Sin ttulo de diapositiva

COBIT Y SUS ALCANCES

Cr. Leonardo Sena Mayans CISA CIAReconocida como lder mundial en el gobierno, control y evaluacin de TI.

PRESENTACIN INSTITUCIONALNDICEINTRODUCCINEL PRODUCTO COBITPRESENTACIN DEL MTODOEXPLICACIN DEL MTODOCONCLUSIONESNDICEINTRODUCCINEL PRODUCTO COBITPRESENTACIN DEL MTODOEXPLICACIN DEL MTODOCONCLUSIONES Control OBjectivesforInformation and Related Technology (Objetivos de Control para Tecnologa de la Informacin y Tecnologas relacionadas)DEFINICINDEFINICINCOBIT es un modelo de gestin y control de TI, con el objetivo de consensuar: los riesgos del negociolas necesidades de control y los aspectos tecnolgicos, mediante la entrega de buenas prcticas aplicables a una estructura lgica de procesos y actividadesInvestigar, desarrollar, publicitar y promover un actualizado, confiable e internacionalmente aceptado conjunto de Objetivos para el control de TI, a ser utilizados en el desarrollo habitual de las operaciones tanto por gerentes del negocio, como por auditores.MISINCARACTERSTICASOrientado al negocioAlineado con estndares y regulaciones de facto (COSO, IFAC, IIA, ISACA, AICPA)ntegro (basado en una revisin crtica y analtica de las tareas y actividades en TI)FlexibleRazones que me llevan a considerar implantar un modelo de gestin de TIDependencia creciente del negocio frente a la informacinLa Tecnologa soporta la cuasi totalidad de los procesos del negocioLos desarrollos constantes en TI y en las prcticas de negocioLa responsabilidad por el uso de la tecnologa se extiende en la organizacinLos cambios ms importantes se realizan pero igual contina la presin hacia el cambioNivel de inversiones en tecnologaRazones que me llevan a considerar implantar un modelo de gestin de TIConstante aumento de vulnerabilidades y un amplio espectro de amenazas.

Potencial de TI para efectuar cambios profundos en las organizaciones, crear nuevas oportunidades de negocios y reducir los costos

Incremento de la necesidad de contar con un modelo adecuado de gobernabilidad corporativa (corporate governance)

Nuevas normativas (Sarbanes-Oxley act, comunicacin 2003/179)Quin necesita un modelo de gestin y control de TI ? Gerentesdecisiones de inversin en TIequilibrar riesgo y control de las inversionesbenchmark entre la situacin de TI actual y la deseada Usuariosobtencin de una seguridad adecuada sobre los productos y servicios de TI que ellos adquieren, internamente y externamente Auditoresfundamentar las opiniones vertidas a la gerencia en materia de control internoaconsejar sobre los controles mnimos necesariosNDICEINTRODUCCINEL PRODUCTO COBITPRESENTACIN DEL MTODOEXPLICACIN DEL MTODOCONCLUSIONESCOBIT 3ra EDICINResumen EjecutivoMarco Referencial-Esquema Objetivos de Alto NivelLineamientos GerencialesObjetivos de Control DetalladosGuas de AuditoraModelos de MadurezFactores Crticos de xitoIndicadores Clave de RendimientoIndicadores Clave de LogrosHerramientas de implementacinExecutive Summary -- Presentacin del mtodoFramework -- Explicacin del mtodoControl Objectives -- Controles mnimosAudit Guidelines -- Como auditarManagement Guidelines -- Como medir la performanceImplementation Guide -- Como implementar el mtodoELEMENTOSProyecto COBITSteering Comitteerepresentantes de distintos mbitosCoordinacinISACAFGrupos de investigacinUSA, Europa y AustraliaNDICEINTRODUCCINEL PRODUCTO COBITPRESENTACIN DEL MTODOEXPLICACIN DEL MTODOCONCLUSIONESPRINCIPIOSEl enfoque del control en TI se lleva a cabo visualizando la informacin necesaria para dar soporte a los procesos de negocio y considerando a la informacin como el resultado de la aplicacin combinada de recursos relacionados con las TI que deben ser administrados por procesos de TI.

PRINCIPIOSREQUERIMIENTOS DE INFORMACIN DEL NEGOCIORECURSOSDE TIPROCESOS DE TIRequerimientos de la Informacin para el Negocio Requerimientos de Calidad

Requerimientos Financieros (COSO)Requerimientos de Seguridad

Efectividad y eficiencia operacional.Confiabilidad de los reportes financieros.Cumplimiento de leyes y regulaciones.Calidad.Costo.Oportunidad.Confidencialidad.Integridad.Disponibilidad.Requerimientos de la Informacin para el Negocio Efectividad: La informacin debe ser relevante y pertinente para los procesos del negocio y debe ser proporcionada en forma oportuna, correcta, consistente y utilizable Eficiencia: Se debe proveer informacin mediante el empleo ptimo de los recursos (la forma ms productiva y econmica)Confidencialidad: Proteccin de la informacin sensitiva contra divulgacin no autorizadaIntegridad: Refiere a lo exacto y completo de la informacin as como a su validez de acuerdo con las expectativas de la empresa.Requerimientos de la Informacin para el Negocio Disponibilidad: accesibilidad a la informacin cuando sea requerida por los procesos del negocio y la salvaguarda de los recursos y capacidades asociadas a los mismos.

Cumplimiento: de las leyes, regulaciones y compromisos contractuales con los cuales est comprometida la empresa.

Confiabilidad: proveer la informacin apropiada para que la administracin tome las decisiones adecuadas para manejar la empresa y cumplir con las responsabilidades de los reportes financieros y de cumplimiento normativo.Datos: Todos los objetos de informacin. Considera informacin interna y externa, estructurada o n, grficas, sonidos, etc.Aplicaciones: entendido como los sistemas de informacin, que integran procedimientos manuales y sistematizados.Tecnologa:incluye hardware y software bsico, sistemas operativos, sistemas de administracin de bases de datos, de redes, telecomunicaciones, multimedia, etc.Instalaciones:Incluye los recursos necesarios para alojar y dar soporte a los sistemas de informacin.Recursos Humanos: Por la habilidad, conciencia y productividad del personal para planear, adquirir, prestar servicios, dar soporte y monitorear los sistemas de Informacin.RECURSOS DE TIPROCESOS DE TILos recursos de las Tecnologas de la Informacin (TI) se han de gestionar mediante un conjunto de procesos agrupados de forma natural para que proporcionen la informacin que la empresa necesita para alcanzar sus objetivos.

PROCESOS DE TILos procesos se agrupan en dominios:

Planeacin y Organizacin (Planning and Organization)Adquisicin e implementacin (Acquisition and Implementation)Prestacin de Servicios y Soporte (Delivery and Support)Seguimiento (monitoring)

ProcesosActividades o tareasDominiosAgrupacin natural de procesos, normalmente corresponden a un dominio o una responsabilidad organizacional

Conjuntos o series de actividades unidas con delimitacin o cortes de control.

Acciones requeridas para lograr un resultado medible. Las actividadestienen un ciclo de vida mientras que las tareas son discretas.

PROCESOS DE TIAdquisicin eImplementacinIdentificacin de solucionesAdquisicin y mantenimiento de SW aplicativoAdquisicin y mantenimiento de arquitectura TIDesarrollo y mantenimiento de Procedimientos de TIInstalacin y Acreditacin de sistemasAdministracin de CambiosPlaneacin y OrganizacinDefinir un plan estratgico de TIDefinir la arquitectura de informacinDeterminar la direccin tecnolgicaDefinir la organizacin y relaciones de TIManejo de la inversin en TIComunicacin de la directrices GerencialesAdministracin del Recurso HumanoAsegurar el cumplir requerimientos externosEvaluacin de RiesgosAdministracin de ProyectosAdministracin de CalidadPROCESOS DE TIServicios y SoporteDefinicin del nivel de servicioAdministracin del servicio de tercerosAdministracin de la capacidad y el desempeoAsegurar el servicio continuoGarantizar la seguridad del sistemaIdentificacin y asignacin de costosCapacitacin de usuariosSoporte a los clientes de TIAdministracin de la configuracinAdministracin de problemas e incidentesAdministracin de datosAdministracin de InstalacionesAdministracin de OperacionesSeguimientoSeguimiento de los procesosEvaluar lo adecuado del control InternoObtener aseguramiento independienteProveer una auditora independientePROCESOS DE TIINFORMACIN

Efectividad Eficiencia Confidencialidad Integridad Disponibilidad Cumplimiento Confiabilidad

EVENTOS

Objetivos de negocioOportunidades de negocioRequerimientos externosRegulacinRiesgosDatosApplicacionesTecnologaInstalacionesRecursos HumanosESTRUCTURA NDICEINTRODUCCINEL PRODUCTO COBITPRESENTACIN DEL MTODOEXPLICACIN DEL MTODOCONCLUSIONESRecursos de TICalidadFiduciarioSeguridadCriterios de InformacinProcesos de TIDatosSistemas de AplicacinPersonalTecnologaInstalacionesDominiosProcesosActividadesVista de los UsuariosVista de la DireccinVista de la Gerencia de TI y especialistas CUBO COBITRecursos de TIDatos, AplicacionesTecnologa, Instalaciones, Recurso Humano Req. InformacinEfectividad, Eficiencia, Confidencialidad, Integridad, Disponibilidad, Cumplimiento, ConfiabilidadCobiTObjetivos del NegocioPlaneacin y OrganizacinDefinir un plan estratgico de TIDefinir la arquitectura de informacinDeterminar la direccin tecnolgicaDefinir la organizacin y relaciones de TIManejo de la inversin en TIComunicacin de la directrices GerencialesAdministracin del Recurso HumanoAsegurar el cumplir requerimientos externosEvaluacin de RiesgosAdministracin de ProyectosAdministracin de CalidadAdquisicin eImplementacinIdentificacin de solucionesAdquisicin y mantenimiento de SW aplicativoAdquisicin y mantenimiento de arquitectura TIDesarrollo y mantenimiento de Procedimientos de TIInstalacin y Acreditacin de sistemasAdministracin de CambiosSeguimientoSeguimiento de los procesosEvaluar lo adecuado del control InternoObtener aseguramiento inndependienteProveer una auditora independienteServicios y SoporteDefinicin del nivel de servicioAdmistracin del servicio de tercerosAdministracin de la capacidad y el desempeoAsegurar el servicio continuoGarantizar la seguridad del sistemaIdentificacin y asignacin de costosCapacitacin de usuariosSoporte a los clientes de TIAdministracin de la configuracinAdministracin de problemas e incidentesAdministracin de datosAdministracin de InstalacionesAdministracin de OperacionesMARCO DE REFERENCIAProcesos del NegocioRecursos de TI

DatosAplicacionesTecnologaInstalacionesRecurso HumanoInformacinLo que usted ObtieneLo que Usted NecesitaCriterios

Efectividad Eficiencia Confidencialidad Integridad Disponibilidad Cumplimiento ConfiabilidadConcuerdan?MARCO DE REFERENCIAPrcticasDe ControlObjetivosDe controlRequerimientosde negociosProcesos de TIEl control deque satisfacense habilitan porDiagrama de cascadaASISTENTE DE NAVEGACINpersonasaplicacionestecnologainstalacionesdatosTres posiciones ventajosasCriterios de informacinProcesosde TIRecursosde TIefectividadeficienciaConfidencialidadintegridaddisponibilidadcumplimientoconfiabilidad S P Declaraciones de Control Prcticas de Control es habilitado por lasconsiderando lasProcesos de TIEl contol de los Requerimientosde Negocio que satisface losPlanificacin yOrganizacinAdquisicin eImplementacinEntrega ySoporteMonitoreoVnculo entre Procesos, Recursos y CriteriosEl control sobre el proceso de:administrar la seguridad de los sistemasSatisface los requerimientos del negocio:salvaguardar informacin contra uso, difusin o modificaciones no autorizadas, dao o prdidaConsiderando:autorizacin, autenticacin, uso de perfiles e identificaciones, firewalls, deteccin y proteccin de virus, manejo de incidentes, etc.Es posible por:controles de acceso lgico que aseguren que el acceso a sistemas, datos y programas se encuentra restringido a usuarios autorizadosOrganizacin y planeacinAdquisicin e implementacinMonitoreoEntrega y soporteefectividadeficienciaConfidencialidadintegridaddisponibilidadcumplimientoconfiabilidadSSSPPOBJETIVOS DE CONTROL DE ALTO NIVEL: DS5personasaplicacionestecnologainstalacionesdatosAdministrar Medidas de SeguridadIdentificacin, Autenticacin y AccesoSeguridad de Acceso a Datos en LneaAdministracin de Cuentas de UsuarioRevisin Gerencial de Cuentas de UsuarioControl de Usuarios sobre Cuentas de UsuarioVigilancia de SeguridadClasificacin de DatosIdentificacin y administracin de asignacin de derechosReportes de Violacin y de Actividades de SeguridadManejo de IncidentesReacreditacinConfianza en ContrapartesAutorizacin de transaccionesNo negacinSendero SeguroProteccin de funciones de seguridadAdministracin de Llaves CriptogrficasPrevencin, Deteccin y Correccin de Software "MaliciosoArquitectura de Fire Walls y conexin a redes pblicasProteccin de Valores ElectrnicosActividades de ControlNDICEINTRODUCCINEL PRODUCTO COBITPRESENTACIN DEL MTODOEXPLICACIN DEL MTODOCONCLUSIONESCOBIT DISPONIBILIZA MLTIPLES ENFOQUESLa Gerencia: para apoyar sus decisiones de inversin en TI y control sobre el rendimiento de las mismas, analizar el costo beneficio del control.Los Usuarios Finales: quienes obtienen una garanta sobre la seguridad y el control de los productos que adquieren interna y externamenteLos Auditores : para soportar sus opiniones sobre los controles de los proyectos de TI , su impacto en la organizacin y determinar el control mnimo requerido.Los Responsables de TI: para identificar los controles que requieren en sus reas

COBIT PERMITEPosibilidad de aplicar las prcticas en un amplio espectro de sistemas de informacin, independientemente de la tecnologa empleada

Cumplimiento de las generalmente aplicables y aceptadas prcticas para el control de TI

Aumentar el valor de la empresa

Gestin orientada hacia el enfoque de dueos de procesos

Alineacin de objetivos de TI con objetivos del negocio

Utilizacin eficiente y eficaz de los recursos de TI

Gestin medible y auditableCOBIT NECESITACONCIENTIZACIN, CAPACITACIN Y ENTRENAMIENTOADAPTACIN A MI ORGANIZACINSER COMPLEMENTADA CON OTROS MODELOS QUE ME PERMITAN CONTAR CON UN GOBIERNO CORPORATIVO ADECUADOFIJAR ROLES Y RESPONSABILIDADESPREGUNTAS???????????MUCHAS GRACIAS

WWW.ISACA.ORGWWW.ISACA.ORG.UY