COMO SE DA LA GESTIÓN Y ESTRATEGIA DE LA SEGURIDAD DE LA INFORMACIÓN

GESTIÓN Y ESTRATEGIA DE LA SEGURIDAD DE LA INFORMACIÓN

CASO DE ESTUDIO

OBJETIVO:

1. ¿Cuáles son los factores que hicieron posibles los escándalos financieros?
2. ¿Cómo pretende SOX evitar este tipo de incidentes?
3. ¿Cuáles secciones de SOX impactan el área de TI y de Seguridad de la información?
4. ¿Cómo justifica SOX la existencia del CISO?
5. ¿Qué normatividad relacionada con TI existe actualmente?
6. ¿Cuál es aplicable a su institución?
7. ¿Cuál es aplicable a una institución federal en México?
8. Describa COSO

1.- ¿CUÁLES SON LOS FACTORES QUE HICIERON POSIBLES LOS ESCÁNDALOS FINANCIEROS?

•        El mayor de ellos fue el orgullo, arrogancia, intolerancia y la avaricia, cegados por el dinero.

•        Se trata de la historia de simples seres mortales llamados seres humanos, con debilidades, que se repite a lo largo de toda la historia de la humanidad.

•        A parte de la cuestión financiera, se sospechó de una conspiración política el cuál él dijo que no era un asunto político, sino empresarial ya que hicieron "donaciones" por todo Washington

•        Estando muy bien relacionado políticamente, influyeron y presionaron para la liberación de productos estratégicos controlados, como el gas y el petróleo.

•        Los debidos a un exceso de imaginación de los promotores de un negocio cuya dinámica interna se rebela contra sus ilusiones, al tratar de cumplir con objetivos ambiciosos a costa de lo que sea.

•        Los que se deben a incompetencia, desorden y omisiones parecidas de los directivos, organizaciones y auditores.

•        La estafa pura y simple llevada a cabo por un estafador individual que busca el beneficio personal sin importarle el conjunto de perjudicados.

•        Por último los relativos a una gama de apoderamientos de bienes ajenos practicado por innumerables entidades, sea por superficialidad en la gestión, sea por robo o deshonesto aprovechamiento de la carencia ocasional de leyes y normas.

2.- ¿CÓMO PRETENDE SOX EVITAR ESTE TIPO DE INCIDENTES?

•        Asesoramiento del diseño y la eficacia del funcionamiento de los controles internos relacionados con el mantenimiento de los balances financieros relevantes.

•        Comprensión de la importancia de las transacciones anotadas, autorizadas, procesadas, y contabilizadas.

•        Documentar suficiente información sobre el flujo de transacciones para identificar posibles errores o fraudes que hayan podido ocurrir.

•        Evaluar la credibilidad de los controles de la compañía, de acuerdo con el “COSO” (Committee of Sponsoring Organizations of the Treadway Commission), organización encargada de identificar fraudes financieros.

•        Evaluar los controles diseñados para prevenir o detectar fraudes, incluidos los controles a la dirección.

•        Evaluar el control del proceso del informe financiero al final de ejercicio.

•        Evaluar el control sobre la veracidad de los asientos contables

3.- ¿CUÁLES SECCIONES DE SOX IMPACTAN EL ÁREA DE TI Y DE SEGURIDAD DE LA INFORMACIÓN?

Sección 103. De ésta sección podemos tomar el siguiente parágrafo que nos ayuda a entender el porqué de su impacto en las TI: “El comité debe exigir a las firmas de contadores públicos, Preparar y mantener por un periodo no inferior a 7 años, informes de auditoría y cualquier otra información o documento relacionado con el informe de auditoría, con el detalle suficiente para dar soporte a las conclusiones alcanzadas en dicho reporte”.

Sección 302. Considerada como la sección de más impacto en toda la Ley SOX, especialmente impactando los sistemas TI: “El CEO (Chief Executive Officer y el CFO (Chief Financial Officer) deben certificar la veracidad de los reportes financieros (balances) periódicos y anuales, garantizando que no contienen información falsa y que dicho reporte refleja de la manera más fiel posible el estado financiero de la compañía; además, deben ser responsables por establecer controles internos sobre los flujos de información financiera al interior de la compañía, informar de manera oportuna las debilidades de dichos controles en los reportes.”

Sección 404. Está directamente relacionada con la sección 302, aunque hace más énfasis en los controles internos: “Se responsabiliza a los CEO y a los CFO por la creación y el mantenimiento de una estructura de controles internos y de procedimientos para la elaboración de los reportes financieros. Además realizar una evaluación de la efectividad de los controles internos y los procedimientos de reporte. La firma de contabilidad que prepara el reporte de auditoría, debe además atestiguar la evaluación hecha por el CEO o CFO.”

...