ASEGURAMIENTO DE LA

INFORMACIÓN MEDIANTE COBIT

HERRAMIENTAS MEYCORCOBIT CSA Y MEYCOR COBIT

AG

Relación entre COSO y COBIT

¿Qué es COBIT?

El modelo para implantar Gobierno de TI. Es un estándar abierto y de amplia difusión. Consta de 34 procesos y 220 Objetivos de

Control de bajo nivel. Es 100 % compatible con ISO 17799, COSO I y

II, y con otros estándares de menor nivel de abstracción en los que se apoya.

COBIT fija el Qué y los estándares de apoyo el Cómo en materia de implantación de Gobierno de TI.

COBIT

Significa: Control Objectives for Information and Related Technology.

Modelo desarrollado por la ISACA y el IT Governance Institute (ITGI) para llevar a la práctica el Gobierno de TI en las organizaciones.

ISACA Fundada en 1969. Es una organización líder en Gobernabilidad,

Control, Aseguramiento y Auditoría en TI. Con sede en Chicago USA. Tiene más de 60.000 miembros en más de 100

países. Realiza eventos, conferencias, desarrolla

estándares en IT Governance, Assurance and Security. COBIT:

1ra Edición 1996 2da Edición 1988 3ra Edición 2000 4ta Edición 2005 (Nov/Dic)

REQUERIMIENTOSDE NEGOCIO

REQUERIMIENTOSDE NEGOCIO

PROCESOS DEINFORMACIÓNPROCESOS DEINFORMACIÓN

• efectividad• eficiencia• confidencialidad• integridad• disponibilidad• cumplimiento• confiabilidad

• efectividad• eficiencia• confidencialidad• integridad• disponibilidad• cumplimiento• confiabilidad

CRITERIOS DE INFORMACIÓNCRITERIOS DE INFORMACIÓN

?

Marco COBIT

• aplicaciones• información• infraestructura• personal

• aplicaciones• información• infraestructura• personal

RECURSOS DE TIRECURSOS DE TI

COBIT 4.0

Aseguramiento de la Información El aseguramiento de la información es la base sobre la

que se construye la toma de decisiones de una organización. Sin aseguramiento, las empresas no tienen certidumbre de que la información sobre la que sustentan sus decisiones de misión crítica es confiable, segura y está disponible cuando se la necesita.

Definimos Aseguramiento de la Información como la utilización de información y de diferentes actividades operativas con el fin de proteger la información, los sistemas de información y las redes, de forma de preservar la disponibilidad, la integridad, la confidencialidad, la autenticación y el no repudio, ante el riesgo de impacto de amenazas locales, o remotas a través de comunicaciones e Internet.

Veremos dos importantes técnicas de aseguramiento, la auto evaluación y la auditoría de sistemas de información.

COBIT: Autoevaluación de controles (Meycor COBIT CSA) Es una técnica gerencial que asegura

a todos aquellos con intereses en el negocio, que el sistema de control interno del mismo es confiable.

También asegura que los empleados son concientes de los riesgos del negocio, y que llevan adelante revisiones proactivas periódicas de los controles.

COBIT Guías de Auditoría(Meycor COBIT AG)

Dan una estructura simple para auditar los controles en TI.

Son genéricas y estructuradas a alto nivel.

Permiten la revisión de Procesos contra los Objetivos de Control en TI.

Obtener un entendimiento de los requerimientos del negocio, los riesgos relacionados, y las medidas de control relevantes.

Evaluar la conveniencia de los controles establecidos.

Evaluar el cumplimiento al probar si los controles establecidos están funcionando como se espera, de manera consistente y continua.

Justificar el riesgo de que los objetivos de control no se estén cumpliendo mediante el uso de técnicas analíticas y/o consultando fuentes alternativas.

Se audita mediante los siguientes pasos:

Guía Genérica de AuditoríaObtener entendimiento Los pasos de auditoría a realizar para documentar las

actividades subyacentes a los objetivos de control, así como también identificar las medidas/procedimientos de control establecidas.

Entrevistar al personal administrativo y de staff indicado para lograr la comprensión de: Los requerimientos del negocio y los riesgos asociados. La estructura organizacional. Los roles y responsabilidades. Las medidas de control establecidas. La actividad de reporte a la administración (estatus,

desempeño, acciones). Documentar los recursos de TI relacionados con el proceso

que se ven especialmente afectados por el proceso bajo revisión. Confirmar el entendimiento del proceso bajo revisión, los Indicadores Clave de Desempeño (KPI) del proceso, las implicaciones de control, por ejemplo, mediante un seguimiento paso a paso del proceso.

Guía Genérica de AuditoríaEvaluación de los controles Los pasos de auditoría a realizar en la evaluación de la

eficacia de las medidas de control establecidas o el grado en el que se logra el objetivo de control. Básicamente, decidir qué se va a probar, si se va a probar y cómo se va a probar.

Evaluar la conveniencia de las medidas de control para el proceso bajo revisión mediante la consideración de los criterios identificados y las prácticas estándares de la industria, los Factores Críticos de Éxito (CSF) de las medidas de control y la aplicación del juicio profesional de auditor. Existen procesos documentados. Existen resultados apropiados. La responsabilidad y es clara y eficaz. Existen controles compensatorios en donde es necesario.

Concluir el grado en el que se cumple el objetivo de control.

Guía Genérica de AuditoríaValoración del cumplimiento Los pasos de auditoría a realizar para asegurar

que las medidas de control establecidas estén funcionando como es debido, de manera consistente y continua, y concluir sobre la conveniencia de ambiente de control.

Obtener evidencia directa o indirecta de puntos/períodos seleccionados para asegurarse que se ha cumplido con los procedimientos durante el período de revisión, utilizando evidencia tanto directa como indirecta.

Realizar una revisión de la suficiencia de los resultados del proceso.

Determinar el nivel de pruebas justificantes y trabajo adicional necesarios para asegurar que el proceso de TI es adecuado.

Guía Genérica de AuditoríaJustificar el riesgo Los pasos de auditoría a realizar para justificar el

riesgo de que no se cumpla el objetivo de control mediante el uso de técnicas analíticas y/o consultas a fuentes alternativas.

Documentar las debilidades del control y las amenazas y vulnerabilidades resultantes.

Identificar y documentar el impacto real y potencial; por ejemplo, mediante el análisis de causa-raíz.

Brindar información comparativa; por ejemplo, mediante puntos de referencia.

Descripción de los productos

Meycor COBIT CSA y AG

Para los procesos definidos por COBIT, se identifica la importancia, el desempeño, si ha sido auditado, cómo se procesa y quién es el responsable.

Para los procesos definidos por COBIT, se identifica la importancia, el desempeño, si ha sido auditado, cómo se procesa y quién es el responsable.

Meycor COBIT CSA Importancia de los Procesos de TI

Meycor COBIT CSAAuto Evaluación sobre los controles

Meycor COBIT CSA incluye los Objetivos de Control de COBIT 4.0 y preguntas de seguridad de plataformas específicas.

Meycor COBIT CSA incluye los Objetivos de Control de COBIT 4.0 y preguntas de seguridad de plataformas específicas.

Meycor COBIT CSA Reporte de la evaluación

Se presentan los resultados en puntajes. De este modo se pueden determinar valores meta.

Se presentan los resultados en puntajes. De este modo se pueden determinar valores meta.

Meycor COBIT CSA Diagnóstico sobre los Procesos de TI

La línea roja indica el resultado obtenido. Cuanto mas próxima al centro, los riesgos se encuentran menos cubiertos por controles

La línea roja indica el resultado obtenido. Cuanto mas próxima al centro, los riesgos se encuentran menos cubiertos por controles

Meycor COBIT CSA Evaluaciones de varios Centros de Análisis

Se pueden ver los resultados en forma comparativa (plataformas, sucursales, tecnologías)

Se pueden ver los resultados en forma comparativa (plataformas, sucursales, tecnologías)

Meycor COBIT CSA Proyectos de Auditoría

Permite crear proyectos de auditoría, asignar recursos y gestionarlos.

El objetivo es determinar si los controles del proceso ofrecen aseguramiento.

Permite crear proyectos de auditoría, asignar recursos y gestionarlos.

El objetivo es determinar si los controles del proceso ofrecen aseguramiento.

Meycor COBIT CSA Alineamiento con los Objetivos de negocio

Se identifica el alineamiento entre los Objetivos de TI y los Objetivos de negocio

Se identifica el alineamiento entre los Objetivos de TI y los Objetivos de negocio

Meycor COBIT AG Inventario Tecnológico

Se identifica cómo los recursos de TI contribuyen efectivamente al logro de los objetivos.

Se identifica cómo los recursos de TI contribuyen efectivamente al logro de los objetivos.

Meycor COBIT AG Relación entre procesos de COBIT y Procesos de Negocio

Se genera un mapa de calor a partir de los recursos de TI y los criterios de información requeridos.

Se genera un mapa de calor a partir de los recursos de TI y los criterios de información requeridos.

Meycor COBIT AG Inicio del proceso de auditoría

Se registra cuando el supervisor crea un proyecto y lo asigna a los auditores. Se establece también cuando se está en desacuerdo con una observación.

Se registra cuando el supervisor crea un proyecto y lo asigna a los auditores. Se establece también cuando se está en desacuerdo con una observación.

Meycor COBIT AG Auditando un Proceso de TI

Meycor COBIT AG guía en las diversas Fases (entrevistas, etc.). Permite registrar tareas, adjuntar evidencias y registrar observaciones.

Meycor COBIT AG guía en las diversas Fases (entrevistas, etc.). Permite registrar tareas, adjuntar evidencias y registrar observaciones.

Meycor COBIT AG Guías de Auditoría

Los auditores cuentan con guías de auditoría que constituyen una base de conocimiento que mejora la calidad de la auditoría.

Los auditores cuentan con guías de auditoría que constituyen una base de conocimiento que mejora la calidad de la auditoría.

Meycor COBIT AG Registro de tareas

Se identifica quién la ejecutó, el tiempo invertido, comentarios, etc.

Se identifica quién la ejecutó, el tiempo invertido, comentarios, etc.

Meycor COBIT AG Hallazgos y recomendaciones

Las observaciones se definen en un formato que incluye determinar los criterios contra los que se evalúa, las consecuencias, etc.

Las observaciones se definen en un formato que incluye determinar los criterios contra los que se evalúa, las consecuencias, etc.

Meycor COBIT AG Ejemplos de Papeles de Trabajo (I)

Reporte del programa de auditoría por proyecto.Reporte del programa de auditoría por proyecto.

Meycor COBIT AG Ejemplos de Papeles de Trabajo (II)

Informe sobre el grado de fortaleza de los controles auditados.

Informe sobre el grado de fortaleza de los controles auditados.

Meycor COBIT AG Ejemplos de Papeles de Trabajo (III)

Identificación de hallazgos, opinión del auditado, seguimiento, etc.

Identificación de hallazgos, opinión del auditado, seguimiento, etc.

DATASECIT Security &

Control

Patria 716 - CP 11300 - Montevideo - UruguayTel: (+598 2) 711-58-78 / 711-04-20Fax: (+598 2) 711-58-94Sitio web: www.datasec-soft.com