Marco de trabajo COBIT

1.- Marco de trabajo COBIT 4.1

1.1 La necesidad de un marco de trabajo para el control del gobierno de TI

La misión de COBIT es Investigar, desarrollar, publicar y promover un conjunto internacional y actualizado de objetivos de control para tecnología de información que sea de uso cotidiano para gerentes y auditores

Por qué

Cada vez más, la alta dirección se está dando cuenta del impacto significativo que la información puede tener en el éxito de una empresa. La dirección espera un alto entendimiento de la manera en que la tecnología de información (TI) es operada y de la posibilidad de que sea aprovechada con éxito para tener una ventaja competitiva. En particular, la alta dirección necesita saber si con la información administrada en la empresa es posible que:

• Garantice el logro de sus objetivos

• Tenga suficiente flexibilidad para aprender y adaptarse

• Cuente con un manejo juicioso de los riesgos que enfrenta

• Reconozca de forma apropiada las oportunidades y actúe de acuerdo a ellas

Quién

Un marco de referencia de gobierno y de control requiere servir a una variedad de interesados internos y externos, cada uno de los cuales tiene necesidades específicas:

• Interesados dentro de la empresa que tengan un interés en generar valor de las inversiones en TI:

– Aquellos que tomen decisiones de inversiones

– Aquellos que deciden respecto a los requerimientos

– –Aquellos que utilicen los servicios de TI

• Interesados internos y externos que proporcionen servicios de TI:

– Aquellos que administren la organización y los procesos de TI

– Aquellos que desarrollen capacidades

– Aquellos que operen los servicios

• Interesados internos y externos con responsabilidades de control/riesgo:

– Aquellos con responsabilidades de seguridad, privacidad y/o riesgo

– Aquellos que realicen funciones de cumplimiento

– Aquellos que requieran o proporcionen servicios de aseguramiento

Qué

Para satisfacer los requerimientos previos, un marco de referencia para el gobierno y el control de TI deben satisfacer las siguientes especificaciones generales:

• Brindar un enfoque de negocios que permita la alineación entre los objetivos de negocio y de TI.

• Establecer una orientación a procesos para definir el alcance y el grado de cobertura, con una estructura definida que permita una fácil navegación en el contenido.

• Ser generalmente aceptable al ser consistente con las mejores prácticas y estándares de TI aceptados, y que sea independiente de tecnologías específicas.

• Proporcionar un lenguaje común, con un juego de términos y definiciones que sean comprensibles en lo general para todos losInteresados.

• Ayudar a satisfacer requerimientos regulatorios, al ser consistente con estándares de gobierno corporativo generalmente aceptados (COSO) y con controles de TI esperados por agentes reguladores y auditores externos.

1.2 Como Satisface COBIT la necesidad

El enfoque del control en TI se lleva a cabo visualizando la información necesaria para dar soporte a los procesos de negocio y considerando a la información como el resultado de la aplicación combinada de recursos relacionados con las TI que deben ser administrados por procesos de TI.

• Requerimientos de la información del negocio

Para alcanzar los requerimientos de negocio, la información necesita satisfacer ciertos criterios:

Requerimientos de Calidad: Calidad, Costo y Entrega.

Requerimientos Fiduciarios: Efectividad y Eficiencia operacional, Confiabilidad de los reportes financieros y Cumplimiento le leyes y regulaciones.

• Efectividad: La información debe ser relevante y pertinente para los procesos del negocio y debe ser proporcionada en forma oportuna, correcta, consistente y utilizable.

• Eficiencia: Se debe proveer información mediante el empleo óptimo de los recursos (la forma más productiva y económica).

• Confiabilidad: proveer la información apropiada para que la administración tome las decisiones adecuadas para manejar la empresa y cumplir con sus responsabilidades.

• Cumplimiento: de las leyes, regulaciones y compromisos contractuales con los cuales está comprometida la empresa.

Requerimientos de Seguridad: Confidencialidad, Integridad y Disponibilidad

• Confidencialidad: Protección de la información sensible contra divulgación no autorizada

• Integridad: Refiere a lo exacto y completo de la información así como a su validez de acuerdo con las expectativas de la empresa.

• Disponibilidad: accesibilidad a la información cuando sea requerida por los procesos del negocio y la salvaguarda de los recursos y capacidades asociadas a la misma.

• Recursos de TI

En COBIT se establecen los siguientes recursos en TI necesarios para alcanzar los objetivos de negocio:

• Datos: Todos los objetos de información. Considera información interna y externa, estructurada o no, gráficas, sonidos, etc.

• Aplicaciones: entendido como los sistemas de información, que integran procedimientos manuales y sistematizados.

• Tecnología: incluye hardware y software básico, sistemas operativos, sistemas de administración de bases de datos, de redes, telecomunicaciones, multimedia, etc.

• Instalaciones: Incluye los recursos necesarios para alojar y dar soporte a los sistemas de información.

• Recurso Humano: Por la habilidad, conciencia y productividad del personal para planear, adquirir, prestar servicios, dar soporte y monitorear los sistemas de Información.

1.3 Procesos de TI

La estructura de COBIT se define a partir de una premisa simple y pragmática: "Los recursos de las Tecnologías de la Información (TI) se han de gestionar mediante un conjunto de procesos agrupados de forma natural para que proporcionen la información que la empresa necesita para alcanzar sus objetivos".

COBIT se divide en tres niveles:

Dominios

Procesos

Actividades

Dominios: Agrupación natural de procesos, normalmente corresponden a un dominio o una responsabilidad organizacional.

Procesos: Conjuntos o series de actividades unidas con delimitación o cortes de control.

Actividades: Acciones requeridas para lograr un resultado medible.

Se definen 34 objetivos

...