Charla: Más Allá del Cumplimiento Instructor: Ing. Melvin González Quesada. MBA

Agenda Gobierno de TI: Cumplimiento Regulatorio Integración de Marcos de Referencia Beneficios potenciales Automatización: Demostración de ServiceNow

Cumplimiento Regulatorio Qué significa esto en la práctica: En el mercado global de hoy en día, con el apoyo del Internet y tecnologías avanzadas, las empresas necesitan cumplir con un creciente número de requerimientos legales y de regulación. Debido a escándalos corporativos y fallas financieras en los últimos años, hay una conciencia mayor por parte de las juntas directivas sobre el cumplimiento regulatorio y leyes más severas. Los inversionistas necesitan seguridad de que las empresas cumplen con estos requerimientos regulatorios en conformidad con una buena prácticas de gobierno corporativo. Adicionalmente ya que TI ha facilitado la implementación y automatización de procesos entre empresas (socios, proveedores, clientes) hay una necesidad mayor de considerar en los contratos cláusulas de privacidad, confidencialidad, propiedad intelectual y seguridad de la información.

Cumplimiento Regulatorio Qué significa esto en la práctica: Los directivos necesitan entender que el cumplimiento de estos requerimientos regulatorios externos deben ser tratados dentro del planeamiento estratégico en lugar de un gasto obligatorio. Ellos necesitan establecer políticas y procedimientos para que sean seguidos por el personal de la empresa, y asegurarse que: los objetivos de la empresa son alcanzados, el riesgo mitigado y el cumplimiento alcanzado. La alta gerencia debe alcanzar un apropiado balance entre desempeño y cumplimiento, asegurando que las metas de desempeño no pongan en riesgo el cumplimiento y en el otro sentido que el apego estricto a cumplimiento no restrinja de sobremanera la operación del negocio

Cumplimiento Regulatorio Cumplimiento de Leyes y Regulaciones sobre TI en Costa Rica Norma Técnica para la Gestión y Control de Tecnologías de Información en las instituciones públicas ( N-2-2007-CO-DFOE) de la Contraloría General de la República SUGEF 14-09 Para instituciones financieras supervisadas

Cumplimiento Regulatorio Normativa 14-09 de la Superintendencia General de Entidades Financieras (SUGEF) Artículo 1. Objeto Este reglamento tiene por objeto la definición de los criterios y metodología para la evaluación y calificación de la gestión de la tecnología de información (TI). Artículo 6. Marco para la Gestión de TI La entidad debe diseñar, implementar y mantener un marco para la gestión de la tecnología de información.

Cumplimiento Regulatorio Normativa 14-09 de la Superintendencia General de Entidades Financieras (SUGEF) Artículo 9. Marco Referencial La evaluación de la Gestión de TI se basará en el marco conceptual de la versión 4.0 de Cobit®, considerando sus cuatro dominios: Planear y Organizar, Adquirir e Implementar, Entregar y Dar Soporte, y Monitorear y Evaluar. Se consideran dentro del alcance los 34 procesos dependiendo de algunas consideraciones como por ejemplo : La entidad que contrate parte o la totalidad de sus procesos a proveedores locales o extranjeros de tecnologías de información deben incluir obligatoriamente el proceso DS2 “Administrar los servicios de terceros” dentro de su marco para la gestión de TI.

Beneficios de COBIT Mejor alineación, con base en su enfoque de negocios Una visión, entendible para la gerencia, de lo que hace TI Propiedad y responsabilidades claras, con base en su orientación a procesos Aceptación general de terceros y reguladores Entendimiento compartido entre todos los participantes, con base en un lenguaje común Cumplimiento de los requerimientos COSO para el ambiente de control de TI

Cumplimiento Regulatorio Nivel de Madurez Requerido Procesos COBIT® Primera Auditoría Externa Segunda Auditoría Externa Auditorías subsecuentes PO9 Evaluar y administrar los riesgos de TI Nivel madurez mínimo requerido: tres PO10 Administrar proyectos AI6 Administrar cambios DS2 Administrar los servicios de terceros DS4 Garantizar la continuidad del servicio DS5 Garantizar la seguridad de los sistemas DS11 Administrar los datos ME2 Monitorear y evaluar el control interno PO1 Definir un plan estratégico de TI Nivel madurez mínimo requerido: dos PO3 Determinar la dirección tecnológica PO5 Administrar la inversión en TI AI3 Adquirir y mantener infraestructura tecnológica AI5 Adquirir recursos de TI DS3 Administrar el desempeño y la capacidad DS 9 Administrar la configuración DS10 Administrar los problemas DS12 Administrar el ambiente físico Resto de los procesos que integran el marco para la gestión de TI Nivel madurez mínimo requerido: uno Nivel madurez mínimo requerido: tres Fuente: Reglamento SUGEF 14-09 v6

Cumplimiento Regulatorio Proceso AI6 Administrar los cambios: Todos los cambios, incluyendo el mantenimiento de emergencia y parches, relacionados con la infraestructura y las aplicaciones dentro del ambiente de producción, deben administrarse formalmente y controladamente. Los cambios (incluyendo procedimientos, procesos, sistema y parámetros del servicio) se deben registrar, evaluar y autorizar previo a la implantación y revisar contra los resultados planeados después de la implantación.

Cumplimiento Regulatorio AI6 Administrar cambios AI6.1 Estándares y procedimientos para cambios Establecer procedimientos de administración de cambio formales para manejar de manera estándar todas las solicitudes (incluyendo mantenimiento y parches) para cambios a aplicaciones, procedimientos, procesos, parámetros de sistema y servicio, y las plataformas fundamentales. ¿Cómo?

Integración de Marcos de Referencia

Integración de Marcos de Referencia

Integración Marcos de Referencia Fuente: Informe 2012 de Prácticas y Salarios Help Desk Institute

Integración de Marcos de Referencia ITIL (IT Infrastructure Library) Es una colección de libros que contienen buenas prácticas de gestión de TI (Tecnología de Información) El objetivo fundamental de ITIL es alinear el negocio y Tecnologías de la Información, permitiendo a las organizaciones implementar lo que es relevante para sus negocios.

Integración de Marcos de Referencia Fases del Ciclo de Vida de un Servicio de TI según ITIL Estrategia del Servicio Diseño del Servicio Transición del Servicio Operación del Servicio Mejora continua del Servicio

Integración de Marcos de Referencia Fase Transición del Servicio Soporta la migración de los servicios desde su etapa de Diseño a su etapa de producción Asegura el mínimo impacto no deseado al negocio Procesos Planificación y Soporte de la Transición Gestión de Cambios Gestión de Configuración y Activos del Servicio Gestión de Entregas y Despliegues Validación y pruebas del servicio Evaluación Gestión del conocimiento

Integración de Marcos de Referencia Gestión de Cambios Registro Evaluar Autorizar Planear Coordinar Implementación Implementar Revisar Objetivo de Control AI6

Integración de Marcos de Referencia Integración de Procesos de ITIL Change Management Problem Management Configuration DS9. Administrar la Configuración DS10. Administrar los problemas

Integración de Marcos de Referencia Mapa de Procesos de ITIL

Beneficios de Implementar ITIL Alinea los servicios de tecnología con las prioridades del negocio. Lo que significa que el negocio alcanza más fácilmente sus metas estratégicas. Logra establecer costos de tecnología conocidos y administrados, lo que le permite al negocio planear mejor sus finanzas. Incrementa la productividad del negocio, la eficiencia y la efectividad ya que los servicios de tecnología son más confiables y predecibles. Ahorros significativos debido a la reducción del re-trabajo Una imagen mejorada ante los clientes debido a la alta calidad de los servicios.

Beneficios de Implementar ITIL RENTABILIDAD Las buenas prácticas se basan fuertemente en la estandarización. Cuando las configuraciones de Hardware y Software ganan consistencia y los procesos de TI están documentados y son repetibles, la automatización puede ser usada para cambiar la economía de la gestión de TI. La automatización reduce tanto el tiempo de desarrollo como de mantenimiento. Con menos tiempo dedicado a mantener y reparar los sistemas se reducen los costos operativos. Cuando el personal de TI maneja mayores cantidad de trabajo, o realiza el mismo trabajo con menos personal el costo por actividad baja considerablemente

Beneficios de Implementar ITIL CONFIABILIDAD Cuando se mantienen configuraciones incorrectas o se realizan actualizaciones sin la planeación adecuada puede resultar en degradación de servicio y pérdida de tiempo para los clientes, lo que conlleva una disminución en la reputación, o directamente en la facturación de la empresa. En lugar de reaccionar todo el tiempo (apagar incendios) TI debería enfocarse en definir el proceso más adecuado para prevenir en el mayor grado posible esos problemas. Con buenas prácticas establecidas se ha demostrado un incremento en la cantidad de cambios e instalaciones exitosas.

Beneficios de la Integración de Marcos de Referencia Entonces por qué es necesario implementar estos marcos de referencia: “ El uso de la tecnología tiene el potencial de convertirse en el mayor conductor de salud financiera para las empresas en el siglo 21. TI ha tomado un papel protagónico en la estrategia de las empresas, pues provee oportunidades para obtener ventaja competitiva y ofrecer medios para incrementar la productividad, y esto será aún más evidente en el futuro” Fuente ITGI. Resumen de la Junta sobre Gobierno de TI. USA. 2003

Beneficios de la Integración de Marcos de Referencia “Los proveedores de servicios de tecnología no pueden darse el lujo de enfocarse únicamente en la tecnología y su organización interna, ahora deben considerar la calidad de los servicios que proveen y enfocarse en la relación con sus clientes” Jim Alderdice CIO State of New York

Retos de hoy para implementar estos marcos de referencia El crecimiento en el uso de estándares y marcos de referencias basados en buenas prácticas crean nuevos retos y demanda por asesoría en implementación, por ejemplo: Crear conciencia de los objetivos del negocio y los beneficios para el negocio de estos marcos de referencia. Soportar la toma de decisiones sobre cuáles prácticas utilizar e integrar con políticas y procedimientos internos Personalizar las buenas prácticas para cumplir requerimientos propios del negocio. Identificar herramientas para administrar y automatizar estas buenas prácticas.

Herramientas para Gestión de TI

Herramientas para Gestión de TI Demostración de ServiceNow

Contacto: Ing. Melvin González Quesada. MBA. ITIL Expert. Director de Consultoría Email: melvin.gonzalez@consigecr.com www.consigecr.com