1. COBIT
Administración de TI
Integrantes:
Aragón Valladolid, Javier
Calixto Salazar, Martín
UNI - FIIS
2012 - I

2. DEFINICIÓN DE COBIT
OBJETIVOS DE CONTROL PARA LA
INFORMACION Y LA TECNOLOGIA
RELACIONADA

3. QUÉ ES COBIT?
• COBIT es el marco aceptado internacionalmente como
una buena práctica para el control de la información, TI
y los riesgos que conllevan.
• COBIT se utiliza para implementar el gobierno de TI y
mejorar los controles de TI. Contiene objetivos de
control, directivas de aseguramiento, medidas de
desempeño y resultados, factores críticos de éxito y
modelos de madurez para ayudar a las organizaciones a
satisfacer con éxito los desafíos de los negocios.

4. QUÉ ES COBIT?
• COBIT es un framework (infraestructura digital) de
Gobierno de TI y un conjunto de herramientas de soporte
para el gobierno de T.I. que les permite a los gerentes cubrir
la brecha entre los requerimientos de control, los aspectos
técnicos y riesgos de negocio.
• COBIT hace posible el desarrollo de una política clara y las
buenas prácticas para los controles de T.I. a través de las
organizaciones.
• COBIT enfatiza en la conformidad a regulaciones, ayuda a las
organizaciones a incrementar el valor alcanzado desde la TI,
permite el alineamiento y simplifica la implementación de la
estructura COBIT.

5. MISIÓN COBIT
Investigar, desarrollar, publicar y promover un conjunto de
objetivos de control para tecnología de información, que
sea internacional y este actualizado para uso cotidiano de
gerentes, auditores y usuarios.
VISIÓN COBIT
Ser el modelo de control para la TI.

6. Regla de Oro de COBIT
Para proveer la información que requiere la
organización para lograr sus objetivos, los recursos de TI
deben ser administrados por un conjunto de procesos,
agrupados de forma adecuada y ejecutados acorde a
prácticas normalmente aceptadas.

7. USUARIOS COBIT
• La Gerencia: Apoyo a decisiones de inversión en TI y control sobre su
desempeño, balanceo del riesgo y el control de la inversión en un
ambiente a menudo impredecible.
• Los Usuarios Finales: Obtienen una garantía sobre el control y seguridad
de los productos que adquieren interna y externamente.
• Los Auditores: :Soportar sus opiniones sobre los controles de los
proyectos de TI, su impacto en la organización y determinar el control
mínimo requerido.
• Los Responsables de TI: Para identificar los controles que requieren en
sus áreas.
• Organismos estatales de control: Para saber que es lo mínimo que
pueden exigir.

8. Principios COBIT
REQUERIMIENTOS
DE INFORMACIÓN
DEL NEGOCIO
PROCESOS
DE TI
RECURSOS
DE TI

9. REQUERIMIENTO DE INFORMACIÓN
Se refiere a la información que es
relevante para el negocio y que debe
Efectividad
ser entregada de manera correcta,
oportuna, consistente y usable.
Se refiere a la provisión de información
Eficiencia a través del óptimo (más productivo y
económico) uso de los recursos.
Relativa a la protección de la
Confidencialidad información sensitiva de su revelación
no autorizada.
Se refiere a la exactitud y completitud
de la información, así como su validez,
Integridad
en concordancia con los valores y
expectativas del negocio.

10. REQUERIMIENTO DE INFORMACIÓN
Se refiere a que la información debe estar
disponible cuando es requerida por los
Disponibilidad procesos del negocio ahora y en el futuro.
Involucra la salvaguarda de los recursos y
sus capacidades asociadas.
Se refiere a cumplir con aquellas leyes,
regulaciones y acuerdos contractuales, a
Cumplimiento
los que están sujetos los procesos del
negocio.
Se refiere a la provisión de la información
apropiada a la alta gerencia, para operar
Confiabilidad la entidad y para ejercer sus
responsabilidades financieras y de cumplir
con los reportes de su gestión.

11. RECURSOS DE TI
Datos: Todos los objetos de información. Considera información interna y
externa, estructurada o no, gráficas, sonidos, etc.
Aplicaciones: Entendido como los sistemas de información, que integran
procedimientos manuales y sistematizados.
Tecnología: Incluye hardware y software básico, sistemas operativos,
sistemas de administración de bases de datos, de redes,
telecomunicaciones, multimedia, etc.
Instalaciones: Incluye los recursos necesarios para alojar y dar soporte a los
sistemas de información.
Recurso Humano: Por la habilidad, conciencia y productividad del personal
para planear, adquirir, prestar servicios, dar soporte y monitorear los
sistemas de Información.

12. RECURSOS DE TI

13. PROCESOS DE TI – LOS 3 NIVELES
Agrupación natural de
Dominios procesos, normalmente
corresponden a una
responsabilidad organizacional
Procesos
Conjuntos de actividades
unidas con delimitación o
cortes de control.
Actividades
o tareas Acciones requeridas para
lograr un resultado medible.
Las Actividades tienen un ciclo
de vida mientras que las tareas
son discretas.

14. RECURSOS DE TI IDENTIFICADOS EN COBIT
• Para resumir, los recursos de
TI son manejados por
procesos de TI para lograr
metas de TI que respondan
a los requerimientos del
negocio.
• Este es el principio básico
del marco de trabajo
COBIT, como se ilustra en el
CUBO COBIT

15. DOMINIOS DE TI
• Para gobernar efectivamente TI, es importante
determinar las actividades y los riesgos que
requieren ser administrados. Normalmente se
ordenan dentro de dominios de responsabilidad
de plan, construir, ejecutar y Monitorear. COBIT
define las actividades de TI en un modelo de 34
procesos genéricos agrupados en 4 dominios.

16. MARCO DE TRABAJO GENERAL DEL COBIT
4.
3.
2.
1.
1. Definir un plan estratégico de TI
Proporcionar gobierno de TI
Garantizar el cumplimiento regulatorio
Monitorear y Evaluar el control interno
Monitorear y Evaluar el desempeño de TI
2. Definir la arquitectura de información
3. Determinar la dirección tecnológica
CobiT
4. Definir la organización y relaciones de la
Función TI
5. Administrar la inversión en TI
6. Comunicación de la directrices Gerenciales
7. Administración del Recurso Humano
8. Administrar la Calidad
9. Evaluación y Administración de Riesgos
10. Administración de Proyectos
Seguimiento Req. Información
Efectividad, Eficiencia, Pla
Confidencialidad, Integridad, Org neaci
Disponibilidad, aniz ón y
Cumplimiento, Confiabilidad ació
n
1. Definición del nivel de servicio
2. Administración del servicio de terceros
Recursos de TI
7.
6.
5.
4.
3.
2.
1.
3. Administración de la capacidad y el desempeño
4. Asegurar el servicio continuo
Datos, Aplicaciones
Adquisición e
5. Garantizar la seguridad del sistema
Tecnología, Instalaciones, Implementación
Instalar y acreditar soluciones y cambios
Administrar Cambios
Adquirir recursos de TI
Facilitar la Operación y el uso
Adquisición y mantenimiento de arquitect
Adquisición y mantenimiento de SW aplic
Identificación de soluciones
6. Identificación y asignación de costos
7. Capacitación de usuarios Recurso Humano
8. Soporte a los clientes de TI
9. Administración de la configuración
10. Administración de problemas e incidentes
11. Administración de datos
12. Administración de Instalaciones (Ambiente Físico)
13. Administración de Operaciones
Prestación de
Servicio y
Soporte

17. DOMINIOS DE TI
Planeación y Organización
Se vincula con la identificación de la forma en que la tecnología de
información puede contribuir de la manera más adecuada con el logro de los
objetivos del negocio.
• ¿Están alineadas las estrategias de TI y del negocio? • ¿La empresa está
alcanzando un uso óptimo de sus recursos? • ¿Entienden todas las personas
dentro de la organización los objetivos de TI? • ¿Se entienden y administran los
riesgos de TI? • ¿Es apropiada la calidad de los sistemas de TI para las
necesidades del negocio?

18. Planeación y
Organización
1. Definir un plan estratégico de TI
Que satisface el requisito de negocio para
Hallar un balance óptimo de oportunidades de tecnología de la información y los
requisitos de negocio así como también asegurar su realización adicional
Toma en consideración
• Definición de los objetivos de negocio y necesidades para las TI
• Inventario de soluciones tecnológicas e infraestructura actual
• Cambios organizativos
• Estudio de viabilidad oportuno
• Existencia de evaluaciones de sistemas
2. Definir la arquitectura de información
Que satisface el requisito de negocio para
Una mejor organización de los sistemas de información
Toma en consideración
• Documentación
• Diccionario de datos
• Reglas sintácticas de datos
• Propiedad de datos y clasificación crítica

19. 3. Determinar la dirección tecnológica
Que satisface el requisito de negocio para
Tomar ventaja de la tecnología disponible y emergente
Toma en consideración
• Adecuación y evolución de la capacidad de la infraestructura actual
• Monitorización de los desarrollos tecnológicos
• Contingencias
• Planes de adquisición
4. Definir la organización y relaciones de la Función TI
Que satisface el requisito de negocio para
Entregar los servicios de las TI
Toma en consideración
• Comité de dirección
• Consejo de nivel de responsabilidad
• Propiedad, custodia
• Supervisión
• Segregación de obligaciones
• Roles y responsabilidades
• Descripciones del trabajo
• Provisión de niveles
• Clave personal

20. Planeación y
Organización
5. Administrar la inversión en TI
Que satisface el requisito de negocio para
Garantizar la consolidación y controlar el gasto de los recursos financieros
Toma en consideración
• Consolidación de alternativas
• Control del gasto efectivo
• Justificación de los costes
• Justificación de los beneficios
6. Comunicación de la directrices Gerenciales
Que satisface el requisito de negocio para
Garantizar el conocimiento del usuario y entendimiento de esos fines
Toma en consideración
• Código de conducta/ética
• Directrices de tecnología
• Conformidad
• Comisión de calidad
• Políticas de seguridad
• Políticas de control interno

21. Planeación y
Organización
7. Administración del Recurso Humano
Que satisface el requisito de negocio para
Maximizar las contribuciones del personal a los procesos de TI
Toma en consideración
• Refuerzo y promoción
• Requisitos de calidad
• Entrenamiento
• Construcción del conocimiento
• Evaluación de la ejecución objetiva y medible
8. Administración de Calidad
Que satisface el requisito de negocio para
La mejora continua y medible de la calidad de los servicios prestados por TI
Toma en consideración
• Plan de estructura de la calidad
• Estándares y prácticas de calidad
• Metodología del ciclo de vida del desarrollo del sistemas
• Estándares de desarrollo y de adquisición
• Medición, monitoreo y revisión de la calidad

22. 9. Evaluación de Riesgos
Que satisface el requisito de negocio para
De asegurar la realización de los objetivos de TI, respondiendo a las amenazas para el
suministro de los servicios de TI
Toma en consideración
• Diferentes tipos de riesgos de TI (tecnología, seguridad, continuidad, etc.)
• Alcance: global o sistemas específicos
• Metodología de análisis de riesgos
• Medidas de riesgo cuantitativas y/o cualitativas
• Plan de acción de riesgos
10. Administración de Proyectos
Que satisface el requisito de negocio para
La entrega de resultados de proyectos dentro de marcos de tiempo, presupuesto y
calidad acordados.
Toma en consideración
• Marco de trabajo para la administración de programas de inversión en TI
• Marco de trabajo para la administración de proyectos
• Distribución de responsabilidades
• Proyecto y fase de aprobación
• Costes y presupuesto del personal
• Planes de seguridad de la calidad y métodos
•Recursos del proyecto

23. DOMINIOS DE TI
Adquisición e Implementación
 Cambios y mantenimiento de los sistemas existentes para
garantizar la natural continuidad del ciclo de vida para estos
sistemas.
• ¿Los nuevos proyectos generan soluciones que satisfagan las
necesidades del negocio? • ¿Los nuevos proyectos son
entregados a tiempo y dentro del presupuesto? • ¿Trabajarán
adecuadamente los nuevos sistemas una vez sean
implementados? • ¿Los cambios afectarán las operaciones
actuales del negocio?

24. 1. Identificación de soluciones Automatizadas
Que satisface el requisito de negocio para
Asegurar la mejor aproximación para satisfacer los requisitos del usuario
Toma en consideración
• Definición de la información de requisitos
• Estudios factibles (costes, beneficios, alternativas, etc.)
• Requisitos de usuario
• Arquitectura de la información
• Seguridad del coste-efectivo
• Contratación externa
2. Adquisición y mantenimiento de SW aplicativo
Que satisface el requisito de negocio para
Suministrar funciones automáticas que soporten de forma efectiva los procesos de
negocio
Toma en consideración
•Requisitos de usuario
•Diseño detallado
•Archivo, gasto, proceso y requisitos externos
•Interfaz de la máquina-usuario
•Controles de aplicación y requisitos de seguridad
•Documentación

25. Adquisición e
Implementación
3. Adquisición y mantenimiento de arquitectura TI
Que satisface el requisito de negocio para
Adquirir y dar mantenimiento a una infraestructura integrada y estándar de TI
Toma en consideración
• Asentamiento de la tecnología
• Mantenimiento del hardware preventivo
• Seguridad del sistema software, instalación, mantenimiento y cambio de controles
4. Facilitar la operación y el uso
Que satisface el requisito de negocio para
Garantizar la satisfacción de los usuarios finales mediante ofrecimientos de servicios, y
de forma transparente integrar las soluciones de aplicación y tecnología dentro de los
procesos del negocio.
Toma en consideración
• Plan para soluciones de operación
• Transferencia de conocimiento a la gerencia del negocio
• Transferencia de conocimiento a usuarios finales
• Transferencia de conocimiento al personal de operaciones y soporte

26. 5. Adquirir recursos de TI
Que satisface el requisito de negocio para
Mejorar la rentabilidad de TI y su contribución a la utilidad del negocio.
Toma en consideración
• Control de adquisición
• Administración de contratos con proveedores
• Selección de proveedores
• Adquisición de software
• Adquisición de recursos de desarrollo
• Adquisición de infraestructura, instalaciones y servicios relacionados
6. Administrar cambios
Que satisface el requisito de negocio para
Responder a los requerimientos del negocio de acuerdo con la estrategia de
negocio.
Toma en consideración
•Estándares y procedimientos para cambios
•Evaluación de impacto, priorización y autorización
•Cambios de emergencia
•Seguimiento y reporte del estatus de cambio
•Cierre y documentación del cambio

27. Adquisición e
Implementación
7. Instalar y acreditar soluciones y cambios
Que satisface el requisito de negocio para
Contar con sistemas nuevos o modificados que trabajen sin problemas importantes
después de la instalación
Toma en consideración
•Entrenamiento
•Plan de prueba
•Plan de implantación
•Ambiente de prueba
•Conversión de sistema y datos
•Distribución del sistema

28. DOMINIOS DE TI
Prestación de Servicios y Soporte
Prestación efectiva de los servicios requeridos, comprenden desde las
operaciones tradicionales sobre aspectos de seguridad y continuidad
hasta capacitación.
•¿Se están entregando los servicios de TI de acuerdo con las prioridades
del negocio? •¿Están optimizados los costos de TI? •¿Es capaz la fuerza
de trabajo de utilizar los sistemas de TI de manera productiva y segura?
•¿Están implantadas de forma adecuada la confidencialidad, la
integridad y la disponibilidad?

29. Prestación de Servicio y
Soporte
1. Definición del nivel de servicio
Que satisface el requisito de negocio para
Asegurar la alineación de los servicios claves de TI con la estrategia del negocio
Toma en consideración
• Definición de servicios
• Definición de responsabilidades
• Garantías de integridad
• Monitoreo y reporte del cumplimento de los niveles de servicio
• Revisión de los acuerdos de niveles de servicio y de los contratos
2. Administración del servicio de terceros
Que satisface el requisito de negocio para
Asegurar que las reglas y las responsabilidades de terceras partes están definidas de
forma clara, adheridas y continuar satisfaciendo los requisitos
Toma en consideración
• Identificación de las relaciones con todos los proveedores
• Administración de las relaciones con los proveedores
• Administración de riesgos del proveedor
• Monitoreo del desempeño del proveedor

30. Prestación de Servicio y
Soporte
3. Administración de la capacidad y el desempeño
Que satisface el requisito de negocio para
Optimizar el desempeño de la infraestructura, los recursos y las capacidades de TI en
respuesta a las necesidades del negocio.
Toma en consideración
• Disponibilidad y cumplimiento de los requisitos
• Capacidad y desempeño actual
• Capacidad y desempeño futuros
• Disponibilidad de recursos TI
• Monitoreo y reporte
4. Asegurar el servicio continuo
Que satisface el requisito de negocio para
Hacer que los servicios de TI requeridos estén disponibles y asegurar un impacto de
negocio mínimo en caso de una ruptura mayor
Toma en consideración
• Clasificación crítica
• Plan de continuidad documentado
• Recursos críticos de TI
• Mantenimiento, Pruebas, Entrenamiento y Distribución del plan de continuidad de TI

31. Prestación de Servicio y
Soporte
5. Garantizar la seguridad del sistema
Que satisface el requisito de negocio para
Salvaguardar la información contra el uso no autorizado, descubrimiento o
modificación, daño o pérdida
Toma en consideración
• Autorización
• Autenticidad
• Acceso
• Uso de protección e identificación
• Gestión de clave criptográfica
• Detección y prevención de virus
• Cortafuegos
6. Identificación y asignación de costos
Que satisface el requisito de negocio para
Asegurar un correcto conocimiento de los costes atribuidos a los servicios de TI
Toma en consideración
• Recursos identificables y medibles
• Modelación de costos y cargos
• Imponer valores

32. Prestación de Servicio y
Soporte
7. Capacitación de usuarios
Que satisface el requisito de negocio para
Asegurar que los usuarios son eficientes en el uso de la tecnología y que son
conscientes de los riesgos y responsabilidades en las que están involucrados
Toma en consideración
• Plan de estudios de entrenamiento
• Campañas de conocimiento
• Técnicas de conocimiento
8. Soporte a los clientes de TI
Que satisface el requisito de negocio para
Permitir el efectivo uso de los sistemas de TI garantizando la resolución y el análisis de
las consultas de los usuarios finales, incidentes y preguntas.
Toma en consideración
• Cuestiones del cliente y respuestas al problema
• Monitorización de cuestiones y aclaraciones
• Análisis de tendencias e información

33. Prestación de Servicio y
Soporte
9. Administración de la configuración
Que satisface el requisito de negocio para
Considerar todos los componentes de TI, prevenir alteraciones no autorizadas,
verificar la existencia física y proveer de un fundamento para una gestión de cambio
firme
Toma en consideración
• Medios de registro
• Gestión del cambio de configuración
• Chequeo del software no autorizado
• Controles de almacenamiento de software
10. Administración de problemas e incidentes
Que satisface el requisito de negocio para
Asegurar que los problemas e incidentes serán resueltos, e investigando la causa para
prevenir una nueva aparición de estos
Toma en consideración
• Reglas suficientes de auditoría de problemas y soluciones
• Resolución oportuna de problemas anunciados
• Informes de incidentes

34. Prestación de Servicio y
Soporte
11. Administración de datos
Que satisface el requisito de negocio para
Asegurar que los datos permanecen completos, correctos y válidos durante su
introducción, actualización y almacenamiento
Toma en consideración
• Diseño del modelo
• Controles de entrada
• Controles de proceso
• Controles de salida
• Almacenamiento multimedia y gestión de copias de seguridad
• Autenticidad e integridad
1
Que satisface el requisito de negocio para
Proveer de un medio físico apropiado que proteja el equipamiento de las TI y a las
personas contra riesgos naturales y riesgos provocados por el hombre
Toma en consideración
• Identificación de la situación
• Seguridad física
• Salud y seguridad del personal
• Protección de amenazas del entorno

35. Prestación de Servicio y
Soporte
13. Administración de Operaciones
Que satisface el requisito de negocio para
Asegurar que las funciones importantes soportadas de las TI son realizadas
regularmente y de una forma ordenada
Toma en consideración
• Manual de procedimiento de operaciones
• Documentación del proceso puesto en marcha
• Gestión de servicios de la red
• Planificación del trabajo y el personal

36. DOMINIOS DE TI
Monitoreo/Seguimiento
Evaluar regularmente todos los procesos de TI para determinar su
calidad y el cumplimiento de los requerimientos de control.
•¿Se mide el desempeño de TI para detectar los problemas antes de que
sea demasiado tarde? •¿La Gerencia garantiza que los controles
internos son efectivos y eficientes? •¿Puede vincularse el desempeño de
lo que TI ha realizado con las metas del negocio? •¿Se miden y reportan
los riesgos, el control, el cumplimiento y el desempeño?

37. Monitoreo /
Seguimiento
1. Monitorear y Evaluar el desempeño de TI
Que satisface el requisito de negocio para
Transparencia y entendimiento de los costos, beneficios, estrategia, políticas y niveles
de servicio de TI de acuerdo con los requisitos de gobierno.
Toma en consideración
•Método de monitoreo
•Evaluación del desempeño
•Reportes al consejo directivo y a ejecutivos
•Acciones correctivas
2. Monitorear y evaluar el control interno
Que satisface el requisito de negocio para
Proteger el logro de los objetivos de TI y cumplir las leyes y reglamentos relacionados
con TI.
Toma en consideración
•Monitorear el marco de trabajo de control interno
•Revisiones de Auditoría
•Auto-evaluación de control
•Control interno para terceros
•Acciones correctivas

38. Monitoreo /
Seguimiento
3. Garantizar el cumplimiento regulatorio
Que satisface el requisito de negocio para
Cumplir las leyes y regulaciones.
Toma en consideración
•Identificar las leyes y regulaciones con impacto potencial sobre TI
•Optimizar la respuesta a requerimientos regulatorios
•Evaluación del cumplimiento con requerimientos regulatorios
•Aseguramiento positivo del cumplimiento
•Reportes integrados
4. Proporcionar gobierno de TI
Que satisface el requisito de negocio para
La integración de un gobierno de TI con objetivos de gobierno corporativo y el
cumplimiento con las leyes y regulaciones
Toma en consideración
•Establecer un marco de trabajo de gobierno para TI
•Alineamiento estratégico
•Entrega de valor
•Administración de recursos
•Administración de riesgos
•Medición del desempeño

39. GRACIAS…