Descargado 42 veces
![Recursos de la Tecnología de la Información (T.I.) Datos Objetos en su más amplio sentido (es decir, externos e internos), estructurados y no estructurados, gráficos, sonidos, etc. Los sistemas de aplicación, se entienden como la suma de procedimientos manuales y programados. Sistemas de Aplicación [email_address] Pallavicini Consultores www.seguridadinformatica.cl](https://image.slidesharecdn.com/cobit-111018144926-phpapp01/85/Cobit-17-320.jpg)
![PO7. Administración de Recursos Humanos (CONTINUACIÓN) 7.5. Procedimiento de acreditación del personal Procedimiento de verificación de antecedentes del personal previo a su contratación o cambio. Consideración en el procedimiento de su situación financiera. [email_address] Pallavicini Consultores propiedad intelectual reservada](https://image.slidesharecdn.com/cobit-111018144926-phpapp01/85/Cobit-39-320.jpg)
![PO7. Administración de Recursos Humanos (CONTINUACIÓN) 7.7. Cambios de puesto y despidos. Procedimiento formal y conocido, para el despido y cambio del puesto, del personal Procedimiento para la eliminación/suspensión inmediata de las passwords de acceso a los ambientes computacionales, sistemas y datos, de cada persona despedida o trasladada a otro cargo. [email_address] Pallavicini Consultores propiedad intelectual del resumen en Powerpoint reservada](https://image.slidesharecdn.com/cobit-111018144926-phpapp01/85/Cobit-41-320.jpg)
Subido porTu Bendicion
Cobit
1. COBIT proporciona estándares y buenas prácticas para el control de tecnologías de la información en organizaciones. 2. Está estructurado en 4 dominios: Planificación y Organización, Adquisición e Implementación, Entrega y Soporte, y Monitoreo. 3. Cada dominio cubre varios procesos clave relacionados con la gestión y entrega de servicios y recursos de TI.
Cobit
- 1. COBIT CésarPallavicini Z. www.seguridadinformacion.cl
- 2. C ControlOB OBjectives I for Information T and Related Technology
- 3. Origen de COBIT Actualización de los objetivos de control de ISACF Expansión del enfoque a las necesidades de la Administración y el Usuario Perspectiva Global Comité de Análisis
- 4. Misión del COBIT“ Para investigar, desarrollar, publicar y promover un conjunto actualizado e internacional de objetivos de control de Tecnología de la Información generalmente aceptado, para su uso diario por los administradores del negocio y los auditores ”.
- 5. Alcances y objetivos:Estándares generalmente aplicados y aceptados para las buenas prácticas de control en TI (Tecnologías de la Información) Para Sistemas de Información de la Organización Fundamentado en una estructura de control de las TI Basado en los Objetivos de Control de ISACF.
- 6. Componentes del COBI T Resumen Ejecutivo Descripción de la Estructura Objetivos de Control Guías de Auditoría
- 7. Visión Ejecutiva AntecedentesLa Estructura del C OBI T Definiciones Los Principios de la Estructura Dominios y Procesos Relaciones entre Principios, Dominios y Procesos
- 8. Necesidad por unaEstructura Orientación al Control Relacionar objetivos de control individuales con los Estándares, Regulaciones y Prácticas existentes. Usado por Auditores, Administradores y Usuarios
- 9. Expectativasde la Administración en TI Proceso de Re-Ingeniería Proceso Distribuído Outsourcing
- 10. Responsabilidades Administrativas TISalvaguardar Activos La Información como el ACTIVO más importante
- 11. La Necesidad delControl en TI Administradores Usuarios Auditores
- 12. Definición de Control“ Las Políticas, Procedimientos, Prácticas y Estructura Organizacional, diseñadas para proveer una razonable seguridad de que los objetivos del negocio serán alcanzados y los eventos indeseados serán prevenidos o detectados y corregidos.”
- 13. Recursos de Tecnologíade Información Datos Sistemas de Aplicación Tecnología Instalaciones Personal
- 14. Requerimientos del Negociohacia la Información Calidad Costo Entrega Efectividad & Eficiencia de operaciones Confiabilidad de Información Cumplimiento con leyes & regulaciones Confidencialidad Integridad Disponibilidad Requerimientos de calidad Requerimientos Fiduciarios (Informe COSO) Requerimientos de Seguridad
- 15. Requerimientos del Negociohacia la Información Efectividad Eficiencia Se relaciona con la provisión de información a través del óptimo (más productivo y económico ) uso de recursos. Confidencialidad Se relaciona con la protección de información sensible a divulgación No autorizada. Integridad Se relaciona con la exactitud e integridad de información así como también con su validez en conformidad con valores y expectativas del NEGOCIO. Trata con información que es relevante y pertinente al proceso de negocio, además de ser entregada de una manera oportuna, correcta, consistente y utilizable.
- 16. Requerimientos del negociohacia la Información Disponibilidad Cumplimiento Trata con el cumplimiento de aquellas leyes, regulaciones y arreglos contractuales a los cuales está sujeto el proceso de negocio; es decir, criterios de negocios impuestos externamente. Se relaciona con la provisión de información apropiada a la gerencia para operar la entidad y para que la gerencia ejerza sus responsabilidades de informar cumplimiento. Confiabilidad de Información Se relaciona con información disponible al ser requerida por el proceso de negocio ahora y en el futuro. Se relaciona con el resguardo de recursos necesarios y capacidades asociadas.
- 17. Recursos de laTecnología de la Información (T.I.) Datos Objetos en su más amplio sentido (es decir, externos e internos), estructurados y no estructurados, gráficos, sonidos, etc. Los sistemas de aplicación, se entienden como la suma de procedimientos manuales y programados. Sistemas de Aplicación [email_address] Pallavicini Consultores www.seguridadinformatica.cl
- 18. Recursos de laTecnología de la Información (T.I.) Tecnología Tecnología cubre hardware, sistemas operativos, Sistemas de administración de bases de datos, redes, multimedia, etc. Instalaciones son todos los recursos para albergar y respaldar Sistemas de información. Gente Gente incluye las destrezas, conciencia y productividad del personal para planificar, organizar, adquirir, entregar, respaldar y Monitorear sistemas y servicios de información. Instalaciones Tecnología Instalación Gente
- 19. Procesos de Información Tres Niveles Dominios Procesos Actividades
- 20. Dominios del CobitPlanificación y Organización Este dominio cubre estrategia y táctica, y se relaciona con la identificación de la forma en que TI puede contribuir mejor al logro de los objetivos de negocios. Más aún, la realización de la visión estratégica debe ser planificada, comunicada y administrada para diferentes perspectivas. Finalmente, se debe poseer una apropiada organización además de una infraestructura tecnológica.
- 21. Dominios del CobitAdquisición e Implementación Para realizar la estrategia TI, se deben identificar, desarrollar o adquirir las necesidades TI, así como implementarlas e incorporarlas a los procesos de negocios. Además, los cambios en y la mantención de sistemas existentes son cubiertas por éste dominio, para asegurarse que el ciclo de vida útil es continuo para estos sistemas.
- 22. Dominios del Cobit. . Entrega y Respaldo Procedimientos manuales y programados. real de servicios requeridos, la cual va desde operaciones tradicionales en seguridad y aspectos de continuidad a capacitación. Para entregar servicios, se deben preparar los procesos de respaldo necesarios. Este dominio incluye procesamiento real de datos mediante procesos de aplicaciones, a menudo clasificados bajo controles de aplicaciones. www.seguridadinformacion.cl
- 23. Dominios del CobitTodos los procesos TI deben ser evaluados regularmente en el tiempo para su calidad y cumplimiento con requerimientos de control. Este dominio, por consiguiente, aborda la supervisión por parte de la gerencia del proceso de control de la organización y la garantía independiente proporcionada por auditoría interna y externa, o se obtiene de fuentes alternativas. Monitoreo
- 24. OBJETIVOS DE NEGOCIOSCOBIT INFORMACION PLANIFICACION & ORGANIZACION RECURSOS TI ENTREGA & RESPALDO ADQUISICIÓN & IMPLEMENTACION · efectividad · eficiencia · confidencialidad · integridad · disponibilidad · cumplimiento · confiabilidad AI1 identificar soluciones AI2 adquirir y mantener software de aplicaciones AI3 adquirir y mantener arquitectura de tecnología AI4 desarrollar y mantener recursos TI AI5 instalar y acreditar sistemas AI6 administrar cambios DS1 definir niveles de servicio DS2 administrar servicios de terceros DS3 administrar desempeño y capacidad DS4 asegurar servicio continuo DS5 asegurar seguridad de sistemas DS6 identificar y atribuir costos DS7 adecuar y capacitar a usuarios DS8 ayudar y aconsejar a clientes de TI DS9 administrar la configuración DS10 administrar problemas e incidentes DS11 administrar datos DS12 administrar instalaciones DS13 administrar operaciones · gente · sistemas de aplicaciones · tecnología · instalaciones · datos MONITOREO M1 monitorear los procesos M2 evaluar adecuación de control interno M3 lograr garantía independiente M4 disponer de auditoría interna PO1 definir un plan TI estratégico PO2 definir la arquitectura de información PO3 determinar la dirección tecnológica PO4 definir la organización TI y relaciones PO5 administrar la inversión en TI PO6 comunicar a gerencia metas y dirección PO7 administrar recursos humanos PO8 asegurar cumplimiento con requerimientos externos PO9 evaluar riesgos PO10 administrar proyectos PO11 administrar calidad
- 25. Dominio Planificación yOrganización 1. Definición del Plan Estratégico 2. Definición de la Arquitectura de la Información 3. Determinación de la Dirección Tecnológica 4. Definición de la organización y sus relaciones
- 26. Dominio Planificación yOrganización ( CONTINUACIÓN) 5. Manejo de la Inversión 6. Comunicación de Políticas y los Objetivos de la Dirección 7. Administración del Personal 8. Requerimientos de Organismos Contralores Externos
- 27. Dominio Planificación yOrganización ( CONTINUACIÓN) 9. Evaluación de riesgos 10. Administración de Proyectos 11. Administración de la Calidad
- 28. Dominio Adquisición eImplementación 1. Identificar soluciones. 2. Adquirir y mantener software de aplicaciones. 3. Adquirir y mantener arquitectura de tecnología. 4. Desarrollar y mantener recursos TI. 5. Instalar y acreditar sistemas. 6. Administrar cambios.
- 29. Dominio Entrega ySoporte 1 . Definir niveles de servicio. 2 . Administrar servicios de terceros. 3. Administrar desempeño y capacidad 4 . Asegurar servicio continuo. 5. Asegurar seguridad de sistemas. 6. Identificar y atribuir costos. 7 . Adecuar y capacitar a usuarios.
- 30. Dominio Entrega ySoporte (continuación) 8. Ayudar y aconsejar a clientes de TI. 9. Administrar la configuración. 10. Administrar problemas e incidentes. 11 . Administrar datos. 12. Administrar instalaciones. 13. Administrar operaciones.
- 31. Dominio Monitoreo 1. Monitorear los procesos. 2. Evaluar la adecuación del control interno. 3. Lograr garantía independiente. 4. Disponer de auditoría interna.
- 32. PO5. Manejo dela Inversión en Tecnología de Información 5.1. Presupuesto Operativo Anual para la Funci ó n de Servicios de Informaci ó n. Proceso de definición de presupuesto operativo. Consideración en el proceso de: Plan de la organización. Plan Informático. Proceso de análisis de alternativas de financiamiento.
- 33. PO5. Manejo dela Inversión en Tecnología de la Información (continuación) 5.2. Monitoreo de Costo - Beneficios. Proceso de medición, registro y control de costos contra presupuesto. Identificación, medición y reporte de los beneficios de la TI. Sistema de costos asociado a la Contabilidad. Proceso periodico de revisión de las unidades de medición de beneficios de la TI.
- 34. PO5. Manejo dela Inversión en Tecnología de la Información (continuación) 5.3. Justificaci ó n del Costo - Beneficio. Proceso de verificación de los costos del servicio de TI v/s la Industria (benchmarking). Proceso de verificación del nivel de actividades de la TI con respecto a la Industria.
- 35. PO7. Administración deRecursos Humanos 7.1. Reclutamiento y promoción de personal Políticas de reclutamiento y promoción del personal. Proceso formal de reclutamiento y promoción del personal. Aspectos a considerar como la educación, experiencia y responsabilidad.
- 36. PO7. Administración deRecursos Humanos (CONTINUACIÓN) 7.2. Personal calificado. Definición de requerimientos del puesto. Proceso de verificación de la calificación de las personas.
- 37. PO7. Administración deRecursos Humanos (CONTINUACIÓN) 7.3. Entrenamiento del personal . Proceso de inducción de nuevos empleados en la Empresa. Programa de capacitación de acuerdo a los requerimientos de cargo. Proceso periódico de revisión del programa de capacitación.
- 38. PO7. Administración deRecursos Humanos (CONTINUACIÓN) 7.4. Proceso cruzado o respaldo de personal. Identificación de los puestos claves. Programa de entrenamiento cruzado (puestos claves). Programa de vacaciones/control de cumplimiento.
- 39. PO7. Administración deRecursos Humanos (CONTINUACIÓN) 7.5. Procedimiento de acreditación del personal Procedimiento de verificación de antecedentes del personal previo a su contratación o cambio. Consideración en el procedimiento de su situación financiera. [email_address] Pallavicini Consultores propiedad intelectual reservada
- 40. PO7. Administración deRecursos Humanos (CONTINUACIÓN) 7.6. Evaluación desempeño de los empleados. Pauta de evaluación del desempeño de los empleados. Consideración de estándares y responsabilidades del cargo que ocupa el empleado. Procedimiento formal de aplicación periódica de dicha pauta. Procedimiento formal de entrega de resultados al empleado.
- 41. PO7. Administración deRecursos Humanos (CONTINUACIÓN) 7.7. Cambios de puesto y despidos. Procedimiento formal y conocido, para el despido y cambio del puesto, del personal Procedimiento para la eliminación/suspensión inmediata de las passwords de acceso a los ambientes computacionales, sistemas y datos, de cada persona despedida o trasladada a otro cargo. [email_address] Pallavicini Consultores propiedad intelectual del resumen en Powerpoint reservada
Notas del editor
- #2 INSTRUCTOR NOTES: C OBI T stands for Control Objetives for Information and Related Technology C OBI T is about information technology management and controls. It was developed as a generally applicable and accepted standard for good practices for Information Technology (IT) control. This presentation is designed to cover the following basic elements of C OBI T: * Background of C OBI T, its history, and how it evolved to where it is today; * How C OBI T will impact you and your organisation; * The C OBI T Framework ; * The C OBI T Framework’s Principles; * Guide to Using the C OBI T Framework and the Control Objetives ; * The Audit Guidelines ; and * Suggestions on how to implement C OBI T Ask the class if any of their organisations have completed, or is in the process of implementation. This would be a good class discussion at the end of the class)
- #3 Many members have asked what the C OBI T name stands for. This slide depicts what the letters in C OBI T represent. Read slide C OBI T is so inclusive; therefore we added the phrase “and related technology” to the title as there may be technology NOT YET invented that will benefit from C OBI T application.
- #4 C OBI T was initiated in 1992 when a scheduled rewrite of the existing Information Systems Audit and Control Foundation Control Objetives grew into a project with more profound goals. These goals included: 1. NEW MANAGERIAL FOCUS The Foundation, through the encouragement and diligence of several of its dedicated members, promoted the idea of rewriting and updating these control objectives to address not only audit issues and concerns, but also managerial and user issues as well. 2. GLOBAL PERSPECTIVE In addition, because of ISACA’s global presence, it was decided that the existing control objectives should be reviewed and revised to include a global perspective. This would be done by identifying and reviewing all significant existing and emerging international technical, professional, regulatory and industry-specific standards. STEERING COMMITTEE FORMED A Steering Committee was formed to ensure representation by ISACA members and industry leaders from every major geographical region around the world. Global representation guaranteed the inclusion of other current IS control “standards” or “generally accepted best practices” from around the world. This was a major improvement to the project. Reference: Page 6 of Control Objetives: Background
- #5 The C OBI T project mission was consistent with the mission of the Information Systems Audit and Control Foundation -- To research, develop, publicise and promote an authoritative, up-to-date, international set of generally accepted IT Control Objetives for day-to-day use by business managers and auditors. C OBI T was intended to identify a framework that could also be used for other research and product initiatives. C OBI T was also required to identify the minimum controls for any IT environment through identification of specific control objectives. C OBI T would answer the most common question being asked by clients and users: “What are the minimum controls required in this circumstance”-- the minimums as promulgated by the standards setting body of the profession (ISACA/F.) Reference: Page 6 of Control Objetives
- #6 The C OBI T control framework would be universal and applicable to all IT -- regardless of facility size, equipment type, applications, technology or type of data to be processed. C OBI T needed to select and direct its framework at IT controls, not at all the controls within the enterprise -- only IT controls . C OBI T would focus on the entire range of IT issues -- from the development of a single application to enterprise-wide information systems. As previously mentioned, the starting point would be ISACF’s 1992 Control Objetives for a totally new set of objectives, encompassing all prior knowledge. Reference: Page 6 of Control Objetives
- #7 The C OBI T package consists of four separate documents. It is intended for the following users; 1. The Executive Summary (12 pages) is geared toward senior executives. It communicates the Framework and C OBI T principles. The Summary is a tool that can be used and/or given to senior management to demonstrate or sell the C OBI T process. 2. Framework (58 pages) is geared toward senior management. It contains the Executive Summary Information, the C OBI T Framework, and the Control Processes (32 processes) 3. The Control Objetives (118 pages and the basis for much of this presentation) is geared toward middle management. It contains all of the above as well as the Detailed Control Objetives. 4. The Audit Guidelines (194 pages) is geared toward the line manager and practitioner. It contains 33 guidelines -- 1 “generic” and 32 “process” audit work programs to give guidance on forming opinions about control environment. The following slides present details on each document.
- #8 The Executive Summary is a means to communicate to senior management that: * There is a need for controlling IS quality, fiduciary reporting, and security. * There is a need to manage IT resources. * There is a method for doing this that allows consensus between IS and auditors. * This method is promulgated by ISACA as the standard method. * The method is from a managerial perspective, not just an audit one, as in the past. * The method links control assessment to the extent that IS supports business goals. * There are different “perspectives” for different levels within the organisation. * It is new and it is inclusive of IS controls standards and best practices worldwide. * It is understandable and workable as a means to ensure the successful use of IS resources. The Executive Summary contains the information on this slide to depict these points. (If you have a copy of the C OBI T Executive Summary , hold up the document to show to participants.)
- #9 CONTROL ORIENTED The development of the C OBI T framework for control in IT is based on business information criteria and documented by control objectives . ALIGN INDIVIDUAL CONTROL OBJECTIVES An alignment of the overall framework and individual control objectives, with existing recognised and accepted international standards and regulations. USED BY MANY To gain acceptance, the framework must work and be understood by those individuals involved in the IT control process. For that reason, the C OBI T framework was designed to be used and understood by three distinct audiences. Management to help them balance risk and control IT investments; Users to ensure IT services are secure; and IS Auditors to substantiate their opinions to management on internal controls. Reference: Pages 6 and 9 of Control Objetives: Executive Overview
- #10 Competition and change have changed management’s expectations for IT delivery. Requirements for increased quality, decreased delivery time and improving service levels have received emphasis. These expectations have been realised through changes such as : * Re-Engineered Processes; * Right-Sizing; * Distributed Processing; * Flattened organisations; and * Outsourcing. Reference: Page 7 of Control Objetives: Executive Overview
- #11 The management responsibilities along with expectations are: SAFEGUARDING ASSETS: the physical and logical protection of assets, and MOST VALUABLE ASSET: information in and of itself is an asset -- granted a difficult one to quantify. (Anyone see the movie “The Net?”) Many organisations would find it difficult, if not impossible, to operate if data were not available through IT applications or technology resources. The underlying concept of the C OBI T framework is as follows: Control in IT requires looking at information as support to the major business processes. Reference: Page 7 of Control Objetives: Executive Overview
- #12 Whereas prior ISACF Control Objetives were focused on the IS Auditor only, C OBI T is directed at management, users, and auditors. It consists of different products for different types and levels of audiences. Reference: Page 8-9 of Control Objetives
- #13 This definition of control is adapted from the COSO Report (Committee of Sponsoring Organizations of the Treadway Commission. Internal Control -- Integrated Framework .1992) Reference: Page 10 of Control Objetives
- #14 The underpinning concept of the C OBI T Framework is that control in IT is achieved by looking at information needed to support the business processes and by looking at information as being the result of the combined application of Information Technology related resources that need to be managed by IT processes. The IT resources can be explained/defined as follows: Data Data objects in their widest sense i.e., external and internal, structured and not structured, graphics, sound, etc. Application Systems Collections of computer programs performing a specific task or tasks and understood in the C OBI T context to be both manual and computerised. Technology Hardware, operating systems, data base management, networking, multi-media, telecommunications, telephone Facilities Resources to house and support information systems People Staff, their skills, awareness and productivity to plan, organise, acquire, deliver support and monitor information systems and services. Reference: Page 11 of Control Objetives
- #20 The C OBI T Framework consists of high-level IT Control Objetives and an overall structure for their classification and presentation. The underlying theory for the chosen classification is that there are, in essence, three levels of IT efforts when considering the management of IT resources. They are; BUSINESS REQUIREMENTS, IT PROCESSES, and IS RESOURCES. We have developed the BUSINESS REQUIREMENTS and criteria. We have developed the IT RESOURCES of data, applications, facilities, data, and technology. Now we will develop IT PROCESSES . DOMAINS are large processes such as corporations, divisions, geographic locations or sites. PROCESSES are specific “naturally grouped” activities, such as departments within one location. ACTIVITIES are tasks that need to be done to generate a desired end -- event, product, service, etc. Reference: Page 14 of Control Objetives