Este documento presenta definiciones y descripciones de varios conceptos y estándares relacionados con sistemas de información empresarial. Explica el modelo de tres capas típico de estos sistemas y describe conceptos como SOX, ITIL, COBIT, Basilea y ISO, enfocándose en sus objetivos, secciones clave y riesgos relevantes.

1. Definiciones
Nombre: Pamela Quintuprai Muñoz
Ramo: Sistemas de Información Empresarial
Profesor Responsable: Cristian Salazar C.
Fecha: 03 de Mayo de 2010

2. Modelo de Tres Capas:
La metodología RPM presentada por C. Larman presupone una estructura de tres capas
que es típica de los Sistemas de Información. Estas tres capas son:
 La capa de la Presentación: Esta capa reúne todos los aspectos del software que
tiene que ver con las interfaces y la interacción con los diferentes tipos de usuarios
humanos Estos aspectos típicamente incluyen el manejo y aspecto de las ventanas,
el formato de los reportes, menús, gráficos y elementos multimedia en general.
 La capa de Aplicación o Lógica del Negocio: Esta capa reúne todos los aspectos del
software que tienen que automatizan o apoyan los procesos de negocio que llevan
a cabo los usuarios. Estos aspectos típicamente incluyen las tareas que forman
parte de los procesos, las reglas y restricciones que aplican. Esta capa también
recibe el nombre de la capa de la Lógica de la Aplicación.
 La capa de Presentación: Esta capa reúne todos los aspectos del software que
tienen que ver con el manejo de los datos persistentes, por lo que también se le
denomina la capa de las Bases de Datos.
SOX
Serbanes-Oxley Act (SOX) es una legislación desarrollada en Estados Unidos de América en
respuesta a un número de escándalos contables y corporativos debido a que estos
escándalos generaron una disminución en la confianza del público en las prácticas
contables y de reporte. Toda empresa que transe en las bolsas de valores de los Estados
Unidos, debe adherirse a esta legislación.
En particular, SOX tiene tres artículos (secciones) que afectan directamente la utilización
de la tecnología informática así:
1. Sección 302: Responsabilidad Corporativa por los estados financieros. Esta sección
exige que los gerentes financieros y los gerentes generales certifiquen
personalmente y avalen la exactitud de los estados financieros de la empresa.
2. Sección 404: Evaluación de la administración del control interno. Exige que los
auditores certifiquen los controles y procesos de tecnologías de información
requeridos para garantizar los resultados financieros. Esta sección le exige a los
auditores, internos y externos, que certifiquen los controles internos y los procesos
por los cuales los ejecutivos obtienen la información.
3. Sección 409: Liberación en tiempo real de la información requerida. Exige el
reporte en tiempo real de eventos materiales que podrían afectar el desempeño
financiero de una compañía. El aspecto de tiempo en este requerimiento ejercerá

3. presión significativa sobre la infraestructura actual de TI y las actividades de su
administración.
ITIL
(Information Technology Infrastructure Library) es un conjunto de mejores prácticas
(procedimientos, técnicas, métodos, o actividades eficientes y efectivos en proporcionar
un determinado resultado), enmarcadas en un conjunto de procesos (biblioteca) cuyo
objetivo es organizar de manera productiva y holística los diferentes servicios que
proporciona el departamento de tecnología de la información (informática) de una
organización.
COBIT
La misión de COBIT (Control Objectives for Information and related Technology)es "investigar,
desarrollar, publicar y promocionar un conjunto de objetivos de control generalmente
aceptados para las tecnologías de la información que sean autorizados (dados por alguien
con autoridad), actualizados, e internacionales para el uso del día a día de los gestores de
negocios (también directivos) y auditores." Gestores, auditores, y usuarios se benefician
del desarrollo de COBIT porque les ayuda a entender sus Sistemas de Información (o
tecnologías de la información) y decidir el nivel de seguridad y control que es necesario
para proteger los activos de sus compañías mediante el desarrollo de un modelo de
administración de las tecnologías de la información.
BASILEA
Basilea, la importante ciudad suiza, le da su nombre al comité para el entendimiento y la
calidad bancaria en el mundo. Para lograr este entendimiento, el Comité se basa en el
intercambio de información a través de acuerdos internacionales de supervisión, el
desarrollo de la efectividad de las medidas de supervisión y el establecimiento de
estándares. Uno de los principales estándares desarrollados ha sido “Principios de la
Gestión de Riesgos para la Banca Electrónica”.
Para Basilea, los principales riesgos son:
 Riesgo Tecnológico, definido como el riesgo de pérdidas ocasionada por daños,
interrupción, alteración, fallos derivados de la dependencia de tecnologías de la
información en la prestación de servicios bancarios.
 Riesgo Legal, definido como el riesgo de pérdidas ocasionada por incumplimientos
de las disposiciones legislativas, normativas, administrativas y judiciales.
 Riesgo Operacional, riesgo de pérdida debido a la inadecuación o a fallos
imprevistos de los procesos, el personal y los sistemas internos. El componente
principal del Riesgo Operativo es eminentemente tecnológico y afecta a la gran

4. mayoría de los procesos de negocio. Según Basilea, la Seguridad de los Sistemas de
Información es un determinante fundamental del Riesgo Operativo de los Procesos
de Negocios, la Seguridad de los Sistemas de Información es un determinante
fundamental del Riesgo Operativo de los Procesos de Negocio.
Todos los demás componentes tecnológicos del riesgo operacional, presentan
además numerosas amenazas que podrían afectar los procesos de negocio de una
entidad financiera, algunos de ellos son:
o Tecnología obsoleta.
o Ausencia de análisis de riesgos.
o Falta de herramientas de seguimiento y monitoreo.
o Inexistencia de ciclos de auditoría.
o Problemas en el control de cambios a programas, sistemas y aplicativos.
o Inadecuada seguridad física y lógica.
o Falta de control de los servicios prestados por terceros.
ISO
ISO (Organización Internacional de Estándares) es el organismo encargado de promover el
desarrollo de normas internacionales de fabricación, comercio y comunicación para todas las
ramas industriales a excepción de la eléctrica y la electrónica. Su función principal es la de buscar
la estandarización de normas de productos y seguridad para las empresas u organizaciones a nivel
internacional.
Una de las ISO relacionada con el mundo de las tecnologías de información es la ISO 9000
relacionada con los sistemas de gestión de calidad.