1 Proyecto de Grado - Parte I Maestría en Gerencia en Sistemas “AUDITORÍA DE GESTIÓN DE PROCESOS EN EL DEPARTAMENTO DE TIC’S DE LA EMPRESA PÚBLICA ESTRATÉGICA HIDROELÉCTRICA COCA CODO SINCLAIR, COCASINCLAIR EP, UTILIZANDO EL MARCO DE REFERENCIA COBIT 4.1.” Proponente: Ing. Marco Suárez Torres Tutor: Eco. Gabriel Chiriboga Barrera
2 Agenda Capítulo 1: Generalidades La empresa COCASINCLAIR EPPlanteamiento del problema Objetivos del Proyecto Alcance, Meta y Metodología Capítulo 2: Gobernabilidad de las TIC’S Información y Metodología de una Auditoría Control Interno Estándares para la Administración de TIC’S Marco de Referencia Cobit 4.1 Capítulo 3: Riesgos de las Tecnologías de Información Riesgos Identificación de Riesgo utilizando Cobit 4.1 Caracterizar los procesos de TI Identificación de procesos Cobit afectados Procesos que serán auditados Identificación de Riesgos a los Procesos de TI Matriz de riesgo resultante Capítulo 4: Auditoría a los Procesos Estructura de la Auditoría de los Procesos Resultados de la Evaluación Resumen del Nivel de Madurez de los procesos Conclusiones y Recomendaciones (al avance) Agenda
3 GENERALIDADES Capítulo 1
4 LA EMPRESA COCASINCLAIR EPAntecedentes Normas ISO 9000, 14000, 18000 Productos y servicios Principales Mercados / Clientes MISIÓN Construir la Central Hidroeléctrica Coca Codo Sinclair de MW, en el plazo establecido, en óptimas condiciones técnicas, con Responsabilidad Social y Ambiental VISIÓN En el Año 2016, poner en operación la Central Hidroeléctrica Coca Codo Sinclair que aporte al Sistema Nacional Interconectado MW, cumpliendo con los más altos estándares técnicos, contribuyendo a la preservación de los ecosistemas y con el reconocimiento de las comunidades de la zona y de todos los ecuatorianos AGENDA
5 LA EMPRESA COCASINCLAIR EPAGENDA
6 LA EMPRESA COCASINCLAIR EPJefatura de TIC’S Infraestructura Políticas de la Gestión de la Información y Comunicación Producir y difundir información veraz, transparente y oportuna acerca de los beneficios y avances del Proyecto, de los programas de compensación social y comunitaria; así como, de la gestión empresarial, aplicando criterios de CONFIDENCIALIDAD, INTEGRIDAD Y OPORTUNIDAD. Mantener la confidencialidad en la información técnica, empresarial y en general, con aquella información, considerada por el Directorio de COCASINCLAIR EP como estratégica y sensible a los intereses de ésta. AGENDA
7 Planteamiento del problemaNo ha establecido procedimientos para la entrega de productos o servicios de la Jefatura de TIC’S. No se especifica cómo apoya esta Jefatura a las políticas de la Empresa. Desconocimiento de cómo están los procesos internos, el nivel de servicios referente al soporte técnico, la seguridad de la plataforma informática implementada y la seguridad de la información. Falta de documentación de soporte relacionada a requerimientos en la Jefatura de TIC’S. AGENDA
8 Objetivos DEL PROYECTOGeneral Analizar, evaluar y documentar los seis procesos más relevantes, así como los controles implementados de estos procesos en la Jefatura de TIC’S de la empresa COCASINCLAIR EP, utilizando el marco de referencia COBIT 4.1 y proponer a la Gerencia General recomendaciones aplicables para mejorarlos. Específicos: Elaborar una matriz de riesgos de la Jefatura de TIC’S, que muestre los seis procesos más relevantes del área, priorizándolos con los criterios de Seguridad de la Información (Confidencialidad, Integridad y Disponibilidad) Auditar cada proceso identificado, usando el marco de referencia COBIT 4.1 Determinar el nivel de madurez de cada proceso analizado. Presentar un informe ejecutivo a la Gerencia General de la empresa COCASINCLAIR EP, con las recomendaciones aplicables resultantes de la auditoría realizada. AGENDA
9 ALCANCE, META Y METODOLOGÍARealizar una auditoría a los seis procesos más relevantes de la Jefatura de TIC’S de la empresa COCASINCLAIR EP, utilizando el marco de referencia COBIT 4.1, partiendo de la matriz de riesgos. META Determinar la situación actual de la Jefatura de TIC’S y la revisión de los seis procesos más relevantes identificados en la matriz de riegos. METODOLOGIA Matriz de riesgos. Marco de referencia COBIT 4.1. AGENDA
10 GOBERNABILIDAD DE LA TECNOLOGÍA DE INFORMACIÓN Y COMUNICACIONESCapítulo 2 AGENDA
11 INFORMACIÓN Y Metodología de una auditorÍaLa información, importancia y seguridad. AUDITORÍA INFORMÁTICA Es la revisión y evaluación de los controles, sistemas y procedimientos de la informática; de los equipos de cómputo, su utilización, eficiencia y seguridad; comparados con criterios establecidos, que dan como resultado un informe que contiene las recomendaciones para mejorar y optimizar sus procesos. OBJETIVOS DE LA AUDITORÍA Analizar la eficiencia de los Sistemas Verificar el cumplimiento de Normas Revisar la gestión de recursos informáticos Verificar el cumplimiento de metas de TI. Brindar advertencia de desviaciones METODOLOGÍA AGENDA
12 el Control Interno Proceso integrado a los demás procesos de una organización, diseñado con el objeto de proporcionar una garantía razonable para el logro de objetivos incluidos en las siguientes categorías: Eficacia y eficiencia de las operaciones. Confiabilidad de la información financiera. Cumplimiento de las leyes, reglamentos y políticas. (Informe COSO) The Committee of Sponsoring Organizations of the Treadway Commission AGENDA
13 Relación de la Auditoría y el Control InternoAGENDA
14 Estándares en el mercado para la administración de TIC’SAGENDA
15 Marco de Referencia Cobit 4.1“El manejo o administración de las TIC es responsabilidad tanto de la dirección tanto como de la administración ejecutiva. Es parte integral del manejo empresarial y consiste en el liderazgo, las estructuras de la organización y los procesos para asegurar que TI mantenga y amplíe los objetivos y estrategias de la empresa.” IT Governance Institute AGENDA
16 Marco de Referencia Cobit 4.1Premisa de COBIT: AGENDA
17 Marco de Referencia Cobit 4.1Niveles de COBIT Dominios AGENDA
18 Marco de Referencia Cobit 4.1Cubo de COBIT Los recursos de TI son manejados por procesos de TI para lograr metas de TI que respondan a los requerimientos del negocio AGENDA
19 Marco de Referencia Cobit 4.1Modelo de Madurez AGENDA
20 Marco de Referencia Cobit 4.1AGENDA
21 RIESGOS DE LAS TECNOLOGÍAS DE INFORMACIÓNCapítulo 3 AGENDA
22 RIESGOS Identificación Gestión AGENDA
23 RIESGOS Tratamiento de riesgos Efecto de las acciones de controlAGENDA
24 Estructura de Riesgo Integrada en TIAGENDA
25 IDENTIFICACIÓN deL Riesgo utilizando COBIT 4.1.CRITERIOS DEFINICIÓN COBIT DEFINICIÓN RIESGO EFECTIVIDAD EFICIENCIA La información sea relevante y pertinente a los procesos del negocio y se brinde de una manera oportuna, correcta, consistente y utilizable, optimizando los recursos. La Tecnología de Información no cubre las expectativas de negocio en términos de Efectividad y Eficiencia CONFIDENCIALIDAD Protección de la información sensitiva contra revelación no autorizada. La información contenida en los Sistemas puede ser accedida por personas no autorizadas. INTEGRIDAD La precisión y completitud de la información, así como con su validez. La información contenida en los Sistemas puede ser modificada o alterada sin autorización. DISPONIBILIDAD La información esté disponible cuando sea requerida por los procesos del negocio. No se dispone de los Sistemas de información o Infraestructura para operar adecuadamente los procesos del negocio. CUMPLIMIENTO Cumplir leyes, reglamentos y acuerdos contractuales a los cuales está sujeto el proceso de negocio. Incumplimiento de Leyes, Regulaciones y Contratos. CONFIABILIDAD Brindar información apropiada para que la Gerencia administre la entidad y ejercite responsabilidades fiduciarias y de gobierno. La información suministrada no es apropiada y la Gerencia no puede asumir las responsabilidades fiduciarias y de gobierno. AGENDA AGENDA
26 identificación de Riesgo utilizando COBIT 4.1.Auditoría Continua: Mejores Prácticas y Caso Real. Julio R. Jolly Moore & Gerardo Alcarraz, AGENDA
27 1. Identificación de riesgos de negocioCRITERIOS RIESGO AGENDA
28 2. Priorización de los riesgos de negocioCRITERIOS RIESGO AGENDA
29 3. Caracterizar los procesos de TIArchivo AGENDA
30 Identificación de procesos COBIT afectados.PROCESOS DE TI CONFIDENCIALIDAD INTEGRIDAD DISPONIBILIDAD PO2 Definir la arquitectura de información S P PO8 Asegurar el cumplir requerimientos externos PO9 Evaluación de Riesgos AI2 Adquisición y mantenimiento de SW aplicativo AI3 Adquisición y mantenimiento de arquitectura TI AI4 Desarrollo y mantenimiento de Procedimientos de TI AI6 Administración de Cambios AI7 Instalar y acreditar soluciones y cambios DS01 Definición del nivel de servicio DS02 Administración del servicio de terceros DS03 Administración de la capacidad y el desempeño DS04 Asegurar el servicio continuo DS05 Garantizar la seguridad del sistema DS09 Administración de la configuración DS10 Administración de problemas e incidentes DS11 Administración de datos DS12 Administración de Instalaciones DS13 Administración de Operaciones AGENDA
31 Priorización de los procesos identificadosPROCESOS DE TI CONFIDENCIALIDAD INTEGRIDAD DISPONIBILIDAD TOTAL CRITERIOS PO9 Evaluación de Riesgos 6 4 2 12 DS05 Garantizar la seguridad del sistema 1 11 PO2 Definir la arquitectura de información 3 7 AI6 Administración de Cambios DS01 Definición del nivel de servicio DS02 Administración del servicio de terceros DS12 Administración de Instalaciones DS11 Administración de datos AI3 Adquisición y mantenimiento de arquitectura TI AI4 Desarrollo y mantenimiento de Procedimientos de TI AI7 Instalar y acreditar soluciones y cambios DS13 Administración de Operaciones PO8 Asegurar el cumplir requerimientos externos AI2 Adquisición y mantenimiento de SW aplicativo DS04 Asegurar el servicio continuo DS03 Administración de la capacidad y el desempeño DS09 Administración de la configuración DS10 Administración de problemas e incidentes CRITERIOS RELACIÓN VALORACIÓN Confidencialidad P 6 S 3 Integridad 4 2 Disponibilidad 1 Valoración AGENDA Your logo
32 Procesos que serán auditadosPO9: EVALUAR Y ADMINISTRAR RIESGOS DE TI DS05: GARANTIZAR LA SEGURIDAD DE LOS SISTEMAS PO2: DEFINIR LA ARQUITECTURA DE LA INFORMACIÓN DS01: DEFINIR Y ADMINISTRAR NIVELES DE SERVICIO DS02: ADMINISTRAR SERVICIOS DE TERCEROS DS12: ADMINISTRAR EL AMBIENTE FÍSICO AGENDA
33 4. Identificación de los riesgos relacionados a los procesos de TIDEFINICIÓN DE COBIT DEFINICIÓN DE RIESGO PO9 EVALUAR Y ADMINISTRAR RIESGOS Elaborar un marco de trabajo de administración de riesgos el cual está integrado en los marcos gerenciales de riesgo operacional, evaluación de riesgos, mitigación del riesgo y comunicación de riesgos residuales. Los riesgos de TI no son identificados, analizados, tratados y comunicados de manera adecuada. DS05 GARANTIZAR LA SEGURIDAD DE LOS SISTEMAS. Definir políticas, procedimientos y estándares de seguridad de TI y en el monitoreo, detección, reporte y resolución de las vulnerabilidades e incidentes de seguridad. No se tiene criterios para comparar la gestión de la seguridad de los sistemas (accesos, autorizaciones, modificaciones) antes, durante y después de su uso. PO2 DEFINIR LA ARQUITECTURA DE LA INFORMACIÓN Establecer un modelo de datos empresarial que incluya un esquema de clasificación de información que garantice la integridad y consistencia de todos los datos. Datos diversos de varias fuentes, no se mantiene un estándar o formato. Los datos pueden ser modificados y no se puede determinar la veracidad de los mismos. DS01 DEFINIR Y ADMINISTRAR NIVELES DE SERVICIO Identificar los requerimientos de servicio, el acuerdo de niveles de servicio y el monitoreo del cumplimiento de los niveles de servicio. Incumplir estándares de servicio por falta de control y de seguimiento por servicio. Las especificaciones pueden estar mal detalladas o incompletas. DS02 ADMINISTRAR SERVICIOS DE TERCEROS Establecer relaciones y responsabilidades bilaterales con proveedores calificados de servicios cumplidos por terceros, y el monitoreo de la prestación del servicio para verificar y asegurar la adherencia a los convenios. Desconocimiento de las responsabilidades contractuales de los proveedores por servicio prestado, puede ocasionar incumplimiento de contratos o convenios. DS12 ADMINISTRAR EL AMBIENTE FÍSICO Proporcionar y mantener un ambiente físico adecuado para proteger los activos de TI contra acceso, daño o robo. Se producen interrupciones en los Servicios de TI debido a problemas físicos de los Equipos y/o Instalaciones. AGENDA AGENDA
34 5. Valoración y Evaluación de controlesPROCESOS DE TI OBJETIVOS DE CONTROL PO9 EVALUAR Y ADMINISTRAR RIESGOS PO9.1 Marco de Trabajo de Administración de Riesgos PO9.2 Establecimiento del Contexto del Riesgo PO9.3 Identificación de Eventos PO9.4 Evaluación de Riesgos de TI PO9.5 Respuesta a los Riesgos PO9.6 Mantenimiento y Monitoreo de un Plan de Acción de Riesgos DS05 GARANTIZAR LA SEGURIDAD DE LOS SISTEMAS DS5.1 Administración de la Seguridad de TI DS5.2 Plan de Seguridad de TI DS5.3 Administración de Identidad DS5.4 Administración de Cuentas del Usuario DS5.5 Pruebas, Vigilancia y Monitoreo de la Seguridad DS5.6 Definición de Incidente de Seguridad DS5.7 Protección de la Tecnología de Seguridad DS5.8 Administración de Llaves Criptográficas DS5.9 Prevención, Detección y Corrección de Software Malicioso DS5.10 Seguridad de la Red DS5.11 Intercambio de Datos Sensitivos PO2 DEFINIR LA ARQUITECTURA DE LA INFORMACIÓN PO2.1 Modelo de Arquitectura de Información Empresarial PO2.2 Diccionario de Datos Empresarial y Reglas de Sintaxis de Datos PO2.3 Esquema de Clasificación de Datos PO2.4 Administración de Integridad AGENDA
35 5. Valoración y Evaluación de controles (continuación)PROCESOS DE TI OBJETIVOS DE CONTROL DS01 DEFINIR Y ADMINISTRAR NIVELES DE SERVICIO DS1.1 Marco de Trabajo de la Administración de los Niveles de Servicio DS1.2 Definición de Servicios DS1.3 Acuerdos de Niveles de Servicio DS1.4 Acuerdos de Niveles de Operación DS1.5 Monitoreo y Reporte del Cumplimento de los Niveles de Servicio DS1.6 Revisión de los Acuerdos de Niveles de Servicio y de los Contratos DS02 ADMINISTRAR SERVICIOS DE TERCEROS DS2.1 Identificación de Todas las Relaciones con Proveedores DS2.2 Gestión de Relaciones con Proveedores DS2.3 Administración de Riesgos del Proveedor DS2.4 Monitoreo del Desempeño del Proveedor DS12 ADMINISTRAR EL AMBIENTE FÍSICO DS12.1 Selección y Diseño del Centro de Datos DS12.2 Medidas de Seguridad Física DS12.3 Acceso Físico DS12.4 Protección Contra Factores Ambientales DS12.5 Administración de Instalaciones Físicas AGENDA
36 Matriz de riesgos resultantePROCESOS DE TI OBJETIVOS DE CONTROL RIESGOS PO9 EVALUAR Y ADMINISTRAR RIESGOS PO 9.1 Marco de Trabajo de Administración de Riesgos Los riesgos de TI y riesgos de negocio gestionado de forma independiente. El impacto de un riesgo de TI en el negocio sin ser detectado. La falta de control de los costos de gestión de riesgos. Cada riesgo visto como una amenaza individual más que en un contexto global. Apoyo ineficaz para la evaluación del riesgo por la alta dirección. PO 9.2 Establecimiento del Contexto del Riesgo Riesgos irrelevantes considerados importantes Riesgos importantes no se da la debida atención Enfoque inadecuado para la evaluación de riesgos PO 9.3 Identificación de Eventos Los eventos del riesgo irrelevante identificado y enfocado, más adelante puede ser que los eventos más importantes son los que faltan. PO 9.4 Evaluación de Riesgos de TI Cada riesgo visto como un único evento en lugar de en un contexto global. La incapacidad para explicar los riesgos significativos para la gestión. Riesgos importantes posiblemente se han perdido Pérdida de los activos de TI. Incumplimiento a la confidencialidad y la integridad de los activos de TI. PO 9.5 Respuesta a los Riesgos Respuestas a los riesgos no efectivas No Identificados los riesgos de negocio residuales El uso ineficiente de los recursos para responder a los riesgos. Exceso de confianza en los pobres controles existentes. PO 9.6 Mantenimiento y Monitoreo de un Plan de Acción de Riesgos Controles de mitigación de riesgos que no funcione como está diseñado. Los controles de compensación que se desvían de los riesgos identificados. AGENDA
37 AUDITORÍA A LOS PROCESOSCapítulo 4 AGENDA
38 ESTRUCTURA DE LA AUDITORÍA A LOS PROCESOSDOMINIO Planificar y Organizar (PO), Adquirir e Implementar (AI), Entregar y Dar Soporte (DS), Monitoreo y Evaluación (ME) DEFINICIÓN Referencia de Cobit 4.1 CRITERIOS DE INFORMACIÓN Efectividad, Eficiencia, Confidencialidad, Integridad, Disponibilidad, Cumplimiento, Confiabilidad. RECURSOS DE TI Aplicación, Información, Infraestructura, Personas ÁREA GOBIERNO DE TI Alineamiento Estratégico, Entrega de Valor, Gestión de Recursos, Gestión de Riesgos, Evaluación de Desempeño OBJETIVOS DE CONTROL Evaluación --> Observación EVIDENCIAS ENCONTRADAS Documentación RESULTADOS Causa, Efecto, Recomendaciones INDICADORES CLAVES DE RENDIMIENTO Metas de TI, Procesos , Actividades NIVEL DE MADUREZ 0 No Existente , 1 Inicial / Ad Hoc, 2 Repetible pero Intuitivo , 3 Definido, 4 Administrado y Medible, 5 Optimizado AGENDA
39 PO9: EVALUAR Y ADMINISTRAR RIESGOS DE TIDEFINICIÓN Crear y dar mantenimiento a un marco de trabajo de administración de riesgos. OBJETIVOS DE CONTROL 6 Controles Evaluados La Jefatura de TIC’S, no cuentan con un marco de trabajo para una administración de riesgos, es así que, no se realizó la identificación de los riesgos y de las acciones necesarias (tratamiento, análisis de impacto, recursos, etc.) para mitigar los riesgos. No se ha elaborado un plan de gestión de riesgos por proyectos, sistema o servicios que brinda la Jefatura de TIC’S. Los riesgos son tratados a medida que ocurren y no se documentan las acciones realizadas. No se han conformado equipos multifuncionales en la Empresa para identificar eventos e impactos, no se puede evaluar la probabilidad e impacto con métodos cualitativos o cuantitativos. No se evidencia la identificación de riesgos inherentes y residuales categorizados por servicio, infraestructura, almacenamiento, disponibilidad de los sistemas, etc., No se ha elaborado ni documentado el proceso de administración de riesgos de TI (matriz de riesgos), ni se han identificado las acciones o estrategias que se deben realizar por cada riesgo identificado.
40 PO9: EVALUAR Y ADMINISTRAR RIESGOS DE TIEVIDENCIAS ENCONTRADAS Formularios de soporte (servicio de impresoras) y tickets de casos (servicios de internet y enlace de datos) Política de Servicio, Uso y Seguridad de la Administración de Red (PMC-001) Plan estratégico de la Empresa RESULTADOS Efecto No permiten: identificar, evaluar, mitigar o gestionar los riesgos y comunicar los riesgos residuales; consecuentemente, elaborar planes de acción para posteriormente monitorearlos Recomendaciones: Definir una política por parte de la Jefatura de TIC’S, para establecer un marco de trabajo para la administración de riesgos de TI, que permita identificar eventos y gestionar los riesgos. Documentar todos los incidentes de TI y asociar a los riesgos de acuerdo a su nivel o importancia, es decir, riesgos críticos, inherentes o residuales; esto con la finalidad de generar indicadores de medición y monitoreo del plan de acción de riesgos. Elaborar procedimientos para la evaluación de riesgos generales o específicos de TI y documentarlos para que sean presentados a la Subgerencia Administrativa y posteriormente sean aprobados por la Gerencia General de COCASINCLAIR EP, para su socialización. NIVEL DE MADUREZ 1 Inicial / Ad Hoc PROCESOS
41 DS05: GARANTIZAR LA SEGURIDAD DE LOS SISTEMASDEFINICIÓN Necesidad de mantener la integridad de la información y de proteger los activos de TI OBJETIVOS DE CONTROL 11 Controles Evaluados La Jefatura de TIC’s no dispone de un documento de seguridad de la información, que detalle su estructura, contenido, roles, etc, ni con un plan general de seguridad de TI. Además, la empresa COCASINCLAIR EP, no ha conformado un comité directivo de seguridad. A pesar de no estar documentadas las políticas de seguridad, estas se encuentran implementadas en los equipos de seguridad y en las estaciones de trabajo. No se encuentran documentados ni se aplican procedimientos de control de acceso a los sistemas, clasificados por importancia o riesgo. No está documentada la revisión de los controles de seguridad de acceso físico y lógico a los datos o archivos. Faltan las políticas y procedimientos frente a las consecuencias de violación a la seguridad de los sistemas. No está documentada y comunicada la política de prevención de software malicioso. No se encuentra clasificada la información para determinar cuál es sensible o confidencial según el nivel de exposición. No se valida si la información que genera la Empresa es confidencial antes de que ésta sea transmitida.
42 DS05: GARANTIZAR LA SEGURIDAD DE LOS SISTEMASEVIDENCIAS ENCONTRADAS Formatos FO-ADM-tic-401 y FO-ADM-tic-451para registrar los incidentes Formularios de soporte (servicio de impresoras) y por tickets de casos (servicios de internet y enlace de datos) Política de Servicio, Uso y Seguridad de la Administración de Red (PMC-001) Contrato para la provisión de DLP de McAfee (Data Loss Prevention). Contrato de la solución TPE (Total Prevention Enterprise) de McAfee para seguridad de punto final (incluye prevención de software malicioso y filtrado de información no deseada. Estructura orgánica por procesos de la Empresa COCASINCLAIR EP. Diagrama de la red entre Quito y el Campamento San Rafael. RESULTADOS Efecto Posibilidad de que las herramientas informáticas que se implementen, no tengan un respaldo documentado y aprobado que reflejen las acciones a tomar con la información que es tratada en los sistemas. Recomendaciones: Elaborar un documento de Seguridad de la Información, en el que contenga la política de Seguridad de la Información de la Empresa, alcance y objetivos, roles y responsabilidades de seguridad, estándares y procedimientos de TI, gestión de la aceptación del riesgo, política de seguridad de comunicaciones externas, política de Firewall, de seguridad de , política de seguridad de una estación de trabajo, política de uso de Internet, etc. Repetible pero Intuitivo
43 DS05: GARANTIZAR LA SEGURIDAD DE LOS SISTEMASRESULTADOS Recomendaciones (continuación): Elaborar un plan general de seguridad de TI, que contenga los requerimientos de negocio, riesgos y cumplimiento, tomar en consideración la infraestructura de TI. Realizar el procedimiento referente al control de acceso a los sistemas, estos deben ser clasificados por importancia o riesgo y aplicarse a todos los usuarios, incluyendo a administradores (usuarios privilegiados), usuarios externos e internos, para casos normales y de emergencia. Elaborar las políticas y procedimientos frente a las consecuencias de violación de la seguridad; llevar un registro de los controles permitidos, accesos fallidos y no autorizados; y, documentar la revisión de los controles de seguridad de acceso físico y lógico a los datos o archivos. Documentar y comunicar a toda la Empresa la política de prevención de software malicioso, detallando las medidas preventivas y correctivas para la detección de virus, gusanos, spyware o correo basura. Documentar el procedimiento para clasificar la información de la Empresa, que detalle los criterios para determinar cuál es sensible o confidencial según el nivel de exposición. NIVEL DE MADUREZ 2 Repetible pero Intuitivo Repetible pero Intuitivo PROCESOS
44 PO2: DEFINIR LA ARQUITECTURA DE LA INFORMACIÓNDEFINICIÓN La función de sistemas de información debe crear y actualizar de forma regular un modelo de información del negocio y definir los sistemas apropiados para optimizar el uso de esta información. OBJETIVOS DE CONTROL 4 Controles Evaluados No existe un plan estratégico de la Jefatura de TIC’S que incluya un modelo de información empresarial de COCASINCLAIR EP. La empresa no cuenta con un diccionario de datos empresarial, ni un plan de calidad de datos, políticas y procedimientos. No se evidencia un esquema de clasificación de datos en la Empresa, que controle la información que se genera por cualquier medio, sea esta confidencial o no. La Jefatura de TIC’S, no tiene implementados procedimientos y controles para asegurar la integridad de los datos y estos no se validan antes de salir los sistemas a la fase de producción EVIDENCIAS ENCONTRADAS No se encontró ninguna evidencia.
45 PO2: DEFINIR LA ARQUITECTURA DE LA INFORMACIÓNRESULTADOS Efecto No se controla la información que se genera en la Empresa por algún medio electrónico y que podría ser confidencial o no. Recomendaciones: Elaborar un modelo de información empresarial para la Empresa, partiendo de la planificación estratégica de TI que facilite el desarrollo de aplicaciones y las actividades de soporte para la toma de decisiones. Crear un diccionario de datos empresarial, que permita compartir tipos de datos entre las aplicaciones y los sistemas. Definir un esquema de clasificación de los datos que permita identificar si es confidencial o público, crítico o común, de acuerdo a parámetros establecidos conjuntamente con la Gerencia General o con los propietarios de esa información. Implementar procedimientos para garantizar la integridad y consistencia de todos los datos almacenados en las bases de datos y archivos. Documentar los resultados obtenidos cuando se aplique el modelo de información empresarial, con la finalidad de generar los indicadores necesarios para medir las actividades, procesos y metas de TI. NIVEL DE MADUREZ 1 Inicial / Ad Hoc Repetible pero Intuitivo PROCESOS
46 DS1 DEFINIR Y ADMINISTRAR LOS NIVELES DE SERVICIODEFINICIÓN Contar con una definición documentada y un acuerdo de servicios de TI y de niveles de servicio. OBJETIVOS DE CONTROL 6 Controles Evaluados La Jefatura de TIC’S no ha definido el catálogo / portafolio de servicios (requerimientos de servicio, definiciones de servicio, acuerdos de niveles de servicio, acuerdos de niveles de operación y las fuentes de financiamiento) tanto entre áreas internas como con proveedores. Dentro de las Responsabilidades y Atribuciones contenidas en el Estatuto Orgánico Funcional por Procesos de la Empresa, se enumeran en forma general los productos y servicios que brinda esta Jefatura. En ninguno de los dos SLA’s (Acuerdos de Nivel de Servicio) firmados con las empresas de telecomunicaciones, se detalla los OLA’s (Acuerdos de Nivel Operacional). Se garantiza la disponibilidad del servicio contratado, por medio de la infraestructura implementada por el proveedor, no se indica cómo serán entregados técnicamente los servicios para soportar el (los) SLA(s). No existe un proceso o procedimiento documentado para revisar periódicamente los SLA’s firmados con los proveedores, aleatoriamente se revisa el nivel de servicio para verificar si se cumple lo acordado.
47 DS1 DEFINIR Y ADMINISTRAR LOS NIVELES DE SERVICIOEVIDENCIAS ENCONTRADAS Acuerdos de nivel de servicios SLA de las dos empresas de telecomunicaciones. Estatuto Orgánico Funcional por Procesos de la Empresa. Documento en el que se solicita la nota de crédito por incumplimiento del nivel de servicio. RESULTADOS Efecto No poder monitorear el cumplimiento de los niveles de servicios y garantizar la eficiencia – eficacia de los servicios contratados. Recomendaciones: Definir el catálogo / portafolio de servicios que contenga los requerimientos de servicio, definiciones de servicio, acuerdos de niveles de servicio, acuerdos de niveles de operación y las fuentes de financiamiento –si es del caso-, tanto entre áreas internas como con proveedores de la Empresa. Definir y acordar convenios de niveles de servicio para todos los procesos críticos de la Jefatura de TIC’S, con base en los requerimientos de los usuarios y las capacidades técnicas en TI, incluyendo los acuerdos de niveles de operación para soportar el (los) acuerdos de nivel de servicio de manera óptima. Luego de que se hayan definido los SLA’s de la Jefatura de TIC’S, se debería elaborar un procedimiento para realizar un monitoreo de los niveles de servicio. NIVEL DE MADUREZ 2 Repetible pero Intuitivo PROCESOS
48 DS2 ADMINISTRAR LOS SERVICIOS DE TERCEROSDEFINICIÓN Necesidad de asegurar que los servicios provistos por terceros cumplan con los requerimientos del negocio. OBJETIVOS DE CONTROL 4 Controles Evaluados La Jefatura de TIC’S, no se dispone de un registro de proveedores por categorías de servicio, importancia o criticidad. Tampoco se evalúa el tipo de relación por proveedor, existe una percepción del servicio que no está documentada. No se tiene definido un proceso de monitoreo de cumplimiento de la prestación del servicio del proveedor, el control lo realiza el administrador del contrato de acuerdo lo estipulado en el mismo, tanto para los requerimientos técnicos como en las tarifas de los servicios o bienes. EVIDENCIAS ENCONTRADAS Contratos firmados en al año 2012 de la Jefatura de TIC’S SLA’s acordados con las dos empresas de Telecomunicaciones. Reportes emitidos por el software de monitoreo del enlace de datos y de internet.
49 DS2 ADMINISTRAR LOS SERVICIOS DE TERCEROSRESULTADOS Efecto No se conoce claramente la relación entre la Empresa y el proveedor luego que finaliza un contrato, impidiendo tener objetividad al momento de seleccionar un proveedor. Recomendaciones: Llevar un registro de proveedores por categorías de servicio, importancia o criticidad en la Jefatura de TIC’S, que permita evaluar la relación con el proveedor y documentarla para una posterior selección / rechazo. Definir un proceso de monitoreo sobre el cumplimiento de la prestación del servicio por parte del proveedor, en los requerimientos técnicos y en las tarifas de los servicios o bienes contratados, actividades que deben estar coordinadas con el administrador del contrato. NIVEL DE MADUREZ 3 Definido PROCESOS
50 resumen del Nivel de Madurez de los procesosNo. DOMINIO NOMBRE DEL PROCESO NIVEL DE MADUREZ 1 PLANEAR Y ORGANIZAR PO9 EVALUAR Y ADMINISTRAR LOS RIESGOS DE TI 2 ENTREGAR Y DAR SOPORTE DS5 GARANTIZAR LA SEGURIDAD DE LOS SISTEMAS 3 PO2 DEFINIR LA ARQUITECTURA DE LA INFORMACIÓN 4 DS1 DEFINIR Y ADMINISTRAR LOS NIVELES DE SERVICIO. 5 DS2 ADMINISTRAR LOS SERVICIOS DE TERCEROS CONCLUSIÓN Esto demuestra en general que los procesos auditados, se encuentran en un nivel básico o repetible, que siguen un patrón regular. La Empresa ha definido ciertas actividades mientras que otras están fuera de control. AGENDA
51 Conclusiones y recomendacionesLa utilización de un estándar para la administración de las Tecnologías de Información, permite identificar responsables, mecanismos para un uso eficiente y eficaz de los recursos, brindar soporte técnico a la empresa con parámetros de evaluación del servicio, en general, capacidades para entender mejor los servicios y procesos de TI. La metodología para la selección de los procesos a auditar, es dinámica y depende de los requerimientos de Información que se establecen como importantes o son considerados como necesarios evaluarlos. En general los procesos auditados, se encuentran en un nivel básico o repetible, que siguen un patrón regular. En la Empresa, se han definido ciertas actividades mientras que otras están fuera de control. RECOMENDACIONES La Jefatura de TIC’S debería elaborar un Plan Estratégico, en el que incluya mecanismos (herramientas) para la evaluación de su gestión apoyados en un estándar o buenas prácticas de Administración de las Tecnologías de Información. Los controles que están funcionando en los equipos no tienen un documento aprobado que avale su implementación, se debería documentar las políticas o procedimientos de los controles para mejorar su aplicación. AGENDA
52 Copia ALCANCE, META Y METODOLOGÍARealizar una auditoría a los seis procesos más relevantes de la Jefatura de TIC’S de la empresa COCASINCLAIR EP, utilizando el marco de referencia COBIT 4.1, partiendo de la matriz de riesgos. META Revisión de los seis procesos más relevantes identificados en la matriz de riegos, lo que permitirá tener una visión de la situación actual de la Jefatura de TIC’S. METODOLOGIA Matriz de riesgos. Marco de referencia COBIT 4.1. AGENDA