel mundial de las “mejores prácticas” de control y seguridad de TI 
• Consolidar y armonizar estándares originados en diferentes países desarrollados. 
• Concientizar a la comunidad sobre importancia del control y la auditoría de TI. 
• Enlaza los objetivos y estrategias de los negocios con la estructura de control de la TI, como factor crítico de éxito 
• Aplica a todo tipo de organizaciones independiente de sus plataformas de TI 
• Ratifica la importancia de la información, como uno de los recursos más valiosos de toda organización exitosa

• COSO : (Committe Of Sponsoring Org. of the Treadway Commission) 
• OECD : (Organizarion for Economic Cooperation and Development) 
• ISO 9003 : (International Standars Organization) 
• NIST : (National Institute of Standars and Technology) 
• DTI : (Departament of Trade and Industry of the U.K´) 
• ITSEC : (Information Technology Security Evaluation Criteria - Europa) 
• TCSEC : (Trusted Computer Evaluación Criteria - Orange Book- E.U) 
• IIA SAC : (Institute of Internal Auditors - Systems Auditability and Control) 
• IS : Auditing Standars Japón

 

Para satisfacer los objetivos del negocio la información debe cumplir con criterios que COBIT extrae de los más reconocidos modelos:

 

REGLA DE ORO DEL COBIT

 

A fin, de proveer la información que la organización requiere para lograr sus objetivos, los recursos de TI deben ser administrados por un conjunto de procesos, agrupados de forma adecuada y normalmente aceptada.

 

¿POR QUÉ COBIT?
La Tecnología se ve como un costo, no hay una terminología común con el negocio, y se recorta el presupuesto en la seguridad, ya que la falta de difusion de normas y buenas prácticas que ayuden a generar conciencia de los riesgos mantiene la quimera del :

 

“ A mi no me va pasar..”

 

Gobierno de Tecnología de Información El rol de la Dirección

 

La Dirección, a través de su Gobierno Corporativo debe garantizar la debida diligencia por parte de todos los individuos involucrados en la administración, uso, diseño, desarrollo, mantenimiento u operación de los sistemas de información.

 

 

QUIÉNES  NECESITAN  REGLAS  DE JUEGO DEFINIDAS?

• Los Mandos Gerenciales para saber que deben exigir, como medir los resultados y cuales son sus responsabilidades en esos temas.  
• Balancear el riesgo y la inversión en control de un ambiente a menudo impredecible. 
• El Auditor para sustentar sus opiniones sobre los riesgos y la adecuación de la tecnología a las mejores prácticas. Ser asesores proactivos del negocio

 ADEMÁS...

 

• El Área usuaria para saber que puede pedir a tecnología y que se le va a exigir sobre el control de los procesos del negocio. Son los interesados en saber si los recursos de Tecnología de Información se utilizan adecuadamente y les ayudan a alcanzar sus objetivos 
• El Gerente de Tecnología para definir un acuerdo de servicios y justificar su inversión 
• Los Organismos estatales de control, para saber que es lo mínimo que pueden exigir.

 ORIENTACIÓN DE COBIT

Su orientación hacia el negocio consiste en vincular objetivos de negocio con objetivos de TI, facilitar métricas y modelos de madurez para medir su éxito, e identificar las responsabilidades asociadas del negocio y los propietarios de los procesos de TI.

 

“ENFOCADO EN EL NEGOCIO, ORIENTADO A PROCESO, BASADO EN CONTROLES Y DIRIGIDO POR MEDIDAS.”

 

DEFINICIONES

CONTROL	Las Políticas, Procedimientos, Prácticas y Estructuras Organizacionales, diseñadas para asegurar razonablemente el logro de los objetivos del negocio y que los eventos indeseables serán prevenidos o detectados o corregidos.
Objetivos de Control de IT	Son declaraciones del resultado esperado o del propósito a lograr mediante la implementación de los controles en una actividad de IT específica.

 

PRINCIPIOS

Efectividad	Se refiere a la información que es relevante para el negocio y que debe ser entregada de manera correcta, oportuna, consistente y usable.
Eficiencia	Se refiere a la provisión de información a través del óptimo (más productivo y económico) uso de los recursos.
Confidencialidad	Relativa a la protección de la información sensitiva de su revelación no autorizada.
Integridad	Se refiere a la exactitud y completitud de la información, así como su validez, en concordancia con los valores y expectativas del negocio.
Disponibilidad	Se refiere a la que la información debe estar disponible cuando es requerida por los procesos del negocio ahora y en el futuro. Involucra la salvaguarda de los recursos y sus capacidades asociadas.
Cumplimiento	Se refiere a cumplir con aquellas leyes, regulaciones y acuerdos contractuales, a los que están sujetos los procesos del negocio.
Confiabilidad	Se refiere a la provisión de la información apropiada a la alta gerencia, para operar la entidad y para ejercer sus responsabilidades finacieras y de cumplir con los reportes de su gestión.

 

NECESIDAD DE RESPUESTA A LOS RETOS DE  TI

 

Los 7 retos

• Qué no se interrumpa el servicio 
• Qué aporte valor 
• Administrar los costos 
• Dominar la complejidad 
• Alineación con el Negocio 
• Cumplimiento de Regulaciones 
• Seguridad.

BUEN GOBIERNO DE TI

Los 4 principios:

• Dirigir y controlar  
• Con responsabilidad 
• Con imputabilidad (Accountability) 
• Mediante actividades (Procesos)

Los participantes (stakeholders):

• Internos  
• Externos

Las 5 áreas:

• Alineación estratégica 
• Aportación de Valor 
• Gestión de Riesgos 
• Gestión de Recursos 
• Medidas de Rendimiento

 Las 5 ventajas: 

• Confanza de la Alta Diección  
• TI es co-responsable al negocio 
• Retorno de Inversión Superior 
• Servicios más confiables 
• Mayor transparencia

 MARCOS DE BUEN GOBIERNO Y DE TI

 

Las 5 características generales de un buen marco:

• Enfocado al Negocio 
• Orientado a Procesos 
• Generalmente aceptado 
• Utilice un lenguaje común 
• Cumpla con los requisitos regulatorios

 Propuesta de Solución

 

 Expectativas sobre COBIT

 

Alta Gerencia:

 

Utilizar los procesos de COBIT para lograr un lenguaje común entre el negocio y TI y asignar responsabilidades claras

 

Gerencias Usuarias:

 

Utilizar los objetivos de control de COBIT para determinar las necesidades que serán cubiertas por los Acuerdos de Niveles de Servicio

Auditoría Interna:

 

Utilizar los objetivos de control de COBIT como un criterio para evaluar y definir el alcance a revisar

 

Gerente TI:

 

Utilizar los objetivos de control de COBIT para:

1. Estructurar los procesos  
2. Establecer objetivos de los procesos 
3. Medir el desempeño de los procesos / gestión 
4. Generar políticas y procedimientos