Sistemas de Información para la Gestión

Transcripción

1 Sistemas de Información para la Gestión UNIDAD 5_Tema 1: Procesos de TI U.N.Sa. Facultad de Cs.Económicas SIG 2013

2 UNIDAD 5: SERVICIOS DE TECNOLOGÍA DE INFORMACIÓN 1. Procesos de TI: Planeamiento y Organización. Adquisición e Implementación. Entrega y Soporte. Monitoreo y evaluación. 2. Organización de TI. Funciones. Segregación de tareas. 3. Entrega y Soporte : Servicios, niveles y asignación de costos 4. Desempeño de TI. Métricas. Aspectos regulatorios. Monitoreo y seguimiento 5. Construcción y administración de sistemas. Desarrollo de sistemas y cambio organizacional.

3 Gobernabilidad de TI COBIT Control OBjectives for Information and related Technology ser orientado a negocios, el marco de trabajo COBIT se creó con las características principales de orientado a procesos, basado en controles e impulsado por mediciones.

4 Gobernabilidad de TI El marco de trabajo COBIT se basa en el siguiente principio (Figura 5): Para proporcionar la información que la empresa requiere para lograr sus objetivos, la empresa necesita invertir en, y administrar y controlar los recursos de TI usando un conjunto estructurado de procesos que provean los servicios que entregan la información empresarial requerida. El marco de trabajo COBIT ofrece herramientas para garantizar la alineación con los requerimientos del negocio.

5 Gobernabilidad de TI Metas de TI La Figura 6 ilustra como la estrategia de la empresa se debe traducir por parte del negocio en objetivos relacionados con iniciativas habilitadas por TI (Las metas de negocio para TI). Estos objetivos a su vez, deben conducir a una clara definición de los propios objetivos de TI (las metas de TI), y luego éstas a su vez definir los recursos y capacidades de TI (la arquitectura empresarial para TI) requeridos para ejecutar, de forma exitosa la parte que le corresponde a TI de la estrategia empresarial

6 Gobernabilidad de TI Procesos de TI Para gobernar efectivamente TI, es importante determinar las actividades y los riesgos que requieren ser administrados. Normalmente se ordenan dentro de dominios de responsabilidad de plan, construir, ejecutar y Monitorear. Dentro del marco de COBIT, estos dominios, como se muestra en la Figura 8, se llaman: Planear y Organizar (PO) Proporciona dirección para la entrega de soluciones (AI) y la entrega de servicio (DS). Adquirir e Implementar (AI) Proporciona las soluciones y las pasa para convertirlas en servicios. Entregar y Dar Soporte (DS) Recibe las soluciones y las hace utilizables por los usuarios finales. Monitorear y Evaluar (ME) -Monitorear todos los procesos para asegurar que se sigue la dirección provista.

7 Gobernabilidad de TI Controles de TI TI es responsable de: Automatizar e implementar los requisitos de las funciones de negocio y de control Establecer controles para mantener la integridad de controles de aplicación. Por lo tanto, los procesos de TI de COBIT abarcan a los controles generales de TI, pero sólo los aspectos de desarrollo de los controles de aplicación; la responsabilidad de definir y el uso operativo es de la empresa.

8 Gobernabilidad de TI Mediciones de TI El tema de procesos de TI es esencialmente complejo y subjetivo, por lo tanto, es más fácil abordarlo por medio de evaluaciones fáciles que aumenten la conciencia, que logren un consenso amplio y que motiven la mejora. Estas evaluaciones se pueden realizar ya sea contra las descripciones del modelo de madurez como un todo o con mayor rigor, en cada una de las afirmaciones individuales de las descripciones. De cualquier manera, se requiere experiencia en el proceso de la empresa que se está revisando.

9 Gobernabilidad de TI Orientado a procesos Dentro del marco de COBIT, estos dominios, como se muestra en la Figura 8, se llaman: Planear y Organizar (PO) Proporciona dirección para la entrega de soluciones (AI) y la entrega de servicio (DS). Adquirir e Implementar (AI) Proporciona las soluciones y las pasa para convertirlas en servicios. Entregar y Dar Soporte (DS) Recibe las soluciones y las hace utilizables por los usuarios finales. Monitorear y Evaluar (ME) -Monitorear todos los procesos para asegurar que se sigue la dirección provista.

10 REGLA DE ORO DE COBIT Para proveer la información que requiere la organización para lograr sus objetivos, los recursos de TI deben ser administrados por un conjunto de procesos, agrupados de forma adecuada y ejecutados acorde a prácticas normalmente aceptadas. CINCO MANERAS DE USAR COBIT * Como una herramienta de comunicación * Como una herramienta organizacional * Como una herramienta para lograr consenso * Como una herramienta para definir alcance * Como una herramienta de autoevaluación en TI

11 COBIT ES UNA HERRAMIENTA QUE PROPORCIONA Modelos de Madurez del control sobre los procesos de TI, de modo que la dirección pueda esquematizar dónde se encuentra la organización actualmente, cómo está posicionada con respecto al mejor de su clase en su rubro de actividad y en comparación con las normas internacionales, y adónde quiere llegar; Factores Críticos del Éxito, que definen las pautas más importantes de implementación orientadas a la dirección para lograr el control sobre y dentro de sus procesos de TI, Indicadores Clave de Metas, que definen las medidas que permiten saber a la dirección después de un hecho determinado si un proceso de TI logró sus requerimientos de negocios, e Indicadores Clave del Desempeño, que definen las medidas para saber cómo se está desempeñando el proceso de TI en el logro de la meta que debe alcanzarse.

12 PROCESOS Y OBJETIVOS DE CONTROL Planear y Organizar Adquirir e Implementar Entregar y dar Soporte Monitorear y Evaluar

13 Organización y Procesos de Tecnologías de Información Planificación y Organización. Adquisición e implementación. Entrega y Soporte. Monitoreo.

14 Planear y Organizar PROCESOS Y OBJETIVOS DE CONTROL PO1 Definir un Plan Estratégico de TI PO2 Definir la Arquitectura de la Información PO3 Determinar la Dirección Tecnológica PO4 Definir los Procesos, Organización y Relaciones de TI PO5 Administrar la Inversión en TI PO6 Comunicar las Aspiraciones y la Dirección de la Gerencia PO7 Administrar Recursos Humanos de TI PO8 Administrar la Calidad PO9 Evaluar y Administrar los Riesgos de TI PO10 Administrar Proyectos

15 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P01 Definir un Plan Estratégico de TI. La planeación estratégica de TI es necesaria para gestionar y dirigir todos los recursos de TI en línea con la estrategia y prioridades del negocio OBJETIVOS DE CONTROL PO1.1 Administración del Valor de TI PO1.2 Alineación de TI con el Negocio PO1.3 Evaluación del Desempeño y la Capacidad Actual PO1.4 Plan Estratégico de TI PO1.5 Planes Tácticos de TI PO1.6 Administración del Portafolio de TI

16 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P02. Definir la Arquitectura de la Información La función de sistemas de información debe crear y actualizar de forma regular un modelo de información del negocio y definir los sistemas apropiados para optimizar el uso de esta información OBJETIVOS DE CONTROL PO2.1 Modelo de Arquitectura de Información Empresarial PO2.2 Diccionario de Datos Empresarial y Reglas de Sintaxis de Datos PO2.3 Esquema de Clasificación de Datos PO2.4 Administración de la Integridad

17 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P03. Determinar la Dirección Tecnológica. La función de servicios de información debe determinar la dirección tecnológica para dar soporte al negocio. Esto requiere de la creación de un plan de infraestructura tecnológica y de un comité de arquitectura que establezca y administre expectativas realistas y claras de lo que la tecnología puede ofrecer en términos de productos, Servicios y mecanismos de aplicación. OBJETIVOS DE CONTROL PO3.1 Planeación de la Dirección Tecnológica PO3.2 Plan de Infraestructura Tecnológica PO3.3 Monitoreo de Tendencias y Regulaciones futuras PO3.4 Estándares Tecnológicos PO3.5 Consejo de Arquitectura de TI

18 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P04. Definir los Procesos, Organización y Relaciones de TI Una organización de TI se debe definir tomando en cuenta los requerimientos de personal, funciones, rendición de cuentas, autoridad, roles, responsabilidades y supervisión OBJETIVOS DE CONTROL PO4.1 Marco de Trabajo de Procesos de TI PO4.2 Comité Estratégico de TI PO4.3 Comité Directivo de TI PO4.4 Ubicación Organizacional de la Función de TI PO4.5 Estructura Organizacional PO4.6 Establecimiento de Roles y Responsabilidades

19 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar PO4.7 Responsabilidad de Aseguramiento de la Calidad de TI PO4.8 Responsabilidad sobre el Riesgo, la Seguridad y el Cumplimiento PO4.9 Propiedad de Datos y Sistemas PO4.10 Supervisión PO4.11 Segregación de Funciones. PO4.12 Personal de TI PO4.13 Personal Clave de TI PO4.14 Políticas y Procedimientos para Personal Contratado PO4.15 Relaciones

20 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P05 Administrar la Inversión de TI. Establecer y mantener un marco de trabajo para administrar los programas de inversión en TI que abarquen los costos, beneficios, prioridades dentro del presupuesto, un proceso presupuestal formal y administrar contra ese presupuesto. OBJETIVOS DE CONTROL PO5.1 Marco de trabajo para la adminsitración Financiera. PO5.2 Prioridades dentro del Presupuesto de TI. PO5.3 Proceso Presupuestal. PO5.4 Administración de costos de TI. PO5.5 Administración de beneicios.

21 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P06. Comunicar las Aspiraciones y la Dirección de la Gerencia La dirección debe elaborar un marco de trabajo de contro empresarial para TI y definir y comunicar las políticas. OBJETIVOS DE CONTROL PO6.1 Ambiente de Políticas y de Control PO6.2 Riesgo Corporativo y Marco de Referencia de Control Interno de TI PO6.3 Administración de Políticas para TI PO6.4 Implantación de Políticas de TI PO6.5 Comunicación de los Objetivos y la Dirección de TI

22 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P07. Administrar los Recursos Humanos de TI. Adquirir, mantener y motivar uan fuerza de trabajo para la creación y entrega de Servicios de TI para el negocio. OBJETIVOS DE CONTROL PO7.1 Reclutamiento y Retención del Personal PO7.2 Competencias del Presonal PO7.3 Asignación de Roles PO7.4 Entrenamiento del Personal de TI PO7.5 Dependencia Sobre los Individuos PO7.6 Procedimientos de Investigación del Personal PO7.7 Evaluación del Desempeño del Empleado PO7.8 Cambios y Terminación de Trabajo

23 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P08. Administrar la Calidad. Se debe elaborar y mantener un sistema de administración de la calidad, el cual incluya procesos y estándares probados de desarrollo y adquisición. OBJETIVOS DE CONTROL PO8.1 Sistema de Administración de Calidad PO8.2 Estándares y Prácticas de Calidad PO8.3 Estándares de Desarrollo y de Adquisición PO8.4 Enfoque en el Cliente de TI PO8.5 Mejora Continua PO8.6 Medición, Monitoreo y Revisión de la Calidad

24 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P09. Evaluar y Administrar los Riesgos de TI Crear y dar mantenimiento a un marco de trabajo de adminsitración de riesgos. OBJETIVOS DE CONTROL PO9.1 Marco de Trabajo de Administración de Riesgos PO9.2 Establecimiento del Contexto del Riesgo PO9.3 Identificación de Eventos PO9.4 Evaluación de Riesgos de TI PO9.5 Respuesta a los Riesgos PO9.6 Mantenimiento y Monitoreo de un Plan de Acción de Riesgos

25 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar P10. Administrar Proyectos. Establecer un marco de trabajo de adminsitración de programas y proyectos para la administración de todos los proyectos de TI establecidos. OBJETIVOS DE CONTROL PO10.1 Marco de Trabajo para la Administración de Programas PO10.2 Marco de Trabajo para la Administración de Proyectos PO10.3 Enfoque de Administración de Proyectos PO10.4 Compromiso de los Interesados PO10.5 Declaración de Alcance del Proyecto

26 PROCESOS Y OBJETIVOS DE CONTROL Planificar y Organizar PO10.6 Inicio de las Fases del Proyecto PO10.7 Plan Integrado del Proyecto PO10.8 Recursos del Proyecto PO10.9 Administración de Riesgos del Proyecto PO10.10 Plan de Calidad del Proyecto PO10.11 Control de Cambios del Proyecto PO10.12 Planeación del Proyecto y Métodos de Aseguramiento PO10.13 Medición del Desempeño, Reporte y Mononitoreo del Proyecto PO10.14 Cierre del Proyecto

28 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI1 Identificar soluciones automatizadas AI2 Adquirir y mantentener software aplicativo AI3 Adquirir y mantentener Infraestructura Tecnológica AI4 Facilitar la Operación y el Uso AI5 Adquirir Recursos de TI AI6 Administrar los cambios AI7 Instalar y acreditar soluciones y cambios

29 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI1 Identificar soluciones automatizadas La necesidad de una nueva apliación o función requiere de analisis ante de la compra o desarrollo para garantizar que los requisitos de negocio se satisfacen con un enfoque efectivo y eficiente. OBJETIVOS DE CONTROL AI1.1 Definición y Mantenimiento de los Requerimientos Técnicos y Funcionales del Negocio. AI1.2 Reporte de Análisis de Riesgos AI1.3 Estudio de Factibilidad y Formulación de Cursos de Acción Alternativos AI1.4 Requerimientos, Decisión de Factibilidad y Aprobación

30 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI2 Adquirir y Mantener Software Aplicativo Las aplicaciones deben estar disponibles de acuerdo con los requerimientos del negocio. OBJETIVOS DE CONTROL AI2.1 Diseño de Alto Nivel AI2.2 Diseño Detallado AI2.3 Control y Posibilidad de Auditar las Aplicaciones AI2.4 Seguridad y Disponibilidad de las Aplicaciones AI2.5 Configuración e Implantación de Software Aplicativo adquirido AI2.6 Actualizaciones Importantes en Sistemas Existentes AI2.7 Desarrollo de Software Aplicativo AI2.8 Aseguramiento de la Calidad del Software AI2.9 Administración de los Requerimientos de Aplicaciones AI2.10 Mantenimiento de Software Aplicativo

31 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI3 Adquirir y Mantener Infraestructura Tecnológica Las organizaciones deben contar con procesos para adquirir, implemetar y actualizar la infraestructura tecnológica de acuerdo con las estrategias Tecnológicas convenidas. OBJETIVOS DE CONTROL AI3.1 Plan de Adquisición de Infraestructura Tecnológica AI3.2 Protección y Disponibilidad del Recurso de Infraestructura AI3.3 Mantenimiento de la Infraestructura AI3.4 Ambiente de Prueba de Factibilidad

32 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI4 Facilitar la Operación y el Uso El conocimiento sobre los nuevos sistemas debe estar disponible. Este proceso requiere la generación de documentación y manuales para usuarios y para TI, y proporciona entrenamiento para garantizar el uso y la operación correctos de las aplicaciones y la infraestructura. OBJETIVOS DE CONTROL AI4.1 Plan para Soluciones de Operación AI4.2 Transferencia de Conocimiento a la Gerencia del Negocio AI4.3 Transferencia de Conocimiento a Usuarios Finales AI4.4 Transferencia de Conocimiento al Personal de Operaciones y Soporte

33 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI5 Adquirir Recursos de TI Se deben suministrar recursos TI, incluyendo personas, hardware, software y servicios. Esto requiere de la ejecución de los procedimientos de adquisición, la selección de proveedores, el ajuste de arreglos contractuales y la adquisición en sí. OBJETIVOS DE CONTROL AI5.1 Control de Adquisición AI5.2 Administración de Contratos con Proveedores AI5.3 Selección de Proveeedores AI5.4 Adquisición de recursos de TI

34 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI6 Administrar Cambios Todos los cambios, incluyendo el mantenimiento de emergencia y parches, relacionados con la infraestructura y las aplicaciones dentro del ambiente de producción, deben administrarse formalmente y controladamente. OBJETIVOS DE CONTROL AI6.1 Estándares y Procedimientos para cambios. AI6.2 Evaluación de Impacto, Priorización y Autorización. AI6.3 Cambios de emergencia. AI6.4 Seguimiento y reporte del status del cambio. AI6.5 Cierre y Documentación del cambio.

35 PROCESOS Y OBJETIVOS DE CONTROL Adquirir e Implementar AI7 Instalar y Acreditar Soluciones de Cambio Los nuevos sistemas necesitan estar funcionales una vez que su desarrollo se completa. Esto requiere pruebas adecuadas en un ambiente dedicado con datos de prueba relevantes, definir la transición e instrucciones de migración, planear la liberación y la transición en sí al ambiente de producción, y revisar la post-implantación. OBJETIVOS DE CONTROL AI7.1 Entrenamiento AI7.2 Plan de prueba AI7.3 Plan de Implantación AI7.4 Ambiente de Prueba AI7.5 Conversión de Sistemas y Datos AI7.6 Pruebas de cambio. AI7.7 Prueba de aceptación final AI7.8 Pormoción a producción AI7.9 Revisión Posterior a la implementación.

37 PROCESOS Y OBJETIVOS DE CONTROL Entrega y Soporte DS1 Definir y administrar los niveles de servicio DS2 Administrar los servicios de terceros DS3 Administrar el desempeño y la capacidad DS4 Garantizar la continuidad del servicio DS5 Garantizar la seguridad de los sistemas DS6 Identificar y asignar costos DS7 Educar y entrenar a los usuarios DS8 Administrar la mesa de servicio y los incidentes DS9 Administrar la configuración DS10 Administrar los problemas DS11 Administrar los datos DS12 Administrar el ambiente físico DS13 Administrar las operaciones

38 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS1 Definir y Administrar los Niveles de Servicio Contar con una definición documentada y un acuerdo de servicios de TI y de niveles de servicio, hace posible una comunicación efectiva entre la gerencia de TI y los clientes de negocio respecto de los servicios requeridos. OBJETIVOS DE CONTROL DS1.1 Marco de trabajo de la Administración de los niveles de servicio. DS1.2 Definición de servicios DS1.3 Acuerdos de niveles de servicios DS1.4 Acuerdos de niveles de operación. DS1.5 Monitoreo y cumplimiento de niveles de servicio. DS1.6 Revisión de los acuerdos de Niveles de servicio y de los contratos.

39 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS2 Administrar los Servicios de Terceros La necesidad de asegurar que los servicios provistos por terceros cumplan con los requermientos de negocio, requiere de un proceso efectivo de administración de terceros. OBJETIVOS DE CONTROL DS2.1 Identificación de Todas las Relaciones con Proveedores DS2.2 Gestión de Relaciones con Proveedores DS2.3 Administración de Riesgos del Proveedor DS2.4 Monitoreo del Desempeño del Proveedor

40 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS3 Administrar el Desempeño y la Capacidad La necesidad de administrar el desempeño de la capacidad de los recursos de TI requiere de un proceso para revisar periódicamente el desempeño actual y la capacidad de los recursos de TI. OBJETIVOS DE CONTROL DS3.1 Planeación del Desempeño y la Capacidad DS3.2 Capacidad y Desempeño Actual DS3.3 Capacidad y Desempeño Futuros DS3.4 Disponibilidad de Recursos de TI DS3.5 Monitoreo y Reporte

41 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS4 Garantizar la Continuidad del Servicio La necesidad de brindar continuidad en los servicios de TI requiere desarrollar, mantenery probar planes de continuidad de TI, almacenar respaldos fuera de las instalaciones y entrenar de forma periódica sobre los planes de continuidad. OBJETIVOS DE CONTROL DS4.1 Marco de Trabajo de Continuidad de TI DS4.2 Planes de Continuidad de TI DS4.3 Recursos Críticos de TI DS4.4 Mantenimiento del Plan de Continuidad de TI DS4.5 Pruebas del Plan de Continuidad de TI

42 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS4.6 Entrenamiento del Plan de Continuidad de TI DS4.7 Distribución del Plan de Continuidad de TI DS4.8 Recuperación y Reanudación de los Servicios de TI DS4.9 Almacenamiento de Respaldos Fuera de las Instalaciones DS4.10 Revisión Post Reanudación

43 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS5 Garantizar la Seguridad de los Sistemas La necesidad de manener la integridad de la informacióny de proteger los activos de TI, requiere de un proceso de administración de seguridad. Este proceso incluye el establecimiento y mantenimiento de roles y responsabilidades de seguridad, políticas estándares y procedimientos de TI. OBJETIVOS DE CONTROL DS5.1 Administración de la Seguridad de TI DS5.2 Plan de Seguridad de TI DS5.3 Administración de Identidad

44 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS5.4 Administración de Cuentas del Usuario DS5.5 Pruebas, Vigilancia y Monitoreo de la Seguridad DS5.6 Definición de Incidente de Seguridad DS5.7 Protección de la Tecnología de Seguridad DS5.8 Administración de Llaves Criptográficas DS5.8 Administración de Llaves Criptográficas DS5.10 Seguridad de la Red DS5.11 Intercambio de Datos Sensitivos

45 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS6 Identificar y Asignar Costos La necesidad de un sistema justo y equitativo para asignar costos de TI al negocio, requiere de una medición precisa y un acuerdo con los usuarios del negocio sobre una asignación justa. OBJETIVOS DE CONTROL DS6.1 Definición de Servicios DS6.2 Contabilización de TI DS6.3 Modelación de Costos y Cargos DS6.4 Mantenimiento del Modelo de Costos

46 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS7 Educar y Entrenar a los Usuarios Para una educación efectiva de todos los usuarios de sistemas de TI, incluyendo aquiellos dentro de TI, se requiere identificar las necesidades de entrenamiento de cada grupo de usuarios. OBJETIVOS DE CONTROL DS7.1 Identificación de Necesidades de Entrenamiento y Educación DS7.2 Impartición de Entrenamiento y Educación DS7.3 Evaluación del Entrenamiento Recibido

47 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS8 Administrar la Mesa de Servicio y los incidentes. Responder de manera oportuna y efectiva a la consultas y probelmas de los usuarios de TI requiere de una mesa de servicios bien diseñada y bien ejecutada, y de un proceso de administraición de incidentes. OBJETIVOS DE CONTROL DS8.1 Mesa de Servicios DS8.2 Registro de Consutas de Clientes DS8.3 Escalamiento de Incidentes DS8.4 Cierre de Incidentes DS8.5 Análisis de Tendencias

48 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS9 Administrar la Configuración Garantizar la integridad de las configuraciones de hardware y software requiere establecer un repositorio de configuraciones completo y preciso. OBJETIVOS DE CONTROL DS9.1 Repositorio y Línea Base de Configuración DS9.2 Identificación y Mantenimiento de Elementos de Configuración DS9.3 Revisión de Integridad de la Configuración

49 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS10 Administración de Problemas Una efectiva administración de problemas requiere la identificación y clasificación de problemas, el análisis de las causas desde su raíz y la resolución de problemas. OBJETIVOS DE CONTROL DS10.1 Identificación y Clasificación de Problemas DS10.2 Rastreo y Resolución de Problemas DS10.3 Cierre de Problemas DS10.4 Integración de las Administraciones de Cambios, Configuración y Problemas

50 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS11 Administración de Datos Una efectiva administración de datos requiere la identificación de requierimientos de datos. El proceso de adminsitración de infoación también incluye el establecimiento de procedimientos efectivos para administrar la librería de medios, el respaldo y la recuperación de datos y la eliminación apropiada de medios. OBJETIVOS DE CONTROL DS11.1 Requerimientos del Negocio para Administración de Datos DS11.2 Acuerdos de Almacenamiento y Conservación DS11.3 Sistema de Administración de Librerías de Medios DS11.4 Eliminación DS11.5 Respaldo y Restauración DS11.6 Requerimientos de Seguridad para la Administración de Datos

51 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS12 Administración del Ambiente físico La protección del equipo de cómputo y del personal requiere de instalaciones bien diseñadas y bien administradas. OBJETIVOS DE CONTROL DS12.1 Selección y Diseño del Centro de Datos DS12.2 Medidas de Seguridad Física DS12.3 Acceso Físico DS12.4 Protección Contra Factores Ambientales DS12.5 Administración de Instalaciones Físicas

52 Entrega y soporte PROCESOS Y OBJETIVOS DE CONTROL DS13 Administración de Operaciones Un procesamiento de información completo y apropiado requiere de una efectiva admisnitración del procesamiento de datos y del mantemiento del hardware. OBJETIVOS DE CONTROL DS13.1 Procedimientos e Instrucciones de Operación DS13.2 Programación de Tareas DS13.3 Monitoreo de la Infraestructura de TI DS13.4 Documentos Sensitivos y Dispositivos de Salida DS13.5 Mantenimiento Preventivo del Hardware

54 Monitorear y Evaluar PROCESOS Y OBJETIVOS DE CONTROL ME1 Monitorear y Evaluar el Desempeño de TI ME2 Monitorear y Evaluar el Control Interno ME3 Garantizar el Cumplimiento Regulatorio ME4 Proporcionar Gobierno de TI

55 Monitorear y Evaluar PROCESOS Y OBJETIVOS DE CONTROL ME1 Monitorear y Evaluar el Desempeño de TI Una efectiva adminsitración del desempeño de TI requiere un proceso de menitoreo. El proceso incluye la definición de indicadores de desempeño relevantes, reportes sistemáticos y oportunos de desempeño y tomar medidas expeditas cuando existan desviaciones. OBJETIVOS DE CONTROL ME1.1 Enfoque del Monitoreo ME1.2 Definición y Recolección de Datos de Monitoreo ME1.3 Método de Monitoreo ME1.4 Evaluación del Desempeño ME1.5 Reportes al Consejo Directivo y a Ejecutivos ME1.6 Acciones Correctivas

56 Monitorear y Evaluar PROCESOS Y OBJETIVOS DE CONTROL ME2 Monitorear y Evaluar el Control Interno Establecer un programa de Control Interno efectivo requiere de un proceso bien definido de monitoreo. OBJETIVOS DE CONTROL ME2.1 Monitorización del Marco de Trabajo de Control Interno ME2.2 Revisiones de Auditoría ME2.3 Excepciones de Control ME2.4 Control de Auto Evaluación ME2.5 Aseguramiento del Control Interno ME2.6 Control Interno para Terceros ME2.7 Acciones Correctivas

57 Monitorear y Evaluar PROCESOS Y OBJETIVOS DE CONTROL ME3 Garantizar el Cumplimiento con Requerimientos externos Una supervisión efectiva del cumplimiento regulatorio requiere el establecimiento de un proceso independiente de revisión para garantizar el cumplimiento de las leyes y regulaciones. OBJETIVOS DE CONTROL ME3.1 Identificar los Requerimientos de las Leyes, Regulaciones y Cumplimientos Contractuales ME3.2 Optimizar la Respuesta a Requerimientos Externos ME3.3 Evaluación del Cumplimiento con Requerimientos Externos ME3.4 Aseguramiento Positivo del Cumplimiento ME3.5 Reportes Integrados

58 Monitorear y Evaluar PROCESOS Y OBJETIVOS DE CONTROL ME4 Proporcionar Gobierno de TI El establecimiento de un marco de trabajo de gobierno efectivo incluye la definición de estructuras, procesos, liderazgo, roles y responsabilidades organizacionales para garantizar así que las inversiones empresariales en TI están alineadas y de acuerdo con las estrategias y objetivos organizacionales. OBJETIVOS DE CONTROL ME4.1 Establecimiento de un Marco de Gobierno de TI ME4.2 Alineamiento Estratégico ME4.3 Entrega de Valor ME4.4 Administración de Recursos ME4.5 Administración de Riesgos ME4.6 Medición del Desempeño ME4.7 Aseguramiento Independiente

59 Organización y Procesos de Tecnologías de Información Resumen

63 Consultas

64 La reproducción de partes de COBIT en esta presentación es exclusivamente de uso académico y dentro de la licencia de uso acá referenciada

65 ANEXO GUIA USO DOCUMENTO COBIT

66 MARCO DE TRABAJO COMPLETO DE COBIT

67 COBIT integra en su metodología Areas de Enfoque Criterios de la Información Dominios de TI GOBIERNO DE TI Recursos de TI

68 COMO NAVEGAR EN EL MARCO DE TRABAJO COBIT (1/5) 1) Para cada uno de los procesos TI de COBIT, se proporciona en primer lugar un objetivo de control de alto nivel, junto con las metas y métricas clave en forma de cascada GOBIERNO DE TI

69 COMO NAVEGAR EN EL MARCO DE TRABAJO COBIT (2/5) 2) Se presentan en forma descriptiva los Objetivos de Control cada proceso P01 Definir un Plan Estratégico de TI ( PROCESO) PO1.1 Administración del Valor de TI ( OBJETIVO DE CONTROL) Trabajar con el negocio para garantizar que el portafolio de inversiones de TI de la empresa contenga programas con casos de negocio sólidos. Reconocer que existen inversiones obligatorias, de sustento y discrecionales que difieren en complejidad y grado de libertad en cuanto a la asignación de fondos. Los procesos de TI deben proporcionar una entrega efectiva y eficiente de los componentes TI de los programas y advertencias oportunas sobre las desviaciones del plan, incluyendo costo, cronograma o funcionalidad, que pudieran impactar los resultados esperados de los programas. Los servicios de TI se deben ejecutar contra acuerdos de niveles de servicios equitativos y exigibles. La rendición de cuentas del logro de los beneficios y del control de los costos es claramente asignada y monitoreada. PO1.2 Alineación de TI con el Negocio ( OBJETIVO DE CONTROL) Educar a los ejecutivos sobre las capacidades tecnológicas actuales y sobre el rumbo futuro... 3) Se indican Entradas y Salidas para cada proceso en forma de tabla

70 COMO NAVEGAR EN EL MARCO DE TRABAJO COBIT (3/5) 4) Se presenta una Matriz RACI para cada proceso CEO: Director General / CFO: Director Financiero / CIO: Director de TI / PMO: Administrador de Proyecto

71 COMO NAVEGAR EN EL MARCO DE TRABAJO COBIT (4/5) 5) Se presentan las Metas y Métricas del Proceso

72 COMO NAVEGAR EN EL MARCO DE TRABAJO COBIT (5/5) 6) Se presenta una Modelo de Madurez para cada proceso Nivel Proceso Reconocimiento Practicas Herramientas Adecuación Experiencia 0 1 No existe: No hay proceso reconocible, la No institución ni siquiera reconoce la cuestión Inicial: reconoce el problema, hay enfoques ad-shoc para el caso por caso, no hay enfoque global coordinado, plantel desorganizado Ad-hoc 2 Repetible: Los procesos similares se llevan en forma similar por diferentes personas con la misma tarea. No hay comunicación o entrenamiento formal, las responsabilidades quedan a cargo de cada individuo. Se depende del grado de conocimiento de cada individuo Conciente Similares, procesos intuitivos Aparecen comunes Monitoreo inconsistente en cuestiones aisladas 3 4 Definible: Los procesos están documentados y comunicados mediante entrenamiento. Sin embargo queda a cargo de cada individuo el seguir los procesos. Los procedimientos no son sofisticados pero las practicas están formalizadas Comprende necesidad de actuar Administrado: Se puede medir y monitorear el Comprende cumplimiento de los procesos y se toman requerimientos acciones cuando hay desviaciones. Los procesos están bajo constante mejora. Se usan herramientas automatizadas en forma fragmentaria Definidas, estandarizadas, documentadas y se comparten Se asignan responsabilidades, los procesos se completan Estandarizadas, practicas comunes son usadas y controladas Se usan técnicas de medición. Uso táctico y limitado de la tecnología Análisis de causas intuitivo. Tablero de mando en algunas áreas, Análisis de causas estandarizado. Especialistas involucrados en los procesos Expertos internos en todas las áreas 5 Optimizado: Los procesos están en el nivel de mejor práctica. Se usa la tecnología para automatizar el flujo d trabajo, se tiene herramientas para mejorar la calidad y la eficiencia, la organización se adapta rápidamente Comprensión a largo plazo Mejores practicas Técnicas sofisticas, uso extensivo de la tecnología Tablero de mando global, se actúa sobre excepciones se aplica siempre análisis de causas Lideres externos para la guía