COBIT Objetivos de Control para la Información y Tecnología Relacionada (COBIT) es un marco creado por ISACA para tecnología de la información (IT) de.

Presentación del tema: "COBIT Objetivos de Control para la Información y Tecnología Relacionada (COBIT) es un marco creado por ISACA para tecnología de la información (IT) de."— Transcripción de la presentación:

1

2 COBIT Objetivos de Control para la Información y Tecnología Relacionada (COBIT) es un marco creado por ISACA para tecnología de la información (IT) de gestión y gobierno de TI. Es un conjunto de herramientas de soporte que permite administradores para cerrar la brecha entre las necesidades de control, cuestiones técnicas y riesgos de negocio. Como objetivo "investigar, desarrollar, publicar y promover un, conjunto autorizado, hasta al día internacional de aceptación general de control de tecnología de la información objetivos para el uso del día a día a los gerentes de empresas, profesionales de TI y profesionales de aseguramiento

3 EL MARCO COBIT La orientación empresarial de COBIT consiste en vincular los objetivos de negocio con las metas de TI, brindando métricas y modelos de madurez para medir sus logros, e identificando las responsabilidades asociadas de los dueño El enfoque se ilustra con un modelo de proceso que subdivide en cuatro dominios (planificar y organizar, adquirir e implementar, Entrega y Soporte, y del seguimiento y evaluación) de negocios y de procesos de TI. y 34 procesos de acuerdo a las áreas de responsabilidad de planear, construir, ejecutar y monitorear. Se coloca en un alto nivel y se ha alineado y armonizado con otras,, normas más detalladas de TI y las buenas prácticas, tales como COSO, ITIL, ISO 27000, CMMI, TOGAF y PMBOK. COBIT actúa como un integrador de todos estos materiales guía, resumiendo los objetivos clave bajo un mismo marco general que vinculan los modelos de buenas prácticas con los requerimientos de gobierno y de negocios.

4 PROGRAMAS COBIT ha tenido cinco versiones principales: En 1996, la primera edición de COBIT fue puesto en libertad. En 1998, la segunda edición añade "Control". En 2000, la tercera edición se publicó "Directrices de Gestión". En 2003, una versión en línea se convirtió disponibles. En diciembre de 2005, la cuarta edición fue lanzado inicialmente. En mayo de 2007, la revisión 4.1 fue lanzado. COBIT 5 fue lanzado en 2012 junio consolida e integra el COBIT 4.1, Val IT 2.0 y Risk IT, y también llama significativamente del modelo de negocios para la Seguridad de la Información (BMIS) y ITAF. En diciembre de 2012, un documento add-on fue puesto en libertad, COBIT 5 para la seguridad de la información. En junio de 2013, un segundo documento add-on fue puesto en libertad, COBIT 5 para la garantía.

5 COMPONENTES Los componentes de COBIT incluyen: Marco: Organizar IT objetivos de gobernabilidad y buenas prácticas por dominios de TI y los procesos, y los vincula con los requerimientos del negocio Las descripciones de procesos: Un modelo de procesos de referencia y lenguaje común para todos los miembros de una organización. Los procesos se asignan a las áreas de responsabilidad de planear, construir, ejecutar y monitorear. Los objetivos de control: Proporcionar un conjunto completo de requisitos de alto nivel para ser considerado por la administración para el control efectivo de cada proceso de TI. Directrices de gestión: Ayuda asignar la responsabilidad, ponerse de acuerdo sobre los objetivos, medir el desempeño, e ilustrar la interrelación con otros procesos hacer frente a las lagunas. Los modelos de madurez: Evaluar la madurez y la capacidad por proceso y ayuda para

6 MISIÓN DEL COBIT Buscar, desarrollar, publicar y promover un autoritario y actualizado conjunto internacional de objetivos de control de tecnologías de la información, generalmente aceptadas, para el uso diario por parte de gestores de negocio y auditores. BENEFICIOS COBIT Mejor alineación basado en una focalización sobre el negocio. Visión comprensible de TI para su administración.  Clara definición de propiedad y responsabilidades. Aceptabilidad general con terceros y entes reguladores. Entendimiento compartido entre todos los interesados basados en un lenguaje común. Cumplimiento global de los requerimientos de TI planteados en el Marco de Control Interno de Negocio COSO

7 ESTRUCTURA DEL MODELO COBIT

8 El conjunto de lineamientos y estándares internacionales conocidos como COBIT, define un marco de referencia que clasifica los procesos de las unidades de tecnología de información de las organizaciones en cuatro "dominios" principales, a saber: PLANIFICACION Y ORGANIZACIÓN ADQUISION E IMPLANTACION SOPORTE Y SERVICIOS MONITOREO Estos dominios agrupan objetivos de control de alto nivel, que cubren tanto los aspectos de información, como de la tecnología que la respalda. Estos dominios y objetivos de control facilitan que la generación y procesamiento de la información cumplan con las características de efectividad, eficiencia, confidencialidad, integridad, disponibilidad, cumplimiento y confiabilidad.

9 USUARIOS  La Gerencia: Para apoyar sus decisiones de inversión en TI y control sobre el rendimiento de las mismas, analizar el costo beneficio del control.  Los Usuarios Finales: Quienes obtienen una garantía sobre la seguridad y el control de los productos que adquieren interna y externamente.  Los Auditores: Para soportar sus opiniones sobre los controles de los proyectos de TI, su impacto en la organización y determinar el control mínimo requerido.  Los Responsables de TI: Para identificar los controles que requieren en sus áreas.

10 PRINCIPIOS El enfoque del control en TI se lleva a cabo visualizando la información necesaria para dar soporte a los procesos de negocio y considerando a la información como el resultado de la aplicación combinada de recursos relacionados con las TI que deben ser administrados por procesos de TI  Requerimientos de la información del negocio: Para alcanzar los requerimientos de negocio, la información necesita satisfacer ciertos CRITERIOS:  Requerimientos de Calidad: Calidad, Costo y Entrega.  Requerimientos Fiduciarios: Efectividad y Eficiencia operacional, Confiabilidad de los reportes financieros y Cumplimiento le leyes y regulaciones.

11 Requerimientos de Seguridad: Confidencialidad, Integridad y Disponibilidad

12

13 En COBIT se establecen los siguientes recursos en TI necesarios para alcanzar los objetivos de negocio:

14 COMPONENTES COBIT Resumen Ejecutivo: Es un documento dirigido a la alta gerencia presentando los antecedentes y la estructura básica de COBIT Además, describe de manera general los procesos, los recursos y los criterios de información, los cuales conforman la "Columna Vertebral" de COBIT. Marco de Referencia (Framework): Incluye la introducción contenida en el resumen ejecutivo y presenta las guías de navegación para que los lectores se orienten en la exploración del material de COBIT haciendo una presentación detallada de los 34 procesos contenidos en los cuatro dominios. Objetivos de Control: Integran en su contenido lo expuesto tanto en el resumen ejecutivo como en el marco de referencia y presenta los objetivos de control detallados para cada uno de los 34 procesos.

15 PLANEAR Y ORGANIZAR PO1 Definir el plan estratégico de TI. PO2 Definir la arquitectura de la información PO3 Determinar la dirección tecnológica. PO4 Definir procesos, organización y relaciones de TI. PO5 Administrar la inversión en TI. PO6 Comunicar las aspiraciones y la dirección de la gerencia. PO7 Administrar recursos humanos de TI. PO8 Administrar calidad. PO9 Evaluar y administrar riesgos de TI PO10 Administrar proyectos. PO11Administración de Calidad

16 MONITOREAR Y EVALUAR ME1 Monitorear y evaluar el desempeño de TI. ME2 Monitorear y evaluar el control interno ME3 Garantizar cumplimiento regulatorio. ME4 Proporcionar gobierno de TI. ADQUIRIR E IMPLANTAR AI1 Identificar soluciones automatizadas. AI2 Adquirir y mantener el software aplicativo. AI3 Adquirir y mantener la infraestructura tecnológica AI4 Facilitar la operación y el uso. AI5 Adquirir recursos de TI. AI6 Administrar cambios.

17 PRESTACIÓN Y SOPORTE DS1 Definir y administrar niveles de servicio. DS2 Administrar servicios de terceros. DS3 Administrar desempeño y capacidad. DS4 Garantizar la continuidad del servicio. DS5 Garantizar la seguridad de los sistemas. DS6 Identificar y asignar costos. DS7 Educar y entrenar a los usuarios. DS8 Administrar la mesa de servicio y los incidentes. DS9 Administrar la configuración. DS10 Administrar los problemas. DS11 Administrar los datos. DS12 Administrar el ambiente físico. DS13 Administrar las operaciones

18 CONTROL INTERNO INFORMATICO. El Control Interno Informático puede definirse como el sistema integrado al proceso administrativo, en la planeación, organización, dirección y control de las operaciones con el objeto de asegurar la protección de todos los recursos informáticos y mejorar los índices de economía, eficiencia y efectividad de los procesos operativos automatizados. También se puede definir el Control Interno como cualquier actividad o acción realizada manual y/o automáticamente para prevenir, corregir errores o irregularidades que puedan afectar al funcionamiento de un sistema para conseguir sus objetivos

19 En el ambiente informático, el control interno se materializa fundamentalmente en controles de dos tipos: Controles manuales; aquellos que son ejecutados por el personal del área usuaria o de informática sin la utilización de herramientas computacionales. Controles Automáticos; son generalmente los incorporados en el software, llámense estos de operación, de comunicación, de gestión de base de datos, programas de aplicación, etc.

20 LOS CONTROLES SEGÚN SU FINALIDAD SE CLASIFICAN EN: Controles Preventivos, para tratar de evitar la producción de errores o hechos fraudulentos, como por ejemplo el software de seguridad que evita el acceso a personal no autorizado. Controles Detectivos; trata de descubrir a posteriori errores o fraudes que no haya sido posible evitarlos con controles preventivos. Controles Correctivos; tratan de asegurar que se subsanen todos los errores identificados mediante los controles detectivos.

21 OBJETIVOS PRINCIPALES Controlar que todas las actividades se realizan cumpliendo los procedimientos y normas fijados, evaluar su bondad y asegurarse del cumplimiento de las normas legales. Asesorar sobre el conocimiento de las normas Colaborar y apoyar el trabajo de Auditoría Informática interna/externa Definir, implantar y ejecutar mecanismos y controles para comprobar el grado de cumplimiento de los servicios informáticos. Realizar en los diferentes sistemas y entornos informáticos el control de las diferentes actividades que se realizan.

22 CONTROL INTERNO INFORMÁTICO FUNCIONES Difundir y controlar el cumplimiento de las normas, estándares y procedimientos al personal de programadores, técnicos y operadores. Diseñar la estructura del Sistema de Control Interno de la Dirección de Informática en los siguientes aspectos: Desarrollo y mantenimiento del software de aplicación. Explotación de servidores principales Software de Base Redes de Computación Seguridad Informática Licencias de software Relaciones contractuales con terceros Cultura de riesgo informático en la organización

23 CONTROL INTERNO INFORMÁTICO ÁREAS DE APLICACIÓN Son la base para la planificación, control y evaluación por la Dirección General de las actividades del Departamento de Informática, y debe contener la siguiente planificación: Plan Estratégico de Información realizado por el Comité de Informática. Plan Informático, realizado por el Departamento de Informática. Plan General de Seguridad (física y lógica). Plan de Contingencia ante desastres.

24 CONTROLES DE DESARROLLO Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN Permiten alcanzar la eficacia del sistema, economía, eficiencia, integridad de datos, protección de recursos y cumplimiento con las leyes y regulaciones a través de metodologías como la del Ciclo de Vida de Desarrollo de aplicaciones. o Controles de explotación de sistemas de información o Controles en aplicaciones o Controles en sistemas de gestión de base de datos o Controles informáticos sobre redes o Controles sobre computadores y redes de área local

25 CONTROL INTERNO INFORMATICO El control interno informático controla diariamente que todas las actividades de sistemas de información sean realizadas cumpliendo los procedimientos, estándares y normas fijados por la dirección de la organización y/o la dirección informática, así como los requerimientos legales. La función del control interno informático es asegurarse de que las medidas que se obtienen de los mecanismos implantados por cada responsable sean correctas y válidas.

26 Como principales objetivos podemos indicar los siguientes: Controlar que todas las actividades se realicen cumpliendo los procedimientos y normas fijados, evaluar su bondad y asegurarse del cumplimiento de las normas legales. Asesorar sobre el conocimiento de las normas Colaborar y apoyar el trabajo de Auditoria informática, así como de las auditorías externas al grupo. Definir, implantar y ejecutar mecanismos y controles para comprobar el logro de los graso adecuados del servicio informático, lo cual no debe considerarse como que la implantación de los mecanismos de medida y responsabilidad del logro de esos niveles se ubique exclusivamente en la función de control interno, si no que cada responsable de objetivos y recursos es responsable de esos niveles, así como de la implantación de los medios de medida adecuados..

27 La auditoría informática es el proceso de recoger, agrupar y evaluar evidencias para determinar si un sistema informatizado salvaguarda los activos, mantiene la integridad de los datos, lleva a cabo los eficazmente los fines de la organización y utiliza eficiente mente los recursos.

28 IMPLANTACION DE UN SISTEMA DE CONTROLES INTERNOS INFORMATICOS Para llegar a conocer la configuración del sistema es necesario documentar los detalles de la red, así como los distintos niveles de control y elementos relacionados:  Entorno de red  Configuración del ordenador base  Entorno de aplicaciones  Productos y herramientas  Seguridad del ordenador base

29 Gestión de sistema de información Administración de sistemas Seguridad Gestión del cambio Para la implantación de un sistema de controles internos informáticos habrá que definir: