CcisA eard

sys ems InfumatIo

ter

ISACR dr"1110
n
Capítulo 2- Gobierno y Gestión de TI Sección Uno: Generalidades

2-8 B La segregación de funciones podrá prevenir la

combinación de funciones conflictivas. Este es un
control preventivo, y es el control más crítico en la
administración de base de datos. La aprobación de
las actividades de DBA no impide la combinación
de funciones conflictivas. Revisión de registros de
acceso y actividades es un control de detección.
Si las actividades de DBA son incorrectamente
aprobadas, la revisión de los registros de acceso
y actividades puede no reducir el riesgo. Revisar
el uso de las herramientas de la base de datos no
reduce el riesgo, ya que éste es sólo un control de
detección y no previene la combinación de funciones
conflictivas.

2-9 B La autorización debe estar separada de todos los

aspectos de mantenimiento de registros (generación,
registro y corrección). Dicha segregación aumenta la
capacidad de detectar el registro de las transacciones
no autorizadas.

2-10 C En las organizaciones más pequeñas, generalmente

no es apropiado reclutar personal adicional para
lograr una estricta segregación de funciones. El
auditor de SI debe analizar las alternativas. De las
opciones, C es la única que es práctica que tiene un
impacto. El auditor de SI debe recomendar procesos
que detecten los cambios al código fuente y al
código objetivo de producción, como por ejemplo las
comparaciones de código de modo que los cambios
puedan ser revisados por un tercero regularmente.
Esto sería un proceso de control compensatorio. La
opción A, que implica el registro de los cambios a
las librerías de desarrollo, no detectaría los cambios
a las librerías de producción. La opción D está
efectivamente requiriendo que un tercero haga
los cambios, lo cual puede no ser práctico en una
organización pequeña.

Manual de Preparación al Examen CISA 2011 91


Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI aso
Sección Dos: Contenido
2.1 REFERENCIA RÁPIDA
Revisión de la Referencia Rápida
El Capítulo 2 define la necesidad de gobierno de TI. Un auditor de SI
debe estar en capacidad de entender y proveer aseguramiento de que
la organización cuenta con la estructura, las políticas, los mecanismos
contables y las prácticas de monitoreo necesarios para alcanzar los
requerimientos de gobiemo corporativo de TI. Para un auditor de SI, el
conocimiento del gobiemo de TI es la base para la evaluación de las
prácticas y mecanismos de control para la supervisión y revisión por
parte de la gerencia.
Los candidatos a CISA deberían comprender los siguientes ítems, no
sólo dentro del contexto del presente capítulo, sino también para abordar
correctamente las preguntas en las áreas relacionadas. Es importante
tener presente que no es suficiente el conocimiento de estos conceptos
desde una perspectiva semántica. El candidato a CISA también debe
ser capaz de identificar cuáles de los elementos disponibles podría
representar el mayor riesgo y cuáles controles son más efectivos para
mitigar este riesgo. Ejemplos de temas claves en este capítulo incluyen:
Un objetivo de gobiemo corporativo es resolver los objetivos conflictivos
que remitan de explotar las oportunidades disponibles para aumentar
el valor de las partes interesadas, mientras que se mantienen las
operaciones de la organización dentro de los límites establecidos por
los requerimientos regulatorios y las obligaciones sociales.Aplicado a
TI, el gobiemo ayuda a asegurar la alineación de los objetivos de TI y
los de la empresa. Al gobiemo de TI le incumben dos aspectos: que TI
entregue valor al negocio y que los riesgos de TI sean gestionados. Lo
primero es impulsado por la alineación estratégica de TI con el negocio.
Lo segundo está impulsado por la integración de la responsabilidad en la
empresa. El gobiemo de TI es responsabilidad del consejo de dirección
y de la dirección ejecutiva, y entre las prácticas clave de gobiemo de TI
de la dirección ejecutiva se incluyen un comité de estrategias de TI, un
proceso de gestión de riesgos y un cuadro de mando integral de TI.
Un comité de estrategias de TI monitorea el valor, los riesgos y el
desempeño de TI, además provee información al consejo para respaldar
la toma de decisiones relacionada con las estrategias de TI. El auditor
de SI debe evaluar la efectividad de la estructura de gobierno de TI para
asegurar un control gerencial adecuado de la junta sobre las decisiones,
instrucciones y ejecución de TI de modo que respalde las estrategias y
objetivos de la organización.
Un aspecto clave del gobierno de TI es el gobiemo de la seguridad
de la información. La información es el activo más valioso de una
organización y se debe proteger adecuadamente, independientemente
de cómo se maneje, procese, trasporte, almacene o deseche. La
seguridad de la información abarca todos los procesos de información,
tanto físicos como electrónicos, independientemente de si ellos
involucran personas y tecnología o relaciones con socios comerciales,
clientes o terceros. Garantiza que los riesgos de seguridad de la
información sean gestionados de manera apropiada y que los recursos
de información de la empresa se usen con responsabilidad.
El gobiemo de la seguridad de la información se debe ejecutar y
respaldar mediante las estrategias, las políticas y la estructura de
la organización de la seguridad de la información. El gobierno de
seguridad de la información debería ser responsabilidad del consejo de
dirección/alta dirección para aprobar políticas y sanciones relacionadas
con incumplimiento, mientras que la dirección de la seguridad de la
información se debería delegar al director general de seguridad de la
información.
92
Cettffled Information
Revisión de la Referencia Rápida (cont)
Este capítulo también aborda la necesidad de continuidad del negocio
y recuperación ante desastres dentro de una organización. La mayoría
de las organizaciones tiene algún grado de Plan de recuperación ante
desastres (DRPs) para la recuperación de la infraestructura de TI, sistemas
críticos y datos asociados. Sin embargo, muchas organizaciones no
han desarrollado planes para el funcionamiento de las unidades de
negocio clave durante un período de interrupción de TI. Los candidatos
a CISA deberían estar conscientes de los componentes de los Planes
de recuperación ante desastres (DRPs) y los Planes de continuidad del
negocio (BCPs), la importancia de alinear unos con otros y alinear los DRPs
y BCPs con las metas y la tolerancia a riesgos de la organización. De igual
importancia son el respaldo, el almacenamiento y la retención de datos, y
la restauración. Ejemplos de temas claves en este capítulo incluyen:
Los candidatos a CISA deben tener una comprensión profunda de los
siguientes elementos, no sólo dentro del contexto del presente capítulo,
sino también para responder correctamente en áreas relacionadas.
Los DRPs para la recuperación de TI deben estar alineados con los
BCPs, que tratan la recuperación de procesos y unidades de negocio
clave. Ambos deben estar alineados apropiadamente con las metas
y la tolerancia a riesgos de la organización.
Para muchas organizaciones, no es viable desde el punto de vista
financiero recuperar de inmediato todos los sistemas de aplicaciones y
procesos de negocio. Es necesario realizar un Análisis de impacto del
negocio (BIA) para comprender el costo de la interrupción e identificar
las aplicaciones y procesos más críticos para el funcionamiento
permanente de la organización. Posteriormente, los resultados del
BIA pueden utilizarse para decidir el orden de restauración de las
aplicaciones y procesos de negocio y el tiempo de restauración, y
cuáles técnicas o mecanismos pudieran ser necesarios para cumplir
con el itinerario de recuperación acordado.
Es importante comprender la diferencia entre el Tiempo Objetivo de
recuperación (RTO) y el Punto Objetivo de recuperación (RPO). El RTO se
determina basándose en el tiempo improductivo aceptable en caso de
una interrupción de las operaciones. Indica el punto más próximo en el
cual se deben retomar las operaciones de negocio luego del desastre.
El RPO se determina tomando como base la pérdida de datos aceptables
en el caso de interrupción de las operaciones. Indica la fecha y hora o
el punto de sincronización al cual se restaurarán los sistemas y datos
basándose en la disponibilidad de medios de respaldo.
Los candidatos a CISA deberían estar familiarizados con los diferentes
equipos de personas que se utilizan en el proceso de recuperación y los
componentes de un BCP, tal como se explicó anteriormente en el presente
capítulo.
El gobiemo de TI se relaciona con asegurar que la TI brinda valor y,
para asegurar este gobiemo, debería existir una estrategia de sistemas
de información que contenga la dirección a largo plazo sobre cómo
se utilizará la tecnología de la información para respaldar y mejorar el
negocio. La efectiva planificación estratégica de la TI incluye considerar
la exigencia de la organización en lo que se refiere a la TI y su capacidad
para respaldar a la TI. Un comité directivo rige la estrategia y ésta guía
y controla las políticas y los procedimientos, incluida la política de
seguridad de la información. El auditor de SI debe evaluar las estrategias,
las políticas y los procedimientos para determinar la importancia que se
ha dado al proceso de planificación; la participación de la alta dirección
de TI en la estrategia general de negocio; así como al cumplimiento,
relevancia y aplicabilidad de las políticas dirigidas a terceros.
Manual de Preparación al Examen CISA 2011
asA =kator Capítulo 2- Gobierno y Gestión de TI
C Sección Dos: Contenido
IMCMP~die.
Revisión de la Referencia Rápida (cont.)
El gobierno de TI abarca la minimización de los riesgos de TI a
los que está expuesta la organización. La gestión de riesgos es el
proceso de identificar las vulnerabilidades y las amenazas para los
recursos de información utilizados por una organización para lograr
los objetivos de negocio, y decidir qué contramedidas (protecciones
o controles) tomar, si hubiera alguna, para reducir el riesgo a un
nivel aceptable (es decir, riesgo residual), basándose en el valor
del recurso de información para la organización. Este proceso
empieza con la comprensión del apetito de riesgo de la organización
para luego determinar la exposición al riesgo de sus activos de
TI. Además, también puede haber controlesconnpensatorios.
Dependiendo del tipo de riesgo y su importancia para el negocio, los
riesgos de la gerencia se pueden, omitir, reducir, transferir, aceptar
o rechazar. El resultado de la presencia de un riesgo se denomina
impacto y puede generar pérdidas en materia financiera y legal, de
reputación y eficiencia.
Los riesgos se miden utilizando un análisis cualitativo (se definen los
riesgos en términos de alto/medio/bajo); un análisis semicualitativo
(se definen los riesgos de acuerdo a una escala numérica) o un
análisis cuantitativo (se aplican diversos valores a los riesgos,
incluidos financieros, y se calcula la probabilidad e impacto del
riesgo). Después de haber identificado los riesgos, se mide la
fortaleza y probabilidad de efectividad de los controles nuevos
o existentes. Los controles pueden ser preventivos, detectivos
o correctivos; manuales o programados; y formales (es decir,
documentados) o provisionales. Además, también puede haber
controles compensatorios. La gerencia puede utilizar el riesgo
residual para determinar cuáles áreas requieren más control y si los
beneficios de tales controles superan los costos. Este proceso entero
de gestión de riesgos de TI se debe gestionar a diferentes niveles
dentro de la organización, incluidos los niveles operacional, de
proyectos y estratégico; además, debería formar parte de la práctica
de gestión de SI.
Los procesos de gestión clave que darán forma a la efectividad de un
departamento de SI y delimitarán los controles para la estrategia y el
uso de recursos son la gestión de recursos humanos, la gestión de
cambios, las prácticas financieras, la gestión de calidad, la gestión
de seguridad de la información y las prácticas de optimización
del desempeño. El control y gobierno del ambiente de SI de la
gerencia se puede evaluar con base en su estructura organizacional.
Específicamente, las funciones que deben segregarse son: custodia
de los activos, autorización y registros de transacciones. La
estructura debería definir el rol de cada área en el departamento de
SI e indicar la segregación apropiada de funciones dentro de este
departamento.
El propósito de segregación de funciones es reducir o eliminar
los riesgos de negocio a través de la identificación de controles
compensatorios. Especificamente, las funciones que deben
segregarse son: custodia de los activos, autorización y registros
de transacciones. Si se requieren roles combinados, entonces se
deberían describir los controles compensatorios.
En resumen, para un auditor de SI, las prácticas de gestión de SI se
deberían evaluar para determinar el gobiemo de la gerencia sobre
TI, incluida la documentación relacionada con las estrategias, los
presupuestos, las políticas y los procedimientos de TI; el control sobre
la seguridad de la información en relación con la compartinnentación
de los derechos de acceso; así como la estructura del departamento
de SI, ya que cada uno de estos elementos ilustra cuán efectiva es una
organización a la hora de asegurar que la unidad de TI brinda valor al
negocio y se gestionan los riesgos.
2.2 GOBIERNO CORPORATIVO
Los aspectos éticos, la toma de decisiones y las prácticas
en general dentro de una organización deben fomentarse
por medio de prácticas de gobierno corporativo. Gobierno
corporativo se define como "el sistema por el cual se dirigen
y controlan las corporaciones de negocios" (Sir Adrian
Manual de Preparación al Examen CISA 2011 93
Cadbury, International Corporate Governance Meeting,
Hanoi, Vietnam, 6 December 2004, p. 3, http://www.oecd.
org/dataoecd/18/47/34080477.pdf) . Más especificamente,
un gobierno corporativo es un conjunto de responsabilidades
y prácticas usadas por la gerencia de una organización para
proveer dirección estratégica, para garantizar, de ese modo,
que las metas se puedan alcanzar, los riesgos sean manejados
de manera adecuada y los recursos organizacionales sean
utilizados apropiadamente. Organización para la Cooperación
y el Desarrollo Económico (OCDE) "El gobierno corporativo
incluye un conjunto de relaciones entre la dirección de una
compañía, su consejo de dirección, sus accionistas y otras
partes interesadas. El gobierno corporativo también ofrece la
estructura a través de la cual se establecen los objetivos de la
compañía, y se determinan los medios para lograr esos objetivos
y monitorear el desempeño. Un buen gobierno corporativo
debería ofrecer incentivos apropiados para el consejo de
dirección y la gestión para explorar los objetivos que sean de
interés para la compañía y sus accionistas y debería facilitar
un monitoreo efectivo". (OECD 2004, OECD Principies of
Corporate Governance, France, 2004, p. 11,
http://www.oecd.org/dataoecd/32/18/31557724.pdf).
En relación con el gobierno público, la OECD establece:
"Un gobierno público bueno y efectivo ayuda a fortalecer la
democracia y los derechos humanos, fomentar la prosperidad
económica y la cohesión social, reducir la pobreza, mejorar
la protección ambiental y el uso sustentable de recursos
naturales y profundizar la confianza en el gobierno y
la administración pública". (OECD, Public Governance
and Management, http://www.oecd.org/topic/0,3373,
en_2649 37405 1 1 1 1 37405,00.html).
Como parte de este marco, se deben establecer mecanismos
para gestionar y reportar sobre los riesgos de negocio. A
las organizaciones se les debe exigir que tengan un sistema
de control interno para monitorear los riesgos cuando
se exploten formas nuevas e innovadoras de mejorar el
negocio. Simultáneamente, este marco es una plataforma
para la protección de las partes interesadas, ya que define las
responsabilidades del consejo de dirección. De ese modo, los
accionistas, los inversionistas y otras partes interesadas tendrán
deberes definidos y una estructura adecuada para decidir sobre
sus inversiones, en un marco transparente. De esta manera, el
gobierno corporativo busca alcanzar un equilibrio entre los
objetivos conflictivos de explotar oportunidades disponibles
para incrementar el valor de la parte interesada, por un lado,
y mantener las operaciones de la organización dentro de los
límites de los requerimientos regulatorios y las obligaciones
sociales, por el otro. Dada la importancia de la responsabilidad
social dentro del gobierno corporativo, la Organización
internacional para la estandarización (ISO) ha iniciado el
desarrollo de un estándar internacional (ISO 26000) que ofrece
directrices voluntarias para la responsabilidad social (SR, social
responsibility).
Este marco se utiliza cada vez más en los organismos
gubernamentales de diferentes países en un esfuerzo para
reducir la frecuencia y el impacto de informes financieros
inexactos y proveer mayor transparencia y responsabilidad.

Sección Dos: Contenido
Muchas de estas regulaciones gubernamentales incluyen un
requerimiento para que la alta dirección apruebe lo adecuado de
los controles internos e incluya una evaluación de los controles
internos organizacionales en los informes financieros de la
organización.
2.3 GOBIERNO DE TI
El gobierno de TI, como uno de los dominios del gobierno
corporativo, abarca el grupo de temas tratados para considerar
cómo se aplica TI dentro de la empresa.
Un gobierno corporativo efectivo concentra la pericia y
experiencia individual y de grupo en áreas específicas, donde
ellos puedan ser más efectivos. La tecnología de la información,
considerada por mucho tiempo sólo un facilitador de la
estrategia de una organización, es ahora considerada como parte
integral de esa estrategia. Los directores ejecutivos (CEO), los
directores de operaciones (COO), los directores de finanzas
(CFO), los directores de información (CIO) y los directores de
tecnología (CTO) coinciden en que la alineación estratégica
entre los objetivos de TI y los de la empresa constituye un factor
crucial de éxito. El gobierno de TI ayuda a alcanzar este factor
crucial de éxito al desplegar de manera económica, eficiente y
efectiva información segura y confiable, así como tecnología
aplicada. La tecnología de la información es tan crucial para el
éxito de las empresas que no puede ser relegada ni a la gestión
de TI ni a los especialistas en TI, sino que debe recibir la
atención de ambos en coordinación con la alta dirección.
Un elemento clave del gobierno de TI es la alineación del
negocio con TI que conlleva al logro del valor de negocio.
Fundamentalmente, al gobierno de TI le incumben dos aspectos:
que TI entregue valor al negocio y que los riesgos de TI
sean gestionados. Lo primero es impulsado por la alineación
estratégica de TI con el negocio. Lo segundo está impulsado por
la integración de la responsabilidad en la empresa.
2.4 PRÁCTICAS DE MONITOREO Y
ASEGURAMIENTO DE LA TECNOLOGÍA DE
LA INFORMACIÓN PARA EL CONSEJO DE
DIRECCIÓN Y LA ALTA DIRECCIÓN
La tradicional participación de los directores ejecutivos en los
aspectos de TI fue entregar todas las decisiones claves a los
profesionales en TI de la compañía. El gobierno de TI implica
un sistema en el cual todas las partes interesadas, incluyendo el
Consejo, clientes y departamentos internos, tales como finanzas,
proporcionan una entrada en el proceso de la toma de decisiones.
El problema con el gobierno de TI es que con frecuencia se
confunde con las buenas prácticas de gestión y con los marcos
de control de TI. El gobierno de TI es el sistema de gestión que
usan los directores. En otras palabras, el gobierno de TI trata de la
94 Manual de Preparación al Examen CISA 2011
Capítulo 2 - Gobierno y Gestión de TI c cerred
so ems trzr
ation
NI Certl/M1
custodia de los recursos de TI a nombre de las partes interesadas,
las cuales, al mismo tiempo, esperan el retorno de su inversión.
Los directores responsables de esta custodia velarán porque la
gerencia implemente los sistemas y controles de TI necesarios.
Si bien la gestión de riesgos y la garantía del cumplimiento son
componentes esenciales del buen gobierno, es más importante
que el gobierno se concentre en ofrecer valor y medir el
rendimiento.
El gobierno de TI es responsabilidad del consejo de dirección
y de la dirección ejecutiva.
La responsabilidad compartida evita que el departamento de TI
tome decisiones de manera independiente y más adelante sea el
único responsable de las malas decisiones. La responsabilidad
compartida también impide que los usuarios críticos se quejen
más adelante de que el sistema no se comporta o desempeña
como se espera: "Un consejo de dirección necesita entender
la arquitectura general de portafolio de aplicaciones de TI de
su compañía ... El consejo de dirección debe garantizar que la
gerencia conoce qué recursos de información están disponibles,
en qué condiciones se encuentran y cuál es el rol que juegan
para generar ingresos ..." (Nolan, R., F.W. McFarlan;
"Information Technology and the Board of Directors," Harvard
Business Review, October 2005).
El propósito del gobierno de TI es dirigir los esfuerzos de TI
para asegurar que su rendimiento logre las metas de alinear a TI
con los objetivos de la empresa y la obtención de los beneficios
prometidos. Adicionalmente, TI debe apoyar a la empresa al
aprovechar las oportunidades y maximizar los beneficios. Los
recursos de TI deben usarse responsablemente y los riesgos
relacionados con TI deben manejarse de manera apropiada.
La implementación del marco de gobierno de TI trata estos dos
problemas, implementando prácticas que ofrecen opiniones
sobre generación de valor y gestión de riesgo. Los procesos
amplios incluyen:
La gestión de recursos de TI, que se basa en un inventario
actualizado de todos los recursos de TI y trata el proceso de
gestión de riesgos.
La medición del desempeño, que busca asegurar que todos los
recursos de TI tengan el desempeño esperado para dar valor al
negocio y se extiende para identificar los riesgos a tiempo. Este
proceso se basa en los indicadores de desempeño que se optimizan
para la entrega de valor y a partir de los cuales cualquier desviación
podría conducir a una materialización del riesgo.
La gestión de cumplimiento, que busca implementar procesos
que cubran los requerimientos de cumplimiento legales y
regulatorios.
Esta meta de alto valor se puede alcanzar al alinear el marco
de gobierno de TI con las mejores prácticas. Tanto el marco
como las prácticas deben estar constituidos por una variedad de
estructuras, procesos y mecanismos relacionales. Las prácticas
clave del gobierno de TI son el comité de estrategias de TI, la
gestión de riesgos y el control de mando integral de TI.
CcisAmdiZt" Capítulo 2- Gobierno y Gestión de TI
. l
Sección Dos: Contenido

Figura 2.2—Áreas Foco del Gobierno de TI

La alineación estratégica se concentra en garantizar la vinculación de los planes de

negocio y de TI; definiendo, manteniendo y validando la propuesta de valor de TI; y alineando
operaciones de TI con operaciones empresariales.
La entrega de valor se refiere a ejecutar la propuesta de valor a través del ciclo de entrega,
para asegurar que la TI entrega los beneficios prometidos con respecto a la estrategia,
concentración y optimización de costos y para proporcionar el valor intrínseco de TI.
La gestión de riesgos requiere concienciación de riesgos por parte de los oficiales
corporativos, una comprensión clara del apetito de riesgo de la empresa, comprensión de
los requerimientos de cumplimiento, transparencia de los riesgos significativos para la
empresa e integración de las responsabilidades de la gestión de riesgos en la organización.
La gestión de recursos se refiere a la inversión óptima en recursos de TI críticos y a la
gestión apropiada de éstos: aplicaciones, información, infraestructura y personas. Los
asuntos clave se relacionan con la optimización de conocimientos e infraestructura.
La medición de desempeño hace seguimiento y monitorea la implementación de la
estrategia, la finalización de proyectos, el uso de recursos, el desempeño de procesos y la
prestación de servicios, utilizando, por ejemplo, cuadros de mando integrales que traducen
la estrategia en acciones para alcanzar metas medibles más allá de los procesos de
contabilidad convencionales.

Fuente: ISACA COBIT 4.1, 2007. Todos los derechos reservados. Usado con autorización.

2.4.1 MEJORES PRÁCTICAS PARA EL GOBIERNO DE TI
El gobierno de TI integra e institucionaliza las buenas prácticas
para asegurar que la TI de la empresa respalde los objetivos
de negocio. El gobierno de TI permite que la empresa saque
provecho total de su información, maximizando de esta manera
los beneficios, capitalizando las oportunidades y obteniendo
una ventaja competitiva. El gobierno de TI es una estructura
de relaciones y procesos utilizados para dirigir y controlar que
la empresa alcance sus metas, dando valor agregado mientras
balancea el riesgo vs. el retorno de la inversión en lo que
respecta a TI y sus procesos. El uso de tecnología en todos los
aspectos de esfuerzos económicos y sociales ha creado una
dependencia crítica en la tecnología de la información para iniciar,
registrar, mover y gestionar todos los aspectos de las transacciones
económicas, la información y los conocimientos, creando un lugar
critico para el gobierno de TI dentro del gobierno de la empresa.
Los temas que la gerencia ejecutiva necesita tratar para gobernar
TI en la empresa se describen en cinco áreas centrales: alineación
estratégica, entrega de valor, gestión de recursos, gestión de riesgos
y medición del desempeño (véase la figura 2.2).
El gobierno de TI se ha vuelto significativo debido a numerosos
factores:
Los gerentes de negocio y consejos de dirección que exigen un
mejor retorno sobre las inversiones de TI (es decir, que la TI
entregue lo que el negocio necesita para mejorar el valor de las
partes interesadas)
Preocupación por el creciente nivel de gasto en TI
La necesidad de cumplir con los requerimientos regulatorios
para controles de TI en áreas como privacidad y reporte
financiero (por ejemplo, la Ley Sarbanes-Oxley de EUA,
Basilea II) y en sectores específicos como finanzas, farmacia y
servicios de salud
La selección de proveedores de servicio y la gestión de
contratación y adquisición de servicios externos
Riesgos cada vez más complejos relacionados con TI, como
seguridad de una red
Manual de Preparación al Examen C1SA 2011 95
Iniciativas del gobierno de TI, que incluyen la adopción de
marcos de control y buenas prácticas para ayudar a monitorear
y mejorar las actividades críticas de TI con el fin de incrementar
el valor del negocio y reducir el riesgo del negocio
La necesidad de optimizar los costos, siguiendo, de ser posible,
enfoques estandarizados en lugar de personalizados
La creciente madurez y la subsiguiente aceptación de marcos
populares
La necesidad de las empresas de evaluar su desempeño frente
a los estándares generalmente aceptados y otros similares
(estudio comparativo)
Marcos de gobierno de Ti
A continuación se mencionan ejemplos de los marcos de
gobierno de TI:
ISACA desarrolló COBIT con el objeto de apoyar el gobierno
de TI proporcionando un marco para garantizar que: TI se alinee
con el negocio, TI apoye el negocio y maximice los beneficios,
los recursos de TI se usen responsablemente y los riesgos de TI
se gestionen adecuadamente. COBIT proporciona herramientas
para evaluar y medir el desempeño de 34 procesos de TI en una
organización.
La serie de estándares ISO/IEC 27001 (ISO 27001) es un
conjunto de buenas prácticas que proporcionan orientación a las
organizaciones que aplican y mantienen programas de seguridad
de la información. ISO 27001 originalmente se publicó en el
Reino Unido (RU) como el estándar británico 7799 (BS7799) y
se convirtió en un estándar muy conocido en la industria.
La Biblioteca de infraestructura de TI (ITIL) desarrollada
en el Reino Unido por la Oficina de Comercio del Gobierno
del Reino Unido (OGC), en colaboración con IT Service
Management Forum y es un marco detallado con información
práctica sobre cómo lograr el éxito de gestión de servicios
operacionales de TI
Los Catálogos de protección de niveles mínimos de TI o
Catálogos Grundschutz de TI, (conocidos antes del ario 2005
como el Manual de protección de niveles mínimos de TI) son
Sección Dos: Contenido Capítulo 2 - Gobierno
una recopilación de documentos de la Oficina Federal Alemana
para la seguridad en tecnología de la información (FSI). Los
documentos son útiles para detectar y combatir los puntos
débiles de seguridad en el entorno de TI. La recopilación abarca
más de 3.000 páginas.
El Modelo de madurez para la gestión de la seguridad de
la información (ISM3) es un modelo que se basa en el proceso
de madurez de ISM para la seguridad.
AS8015-2005 es el estándar australiano para el gobierno
corporativo de tecnología de la información y comunicación.
AS8015 se adoptó como estándar ISO/IEC 38500 en mayo
de 2008.
El estándar Gobierno corporativo de tecnología de la
información ISO/IEC 38500:2008 (basado en el estándar
AS8015-2005) proporciona un marco para el gobierno efectivo
de TI. ISO/IEC 38500 ayuda a aquellos en el nivel más alto
de la organización a entender y cumplir con sus obligaciones
legales, reglamentarias y éticas con respecto al uso de TI de su
organización. ISO/IEC 38500 se aplica a las organizaciones de
todos los tamaños, incluyendo compañías públicas y privadas,
entidades gubernamentales y organizaciones sin fines de lucro.
Este estándar proporciona principios de orientación para los
directores de organizaciones sobre el uso efectivo, eficiente
y aceptable de TI en sus organizaciones.
Rol de la auditoria en el gobierno de TI
Las empresas se gobiernan con buenas o mejores prácticas
generalmente aceptadas, garantizadas por el establecimiento
de controles. Las buenas o mejores prácticas orientan a las
organizaciones para determinar cómo usar los recursos. Los
resultados se miden y registran, proporcionando información de
entrada a la revisión cíclica y al mantenimiento de los controles.
De forma parecida, las buenas o mejores prácticas gobiernan a
TI para garantizar que la información y tecnología relacionada de
la organización: apoye los objetivos de negocio de la empresa (es
decir, alineación estratégica), entrega de valor, uso de los recursos
responsablemente, adecuada gestión de los riesgos y medición del
rendimiento.
TI es ahora intrínseca y penetrante dentro de las empresas, en
lugar de ser una función separada y marginada del resto de la
empresa. La manera de aplicar TI dentro de la empresa tendrá
un efecto enorme sobre si la empresa logrará su misión, visión o
metas estratégicas. Por esta razón, una empresa necesita evaluar
su gobierno de TI, ya que se está volviendo una parte cada vez
más importante del gobierno general de la empresa.
La auditoría tiene un rol significativo en una implementación
exitosa del gobierno de TI dentro de una organización. La auditoría
está bien posicionada para proveer importantes recomendaciones
de prácticas a la alta dirección, para ayudar a mejorar la calidad y la
efectividad de las iniciativas del gobierno de TI implementadas.
Como una entidad que monitorea el cumplimiento, la auditoría
ayuda a asegurar el cumplimiento de las iniciativas de gobierno
de TI implementadas dentro de una organización. El monitoreo
continuo, el análisis y la evaluación de las métricas asociadas
con las iniciativas del gobierno de TI requieren una visión
independiente y balanceada para asegurar una evaluación
96 Manual de Preparación al Examen CISA 2011
y Gestión de TI C1SA Certilled ir
tdrlatian
I
cualitativa que posteriormente facilite el mejoramiento cualitativo
de los procesos de TI y las iniciativas del gobierno de TI asociadas.
Reportar sobre el gobierno de TI implica auditar al más alto nivel
en la organización, y puede cruzar los límites de división, de
funciones o de departamentos. El auditor de SI debe confirmar
que los términos de referencia establezcan:
El alcance del trabajo, incluyendo una clara definición de las
áreas y aspectos funcionales que se cubrirán.
El nivel al que se entregará el informe, donde estén identificados
los temas del gobierno TI al más alto nivel de la organización.
El derecho de acceso del auditor de SI a la información dentro
de la organización y desde proveedores de servicio de terceros.
Su estatus dentro de la organización y el conjunto de habilidades
del auditor de SI deben considerarse para determinar si son
apropiados para la naturaleza de la auditoría planeada. Si se
considera que son insuficientes, un nivel apropiado de la gestión
debe considerar la contratación de un tercero independiente para
gestionar o realizar la auditoría.
De acuerdo con el rol definido del auditor de SI, se necesita evaluar
los siguientes aspectos relacionados con el gobierno de TI:
La alineación de la función de SI con la misión, la visión, los
valores, los objetivos y las estrategias de la organización.
El logro por parte de la función de SI de los objetivos
de desempeño establecidos por el negocio (por ejemplo,
efectividad y eficiencia).
Los requerimientos legales, ambientales, de calidad de la
información, fiduciarios, de seguridad y de privacidad.
El ambiente de control de la organización.
Inversión/gasto en TI
2.4.2 COMITÉ DE ESTRATEGIA DE TI
La creación de un comité estratégico de TI es una mejor práctica
de la industria Sin embargo, el comité estratégico de TI necesita
ampliar su radio de acción para incluir no sólo asesoramiento
sobre estrategia cuando apoya al consejo de dirección en
sus responsabilidades de gobierno de TI, sino también para
concentrarse en el valor de TI, los riesgos y el desempeño. Este
es un mecanismo para incorporar el gobierno de TI dentro del
gobierno corporativo. Como un comité del consejo de dirección,
lo asesora en la supervisión de los asuntos relacionados con TI de
la empresa al asegurar que el consejo tenga la información interna
y externa que requiere para una efectiva toma de decisiones en lo
que respecta al gobierno de TI.
Tradicionalmente, las organizaciones han tenido comités
directivos a nivel ejecutivo para resolver los problemas de TI que
son relevantes para toda la organización. Debe existir una clara
comprensión tanto de la estrategia de TI como de los niveles de
dirección. ISACA emitió un documento en el que se ofrece un
claro análisis (véase la figura 2.3).
Nota: El análisis de las responsabilidades del comité directivo
es:una información que el CISA debe conocer.
 cerred
cisA sw misinfo ation
mitle
Capítulo 2- Gobierno y Gestión de TI
Figura 2.3—Análisis de las responsabilidades del Comité directivo
Med CoMitlfte estrategia de TI
Responsabilidad Proporciona información detallada y asesoría al consejo de
dirección sobre temas como:
La relevancia de los desarrollos de TI desde la
perspectiva de negocios
La alineación de TI con la dirección del negocio
El logro de los objetivos estratégicos de TI
La disponibilidad de los recursos, destrezas e
infraestructura de TI apropiados para satisfacer los
objetivos estratégicos
Optimización de los costos de TI, incluyendo el rol y la
entrega de valor de la contratación externa de servicios de TI
Riesgo, retorno y aspectos competitivos de las
inversiones de TI
Progreso en los proyectos mayores de TI
– La contribución de TI al negocio (por ejemplo, entrega del
valor de negocios prometido)
– Exposición a riesgos de TI, incluyendo riesgos de
cumplimiento
– Contención de los riesgos de TI
– Dirección a la gerencia respecto a la estrategia de TI
Impulsores y catalizadores de TI para el consejo de dirección
Autoridad Asesora al consejo de dirección y a la gerencia sobre
estrategia de TI
Por delegación del consejo de dirección, proporciona
información de entrada para la estrategia y prepara su
aprobación
Se concentra en problemas estratégicos de TI presentes
y futuros
Membresía Miembros del consejo de dirección y especialistas no
miembros del consejo de dirección
2.4.3 CUADRO DE MANDO DE TI
El control de mando integral (BSC) estándar de TI es una técnica
para evaluar la gestión de procesos que puede aplicarse al proceso
de gobierno de TI para valorar las funciones y los procesos de
TI. El método va más allá de la evaluación fmanciera tradicional,
suplementándolo con medidas que conciernen a la satisfacción del
cliente (usuario), procesos internos (operativos) y la capacidad de
innovar. Estas medidas adicionales impulsan a la organización hacia
el uso óptimo de TI, el cual está alineado con las metas estratégicas
de la organización, mientras que mantiene en balance todas las
perspectivas relacionadas con la evaluación. Para aplicar la BSC a TI,
se usa una estructura de tres capas para tratar las cuatro perspectivas:
Estrategias, por ejemplo:
Convertirse en el proveedor preferido de sistemas de
información.
Entregar aplicaciones y servicios de TI económicos, eficientes
y efectivos.
Obtener una contribución razonable de las inversiones en TI
para el negocio.
– Desarrollar oportunidades que respondan a los futuros
desafios.
Estrategias, por ejemplo:
Desarrollar aplicaciones y operaciones superiores.
Desarrollar alianzas con los usuarios y mejores servicios para
los clientes.
Proveer mejores niveles de servicio y de estructuras de precios.
– Controlar los gastos de TI.
Manual de Preparación al Examen CISA 2011
Sección Dos: Contenido
Comité de Dbeceióndell
Decide el nivel global del gasto de TI y la distribución de los
costos
Alinea y aprueba la arquitectura de TI de la empresa
Aprueba los planes y presupuestos de proyectos, establece
prioridades y objetivos parciales
Obtiene y asigna los recursos apropiados
Garantiza que los proyectos cumplan de manera continua
con los requerimientos del negocio, incluyendo la
reevaluación del caso de negocios
Monitorea los planes de proyectos para verificar la entrega
de valor esperado y resultados deseados, a tiempo y dentro
del presupuesto
Monitorea el conflicto de recursos y prioridades entre
divisiones de la empresa y la función de TI, así como entre
proyectos
Hace recomendaciones y solicitudes para cambios a los planes
estratégicos (prioridades, financiamiento, tecnología, enfoques y
recursos etc.)
Comunica las metas estratégicas a los equipos de proyectos
Es un contribuyente importante para las prácticas y
responsabilidades de gobierno de TI de la gerencia
Asiste a los ejecutivos en la preparación de la estrategia
de TI
Supervisa la gerencia día a día de la prestación del servicio
de TI y de los proyectos de TI
Se concentra en la implementación
Ejecutivo patrocinante
Ejecutivo de negocios (usuarios clave)
CIO
Asesores claves según se requiera (TI, auditoría, legal, finanzas)
Proveer valor de negocio a los proyectos de TI.
Proveer nuevas capacidades de negocio.
Entrenar y educar al personal de TI y promover la excelencia.
Proveer apoyo para la investigación y el desarrollo.
Medidas, por ejemplo:
Proveer un conjunto balanceado de métricas (es decir, KPIs)
para guiar las decisiones de TI orientadas a negocios.
El uso de un control de mando integral de TI es uno de los
medios más efectivos para ayudar al comité estratégico de TI y a
la gerencia a alcanzar el gobierno de TI mediante una alineación
apropiada de TI y el negocio. Los objetivos son establecer un
vehículo para reportar información sobre la gestión al consejo de
dirección, estimular el consenso entre las partes interesadas clave
sobre los objetivos estratégicos de TI, demostrar la efectividad y
el valor agregado de TI, y comunicar el desempeño, los riesgos y
las capacidades de TI.
Nota: El control de mando integral de TI Estándar es
información que un CISA debe conocer.
2.4.4 GOBIERNO DE LA SEGURIDAD DE LA
INFORMACIÓN
Dentro del gobierno de TI, el gobierno de la seguridad de
la información debe convertirse en una actividad sobre la
que se concentra mucha atención, con motivadores de valor
97
Sección Dos: Contenido
específicos: confidencialidad, integridad y disponibilidad de
la información, continuidad de servicios y protección de los
activos de información. La seguridad está emergiendo como un
aspecto significativo de gobierno como resultado de las redes
globales, la rapidez en la innovación y los cambios tecnológicos,
la mayor dependencia en TI, la sofisticación cada vez mayor de
los agentes de amenazas y las explotaciones (exploits), así como
una extensión de la empresa más allá de sus límites tradicionales.
De allí que la seguridad de la información debe convertirse en
una parte importante e integral del gobierno de TI. La negligencia
en este sentido reducirá la capacidad de una organización para
mitigar los riesgos y sacar provecho de las oportunidades de TI
para el mejoramiento del proceso de negocio.
Algunas de las tendencias principales que el negocio global
experimenta actualmente son la contratación de proveedores
externos para procesos internos y el uso de la computación en la
nube. La cobertura de la seguridad de la información se extiende
más allá de los límites geográficos de las instalaciones de la
empresa en modelos dentro y fuera del país sede (onshoring/
offshoring) adoptados por las organizaciones. La promesa de la
computación en nube está indiscutiblemente revolucionando el
mundo de los servicios de TI mediante la transformación de la
computación en una utilidad ubicua. Estas tendencias también
han cambiado la manera en que se maneja la seguridad de la
información.
Visión general del gobierno de la seguridad de la
información
La información puede definirse como "datos que tienen
significado y propósito." Actualmente, juega un rol cada
vez más importante en todos los aspectos de nuestras vidas.
La información se ha convertido en un componente indispensable
de la conducción del negocio para virtualmente todas las
organizaciones. En un creciente número de compañías, la
información es el negocio. Esto incluye importantes actores
de la sociedad del conocimiento, como por ejemplo Googlelm,
eBay®, Microsoft y muchas otras, grandes y pequeñas. Algunos
podrían no pensar en el software como información, pero es
simplemente información para computadoras sobre cómo operar
o procesar algo. Además, una cantidad significativa de datos es
creada y distribuida por los usuarios finales, sin involucrar a la
organización de TI.
Las organizaciones tradicionales también han sufrido una
transformación radical en la "era de la información". Las artes
gráficas y la industria de la imprenta, por ejemplo, trabajan hoy
en día casi en su totalidad con información en formato digital.
El arte (artwork) y los maestros (masters) ya no son dibujos físicos
o piezas de películas, sino bloques de información almacenada en
discos duros. Finalmente, muchas otras organizaciones continúan
luchando por un entorno "libre de papeles".
Sería dificil encontrar un negocio que no haya sido tocado
por la tecnología de la información y que no dependa de la
información que procesa. Los sistemas de información se han
vuelto penetrantes en la sociedad global y en los negocios, y la
dependencia de estos sistemas y la información que manejan
es, para muchos, absoluta. La tendencia de valor creciente y
dependencia de la información ha aumentado exponencialmente.
98 Manual de Preparación al Examen CISA 2011
Capítulo 2 - Gobierno y Gestión de TI liCertifled Information
Iwut Systems Auditor
La mayor parte de la infraestructura crítica en el mundo
desarrollado está controlada por el sector privado. Una parte
importante de la tarea de proteger los recursos de información
críticos para la supervivencia es responsabilidad absoluta de las
corporaciones privadas.
Para llevar a cabo la tarea de protección adecuada de los recursos
de información, se debe elevar el problema de supervisión de TI
a una actividad a nivel del consejo de dirección como con las
otras funciones críticas de gobierno. La complejidad, relevancia
y criticidad de la seguridad de la información y su gobierno
exigen que sea tratada y apoyada por los niveles más altos de
la organización.
Cada vez más, quienes entienden que el alcance y la profundidad
de los riesgos de la información adoptan la posición de que, por
ser un recurso crítico, la información debe ser tratada con el
mismo cuidado, precaución y prudencia que recibiría cualquier
otro activo esencial para el éxito de la organización.
Hasta hace poco, el foco de protección ha estado sobre los
sistemas de TI que recopilan, procesan y almacenan la vasta
mayoría de información más que en la propia información.
Pero este enfoque es demasiado estrecho para alcanzar el nivel
de integración, aseguramiento del proceso y seguridad general
que ahora se requiere. La seguridad de la información adopta
la visión más amplia de que el contenido, la información y los
conocimientos basados en ésta se deben proteger de manera
adecuada independientemente de cómo sea manejada, procesada,
transportada o almacenada, en particular, con herramientas
que permiten compartir fácilmente los datos y el contenido por
Internet a través de blogs, alimentaciones de noticias, redes
sociales o "peer-to-peer" o sitios web. De esta manera, el alcance
de los esfuerzos de protección debería abarcar no sólo el proceso
que genera la información, sino también la preservación
continuada de la información generada como resultado de los
procesos controlados.
El avance implacable de la tecnología de la información y la
capacidad sin paralelo de tener acceso, manipular y usar la
información ha traído enormes beneficios y oportunidades
a la economía global. También ha generado nuevos riesgos
incomparables, dilemas éticos, una mezcla confusa de leyes y
regulaciones existentes y pendientes, así como cambios sociales
y problemas relacionados, tales como teleconmutación y mayor
movilidad.
La dirección ejecutiva se enfrenta cada vez más a la necesidad
de seguir siendo competitiva en la economía global y presta
atención a la promesa de obtener ganancias indefinidamente si se
utilizan aún más recursos de información. Pero incluso cuando las
organizaciones cosechan esas ganancias, los espectros gemelos
de creciente dependencia de la información y los sistemas que
la soportan y los riesgos crecientes de una cantidad de amenazas
están forzando a la gerencia a enfrentar decisiones difíciles
respecto de cómo tratar de manera efectiva la seguridad de
información. Además, un gran número de leyes y regulaciones
nuevas y vigentes exigen cada vez más el cumplimiento y
mayores niveles de responsabilidad.
C Cerned Infonnailon
CISA Systems Auditor Capítulo 2- Gobierno y Gestión de TI
111ACReertnal»
La seguridad de la información incluye la seguridad de la
tecnología y es típicamente impulsada desde el nivel del
director de información (00). La seguridad de la información
relacionada con la privacidad de la información y la propia
seguridad de la información, se ocupa del universo de riesgos,
beneficios y procesos relacionados con la información y debe
impulsarse por la dirección ejecutiva (por ejemplo, CEO, CFO,
CTO, CIO) y contar con el respaldo del consejo de dirección.
El gobierno de la seguridad de la información es responsabilidad
del consejo de dirección y de la dirección ejecutiva, y debe ser
parte integral y transparente del gobierno de la empresa. Está
constituido por el liderazgo, las estructuras organizacionales
y los procesos que protegen la información. Como en el caso
de los controles, nada ha cambiado en relación con la premisa
básica de la información como activo. Lo que ha cambiado es la
plataforma y los repositorios utilizados para recolectar, procesar y
almacenar la información. Esta es la razón por la cual el consejo y
la dirección ejecutiva continúan siendo responsables de uno de los
activos más valiosos de la organización, que es la información.
IMPORTANCIA DEL GOBIERNO DE LA SEGURIDAD
DE LA INFORMACIÓN
Desde la perspectiva de una organización, el gobierno de la
seguridad de la información es cada vez más critico a medida
que crece la dependencia de la información y los sistemas de
TI. Para la mayoría de las organizaciones, la información (y
los conocimientos que se basan en ella), se han convertido
cada vez más en uno de sus activos más importantes, sin los
que llevar a cabo un negocio no sería posible. Los sistemas
y procesos que manejan esta información se han vuelto
verdaderamente penetrantes en todas las organizaciones de
negocio y gubernamentales del mundo entero. Esta creciente
dependencia de la información y los sistemas que la manejan
que tienen las organizaciones, aunado con los riesgos, beneficios
y oportunidades que presentan estos recursos, han hecho del
gobierno de la seguridad de la información una faceta cada vez
más crítica del gobierno en general. Además de satisfacer los
requerimientos legales y regulatorios, un gobierno eficaz de la
seguridad de la información es simplemente buen negocio y
debida diligencia. La gerencia prudente ha llegado a entender que
provee una serie de beneficios significativos, que incluyen:
Ocuparse de la creciente exposición que tiene la organización
y su gerencia a la responsabilidad civil o legal como resultado
de información incorrecta suministrada al público o a los
reguladores, así como también las consecuencias de no ejercer el
debido cuidado en la protección de información privada (según
lo demuestra la fuga de información de tarjetas de crédito u
otros datos sensibles sobre el cliente).
Proveer certeza del cumplimiento de las políticas y los estándares.
Aumentar la previsibilidad y reducir la incertidumbre en las
operaciones de negocio al reducir los riesgos a niveles definibles
y aceptables.
Proveer la estructura y el marco para optimizar las asignaciones
de los limitados recursos de seguridad.
Proveer un nivel de certeza de que las decisiones críticas no se
basan en información defectuosa.
Proporcionar un fundamento sólido para tener una gestión de
riesgos y una mejora de procesos eficientes y eficaces, así como
una respuesta rápida a incidentes.
Manual de Preparación al Examen CISA 2011 99
Sección Dos: Contenido
Establecer la responsabilidad para proteger la información durante
actividades críticas de negocio, tales como fusiones y adquisiciones,
recuperación del proceso de negocio y respuestas regulatorias.
Y finalmente, debido a que la nueva TI provee el potencial para
mejorar considerablemente el desempeño de negocio, la seguridad
eficaz de la información puede agregar un valor significativo a la
organización al:
Suministrar mayor confianza en las interacciones con los socios
comerciales.
Mejorar la confianza en las relaciones con los clientes.
Proteger la reputación de la organización.
Permitir nuevas y mejores formas de procesar las transacciones
electrónicas.
La seguridad de la información abarca todos los procesos de
información, tanto físicos como electrónicos, independientemente
de si ellos involucran personas y tecnología o relaciones con socios
comerciales, clientes o terceros. A la seguridad de la información le
conciernen todos los aspectos de la información y su protección en
todos los puntos de su ciclo de vida dentro de la organización.
RESULTADOS DEL GOBIERNO DE LA SEGURIDAD
Los cinco resultados básicos de un gobierno efectivo de la
seguridad deben incluir:
Alineación estratégica—Alinear la seguridad de la
información con la estrategia de negocio para respaldar los
objetivos de la organización. Para llevar a cabo la alineación,
se debe lograr lo siguiente:
– Desarrollo exhaustivo de los requerimientos de seguridad
impulsados por los requerimientos de la empresa para
proveer orientación sobre lo que se debe hacer y una medida
de cuándo se ha alcanzado.
– Ajuste de las soluciones de seguridad a los procesos de
la empresa que toman en cuenta la cultura, el estilo de
gobierno, la tecnología y la estructura de la organización.
– Alineación de la inversión en seguridad de la información
con la estrategia de la empresa y el perfil bien definido de
amenaza, vulnerabilidad y riesgo.
Gestión de riesgos—Gestionar y ejecutar medidas apropiadas
para mitigar los riesgos y reducir los impactos potenciales
sobre los recursos de información a un nivel aceptable. Para
llevar a cabo la gestión de riesgos, considere lo siguiente:
– Entendimiento colectivo del perfil de amenaza,
vulnerabilidad y riesgo de la organización.
– Comprensión de la exposición al riesgo y de las posibles
consecuencias de la inestabilidad, incluyendo los impactos
regulatorio, legal, operacional y reputacional.
– Conciencia de las prioridades de la gestión de riesgos con
base en las posibles consecuencias.
– Suficiente mitigación de riesgos para obtener consecuencias
aceptables del riesgo residual.
– Aceptación /deferencia/transferencia de riesgos basada en una
comprensión de las posibles consecuencias del riesgo residual.
3. Entrega de valor—Optimizar las inversiones en seguridad
para apoyar los objetivos del negocio. Para llevar a cabo la
entrega de valor, considere lo siguiente:
– Un conjunto estándar de políticas y prácticas de seguridad (por
ejemplo, requerimientos de seguridad de nivel mínimo que sigan
prácticas adecuadas y suficientes proporcionales al riesgo).

Sección Dos: Contenido
– Esfuerzo debidamente priorizado y distribuido en las áreas
con el mayor impacto y beneficio de negocio.
Soluciones basadas en estándares, institucionalizadas y de
uso generalizado
– Soluciones completas que abarquen los procesos de la
organización y de negocio, así como tecnología basada en
una comprensión del negocio integral de la organización.
Una cultura de mejoramiento continuo (es decir, Kaizen)
basada en la comprensión de que la seguridad es un proceso,
no un evento.
4. Medición del desempeño—Medir, monitorear y reportar
sobre los procesos de seguridad de la información para
asegurar el logro de los objetivos SMART (específicos,
mensurables, alcanzables, relevantes y basados en el tiempo).
Se debe contar con lo siguiente para llevar a cabo una
medición del desempeño:
– Un conjunto de medidas definidas, acordadas y
significativas debidamente alineadas con los objetivos
estratégicos.
– Un proceso de medición que ayude a identificar los atajos y
suministre retroalimentación sobre el progreso hecho para
resolver los problemas.
Aseguramiento independiente proporcionado por
evaluaciones y auditorias externas.
5. Gestión de recursos—Utilizar los conocimientos y la
infraestructura de seguridad de la información de manera
eficiente y efectiva. Para llevar a cabo la gestión de recursos,
considere lo siguiente:
Asegurar que los conocimientos sean captados y están
disponibles.
Documentar los procesos y las prácticas de seguridad.
– Desarrollar arquitectura(s) de seguridad para definir y
utilizar los recursos de la infraestructura de manera eficiente.
6. Integración de procesos—Se concentra en la integración
de los procesos de aseguramiento de gestión de seguridad
de una organización. Estas actividades suelen fragmentarse
y segmentarse en silos que tienen diferentes estructuras
jerárquicas. Esto hace dificil, si no imposible, la integración
perfecta. La integración del proceso sirve para mejorar la
seguridad general y las eficiencias operativas.
Conceptos que surgen del aseguramiento del proceso de
negocio
La integración es un concepto que consiste en integrar todos
los factores relevantes de aseguramiento para garantizar que
los procesos funcionen como se planeó en toda la organización.
Para llevar a cabo la integración, se debe considerar lo siguiente:
Determinar todas las funciones organizacionales de
aseguramiento.
Desarrollar relaciones formales con otras funciones de
aseguramiento.
Coordinar todas las funciones de aseguramiento para una
seguridad más completa.
Asegurar que los roles y responsabilidades entre las funciones
de aseguramiento concuerden.
Gobierno efectivo de la seguridad de la información
Gobierno corporativo es un conjunto de responsabilidades y
prácticas ejercidas por el consejo de dirección y la dirección
ejecutiva con la meta de proveer dirección estratégica, garantizar
100 Manual de Preparación al Examen CISA 2011
Capítulo 2 - Gobierno y Gestión de TI CISA calme' rudintrn
que se alcancen los objetivos, asegurar que los riesgos sean
gestionados de manera apropiada y verificar que los recursos
de la empresa se usan con responsabilidad.
Gobernar para la seguridad de una empresa significa
ver una seguridad adecuada como un requerimiento
no negociable para estar en el negocio. Si la gerencia
de una organización, incluyendo los consejos de
dirección, la alta dirección y todos los gerentes, no
establece y refuerza la necesidad del negocio de contar
con seguridad efectiva para la empresa, el estado de
seguridad deseado de la organización no se articulará,
logrará ni sostendrá. Para lograr una capacidad
sostenible, las organizaciones deben hacer que la
seguridad de la empresa sea responsabilidad de los
líderes a un nivel de gobierno, no de otros roles de la
organización que no tienen autoridad, responsabilidad
ni recursos para actuar o exigir el cumplimiento.
— J. Allen; Governing for Enterprise Security, CERT, EUA, junio de 2005,
www.certorg/archive/pdf/05tn023.pdf
La dirección estratégica del negocio será definida por las metas
y los objetivos de negocio. La seguridad de la información debe
apoyar las actividades de negocio para que sea de valor para
la organización.
El gobierno de la seguridad de la información es un subconjunto
de gobierno corporativo que provee dirección estratégica para las
actividades de seguridad y asegura que se logren los objetivos.
Garantiza que los riesgos de seguridad de la información
sean gestionados de manera apropiada y que los recursos de
información de la empresa se usen con responsabilidad.
Para lograr un gobierno efectivo de la seguridad de la
información, la gerencia debe establecer y mantener un marco
para guiar el desarrollo y la gestión de un programa completo de
seguridad de la información que apoye los objetivos de negocio.
Por lo general, el marco de gobierno constará de lo siguiente:
Una estrategia completa de seguridad intrínsecamente vinculada
con los objetivos de negocio.
Políticas de gobierno de seguridad vigentes que traten cada
aspecto relacionado con la estrategia, los controles y la
regulación.
Un conjunto completo de estándares para cada política que
garantice que los procedimientos y directrices cumplan con
dicha política.
Una estructura organizacional efectiva de seguridad libre de
conflictos de interés.
Procesos de monitoreo institucionalizados para asegurar el
cumplimiento y proveer retroalimentación sobre la efectividad.
Este marco a su vez provee la base para el desarrollo de un
programa rentable de seguridad de la información que respalde
las metas de negocio de la organización. El capítulo 3 de este
manual, Adquisición, desarrollo e implementación de sistemas
de información, explica cómo implementar un programa de
seguridad. El objetivo del programa es un conjunto de actividades
que proveen garantía de que a los activos de información se les da
un nivel de protección acorde con su valor o con el riesgo que su
inestabilidad representaría para la organización.

CISA
sys infontri
cortr.md r Capítulo 2- Gobierno y Gestión de TI
1.K.ff CerlnIcetto
ROLES Y RESPONSABILIDADES DE LA ALTA
DIRECCIÓN Y LOS CONSEJOS DE DIRECCIÓN
El gobierno de la seguridad de la información requiere de
dirección estratégica y de ímpetu. Requiere dedicación, recursos
y asignación de responsabilidad en lo que respecta a la gestión
de la seguridad de la información, así como un medio para que
el consejo de dirección determine que su objetivo se ha alcanzado.
Consejo de dirección/Alta dirección
Un gobierno efectivo de la seguridad de la información se puede
lograr sólo mediante la participación del consejo de directores y/o
de la alta dirección en la aprobación de la política, el monitoreo
y las métricas apropiadas, así como en el análisis de reportes y
tendencias.
Los miembros del consejo de dirección deben tener conocimiento
de los activos de información de la organización y su criticidad
para las operaciones de negocio continuas. Esto puede lograrse al
proporcionarle al consejo de manera periódica resultados de alto
nivel de las evaluaciones integrales de riesgo y análisis de impacto
al negocio (BIA). También se puede lograr mediante evaluaciones
de los recursos de información respecto de la dependencia del
negocio. Estas actividades deberían incluir la aprobación por parte
de los miembros del consejo de dirección de la evaluación de los
activos clave que deben protegerse, lo que ayuda a garantizar que
los niveles y las prioridades de protección son adecuados para un
estándar de debido cuidado.
La actitud de la gerencia debe conducir a un gobierno eficaz de
la seguridad. No es razonable esperar que el personal de nivel
más bajo acate las medidas de seguridad si éstas no son ejercidas
por la alta dirección. El consentimiento de los requerimientos
intrínsecos de seguridad por parte de la alta dirección provee la
base para asegurar que las expectativas de seguridad se cumplan
a todos los niveles de la empresa. Las penalizaciones por
incumplimiento deben ser definidas, comunicadas y ejecutadas
desde el nivel del consejo de dirección hacia bajo.
Alta dirección
Implementar un gobierno de seguridad efectivo y definir los
objetivos de seguridad estratégicos de una organización es una
tarea compleja y ardua. Como con cualquier otra iniciativa
importante, debe contar con liderazgo y el apoyo continuo de la
dirección ejecutiva para tener éxito. Desarrollar una estrategia
efectiva de seguridad de la información requiere integración
con, y la cooperación de, los dueños del proceso de negocio. Un
resultado exitoso es la alineación de las actividades de seguridad
de la información con los objetivos de negocio. El grado al que
esto se alcance determinará la rentabilidad del programa de
seguridad de la información para alcanzar el objetivo deseado
de suministrar un nivel predecible y definido de aseguramiento
para los procesos de negocio y un nivel aceptable de impacto de
eventos adversos.
Comité directivo
Hasta cierto grado, la seguridad afecta todos los aspectos
de una organización. Para ser efectiva, la seguridad debe ser
penetrante en toda la empresa. A fin de garantizar la participación
de todas las partes interesadas que se vean afectadas por las
consideraciones de seguridad, muchas organizaciones recurren a
un comité directivo constituido por los principales representantes
Manual de Preparación al Examen CISA 2011 101
Sección Dos: Contenido
de los grupos afectados. Esto facilita el logro de consenso sobre
las prioridades y los compromisos. También sirve como un canal
efectivo de comunicaciones y provee una base continua para
asegurar la alineación del programa de seguridad con los objetivos
de negocio. También puede ser fundamental para alcanzar
la modificación del comportamiento hacia una cultura más
conducente a una seguridad adecuada.
Director de seguridad de la información
Todas las organizaciones tienen un director de seguridad de la
información (CISO), independientemente de que alguien posea
ese título o no. Puede ser el CIO, el CTO, el CFO o, en algunos
casos, el CEO incluso cuando existe una oficina o un director
de seguridad de la información. El alcance y la amplitud de
la seguridad de la información en la actualidad es tal que la
autoridad requerida y la responsabilidad asumida inevitablemente
la convertirán en una responsabilidad de un funcionario de alta
jerarquía o de la dirección ejecutiva. Esto podría incluir una
posición tal como un director de riesgo (CRO) o un director de
cumplimiento (CCO). La responsabilidad legal se extenderá,
por defecto, hasta la estructura de comando y, en última
instancia, residirá en la alta dirección y el consejo de dirección.
El no reconocer esto e implementar estructuras de gobierno
inapropiadas puede ocasionar que la alta dirección no tenga
conocimiento de esta responsabilidad y de la responsabilidad
concomitante. Por lo general, también tiene como resultado una
falta de alineación efectiva de los objetivos de negocio y las
actividades de seguridad. Cada vez más, la gerencia prudente
eleva la posición de oficial de seguridad de la información
a una posición de alta dirección (es decir, CISO), porque las
organizaciones comienzan a entender su dependencia de la
información y las crecientes amenazas a ésta.
MATRIZ DE RESULTADOS Y RESPONSABILIDADES
La relación entre los resultados de un gobierno efectivo de
la seguridad de la información y las responsabilidades de la
gerencia se muestran en la figura 2.4. Esta matriz no pretende
ser exhaustiva, sino simplemente indicar algunas tareas y niveles
primarios de lo cuales la gerencia es responsable.
Nota: La figura 2.4 sobre Relaciones de los resultados del
gobierno de la seguridad con las responsabilidades de la
gerencia no se prueba de manera específica en el examen
de certificación CISA, pero es infortn.teión de la que un
CISA debe tener conocimiento.
2.4.5 ARQUITECTURA CORPORATIVA
Un área del gobierno de TI que recibe cada vez más atención es
la arquitectura de la empresa (EA). Esencialmente, la EA implica
documentar los activos de TI de una organización de una forma
estructurada para facilitar la comprensión, administración y
planificación de las inversiones de TI. Una EA a menudo incluye
tanto la representación de un estado actual como de un estado
futuro optimizado (por ejemplo, plan de acción).
El enfoque actual sobre la EA es una respuesta a la creciente
complejidad de la TI, la complejidad de las organizaciones
modernas y un enfoque mejorado sobre la alineación de TI con
la estrategia de negocio y asegurar que las inversiones de TI
entreguen beneficios reales.

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI CISA sys
nied
enutior"

Figura 2.4 — Relaciones de los resultados del gobierno de seguridad con las responsabilidades gerenciales
.
Nivel Alineación, Gestión Entrega Valor Medición Gestión Aseguramiento
Gerencia Estratégica de Riesgo . Desempeño Recurso del proceso
Consejo de Requiere de Establece Requiere reportar Requiere reportar Supervisa política Supervisa política
dirección una alineación tolerancia al riesgo. los costos de la eficacia de la de gestión del para la integración
comprobable. Supervisa política las actividades seguridad. conocimiento del proceso de
de administración relacionadas con la y utilización de aseguramiento.
de riesgos. seguridad. recursos.
Asegurar
regulaciones
cumplimiento.
Dirección Instituye procesos Garantiza que Requiere estudios Requiere monitoreo Verifica los Supervisa todas
ejecutiva para integrar a los roles ylas de business case y métricas para procesos las funciones de
la seguridad en responsabilidades (casos de negocio) las iniciativas de para captar aseguramiento
los objetivos de incluyan la gestión de las iniciativas de seguridad. conocimiento y planes de
negocio. de riesgos en todas seguridad. y métricas de integración.
las actividades. eficiencia.
Monitorea el
cumplimiento de
las regulaciones.
Comité Revisa y presta Identifica los Revisa y asesora Revisa y asesora Revisa los Identifica
directivo asistencia en riesgos emergentes, sobre la suficiencia si las iniciativas de procesos para procesos de
la estrategia promueve las de las iniciativas seguridad cumplen captar y difundir negocio críticos
de seguridad e prácticas de la de seguridad con los objetivos de conocimientos. y proveedores de
integración. seguridad de la para ayudar a negocio. aseguramiento.
Garantiza que la unidad de negocio. las funciones de Dirige los
integración cuente negocio. esfuerzos de la
con el apoyo de integración del
los dueños del aseguramiento.
negocio.
Director de Desarrolla la Garantiza que Monitorea la Desarrolla e Desarrolla tanto Se comunica
seguridad de estrategia de se realicen las utilización y la implementa métodos para con otros
información seguridad; vigila evaluaciones de efectividad de enfoques de captar y difundir proveedores de
(CISO) el programa y riesgo e impacto al los recursos de monitoreo y el conocimiento, aseguramiento.
las iniciativas de negocio. seguridad. métricas y dirige como métricas Garantiza que
seguridad, y se Desarrolla y monitorea las para determinar se identifiquen
coordina con los estrategias de actividades de la eficacia y la y resuelvan
dueños del proceso mitigación de seguridad. eficiencia. las brechas y
de negocio para riesgos. los vacíos y
una alineación Hace cumplir las superposiciones.
constante. regulaciones y las
políticas.
Ejecutivos de Evaluar y reportar Evaluar y reportar Evaluar y reportar Evaluar e informar Evaluar y reportar Evaluar y reportar
auditoría el grado de sobre las prácticas sobre la eficiencia sobre el grado sobre la eficiencia sobre la efectividad
alineación y resultados de la de efectividad de o la gestión de de los procesos
gestión de riesgo las medidas y las recursos de aseguramiento
corporativo métricas en uso. realizados por las
diferentes áreas de
la gerencia
Fuente: ISACA, Information Secutity Govemance: Guidance for Information Seculity Managers, 2008. Todos los derechos reservados. Usado con autorización.
El marco para la arquitectura de la empresa, un trabajo innovador El marco básico de Zachman se describe en la figura 2.5.
en el campo de la EA, fue publicado por primera vez por John
Zachman a finales de la década de 1980. La estructura de El objetivo en última instancia es completar todas las celdas
Zachman continúa siendo un punto de partida para muchos de la matriz. Al inicio de un proyecto de EA, la mayoría de las
proyectos contemporáneos de EA. Zachman razonó que la organizaciones tendrá dificultad para proporcionar detalles para
construcción de sistemas de TI tenía considerables similitudes con cada celda, en particular al nivel más alto.
la construcción de edificios. En ambos casos, hay una gama de
participantes que se involucran en diferentes etapas del proyecto. Al tratar de completar una EA, las organizaciones pueden resolver
En la construcción de edificios, uno va desde lo abstracto a lo el desafio ya sea desde una perspectiva de tecnología o desde una
fisico usando modelos y representaciones (tales como planos, perspectiva de proceso de negocio.
distribuciones de espacios y diagramas de cableado). De manera
similar con la TI, los diferentes elementos (tales como diagramas, La EA centrada en la tecnología trata de aclarar las complejas
diagramas de flujo, modelos de datos/clase y código) se usan para opciones de tecnología que enfrentan las organizaciones
describir diferentes aspectos de los sistemas de una organización a modernas. La idea es proveer orientación sobre problemas
niveles de detalle cada vez mayores. tales como si y cuándo usar ambientes técnicos avanzados

102 Manual de Preparación al Examen CISA 2011

 cirsrátor Capítulo 2- Gobierno y Gestión de TI
asAsys
C Sección Dos: Contenido
ISILMORI10...

Figisa 2.5—Marco de Zachman para la Arclitectura de la Empresa

Funcional Red • Oente
Datos (Aplítáción) (ecnologia) (Organización) (Flujo de trabajo) Estrategia
Alcance
Modelo de empresa
Modelo de sistemas
Modelo de tecnología
Representación detallada

(por ejemplo, J2EE o .NET) para el desarrollo de aplicaciones,
cómo conectar mejor sistemas entre organizaciones y dentro
de la organización, cómo heredar aplicaciones "web enable"y
ERP (enteprise resource planning) (sin que sea necesaria una
extensa reprogramación), si las funciones de TI deben realizarse
internamente en la empresa o subcontratarse, y si deben utilizarse
soluciones tales como la virtualización y la computación en nube
y cuándo utilizarlas.
La EA centrada en el proceso de negocio trata de entender una
organización en términos de sus procesos centrales que agregan
valor y sus procesos de soporte. La idea es que, al entender los
procesos, sus partes constitutivas y la tecnología que los respalda,
se puede lograr un mejoramiento del negocio a medida que se
rediseñan y reemplazan gradualmente diferentes aspectos. La
génesis de este tipo de razonamiento puede asociarse al trabajo de
Michael Porter, profesor de Harvard, en particular, a su modelo
de cadena de valor de negocio. El esfuerzo de modelar procesos
de negocio está recibiendo un impulso adicional por parte de
varios modelos de negocio en todos los sectores tales como el
realzado Mapa de operaciones de telecomunicaciones (eTOM) y
el modelo de Referencia de operaciones de cadena de suministros
(SCOR) del sector de las telecomunicaciones. El contenido de
un modelo de proceso de negocio se puede correlacionar con los
estratos superiores del marco de Zachman. Una vez completada la
correlación, una organización puede considerar la mezcla óptima de
tecnologías que se necesita para respaldar sus procesos de negocio.
A modo de ejemplo, el gobierno federal de Estados Unidos se
toma muy en serio el tema de la EA. Por ley, una organización
federal de EUA está obligada a desarrollar una EA y a establecer
una estructura de gobierno de EA que asegure que la EA se utiliza
como referencia y es mantenida en las actividades de planificación
y elaboración de presupuestos de todos los sistemas. Para guiar
este proceso, se ha desarrollado la Arquitectura Federal de
Empresas (FEA). La FEA se describe (en el sitio web de la FEA,
www.feapmo.gov) como "una estructura basada en el negocio
y el desempeño para apoyar la colaboración entre agencias, la
transformación y el mejoramiento a nivel de todo el gobierno". La
FEA tiene una jerarquía de cinco modelos de referencia:
Modelo de referencia de desempeño—Un marco para
medir el desempeño de las principales inversiones de TI y
su contribución al desempeño de los programas.
Modelo de referencia de negocio—Un marco basado en la
función, que describe las funciones y subfunciones realizadas
por el Gobierno, independiente de las agencias que realmente
las realizan.
Modelo de referencia de componentes de servicio—Un
marco funcional que clasifica los componentes de servicio que
respaldan el negocio y los objetivos de desempeño.
Modelo de referencia técnica—Un marco que describe
cómo la tecnología respalda la entrega, el intercambio y la
construcción de componentes de servicio.
Modelo de referencia de datos—Aunque aún se encuentra en
proceso de desarrollo, describirá los datos y la información que
sirven de apoyo a los programas y las operaciones de negocio.
La documentación sobre la arquitectura corporativa y la FEA
se usan principalmente para mantener y describir la coherencia
tecnológica, describiendo y evaluando continuamente la
tecnología que está gestionando el departamento de SI.
Aspectos relevantes del gobierno de TI respecto de la gestión
de un departamento de SI son los procesos de selección y/o
las metodologías que se usan para cambiar las tecnologías
estratégicas. Este tema relevante afecta las decisiones de la
gerencia y está sujeto a grandes riesgos de negocio.
2.5 ESTRATEGIAS DE SISTEMAS DE
INFORMACIÓN
2.5.1 PLANIFICACIÓN ESTRATÉGICA
La planificación estratégica, desde el punto de vista de SI, se
relaciona con la dirección a largo plazo que una organización
quiere seguir para mejorar sus procesos de negocio utilizando
tecnología de la información.
Bajo la responsabilidad de la alta dirección, los factores a
considerar incluyen: identificar soluciones de TI rentables para
tratar los problemas y oportunidades que enfrenta la organización
y desarrollar planes de acción para identificar y adquirir los
recursos que se necesitan. Para desarrollar planes estratégicos,
generalmente de tres a cinco años de duración, las organizaciones
deben asegurarse de que los mismos estén plenamente alineados
y sean congruentes con todas las metas y objetivos generales de
la organización. La gerencia del departamento de SI, junto con el
comité de dirección de SI y el comité de estrategia (que provee
valiosa información estratégica relacionada con el valor para las
partes interesadas), tiene una función clave en el desarrollo e
implementación de los planes.
La planificación estratégica efectiva de TI incluye la
consideración de los requerimientos de la empresa para sistemas
de TI nuevos y revisados y la capacidad de la organización de TI

Manual de Preparación al Examen CISA 2011 103

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI CISA Systems Auditor CerlIfied Information
para entregar una nueva funcionalidad mediante proyectos bien
gobernados. Determinar los requerimientos para los sistemas
de TI nuevos y revisados incluirá una consideración sistemática
de las intenciones estratégicas de la empresa , cómo estas
intenciones se convierten en objetivos específicos y en iniciativas
de negocios y qué capacidades de TI se necesitarán para apoyar
dichos objetivos e iniciativas. Para valorar las capacidades de TI,
el portafolio de sistemas existente debe revisarse en términos de
ajuste funcional, costo y riesgo. La evaluación de la capacidad
de TI para cumplir con sus objetivos incluye una revisión de la
infraestructura técnica de TI de la organización y de los procesos
de apoyo claves (por ejemplo gestión de proyectos, desarrollo
de software y prácticas de mantenimiento, administración de la
seguridad y servicios de soporte técnico) para determinar si es
necesaria la expansión o el mejoramiento. Es importante que el
proceso de planificación estratégica abarque no sólo la entrega
de nuevos sistemas y tecnología, sino que también considere el
rendimiento que se obtiene de la inversión en los sistemas "lights-
on" de TI existentes, así como el retiro de servicio de los sistemas
antiguos. El plan estratégico de TI debería equilibrar el costo de
mantenimiento de los sistemas existentes con el costo de nuevas
iniciativas o sistemas para respaldar las estrategias de negocio.
El auditor de SI debe prestar total atención a la importancia de la
planificación estratégica de TI, considerando las prácticas de control
de la gestión. Además, el objetivo del gobierno de TI requiere
que los planes estratégicos de TI estén en sincronización con la
estrategia de negocio en general. Un auditor de SI debe centrarse en
la importancia del proceso de planificación estratégica o marco de
planificación. Debe prestarse particular atención a la necesidad de
evaluar cómo se toman en cuenta los planes operacionales, tácticos
o de desarrollo del negocio para la formulación de la estrategia
de TI, el contenido de los planes estratégicos, los requerimientos
para planes de actualización y comunicación, así como los
requerimientos de monitoreo y evaluación. El auditor de SI debería
considerar cómo el CIO, o la alta dirección de TI, intervienen
en la creación de la estrategia general de negocio. Una falta de
participación de TI en la creación de la estrategia de negocio indica
que hay un riesgo de que la estrategia y los planes de TI no estén
alineados con la estrategia de negocio.
2.5.2 COMITÉ DE DIRECCIÓN
La alta dirección de una organización debe designar un comité de
dirección o de planificación para supervisar la función de SI y sus
actividades. Un comité de dirección de alto nivel para tecnología
de la información es un factor importante para asegurar que el
departamento de SI esté alineado con la misión y los objetivos
corporativos. Aunque no es una práctica común, es muy deseable
que un miembro del consejo de dirección que entienda los
riesgos y los problemas sea el responsable de la tecnología
de la información, y dirija este comité. El comité debe incluir
representantes de la alta dirección, de la gerencia de usuarios
y del departamento de SI.
Los deberes y las responsabilidades del comité deben estar
definidos en un documento formal de estatutos. Los miembros
del comité deben conocer las políticas, los procedimientos y
las prácticas del departamento de SI. Cada miembro debe tener
autoridad para tomar decisiones dentro del grupo para sus
áreas respectivas.
104 Manual de Preparación al Examen CISA 2011
An MG* Certiflos.
Dicho comité sirve, por lo general, como un consejo general de
revisión para proyectos importantes de SI y no debe participar en
las operaciones de rutina. Las funciones principales realizadas
por este comité incluyen:
Revisar los planes de largo y corto alcance del departamento
de SI para asegurar que estén en concordancia con los objetivos
corporativos.
Revisar y aprobar las adquisiciones importantes de hardware
y software, dentro de los límites aprobados por el consejo de
dirección.
Aprobar y monitorear los proyectos de alta relevancia y
la situación de los planes y presupuestos de SI, establecer
prioridades, aprobar los estándares y los procedimientos, y
monitorear el desempeño general de SI.
Revisar y aprobar las estrategias de asignación de ciertas
actividades o todas las actividades de SI, incluyendo servicios
internos o externos, y la globalización o traslado de las
funciones al extranjero.
Revisar si los recursos y su asignación son adecuados en
términos del tiempo, personal y equipos.
Tomar decisiones con respecto a la centralización o
descentralización y la asignación de responsabilidades.
Apoyar el desarrollo e implementación de un programa
de gestión de la seguridad de la información a nivel de toda
la empresa.
Reportar al consejo de dirección sobre las actividades de SI.
Nota: Las responsabilidades variarán de empresa a
empresa y las responsabilidades que se muestran son las
responsabilidades más comunes del comité de dirección.
Cada empresa debe documentar formalmente y aprobar
los términos de referencia para su comité de dirección y
el auditor de SI debe familiarizarse con la documentación
del comité de dirección de SI y entender las principales
responsabilidades que se asignan a sus miembros. Muchas
empresas pueden referirse a este comité con un nombre
diferente. El auditor de SI debe identificar el grupo que
desempeña las funciones antes mencionadas.
El comité de dirección de SI debe recibir información de gestión
apropiada de los departamentos de SI, de usuarios y de auditoria,
para coordinar y monitorear con efectividad los recursos de SI
en la organización. El comité debe monitorear el desempeño y
establecer las acciones apropiadas para alcanzar los resultados
deseados. El comité debe reunirse periódicamente e informar a la
alta dirección. Deben elaborarse actas formales de las reuniones
del comité de dirección de SI, para documentar las actividades y
las decisiones del comité.
2.6 MODELOS DE MADUREZ Y
MEJORAMIENTO DE PROCESOS
El modelo IDEAL forma una infraestructura para orientar a
las empresas en la planificación y aplicación de un programa
efectivo para el mejoramiento de procesos de software y es la
estrategia base empleada para entregar muchos servicios del
Instituto de Ingeniería de Software (SED. Las empresas que
siguen el enfoque IDEAL para el mejoramiento de procesos de
software (SPI) pueden integrar de manera efectiva la tecnología
Casix cerned:1r
MCROMIlliptlen
Capítulo 2- Gobierno y Gestión de TI Sección Dos: Contenido
SE!, cursos, talleres y servicios en un método completo para la
gestión y el mejoramiento de su capacidad general.
Integración del modelo de madurez de capacidad (CMMI) es
un enfoque de mejoramiento de procesos que proporciona a las
empresas los elementos esenciales de procesos efectivos. Se puede
usar para orientar el mejoramiento de procesos en un proyecto,
división o en toda la organización. CMMI ayuda a integrar las
funciones organizacionales tradicionalmente separadas, fijar
objetivos y prioridades de mejoramiento de procesos, proporcionar
orientación para los procesos de calidad y representa un punto de
referencia para evaluar los procesos actuales.
La metodología Proceso para equipos de software (TSP)
orienta a los equipos y a su gerencia mediante un proceso de
lanzamiento de cuatro días que establece los objetivos, define los
roles del equipo, evalúa los riesgos y produce un plan de proyecto
completo. Después de la jornada, TSP proporciona un marco de
proceso definido y medido para la gestión, medición, rastreo y
registro del trabajo del equipo. Antes de participar en un equipo
TSP, cada miembro debe entrenarse en los métodos PSP.
La metodología Proceso para personal de software (PSP) ayuda
a las empresas a gestionar la calidad, mejorar la estimación y
planificación, así como a reducir los defectos en sus productos.
PSP también proporciona los datos a las empresas para justificar
sus planes. PSP puede aplicarse a muchas partes del proceso de
desarrollo de software, incluyendo el desarrollo del programa,
definición de requerimientos, documentación escrita, pruebas de
sistemas y mantenimiento, así como mantenimiento y mejora de
grandes y pequeños sistemas de software.
2.7 PRÁCTICAS DE INVERSIÓN Y ASIGNACIÓN
DE TI
Cada empresa se enfrenta al reto de utilizar sus recursos
limitados, incluyendo las personas y el dinero, para lograr sus
metas y objetivos. Cuando una organización invierte sus recursos
en un esfuerzo determinado, incurre en costos de oportunidad,
porque no puede seguir otros esfuerzos que podrían aportar valor
a la empresa. Estos costos de oportunidad deben estar muy bien
gestionados porque, de acuerdo con la publicación de ISACA,
The Val IT Framework 2.0, entre el 20 y el 70 por ciento de las
inversiones a gran escala en cambios para la habilitación de TI
se pierden, son un reto o no aportan ningún retorno a la empresa.
Un auditor de SI debería comprender las prácticas de inversión
y asignación de una empresa para determinar si ésta está bien
posicionada para lograr el mayor valor posible de la inversión de
sus recursos.
Los beneficios financieros incluyen impactos en el presupuesto
y en las finanzas de la organización, por ejemplo reducciones de
costos o aumento de ingresos.
Los beneficios no financieros incluyen impactos en las
operaciones o en el cumplimiento de la misión y los resultados,
por ejemplo, mejoras en la satisfacción del cliente, mejor
información, tiempo de ciclo más corto.
Manual de Preparación al Examen CISA 2011 105
Valor de TI
Las personas encargadas de decidir, toman las decisiones de
selección de proyectos de TI basándose en el valor percibido de
la inversión. El valor de TI lo determina la relación entre lo que
la organización pagará (costos) y lo que recibirá (beneficios).
Mientras mayor sea el beneficio en relación al costo, mayor será
el valor del proyecto de TI.
El marco de Val TI tiene tres componentes o procesos: gobierno
de valor, gestión de portafolio y gestión de inversión. La figura
2.6 ilustra la relación entre estos tres dominios y los procesos
asociados.
La gestión de portafolio de TI es distinta de la gestión financiera
de TI en que establece una dirección explícita, con un objetivo
estratégico para determinar las áreas en las que la empresa
seguirá invirtiendo versus las áreas en las que no se harán
inversiones.
Implementación de la Gestión de Portafolio de TI
La aplicación de los métodos incluye: análisis de perfil de riesgos,
diversificación de proyectos, infraestructura y tecnología, alineación
continua con los objetivos del negocio y mejoras continuas.
No existe una mejor manera de aplicar el enfoque de portafolio
de TI.
Gestión de Portafolio de TI vs. Cuadros de Mando
La ventaja más grande de la gestión de portafolio de TI es su
agilidad para ajustar las inversiones. Mientras que los cuadros
de mando también enfatizan el uso de visión y estrategia en una
decisión de inversión, la supervisión y control de los presupuestos
de operaciones no son el objetivo. La gestión de portafolio de TI
permite a las organizaciones ajustar las inversiones basadas en el
mecanismo integrado de realimentación.
2.8 POLÍTICAS Y PROCEDIMIENTOS
Las políticas y procedimientos reflejan la orientación y dirección
de la gerencia en el desarrollo de controles sobre los sistemas de
información, recursos relacionados y procesos del departamento
de SI.
2.8.1 POLÍTICAS
Las políticas son documentos de alto nivel que representan
la filosofia corporativa de una organización y el pensamiento
estratégico de la alta dirección y de los dueños de los procesos de
negocio. Las políticas deben ser claras y concisas para que sean
efectivas. La gerencia debe crear un ambiente de control positivo,
al asumir la responsabilidad de formular, desarrollar, documentar,
promulgar y controlar las políticas que abarcan las metas y las
directrices generales. La gerencia debe emprender las acciones
necesarias para asegurar que los empleados afectados por una
política específica reciban una explicación completa de la política
y entiendan cuál es su propósito. Además, las políticas pueden
también aplicarse a terceros y a proveedores de servicio externos,
quienes deberán comprometerse a seguir las políticas a través de
contratos o declaraciones de trabajo (SOW).

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI CISA cedill"Art:tkin

Figura 2.6—Dominios y procesos de Val IT

Establecer un liderazgo Definir e implementar Definir las características de

Informado .y comprometido. procesos. la cartera (portafolio).

Alinear e integrar la gestión Establecer un monitores de Mejorar continuamente las

de valor con, la planificación gobierno efectivo. prácbcas de gestión de valor.
Gobierno de valor (VG) financiera de la empresa.

Establecer una combinación de Determinar la disponibilidad Gestionar la disponibilidad de

dirección estratégke e
inversión de destino.
Gestión de la cartera Evaluar y seleccionar
programas para financiar.
(portafolio) (PM)
y las fuentes de fondos.
---
Monitorear y notificar el
desempeño de la cartera
Inrtafolió) de inversión.
los recursos humanos.
Optimizar el desempeño de la—
cartera (portafolio) de
inversión.

Desarrollar y evaluar el Comprender errara- grama Desarrollar el plan Desarrollar costos

caso de negocio de candidato y las opciones de programa, de beneficios del ciclo de vida
programa inicial. 'implementación. L completo.
Desarrollar'el caso de Lanzar y gestionar el Actualizar la cartera
negocio de programa programa". (portafolio') de. TI operativa.
candidato detallado,
Actualizar el caso de Monitorear e infonnar sobre el 1
negocio. programa. Retirar el`programa.
Gestión de la inversión (IM) 11_

Fuente: (SACA, The Val IT Framework 2.0, EUA, 2008, página 15, figura 9

Además de las políticas corporativas que establecen el estilo de
la organización como un todo, las divisiones y los departamentos
individuales deben definir políticas a un nivel menor. Las
políticas de menor nivel deben ser congruentes con las políticas
a nivel corporativo. Estas deben aplicarse a los empleados y a las
operaciones de estas unidades, y centrarse en el nivel operativo.
Es deseable un enfoque integral de arriba hacia abajo para el
desarrollo de las políticas de menor nivel, por ejemplo cuando
se derivan de las políticas corporativas, ya que esto facilita la
uniformidad en toda la organización. Sin embargo, algunas
organizaciones comienzan definiendo políticas de nivel operativo
como prioridades inmediatas. Estas compañías consideran que
éste es el enfoque más rentable, ya que estas políticas a menudo
se derivan y se implementan como resultado de las evaluaciones
de riesgos. Este es un enfoque de abajo hacia arriba, en el cual las
políticas corporativas son un desarrollo posterior y una síntesis
de las políticas operativas existentes. Este enfoque puede parecer
más práctico, pero deja espacio para la falta de uniformidad y
para situaciones conflictivas en las políticas.
La gerencia debe revisar todas las políticas periódicamente.
Preferiblemente, estos documentos deben especificar una fecha
de revisión que el auditor de SI deberá verificar con exactitud.
Es necesario que las políticas sean actualizadas para que
reflejen lo nuevo de la tecnología, cambios en el ambiente (por
ejemplo, requerimientos de cumplimiento de regulaciones) y
los cambios significativos en los procesos de negocio que hacen
uso de tecnología de la información para obtener eficiencia y
eficacia en la productividad o logros competitivos. Las políticas
formuladas deben apoyar el logro de los objetivos de negocio y
la implementación de controles de SI. Sin embargo, la gerencia
debe atender las necesidades de los clientes y cambiar las
políticas que puedan obstaculizar la satisfacción del cliente o
la capacidad de la organización para alcanzar los objetivos del
negocio. Esta consideración debe tomar en cuenta los aspectos de
confidencialidad y seguridad de la información, las cuales pueden
ser contrarios a la conveniencia del cliente. Así como cada control
es formulado para cumplir un objetivo de control, las políticas
generales a un nivel superior y las políticas detalladas a un nivel
inferior necesitan estar alineadas con los objetivos de negocio.
Los auditores de SI deben entender que las políticas son parte
del proceso de auditoria y comprobar si éstas cumplen con las
regulaciones. Los controles de SI deben fluir de las políticas de
la empresa y los auditores de SI deben usar las políticas como
un punto de comparación para evaluar el cumplimiento. Sin
embargo, si existen políticas que obstaculizan el logro de los
objetivos de negocio, se deben identificar y reportar para que
sean mejoradas. El auditor de SI debe también considerar el
grado al que las políticas se aplican a terceros o a contratistas de
externalización, el grado al que éstos cumplen con las políticas,
y si las políticas de los terceros o de los proveedores de servicio
externos están en conflicto con las políticas de la empresa.

106 Manual de Preparación al Examen CISA 2011

C cisix sys=it'drir
ce Capítulo 2- Gobierno y Gestión de TI
A.0«.0.111Ist»
Política de seguridad de la información
Una política de seguridad comunica un estándar de seguridad
coherente a los usuarios, a la gerencia y al personal técnico.
Una política de seguridad para tecnología de la información y
tecnologías relacionadas es un primer paso hacia la construcción
de la infraestructura de seguridad para organizaciones impulsadas
por la tecnología. Las políticas a menudo definirán el escenario
en términos de qué herramientas y procedimientos se necesitan
para la organización. Las políticas de seguridad deben equilibrar
el nivel de control con el nivel de productividad. Además, el
costo de un control nunca debe exceder el beneficio que se espera
obtener. Para diseñar e implementar estas políticas, la cultura
organizacional desempeñará un papel importante. La política
de seguridad debe ser aprobada por la alta dirección, y debe ser
documentada y comunicada a todos los empleados y proveedores
de servicio y socios de negocio (es decir, proveedores), según
sea pertinente. La política de seguridad debe ser usada por
los auditores de SI como un marco de referencia para realizar
diferentes asignaciones de auditoría de SI. La suficiencia y
pertinencia de la política de seguridad podría también ser un área
de revisión para el auditor de SI.
La política de seguridad de la información guía a toda la
organización al definir qué debe protegerse, los responsables de la
protección y la estrategia a seguir para cumplir con esa protección.
La política de seguridad de la información provee a la gerencia
la dirección y el respaldo para la seguridad de la información
de acuerdo con los requerimientos del negocio y las leyes y
regulaciones relevantes. La gerencia debe fijar una dirección clara
de política en línea con los objetivos de negocio y demostrar su
apoyo a, y su compromiso con, la seguridad de la información a
través de la emisión y mantenimiento de una política de seguridad
de la información para la organización.
DOCUMENTO DE POLÍTICA DE SEGURIDAD DE LA
INFORMACIÓN
El documento de política de seguridad de la información debe
establecer el compromiso de la gerencia y el enfoque de la
organización para gestionar la seguridad de la información. El
estándar ISO 27002 (o el estándar nacional equivalente) puede
considerarse un estudio comparativo para el contenido que cubre
el Documento de política de seguridad de la información.
El documento de política debe contener:
Una definición de seguridad de la información, sus objetivos
generales y su alcance, así como la importancia de la
seguridad como un mecanismo que permite que se comparta la
información.
Una declaración de la intención de la gerencia, que apoye las
metas y los principios de seguridad de la información en línea
con la estrategia y los objetivos de negocio.
Un marco para fijar los objetivos de control y los controles,
incluyendo la estructura de evaluación de riesgos y gestión de
riesgos.
Una explicación breve de las políticas, principios, estándares
y requisitos de cumplimiento de importancia particular para la
organización, incluyendo:
— Cumplimiento con los requerimientos legislativos, regulatorios
y contractuales
Manual de Preparación al Examen CISA 2011 107
Sección Dos: Contenido
— Requerimientos de formación, capacitación y concienciación
en seguridad
Gestión de la continuidad del negocio
— Consecuencias de la violación de la política de seguridad
de la información
Una definición de las responsabilidades generales y específicas
para la gerencia de seguridad de la información, incluyendo
reportar incidentes de seguridad de la información.
Referencias a la documentación que puede respaldar la
política; por ejemplo, políticas, estándares y procedimientos
más detallados de seguridad para sistemas de información
específicos o reglas de seguridad que deben acatar los usuarios.
Esta política de seguridad de la información debe ser comunicada
en toda la organización a los usuarios de una forma que sea
accesible y comprensible para el lector al que está destinada.
La política de seguridad de la información podría ser parte de un
documento de política general y puede ser apropiado distribuirla
a terceros o a los proveedores de servicio externos de la
organización, siempre y cuando se tenga el cuidado de no revelar
información sensible de la empresa. Se debe requerir que todos
los empleados con acceso a activos de información firmen para
dar constancia de su comprensión y voluntad de cumplir con la
política de seguridad de la información en el momento en que son
contratados y regularmente a partir de ese momento (por ejemplo,
anualmente) para informarse de los cambios de la política que
ocurran en el tiempo.
Dependiendo de la necesidad y pertinencia, las organizaciones
pueden documentar las políticas de seguridad de la información
como un conjunto de políticas. Generalmente, se tratan los
siguientes grupos de políticas:
Política de seguridad de la información de alto nivel:
Esta política debe incluir declaraciones de confidencialidad,
integridad y disponibilidad.
Política de clasificación de datos: Esta política debe describir
las clasificaciones, los niveles de control en cada clasificación y
las responsabilidades de todos los posibles usuarios, incluyendo
propiedad.
Política de uso aceptable: Debe existir una política integral
que incluya información para todos los recursos de información
(HW/SW, redes, Internet, etc.) y describa los permisos de la
organización para el uso de TI y de recursos relacionados con
información.
Política de computación para el usuario final: Esta política
describe los parámetros y el uso de herramientas de escritorio
por parte de los usuarios.
Políticas de control de acceso: Esta política describe el método
para definir y otorgar acceso a usuarios a varios recursos de TI.
POLÍTICA DE USO ACEPTABLE
El uso inadecuado de los recursos de TI por parte de los usuarios
expone a una empresa a riesgos que incluyen ataques de
virus, compromiso de sistemas de redes y servicios y aspectos
legales. Es una práctica común exigir a los nuevos miembros
de una empresa que firmen una carta de reconocimiento antes
de recibir acceso a los sistemas de información. Esta carta de
reconocimiento se denomina Política de uso aceptable (AUP). La
AUP es un conjunto de directrices o los estándares que la empresa
Sección Dos: Contenido
pone en práctica para controlar cómo se utilizarán sus recursos de
sistemas de información.
La AUP debe explicar lo que la empresa considera como uso
aceptable de la computadora, con el objetivo de proteger tanto
al empleado como a la empresa de las consecuencias de las
acciones ilegales. Por esta razón, la AUP debe ser concisa
y clara, mientras al mismo tiempo cubre los puntos más
importantes, tales como definir a quién se le considera usuario
y qué tiene permitido hacer con los sistemas de TI. La AUP
deberá referir a los usuarios, cada vez que sea necesario, a las
políticas de seguridad, que son más completas. La AUP deberá
también definir claramente qué sanciones se aplicarán si los
usuarios incumplen los estándares de AUP. El cumplimiento de
estas políticas deberá medirse con auditorías regulares.
La forma más común de una AUP es la Política de uso de intemet
aceptable, la cual determina el código de conducta que guía la
conducta del usuario mientras está conectado a la red/internet.
El código de conducta puede incluir "netiquette"—una descripción del
lenguaje que se considera adecuado usar cuando se está en línea. El
código de conducta también deberá describir qué se considera ilegal o
una actividad personal excesiva. La adhesión a un código de conducta
ayuda a garantizar que las actividades iniciadas por un usuario no
expondrán a la empresa a los riesgos de seguridad de la información.
REVISIÓN DE LA POLÍTICA DE SEGURIDAD DE LA
INFORMACIÓN
La política de seguridad de la información debe ser revisada
a intervalos planeados o si ocurrieran cambios significativos,
para asegurar que siga siendo pertinente, adecuada y efectiva.
La política de seguridad de la información debe tener un dueño
al que se haya otorgado la responsabilidad de gestión aprobada para
desarrollar, revisar y evaluar la política de seguridad. La revisión
debe incluir la evaluación de las oportunidades de mejoramiento de
la política de seguridad de la información de la organización y un
enfoque para gestionar la seguridad de la información en respuesta
al ambiente organizacional, las circunstancias de negocio, las
condiciones legales o el ambiente técnico.
El mantenimiento de la política de seguridad de la información
debe tomar en cuenta los resultados de estas revisiones. Debe
haber procedimientos definidos de revisión de la gerencia, que
incluyan un cronograma o período para la revisión.
Las contribuciones a la revisión de la gerencia deben incluir:
Retroalimentación de las partes interesadas
Resultados de revisiones independientes
Estatus de las acciones preventivas y correctivas
Resultados de las revisiones anteriores de la gerencia
Desempeño del proceso y cumplimiento de la política de
seguridad de la información;
Cambios que podrían afectar el enfoque de la organización para
gestionar la seguridad de la información, incluyendo cambios
al ambiente organizacional; las circunstancias de negocio;
la disponibilidad de recursos; las condiciones contractuales,
regulatorias y legales; o el ambiente técnico;
Consideración del uso de proveedores de servicio externos o
traslado al exterior de la función de TI o funciones de negocio;
Las tendencias relacionadas con las amenazas y las vulnerabilidades;
108 Manual de Preparación al Examen CISA 2011
Capítulo 2 - Gobierno y Gestión de TI ce
CISA %I = rurr
mismrowitamo.
Incidentes de seguridad de la información reportados;
Recomendaciones suministradas por las autoridades relevantes.
El resultado de la revisión de la gerencia debe incluir decisiones y
acciones relacionadas con:
Mejora en la alineación de la seguridad de la información con
objetivos de negocio
Mejoramiento de los objetivos de control y los controles;
Mejoramiento en la asignación de recursos y/o
responsabilidades.
Se debe mantener un registro de las revisiones de la gerencia y se
debe obtener la aprobación de la gerencia para la política revisada.
Nota: Esta revisión es realizada por la gerencia para tratar los
cambios en factores ambientales.
Mientras revisa las políticas, el auditor de SI debe valorar lo
siguiente:
Base sobre la cual se ha definido la políticageneralmente, se
basa en un proceso de gestión de riesgos.
Pertinencia de estas políticas.
Contenido de las políticas.
Excepciones a las políticas—aclarar en qué áreas no se
aplican las políticas y por qué; por ejemplo, es posible que las
políticas de contraseñas (passwords) no sean compatibles con
aplicaciones existentes).
Proceso de aprobación de políticas.
Proceso de implementación de políticas.
Efectividad de implementación de políticas.
Concienciación y capacitación
Proceso periódico de revisión y actualización.
2.8.2 PROCEDIMIENTOS
Los procedimientos son pasos detallados que se definen y se
documentan para implementar las políticas. Deben derivarse
de la política madre e implementar el espíritu (la intención) del
enunciado de la política. Los procedimientos se deben escribir
de forma clara y concisa, de modo que sean comprendidos fácil
y correctamente por todos los que se deben regir por ellos. Los
procedimientos documentan procesos de negocio (administrativos
y operacionales) y los controles integrados en los mismos. Los
procedimientos son formulados por los dueños de los procesos
como una traducción efectiva de las políticas.
Generalmente, los procedimientos son más dinámicos que sus
políticas madres respectivas. Deben reflejar los continuos cambios
en el enfoque de negocio y su ambiente. Por lo tanto, es esencial
revisar y actualizar frecuentemente los procedimientos si se desea
que sean relevantes. Los auditores revisan los procedimientos
para identificar, evaluar y, posteriormente, probar los controles
sobre los procesos de negocio. Los controles integrados en los
procedimientos son evaluados para asegurar que cumplan con los
objetivos de control necesarios, al tiempo que hacen el proceso
tan eficiente y práctico como sea posible. Cuando las prácticas
operativas no coinciden con los procedimientos documentados o
cuando no existen procedimientos documentados, es dificil (para
la gerencia y para los auditores) identificar los controles y asegurar
que estén en operación continua.
cm 411«1
C linr"
„,,,A„di . Capítulo
2- Gobierno y Gestión de TI
. I
Uno de los aspectos más críticos relacionados con los procedimientos
es que éstos deben ser bien conocidos por las personas que los
aplican. Un procedimiento que no es conocido completamente
por el personal que lo tiene que usar es, esencialmente, inefectivo.
Por lo tanto, se debe prestar especial atención a los métodos de
implementación y automatización de mecanismos para almacenar,
distribuir y gestionar los procedimientos de TI.
Una revisión independiente es necesaria para asegurar que las
políticas y los procedimientos hayan sido debidamente documentados,
comprendidos e implementados. El revisor debe mantener su
independencia en todo momento y no debe ser influenciado por
ningún integrante del grupo que está siendo inspeccionado. La
evidencia del trabajo realizado debe ser adecuada y debe proveer
al revisor un nivel de confianza de que el trabajo se llevó a cabo
en cumplimiento de las políticas y procedimientos establecidos.
Se pueden realizar revisiones como parte de una función de TI
que implemente el Modelo de Madurez de Capacidad (CMM) del
Instituto de Ingeniería de Software, la Biblioteca de Infraestructura de
Tecnología de la Información (nlo olas estándares ISO.
2.9 GESTIÓN DE RIESGOS
La gestión de riesgos es el proceso de identificar las
vulnerabilidades y las amenazas para los recursos de información
utilizados por una organización para lograr los objetivos de
negocio, y decidir qué contramedidas (protecciones o controles)
tomar, si hubiera alguna, para reducir el riesgo a un nivel
aceptable (es decir, riesgo residual), basándose en el valor del
recurso de información para la organización.
La gestión efectiva de riesgos comienza con una clara
comprensión del apetito de riesgos de la organización. Esto
impulsa todo el esfuerzo de gestión de riesgos y, en un contexto
de TI, tiene un impacto sobre las inversiones futuras en
tecnología, el grado de protección de los activos de TI y el nivel
de garantía requerido. La gestión de riesgos abarca identificar,
analizar, evaluar, tratar, monitorear y comunicar el impacto del
riesgo sobre los procesos de TI. Después de definir el apetito de
riesgo e identificar la exposición al riesgo, se pueden establecer
estrategias para gestionar el riesgo y aclarar las responsabilidades.
Dependiendo del tipo de riesgo y su importancia para el negocio,
la gerencia y el consejo de dirección pueden optar por:
Evitar—por ejemplo, donde sea factible, escoger no
implementar ciertas actividades o procesos que generen un
riesgo (es decir, eliminar el riesgo al eliminar la causa).
Mitigar—por ejemplo, definir, implementar y monitorear
controles apropiados para reducir la probabilidad o el impacto
del riesgo.
Transferir (o asignar)—por ejemplo, compartir el riesgo con
socios o transferirlo mediante cobertura de seguro, acuerdo
contractual u otros medios.
Aceptar—es decir, reconocer formalmente la existencia del
riesgo y monitorearlo.
En otras palabras, el riesgo puede ser evitado, reducido, transferido
o aceptado. In other words, risk can be avoided, reduced,
transferred, or accepted. Una organización también puede optar por
rechazar el riesgo ignorándolo, hecho que puede ser peligroso y que
el auditor de SI debería considerar como bandera roja.
Manual de Preparación al Examen CISA 2011 109
Sección Dos: Contenido
2.9.1 DESARROLLO DE UN PROGRAMA DE GESTIÓN
DE RIESGOS
Para desarrollar un programa de gestión de riesgos, se debe:
Establecer el propósito del programa de gestión de riesgos—
El primer paso es determinar el propósito de la organización
para crear un programa de gestión de riesgos. El propósito del
programa puede ser reducir el costo de los seguros o reducir el
número de lesiones relacionadas con el programa. Al determinar
su intención antes de iniciar la planificación de la gestión de
riesgos, la organización puede definir los indicadores clave de
desempeño (KPIs - siglas del término en inglés: Key Performance
Indicators) y evaluar los resultados para determinar su efectividad.
En general, la alta dirección, junto con el consejo de dirección,
marca la pauta para el programa de gestión de riesgos.
Asignar responsabilidad para el plan de gestión de riesgos—
El segundo paso es designar una persona o un equipo responsable
de desarrollar e implementar el programa de gestión de riesgos de
la organización. Aunque el equipo es principalmente responsable
del plan de gestión de riesgos, un programa exitoso requiere la
integración de la gestión de riesgos dentro de todos los niveles de
la organización. El personal de operaciones y los miembros del
consejo de dirección deben apoyar al comité de gestión de riesgos
para identificar los riesgos y desarrollar estrategias adecuadas
para el control de pérdidas e intervención.
2.9.2 PROCESO DE GESTIÓN DE RIESGOS
A fin de garantizar que la empresa gestiona sus riesgos de
forma coherente y adecuada, la organización debe identificar y
establecer un proceso repetible para gestionar sus riesgos de TI.
La publicación de ISACA, The Risk IT Framework, proporciona
un modelo de procesos de gestión de riesgos basado en COBIT y
formado por tres dominios —gobierno de riesgos, evaluación de
riesgos y respuesta a riesgos— con tres procesos en cada dominio.
La figura 2.7 ilustra la relación entre los dominios y los procesos.
Uno de los paso del proceso es la identificación y clasificación
de los recursos o activos de información que necesitan
protección porque son vulnerables a amenazas. El propósito de
la clasificación puede ser priorizar investigaciones adicionales e
identificar la protección apropiada (clasificación simple, basada
en el valor del activo), o permitir la aplicación de un modelo
estándar de protección (clasificación en términos de criticidad y
sensibilidad). Los ejemplos de activos típicos asociados con la
información y con TI incluyen:
Información y datos
Hardware
Software
Servicios
Documentos
Personal
Otros activos de negocio más tradicionales que se deben considerar
son los edificios, el inventario, el efectivo y activos menos tangibles,
como por ejemplo el buen nombre o la imagen/reputación.
Otro paso del proceso es evaluar las amena7ns y las
vulnerabilidades asociadas con el recurso de información y la
probabilidad de que ocurran. En este contexto, las amenazas
son cualquier circunstancia o evento con el potencial de dañar
un recurso de información, tales como destrucción, divulgación,

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI COSA= atkin
ini=r

Figura 2.7—Visión general del modelo de procesos Risk IT

. ,
er r

R61 111) jet :.1 COj ed. I ego eno

onlY•tit
.• •
3ittlIvin

e».

a31.2 10
lai 3 al~-1141 Z
14-o..4 MI« *II.
W4 1•19d/lak!~ di, ron r ns9;z.
, a,n.1 1:.- , N:mei« 1,0+ 7..~Stiilleilhor tl,, dy•p,d, £.

Integración
con UN

Establecer y Tomar decisiones

mantener una- del negocio
vista de riesgos teniendo en cuenta
común los riesgos
Evaluación de ealoi.s +FE.
Lamer. , p los nfinerntyr
11 ,11,41.1111titi *Ale pie:~ en tc.smm...40n,.»

Analizar el
l- CdX.Y13'.
Ketlwitiodtq riesgo
4~1'1,1 0,19I4,
kk., 2 ~NI 41~ dord:wa rd;PV.. ,
rld4,9
"indd2 ,drx. War t rodgM tiá, y xyc~
feyttlytextutwom,
hTy,dy..:1-,,ff R ec olectar Mantener
s intarz-ve.'41.4 yvalo ,IstpartN, perfil del
iy-dd, nd.dca ‘16
NEWIRODIAWIRI
Comunicación dates
riesgo

: R r1

3y

Fuente: ISACA, The Val IT Framework , EUA, 2009, figura 17

modificación de datos y/o negación de servicio. Las clases La magnitud del resultado de un agente de amenazas que
comunes de amenazas son: explota la vulnerabilidad se conoce como impacto y puede dar
Errores lugar a una pérdida de un tipo u otro. En las organizaciones
Daño/ataque intencional comerciales, las amenazas suelen ocasionar una pérdida
Fraude financiera directa en el corto plazo o una pérdida financiera
Robo final (indirecta) en el largo plazo. Ejemplos de dichas pérdidas
Falla del equipo/software incluyen los siguientes:
Pérdida directa de dinero (efectivo o crédito)
Los riesgos de TI se producen debido a que las amenazas tienen Violación de la legislación
la posibilidad de explotar las vulnerabilidades asociadas con Pérdida de reputación/buen nombre
el uso de recursos de información. Las vulnerabilidades son Peligro potencial para el personal o los clientes
características de los recursos de información que pueden ser Violación de la confianza
explotadas por una amenaza para causar daño. Los siguientes Pérdida de oportunidades de negocio
son ejemplos de vulnerabilidades: Reducción en el desempeño/eficiencia operativos
Falta de conocimientos del usuario Interrupción en las actividades de negocio
Falta de funcionalidad en la seguridad
Elección deficiente de contraseñas (passwords) Una vez que se han establecido los elementos de riesgo, éstos se
Tecnología no probada combinan para formar una visión general del riesgo. Un método
Transmisión de comunicaciones no protegidas común de combinar los elementos es calcular la (vulnerabilidad

110 Manual de Preparación al Examen CISA 2011

 enisinfo
cisix csrd stion Capítulo 2- Gobierno y Gestión de TI
mdintle
Pa V.O Pollee.
de impacto) X (probabilidad de que ocurra en relación con un
recurso particular de información) para cada amenaza y obtener
una medida del riesgo general. El riesgo es proporcional al valor
de la pérdida o daño y la frecuencia estimada de la amenaza.
Una vez que se han identificado los riesgos, se pueden evaluar
los controles existentes o se pueden diseñar nuevos controles
para reducir las vulnerabilidades a un nivel aceptable de riesgo.
Estos controles se denominan contramedidas o protecciones.
Pueden ser acciones, dispositivos, procedimientos o técnicas
(es decir, personal, procesos o productos). La fortaleza de
un control puede ser medida en términos de su fortaleza
inherente o de diseño y de la probabilidad de su efectividad.
Los elementos de los controles que deben considerarse cuando
se evalúe su fortaleza incluyen si los controles son preventivos,
detectivos o correctivos, manuales o programados y formales
(es decir, documentados en manuales de procedimientos,
manteniéndose evidencia de su operación) o provisionales.
El nivel remanente de riesgo, una vez que los controles han
sido aplicados, se denomina riesgo residual y puede ser usado
por la gerencia para identificar las áreas en las que se requiere
más control para reducir aun más los riesgos. La gerencia puede
establecer la meta de un nivel aceptable de riesgo (apetito de
riesgo). Los riesgos que excedan este nivel deben ser reducidos
mediante la implementación de controles más estrictos. Los
riesgos que estén por debajo de este nivel deben ser evaluados
para determinar si se está aplicando un nivel excesivo de
control y si se puede recortar costos eliminando estos controles
excesivos. Para la aceptación definitiva de los riesgos residuales
debe tenerse en cuenta lo siguiente:
Política organizacional
La identificación y la medición del riesgo
La incertidumbre incorporada en el enfoque de evaluación
de riesgos
Costo y eficacia de la implementación
Es importante darse cuenta de que la gestión de riesgos de TI
necesita operar a múltiples niveles, que incluyen:
El nivel operativo—En el nivel operativo, uno se preocupa
de los riesgos que podrían comprometer la efectividad
de los sistemas de TI y la infraestructura que los soporta,
la capacidad de evadir los controles de los sistemas, la
posibilidad de pérdida o de no disponibilidad de recursos
clave (por ejemplo, sistemas, datos, comunicaciones,
personal, instalaciones) y falta de cumplimiento de las leyes y
regulaciones.
El nivel de proyecto—En el nivel de proyecto, la
administración de riesgos necesita concentrarse en la capacidad
de entender y manejar la complejidad del proyecto y (si esto
no se hiciera efectivamente) en el riesgo resultante de que los
objetivos del proyecto no sean cumplidos.
El nivel estratégico—El enfoque del riesgo se traslada a
consideraciones tales como el grado en que las capacidades de TI
están alineadas con la estrategia del negocio, cómo se compara
con la capacidad de los competidores, y las amenazas (así como
también las oportunidades) planteadas por el cambio tecnológico.
La identificación, evaluación y administración de los riesgos de
TI en diversos niveles es responsabilidad de diferentes personas
Manual de Preparación al Examen CISA 2011 111
Sección Dos: Contenido
y grupos dentro de la organización. Sin embargo, estas personas
y grupos no deben operar completamente por separado, ya que
los riesgos en un nivel o en un área pueden impactar a otro. Un
mal funcionamiento importante del sistema podría obstaculizar la
capacidad de una organización para prestar servicios al cliente o
tratar con proveedores, y podría tener implicaciones estratégicas
que requirieran la atención de la alta gerencia. De forma
similar, los problemas en un proyecto importante podrían tener
implicaciones estratégicas. También, a medida que los proyectos
entregan nuevos sistemas e infraestructura de TI, el nuevo entorno
de riesgo operativo necesita ser considerado.
En resumen, el proceso de gestión del riesgo debería lograr un
balance efectivo en costo entre la aplicación de controles de
seguridad como contramedidas y las amenazas significativas.
Algunas de las amenazas están relacionadas con aspectos de
seguridad que pueden ser extremadamente sensitivos para
algunas industrias.
2.9.3 MÉTODOS DE ANÁLISIS DE RIESGOS
Esta sección discute métodos cualitativos, semicuantitativos
y cuantitativos de administración del riesgo y las ventajas y
limitaciones de estos últimos.
Métodos de análisis cualitativo
Los métodos de análisis cualitativo de riesgo usan clasificaciones
descriptivas o verbales para describir los impactos o la
probabilidad. Son los más sencillos y los más comúnmente
usados. Normalmente se basan en listas de verificación y en
calificaciones subjetivas del riesgo, tales como alto, medio o bajo.
Dichos enfoques carecen del rigor que es habitual para la
contabilidad y la administración.
Métodos de análisis semicuantitativo
En el análisis semicuantitativo, las clasificaciones descriptivas
están asociadas con una escala numérica. Dichos métodos se usan
frecuentemente cuando no es posible utilizar un método cuantitativo
o para reducir la subjetividad en los métodos cualitativos.
Métodos de análisis cuantitativo
Los métodos de análisis cuantitativo usan valores numéricos
para describir la probabilidad y el impacto de los riesgos, usando
datos provenientes de varios tipos de fuentes, tales como registros
históricos, experiencias pasadas, prácticas y registros de la
industria, teorías estadísticas, pruebas y experimentos.
Muchos métodos de análisis cuantitativo del riesgo están
actualmente disponibles para áreas como la militar, nuclear,
química, financiera y otras. Las siguientes selecciones describen
conceptos relacionados con los métodos cuantitativos.
Muchas organizaciones utilizan el análisis de riesgo cuantitativo,
el cual expresa los riesgos en términos numéricos (por ejemplo,
monetarios). Un análisis de riesgo cuantitativo se realiza
generalmente durante un análisis de impacto al negocio (BIA).
El principal problema en este proceso es la evaluación de activos
de información. Diferentes individuos pueden asignar diferentes
valores al mismo activo, dependiendo de la relevancia que tenga
la información para ellos. En el caso de activos tecnológicos, no

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI cisix lerlfléd Inforrn
Aidt r.

es el costo del activo lo que se considera, sino también el costo de
reemplazo y el valor de la información procesada por ese activo.
PROBABILIDAD Y EXPECTATIVA
La mayoría de estos métodos se basan en teorías estadísticas
"clásicas" de probabilidad y expectativa.
La mayoría de los fenómenos naturales son afectados por
muchas variables. Incluso en los casos en que se encuentran
leyes científicas para su comportamiento, el comportamiento
real fluctúa alrededor de los valores predichos. Las variables
artificiales, por ejemplo, la variable social, económica,
tecnológica (como por ejemplo las actitudes para votar), el
producto interno bruto (PIB) o la temperatura de un caldero, están
sujetos a un comportamiento similar llamado estocástico.
La ocurrencia de una tormenta no puede predecirse con exactitud,
pero (si existiera suficiente información científica histórica para
establecer una tendencia o patrón) la probabilidad de que ocurra
puede asignarse con una cierta precisión y nivel de confianza.
La probabilidad de un evento se denota con p (05p51). El valor
de un activo que será afectado por el evento mencionado se
denota con v. La pérdida o ganancia esperada es igual a v X p (el
valor multiplicado por la probabilidad de ocurrencia del evento).
MÉTODO DE EXPECTATIVA DE PÉRDIDA ANUAL
La expectativa de pérdida anual (ALE) simplifica la asignación
de valor (y) y la probabilidad (p) de una forma que es más fácil
de cuantificar.
Con este enfoque, puede crearse fácilmente una hoja de trabajo
hecha a la medida y adaptarse a una moneda específica, materialidad
de activos y horizontes de tiempo deseados (véase la figura 2.8).
La gerencia y los auditores de SI deben tener presente ciertas
consideraciones que incluyen:
La administración de riesgos (RM) debe aplicarse a las
funciones de TI en toda la compañía.
La RM es una responsabilidad de la alta dirección.
La RM cuantitativa es preferible frente a los enfoques
cualitativos.
La RM cualitativa siempre enfrenta el desafio de estimar los
riesgos (su probabilidad) y se basa en la subjetividad y en
enfoques cualitativos.
La RM cuantitativa provee supuestos más objetivos
(y rastreables).
La complejidad real o la aparente sofisticación de los métodos o
productos usados no debe ser un sustituto del sentido común del
negocio o de la diligencia profesional.
Se debe prestar especial atención para asegurar que se dé la
consideración adecuada a tratar con eventos de alto impacto,
incluso si su probabilidad, expresada como una frecuencia de
ocurrencia en el tiempo, es baja. Recientes tragedias como
los ataques terroristas y desastres naturales han demostrado
el potencial de que ocurran eventos catastróficos imprevistos.
Determinar las probabilidades futuras basadas en la experiencia
pasada es a menudo difícil, en particular donde los eventos no
tienen precedente, de modo que es prudente asumir que el peor
caso podría ocurrir. Aunque en cierta medida es desagradable,
las organizaciones necesitan ser realistas al hacer planes
para enfrentar la pérdida de personal clave, la pérdida de
instalaciones, la pérdida de sistemas, y la pérdida generalizada,
corrupción o robo de datos. Es necesario recordar que si se
evalúa que un evento tiene una probabilidad en 50 arios, esto
no significa que tomará 50 arios desde ahora para que ocurra
podría ocurrir mañana.

Figura 2.8—Enfoque Expectativa de pérdida anual

Valor de activos
1 100 1.000 10.000 100.000 1 millón 10 1.000
millones millones
1 minuto 526 52.560 525.600
1 hora 9 876 8.760 87.600 876.000
1 día 37 365 3.650 36.500 36.500
1 semana 5 52 521 5.214 52.143 521.429
C0
1 mes 1 12 120 1.200 12.000 120.000
as
3 meses 4 40 400 4.000 40.000
o
1 año 1 10 100 1.000 10.000 1.000.000
5 años 2 20 200 2.000 200.000
10 años 1 10 100 1.000 100.000
20 años 1 5 50 500 50.000
50 años 2 20 200 20.000
100 años 1 10 100 10.000
300 años 3 33 3.333

Las cifras se redondean a US $1,000

112 Manual de Preparación al Examen CISA 2011


Cerred
.,ISAsys
natIon
Aultree
ens Info
Capítulo 2 - Gobierno y Gestión de TI
A. MACO PM..
2.10 PRÁCTICAS DE GESTIÓN DE SI
Las prácticas gerenciales de SI reflejan la implementación de
políticas y procedimientos desarrollados para diversas actividades
gerenciales relacionadas con SI. En la mayoría de las organizaciones,
el departamento de SI es un departamento de servicio (apoyo). La
función tradicional de un departamento de servicio es ayudar a
los departamentos de producción a llevar a cabo sus operaciones
más efectivamente y eficientemente. Hoy, sin embargo, SI se ha
convertido en parte integral de todas las fases de la operación de una
organización. Su importancia continúa creciendo ario tras ario, y hay
poca probabilidad de que esta tendencia se revierta Los auditores de SI
deben entender y apreciar el grado al que un departamento de SI bien
administrado es crucial para lograr los objetivos de la organización.
Las actividades de la gerencia para revisar las formulaciones
de políticas y procedimientos y su efectividad dentro del
departamento de SI incluirían prácticas tales como administración
de personal, contratación y administración de cambios de TI.
2.10.1 GESTIÓN DE RECURSOS HUMANOS
La gestión de personal se refiere a las políticas y procedimientos de la
organización para reclutamiento, selección, capacitación y promoción
del personal, medición del desempeño del personal, disciplina,
planificación de sucesión y retención de personal. La efectividad de
estas actividades, a medida que se relacionan con la función de SI,
impacta la calidad del personal y el desempeño de las funciones de SI.
Noto: El auditor de SI debe tener conocimiento de
los prob1ema5 de administración de personal pero esta
informacion no se prueba en el examen de certificación
CISA debido a su subjetividad y a su relación con el objetivo
organizacional específico.
Contratación
Las prácticas de contratación de una organización son
importantes para asegurar que se escoja el personal más eficiente
y efectivo y que la compañía cumpla con los requisitos legales de
reclutamiento. Algunos de los controles comunes incluirían:
Verificación de antecedentes (por ejemplo, penales, financieros,
profesionales, referencias).
Acuerdos de confidencialidad
Establecimiento de una fianza para los empleados para proteger
contra pérdidas, errores y negligencia (Nota: La fianza de
empleados no es siempre una práctica aceptada en todo el
mundo; en algunos países no es legalmente aceptada).
Acuerdos sobre el conflicto de intereses.
Códigos de conducta/ética profesional.
Acuerdos de no competencia
Los riesgos del control incluyen:
Es posible que el personal no sea el adecuado para la posición
para la cual es reclutado.
Es posible que no se lleve a cabo la verificación de referencias.
El personal temporal y los terceros pueden introducir riesgos
fuera de control.
Es posible que el desconocimiento de los requerimientos de
confidencialidad conduzca a comprometer el ambiente esperado
de seguridad general.
Manual de Preparación al Examen CISA 2011 113
Sección Dos: Contenido
Manual del empleado
Los manuales de empleado, distribuidos a todos los empleados
al ser contratados, deben explicar puntos tales como:
Políticas y procedimientos de seguridad
Conducta aceptable e inaceptable.
Código de valores y ética de la organización.
Expectativas de la empresa
Beneficios de los empleados
Políticas de vacaciones (días feriados)
Reglas de horas extra
Empleo externo
Evaluaciones de desempeño
Procedimientos de emergencia
Acciones disciplinarias por:
— Ausencias excesivas
Violación de la confidencialidad y/o seguridad
No cumplimiento de las políticas
En general, debe existir un código de conducta publicado para
la organización que especifique las responsabilidades de todos
los empleados.
Políticas de promoción
Las políticas de promoción deben ser justas y comprendidas por
los empleados. Las políticas deben estar basadas en criterios
objetivos y tomar en consideración el desempeño, el nivel
de formación, la experiencia y el nivel de responsabilidad
individual.
El auditor de SI debe asegurar que la organización de SI tenga
políticas y procedimientos de promoción bien definidos y los
esté aplicando.
Capacitación
Todos los empleados deben recibir capacitación de manera
habitual, dependiendo de las áreas en que les falte experiencia
y conocimientos. Esto es especialmente importante para los
profesionales de SI, dado el rápido ritmo de cambio de la
tecnología y los productos. La capacitación no sólo asegura
el uso eficiente y efectivo de los recursos de SI sino que
también fortalece la moral de los empleados. Se debe proveer
capacitación cuando se está implementando nuevo hardware
y/o software. La capacitación debe cubrir también áreas
pertinentes de gerencia, de gestión de proyectos y aspectos
técnicos.
La capacitación cruzada consiste en capacitar adecuadamente
a más de un individuo para realizar un trabajo o procedimiento
específico. Esta práctica tiene la ventaja de disminuir la
dependencia con respecto a un empleado y puede ser parte de
la planificación de sucesiones. También provee un respaldo de
personal en los casos en que alguien se ausente por alguna razón
y de este modo proveer continuidad en las operaciones. Sin
embargo, al utilizar este enfoque seria prudente que se evalúen
previamente los riesgos de que cualquier persona conozca
todas las partes de un sistema y el grado de exposición que esto
podría generar.
Sección Dos: Contenido
Cronogramas y reportes de tiempo
La preparación de un cronograma adecuado permite una
operación y uso más eficiente de los recursos informáticos.
El reporte de tiempo permite a la administración monitorear
el proceso de programación de actividades. La gerencia podrá
entonces determinar si el personal escogido es el adecuado y si
la operación está funcionando de manera eficiente. Es importante
que la información que esté siendo introducida o registrada en
dicho sistema sea exacta.
El reporte de tiempo puede ser una excelente fuente de
información para los fines del gobierno de TI. Uno de los
recursos más escasos en TI es el tiempo, y su debido reporte
definitivamente ayudará a administrar mejor este recurso finito.
Esta información puede ser útil para la asignación de costos,
medición de indicadores clave de metas (KGI) e indicadores
clave de desempeño (KPI) y análisis de actividades (por ejemplo,
cuántas horas dedica la organización a los cambios en las
aplicaciones vs. nuevos desarrollos).
Evaluaciones del desempeño de los empleados
Las evaluaciones del desempeño/valoración de los empleados
deben ser un estándar y un tema habitual para todo el personal
de SI. El departamento de recursos humanos (HR) debe
garantizar que los gerentes y los empleados de SI establezcan
metas y resultados esperados de mutuo acuerdo. La evaluación
puede ser aplicada en función de estas metas sólo si el proceso
es objetivo y neutral.
Los aumentos de salario, las bonificaciones por desempeño y
las promociones deben basarse en el desempeño del empleado.
El mismo proceso puede también permitir que la organización
evalúe las aspiraciones y la satisfacción del empleado y que
identifique sus problemas.
Vacaciones legales
Las vacaciones legales aseguran que una vez al año, como
mínimo, alguien que no sea el empleado titular realice una
función de trabajo. Esto reduce la oportunidad de cometer actos
indebidos o ilegales. Durante este tiempo, puede ser posible que
se descubra alguna actividad fraudulenta, siempre y cuando no
haya habido confabulación entre los empleados para cubrir las
posibles discrepancias.
La rotación de puestos provee un control adicional (para reducir
el riesgo de actos fraudulentos o maliciosos), ya que el mismo
individuo no realiza las mismas funciones todo el tiempo. Esto
genera la oportunidad para que un individuo que no es la persona
asignada regularmente realice el trabajo y se dé cuenta de
posibles irregularidades.
Nota: El auditor de SI (CISA) debe conocer maneras
de mitigar el fraude interno. La licencia obligatoria para
ausentarse es tina de tales medidas de control.
Políticas de terminación de contrato
Se deben establecer políticas escritas para la terminación de
contratos que indiquen pasos claramente definidos para el retiro
de un empleado. Es importante que las políticas se estructuren
para brindar la protección adecuada a los activos y datos
114
Capítulo 2 - Gobierno y Gestión de TI CISA cedffiedrultr"
MISA tt.G1kM
informáticos de la organización. Las prácticas de terminación
de contratos deben considerar tanto los retiros voluntarios como
los involuntarios (por ejemplo, despido inmediato). Para ciertas
situaciones, tales como las terminaciones involuntarias bajo
condiciones adversas, la organización debe tener procedimientos
claramente definidos y documentados para escoltar al empleado
retirado fuera de las instalaciones. Sin embargo, en todos los
casos, se deben aplicar los siguientes procedimientos de control:
Devolución de todas las claves de acceso, tarjetas y
distintivos de identificación para prevenir un posterior acceso
fisico fácil.
Eliminación/revocación de la identificación para iniciar
sesión (logon) y las contraseñas (passwords) para prohibir el
acceso al sistema.
Notificación a los empleados y personal de seguridad
pertinentes con respecto al cambio del estado del empleado
"despedido".
Arreglo de las rutinas de pago final para eliminar al empleado
de los archivos vigentes de nómina.
Realización de una entrevista de terminación para recoger
una opinión sobre la percepción que tiene el empleado sobre la
gerencia.
Devolución de todos los bienes de la compañía.
2.10.2 PRÁCTICAS DE SOURCING
Las prácticas de sourcing se refieren a la forma en que la
organización obtendrá las funciones de SI requeridas para
respaldar el negocio. Las organizaciones pueden realizar todas
las funciones de SI internamente (lo que se conoce como
"insourcing") en una forma centralizada, o contratar todas las
funciones en otras partes del mundo. La estrategia de sourcing
debe considerar cada función de SI y determinar qué enfoque
permite que la función de SI alcance los objetivos de la empresa.
La entrega de funciones de SI puede incluir:
Funciones internas—Realizadas totalmente por el personal de
la organización
Externalizadas—Realizadas por el personal de los contratistas
Híbrido—Realizadas por una mezcla del personal de la
organización y de contratistas, puede incluir personal en
asociaciones de negocios/suplementario
Las funciones de SI se pueden llevar a cabo en diferentes partes
del mundo, para aprovechar las zonas horarias y arbitrar las
tarifas laborales, y pueden incluir:
En el sitio—El personal trabaja en el sitio, en el departamento
de SI.
Fuera del sitio—También conocido como "ubicación cercana",
el personal trabaja en un lugar distante en la misma área
geográfica.
En el extranjero—El personal trabaja en un lugar distante en
una región geográfica diferente.
La organización debe evaluar sus funciones de SI y determinar el
método más apropiado de entregar las funciones de SI, prestando
consideración a lo siguiente:
¿,Es esta una función primordial para la organización?
¿Tiene esta función conocimientos, procesos y personal
específicos que sean críticos para alcanzar las metas y objetivos,
y que no se puedan obtener externamente o en otro lugar?
Manual de Preparación al Examen CISA 2011
C Cerned Information
CESA systems Auditor Capítulo 2- Gobierno y Gestión de TI
.¿Puede esta función ser efectuada por un tercero o en otro lugar
por el mismo precio o por un precio más bajo, con la misma o
mayor calidad, y sin aumentar el riesgo?
Jiene la organización experiencia administrando a terceros o
usando lugares distantes/en el extranjero para ejecutar funciones
de SI o de negocio?
Al completarse la estrategia de sourcing, el comité de dirección
de SI debe revisar y aprobar la estrategia. En este punto, si la
organización ha elegido usar externalización, debe seguirse un
proceso riguroso, que incluya:
Definir la función de SI que debe ser externalizada.
Describir los niveles de servicio requeridos y las métricas
mínimas que se deben cumplir.
Estar consciente del nivel deseado de conocimiento, habilidades
y calidad que se espera del proveedor de servicio.
Conocer la información actual del costo interno, para
compararlo con las ofertas de terceros.
Realizar revisiones de debida diligencia de posibles proveedores
de servicio.
Usando esta información, la organización puede realizar un
análisis detallado de las ofertas de los proveedores de servicio
y determinar si la externalización permitirá a la organización
cumplir sus metas de una forma eficiente en costo, con riesgo
limitado.
El mismo proceso debe ser considerado cuando una organización
escoge "globalizar" o trasladar sus funciones de SI al extranjero.
Prácticas y estrategias de extemalización
Las prácticas de externali72ción se refieren a acuerdos
contractuales por los cuales una organización entrega el control
de parte o la totalidad de las funciones de SI a un tercero.
La mayoría de los departamentos de SI utilizan recursos de
información de una amplia gama de proveedores y, por lo tanto,
necesitan un proceso definido de extemalización para administrar
efectivamente los acuerdos contractuales con estos proveedores.
El contratista provee los recursos y la experiencia y
conocimientos que se requieren para realizar el servicio acordado.
La extemalización se está volviendo cada vez más importante en
muchas organizaciones. El auditor de SI debe estar consciente de
las diversas formas que puede asumir la extemalización, así como
de los riesgos que están asociados con esta modalidad.
Los objetivos específicos para la externalización de TI varían
de una organización a otra. Es característico, sin embargo,
que la meta sea alcanzar una mejora duradera y significativa
en los procesos de negocio y los servicios a través de una
reestructuración corporativa, para sacar provecho de las
principales competencias de un proveedor. Al igual que con
la decisión de reducir o ajustar el tamaño al nivel adecuado,
la decisión de extemalizar servicios y productos requiere que
la gerencia vuelva a analizar el marco de control sobre el que
puede basarse.
Las razones para decidirse por la externalización incluyen:
El deseo de centrarse en las actividades centrales
Presión sobre los márgenes de utilidades
Manual de Preparación al Examen CISA 2011
Sección Dos: Contenido
Mayor competencia que exige reducción de costos
Flexibilidad con respecto tanto a la organización como a la
estructura
Los servicios brindados por terceros pueden incluir:
Introducción de datos
Diseño y desarrollo de nuevos sistemas cuando el personal
interno no tiene las habilidades que se requieren o está de
alguna forma ocupado en funciones que tienen mayor prioridad,
o en el caso de una tarea que se hace una sola vez, cuando no
hay necesidad de reclutar personal calificado interno adicional
Mantenimiento de las aplicaciones existentes para liberar al
personal interno para el desarrollo de nuevas aplicaciones
Conversión de las aplicaciones antiguas a nuevas plataformas.
Por ejemplo, una compañía especialista puede convertir la parte
de interacción con el cliente de una aplicación antigua para su
uso en el ambiente web
Operación de la mesa de ayuda o el centro de llamadas (call
center)
Procesamiento de operaciones
Un auditor de SI debería determinar si, al desarrollar sus prácticas
y estrategias de outsourcing, una empresa ha considerado las
ventajas, las desventajas y los riesgos del negocio, así como las
opciones de reducción de riesgos indicadas en la figura 2.9.
como se desarrolló en sus prácticas y estrategias de outsourcing:
Adicionalmente una empresa debe considerar las siguientes
provisiones en sus contratos de outsourcing:
Además, una empresa debería considerar las siguientes cláusulas
en sus contratos de externalización:
Incorporar expectativas de calidad de servicio, incluyendo uso
del Modelo de Madurez de Capacidad (CMM), la Biblioteca
de Infraestructura de Tecnología de la Información (ITIL)
o metodologías de la Organización Internacional de Los
estándares (IS0).
Asegurar una consideración contractual adecuada del control
de acceso/administración de la seguridad, controlada por el
proveedor o por el dueño.
Asegurar que el contrato exija un reporte de violaciones y
seguimiento, y cualquier requerimiento para notificación al
dueño y cooperación con cualquier investigación.
Asegurar que el contrato exija un control y prueba de cambio/
versión para las etapas de implementación y producción.
Asegurar que las partes responsables y los requerimientos para
los controles sobre la red estén adecuadamente definidos, y
que esté establecida cualquier delineación necesaria de estas
responsabilidades.
Establecer parámetros de desempeño específicos, definidos,
que deben ser cumplidos, por ejemplo, tiempos mínimos de
procesamiento para las transacciones o tiempos mínimos de
retención para los contratistas.
Incorporar criterios de administración de la capacidad.
Proveer disposiciones contractuales para hacer cambios
al contrato.
Proveer un proceso claramente definido de escalamiento
y resolución de disputas.
Asegurar que el contrato indemnice a la compañía por daños
causados por la organización responsable de los servicios
externalizados.
115
Sección Dos: Contenido Capitulo 2 - Gobierno y Gestión de TI CISA Cerned Infornmflon
Systems Auditor'

Ali HM, C..»

Figura 2.9—Ventajas, desventajas y riesgos del negocio, y opciones de reducción de riesgos relacionadas con la externalización
Posibles ventajas
Las compañías de externalización
(outsourcing) pueden lograr economías de
escala por medio de la implementación de
software de componentes reutilizables.
Los proveedores de servicios externos
tienen la posibilidad de dedicar más tiempo
y concentrarse con mayor efectividad y
eficiencia en un proyecto dado que el
personal interno.
Los proveedores de servicios externos tienen
probablemente más experiencia con un
conjunto más amplio de problemas, aspectos
y técnicas que el personal interno.
El acto de desarrollar especificaciones y
acuerdos contractuales empleando servicios
externos probablemente tenga como
resultado mejores especificaciones que
si fueran desarrollados únicamente por el
personal interno.
Dado que los proveedores son altamente
sensibles a las variaciones y los cambios que
consumen tiempo, es mucho menos probable
que haya un exceso de funcionalidades con
los proveedores de servicios externos.
Posibles desventajas y riesgos del negocio Opciones de reducción de riesgos
Costos que excedan las expectativas del Establecer metas y recompensas
cliente compartidas, mensurables, como parte de la
Pérdida de la experiencia interna de SI sociedad
Pérdida del control sobre SI Usar múltiples proveedores o retener una
Incumplimiento del proveedor (preocupación parte del negocio como incentivo
constante) Realizar revisiones periódicas competitivas
Acceso limitado al producto y establecer un estándar de análisis
Dificultad para revertir o cambiar los comparativo/de tendencias
contratos de servicios externos Implementar contratos a corto plazo
Deficiente cumplimiento de los Formar un equipo interfuncional de
requerimientos legales y regulatorios administración de contratos
Incumplimiento de los términos del contrato Incluir provisiones contractuales para
Falta de lealtad del personal del contratista considerar tantas contingencias como puedan
para con el cliente anticiparse razonablemente
Clientes/empleados insatisfechos como
consecuencia del acuerdo de contratación de
servicios externos
Que los costos del servicio no sean
competitivos durante el período total del
contrato
Obsolescencia de los sistemas de TI del
proveedor
Que ninguna de las dos compañías reciba
los beneficios anticipados del acuerdo de
externalización
Daño a la reputación de una de las
compañías, o de ambas, debido a fallas del
proyecto
Litigios prolongados y costosos
Pérdida o fuga de información o procesos

Requerir contratos de confidencialidad que protejan a ambas
partes.
Incorporar disposiciones claras, no ambiguas, sobre el "derecho
a auditar", que concedan el derecho a auditar las operaciones
del proveedor (por ejemplo, acceso a instalaciones, acceso a los
registros, derecho a hacer copias, acceso al personal, provisión
de archivos computarizados) que se relacionen con los servicios
contratados.
Asegurar que el contrato trata de manera adecuada las
disposiciones de continuidad del negocio y recuperación ante
desastres y las pruebas apropiadas.
Determinar que deben mantenerse la confidencialidad, la
integridad y la disponibilidad de los datos (algunas veces
denominado la triada CIA) propiedad de la organización, y
establecer claramente la propiedad de los datos.
Requerir que el proveedor cumpla con todos los requerimientos
legales y regulatorios relevantes, incluyendo los promulgados
después de la iniciación del contrato.
Establecer el derecho a la propiedad intelectual desarrollada por
el proveedor mientras trabaja para el cliente.
Establecer períodos definidos de garantía y mantenimiento.
Proveer disposiciones para colocar el software en custodia de un
tercero.
Establecer roles y responsabilidades claros entre las partes.
Requerir que el contratista siga las políticas de la organización,
incluyendo su política de seguridad, a menos que la
organización haya aceptado las políticas del contratista por
anticipado
Requerir que el proveedor identifique todas las relaciones de
subcontrato y requerir la aprobación de la organización para
cambiar los subcontratistas.
La externalización requiere que la gerencia maneje activamente
la relación y los servicios externalizados. Como el acuerdo
de externalización se rige por los términos del contrato, el
contrato con el proveedor de servicios externos debe incluir
una descripción de los medios, los métodos, los procesos y la
estructura que acompañan la oferta de servicios y productos de
SI, así como también el control de calidad. El carácter formal o
legal de estos contratos depende de la relación entre las partes
y de las exigencias presentadas por los directivos a las personas
encargadas de ejecutar el contrato.
Una vez que se ha seleccionado el proveedor de servicios
externos, el auditor de SI debe revisar regularmente el contrato
y los niveles de servicio para asegurar que sean apropiados.
Además, el auditor de SI podría revisar los procedimientos
documentados del proveedor de servicios y los resultados de
sus programas de calidad, que podrían incluir, por ejemplo, las
metodologías CMM, ITIL e ISO. Estos programas de calidad
requieren auditorias regulares para certificar que el proceso y los
procedimientos satisfacen el estándar de calidad.
La externalización no es sólo una decisión de costo; es una
decisión estratégica que tiene considerables implicaciones de
control para la gerencia. La calidad de servicio, las garantías
de continuidad del servicio, los procedimientos de control, la
ventaja competitiva y los conocimientos técnicos son aspectos

116 Manual de Preparación al Examen CISA 2011

 eins
tifie
Cgirst
OSA P 11° atIn
d Audirgr Capítulo 2- Gobierno y Gestión de TI
. t
que necesitan ser parte de la decisión para externalizar servicios
de TI. Escoger el proveedor correcto es de extrema importancia,
en particular cuando la externalización es una estrategia a largo
plazo. La compatibilidad de los proveedores en términos de
cultura y de personal es un aspecto importante que no debe ser
ignorado por la gerencia.
La decisión de externalizar un servicio en particular que
actualmente está dentro de la organización, exige debida atención
a la negociación del contrato. Un contrato con un buen balance de
acuerdos de nivel de servicio (SLA) es de suma importancia para
la calidad del servicio y la cooperación futura entre las partes.
Los SLA son un medio contractual de ayudar al departamento de
SI a administrar los recursos de información bajo el control de
un proveedor. Los SLA estipulan y comprometen a un proveedor
a un nivel requerido de servicio y opciones de soporte técnico.
Esto incluye garantizar un nivel de desempeño del sistema
con respecto a tiempo activo o inactivo, así como también un
nivel específico de soporte al cliente. También se estipulan
los requerimientos de software o hardware. Los SLA también
contienen disposiciones relativas a penalizaciones y opciones de
aplicación en el caso de servicios no suministrados, y pueden
incluir incentivos tales como bonos o participación en las
ganancias por superar los niveles de servicio.
Por encima de todo, los SLA deben servir como instrumento de
control. Cuando el proveedor de servicios externos sea de otro
país, la organización debe ser consciente de la legislación más
allá de sus fronteras.
Prácticas y estrategias de globalización
Además de recurrir a la contratación de funciones como servicios
externos, muchas organizaciones han elegido globalizar sus
funciones de SI. La globalización de las funciones de SI se realiza
por muchas de las mismas razones citadas para la externalización;
sin embargo, la organización puede escoger no externalizar
la función. Globalizar las funciones de SI requiere que la
administración supervise activamente las ubicaciones distantes y
las instalaciones en el extranjero.
Cuando la organización realice las funciones internamente, puede
escoger trasladar las funciones de SI a otro lugar o al extranjero.
El auditor de SI puede ayudar en este proceso al asegurarse que
la gerencia de SI considere los riesgos y preocupaciones de
auditoría siguientes cuando defina la estrategia de globalización
y efectúe la transición subsiguiente a las ubicaciones en
el extranjero:
Aspectos legales, regulatorios y fiscales—Operar en un país
o región diferente puede introducir nuevos riesgos sobre los
cuales la organización puede tener conocimientos limitados.
Continuidad de las operaciones—La continuidad del negocio
y la recuperación ante desastres pudieran no estar establecidas
y probadas de manera adecuada.
Personal—Las modificaciones que se necesitan para las
políticas de personal pudieran no considerarse.
Problemas de telecomunicaciones—Los controles y el acceso
a la red desde ubicaciones distantes o en el extranjero pueden
estar sujetos a más interrupciones frecuentes o a un número
mayor de riesgos de seguridad.
Manual de Preparación al Examen COSA 2011 117
Sección Dos: Contenido
Problemas transfronterizos y transculturales—Administrar
personas y procesos en múltiples zonas horarias, idiomas y
culturas puede presentar desafios y problemas no planeados.
Extemalización e informes de auditoría de terceros
Un método para que el auditor de SI tenga garantía de los
controles implementados por un proveedor de servicio es que
éste provea periódicamente un informe de auditoría realizado
por un tercero. Estos informes abarcan la gama de problemas
relacionados con la confidencialidad, integridad y disponibilidad
de los datos. En algunas industrias, dichas auditorías pueden estar
bajo la supervisión y el control regulatorio. Por ejemplo, existen
requerimientos tales como Statement on Standards for Attestation
Engagements (SSAE) 16 (conocido anteriormente como
Statement on Auditing Standards [SAS] 70), una guía de auditoría
del American Institute of Certified Public Accountants (AICPA)
en Estados Unidos, y requerimientos internacionales parecidos,
como International Standard on Assurance Engagements (ISAE
3402) para proporcionar informes de auditoría de terceros.
La SSAE 16 está diseñada para proveer orientación a los
auditores de servicio dedicados a emitir informes sobre los
controles de una organización de servicios, que pueden ser
parte de los sistemas de información de la organización de un
usuario, en el contexto de un estado financiero. También provee
orientación a los auditores externos dedicados a auditar los
estados financieros de las entidades que utilizan organizaciones
de servicios.
El segundo método podría ser permitir la revisión periódica de la
organización por parte del auditor del proveedor. Es posible que
esto no sea aceptable para el proveedor, ya que implica invertir
tiempo y recursos para cada auditoría.
Gobierno en extemalización
La externalización es el mecanismo que permite a las
organizaciones transferir la prestación de servicios a terceros.
Fundamental para la externalización es aceptar que, aunque la
entrega es transferida, la responsabilidad sigue estando sobre
los hombros de la gerencia de la organización cliente, que debe
asegurar que los riesgos estén correctamente administrados
y haya entrega continua de valor de parte del proveedor de
servicios. La transparencia y la propiedad del proceso de toma
de decisiones deben estar dentro de la competencia del cliente.
La decisión de externalizar es una decisión estratégica, no
simplemente una decisión de adquisición. La organización que
externaliza está efectivamente reconfigurando su cadena de valor
al identificar las actividades que son centrales para su negocio,
retenerlas y seleccionar las actividades no centrales que se puedan
contratar externamente. Entender esto a la luz del gobierno es
clave, no sólo porque se ha demostrado que las organizaciones
bien gobernadas aumentan el valor de los accionistas, sino porque,
más importante aun, las organizaciones están compitiendo en un
mercado global y dinámico cada vez más agresivo.
Establecer y retener la ventaja competitiva y de mercado
requiere que la organización pueda responder efectivamente a
la competencia y a las cambiantes condiciones del mercado.
La externalización puede apoyar esto, pero sólo si la organización
entiende qué partes de su negocio verdaderamente crean ventaja
Sección Dos: Contenido Capítulo 2 - Gobierno
competitiva. Al hacer esa diferenciación y asignar esas funciones
a un tercero debe, de por sí, convertirlas en competencias
centrales, porque la externalización es un mecanismo estratégico
que permite a la organización centrar sus esfuerzos y experiencia
constantemente. Como un recurso estratégico, la externalización
debe estar regida en consecuencia. No se trata sólo de adquisiciones
sino de administración efectiva y de asegurar que ambas partes
se beneficien.
El gobierno de la externalización es el conjunto de responsabilidades,
roles, objetivos, interfaces y controles requeridos para anticipar
el cambio y manejar la introducción, el mantenimiento, el
desempeño, los costos y el control de los servicios provistos por
terceros. Es un proceso activo que el cliente y el proveedor de
servicio debe adoptar para proveer un enfoque común, congruente
y efectivo que identifique la información necesaria, las relaciones,
los controles y los intercambios entre muchas de las partes
interesadas en ambas partes.
La decisión de externaliza y posteriormente administrar esa
relación con éxito exige un gobierno efectivo. La mayoría de
las personas que desarrollan contratos de servicios externos
(outsourcing) incluyen disposiciones sobre control básico y
ejecución de los servicios; sin embargo, uno de los principales
objetivos del proceso de gobierno de la externalización,
como se define en el contrato de externalización, es asegurar
la continuidad del servicio en los niveles apropiados y la
rentabilidad apropiados y el valor agregado para sostener
la viabilidad comercial de ambas partes. La experiencia ha
demostrado que muchas compañías hacen supuestos sobre lo que
está incluido en la propuesta de externalización. Mientras que
no es ni posible ni rentable definir contractualmente cada detalle
y cada acción, el proceso de gobierno provee el mecanismo
para equilibrar el riesgo, la demanda de servicio, la provisión de
servicio y el costo.
El gobierno de externalización extiende las responsabilidades
de ambas partes (por ejemplo, cliente y proveedor) en lo que
respecta a:
Asegurar la viabilidad contractual a través de revisión continua,
mejoramiento y obtención de beneficios para ambas partes.
Inclusión de un programa explícito de gobierno para el contrato
Gestión de la relación para asegurar que las obligaciones
contractuales se cumplan a través de acuerdos de nivel de
servicio (SLA) y acuerdos de nivel operativo (OLA).
Identificación y manejo de todas las interesadas, sus relaciones
y expectativas.
Establecimiento de roles y responsabilidades claros para la toma
de decisiones, escalamiento de problemas, gestión de disputas,
gestión de demandas y prestación de servicios.
Asignación de recursos, gastos y consumo de servicios en
respuesta a las necesidades priorizadas.
Evaluación continua del desempeño, costo, satisfacción de los
usuarios y eficacia.
Comunicación constante con todas las partes interesadas.
Enfoques actuales de gobierno de la externalización
118 Manual de Preparación al Examen CISA 2011
y Gestión de TI CISA Cediese Information
Systems Auditor'
ISACrCertIlkdon
El creciente tamaño del espacio de soluciones de tecnología es
impulsado por el ritmo de la evolución tecnológica. Adquirir,
capacitar y retener personal calificado se está volviendo más caro
en una economía cada vez más global, dinámica y móvil. Invertir
en la costosa implementación de tecnología, y en la capacitación
relacionada, es considerado menos una actividad organizacional
central que la capacidad para trabajar eficientemente en toda la
cadena de valor al integrar la externalización donde sea apropiado.
Aunque el término 'alineación del negocio' se utiliza con
frecuencia, no siempre está claro lo que abarca. En el sentido
más amplio, implica hacer que los servicios provistos por
la función corporativa de TI reflejen más estrechamente los
requerimientos y deseos de los usuarios del negocio. Cuando las
organizaciones reconocen lo que es central para su negocio y
qué servicios les proveen una ventaja diferencial y externalizan
las actividades que respaldan estos servicios, la alineación del
negocio puede empezar a alcanzarse. Si el grado al que esta
alineación es centrada ha de entenderse, la implicación es que los
SLA y los OLA deben ser establecidos, monitoreados y medidos
en términos de desempeño y satisfacción de los usuarios.
La alineación del negocio debería ser impulsada por el usuario
final del servicio.
Se debería planificar previamente el gobierno e integrarlo en el
contrato como parte de la optimización de costos del servicio.
Los procesos definidos de gobierno deben evolucionar a medida
que las necesidades y las condiciones de la relación de servicios
externos se adaptan a los cambios en la demanda y entrega del
servicio y a la innovación tecnológica.
Capacidad y planificación del crecimiento
Dada la importancia estratégica de TI en las compañías y el
cambio constante en la tecnología, la capacidad y la planificación
del crecimiento son esenciales. Esta actividad debe reflejar los
planes de largo y corto plazo del negocio y debe ser considerada
dentro del proceso de elaboración del presupuesto. Los cambios
en la capacidad no deben solamente reflejar cambios en la
infraestructura subyacente, sino también en la cantidad de
personal disponible para respaldar la organización. Una carencia
de personal debidamente calificado puede demorar proyectos que
son críticos para la organización u ocasionar que los niveles de
servicio acordados no se cumplan. Esto es lo que lleva a algunas
organizaciones a escoger la externalización como una solución
para el crecimiento.
Gestión de prestación de servicios de terceros
Cada organización que usa los servicios de terceros debe tener
un sistema de administración de prestación de servicios para
implementar y mantener el nivel apropiado de seguridad de la
información y prestación de servicios que esté alineado con los
contratos de prestación de servicio de terceros.
La organización debe verificar la implementación de los contratos,
monitorear el cumplimiento de los contratos y administrar los
cambios para asegurar que los servicios entregados satisfagan los
requerimientos acordados con el tercero.
cisA sys
C mstribl Capítulo 2- Gobierno
ceri y Gestión de TI
MIIMG.111111edlen
PRESTACIÓN DE SERVICIOS
Se debe asegurar que los controles de seguridad, las definiciones
de servicio y los niveles de entrega incluidos en el contrato de
prestación de servicios por tercero sean implementados, operados
y mantenidos por el tercero.
La prestación de servicios por un tercero debe incluir los
acuerdos de seguridad pactados, las definiciones de servicio y los
aspectos de administración de servicio. En el caso de acuerdos
de externalización, la organización debe planificar las necesarias
transiciones (de información, instalaciones de procesamiento de
información y cualquiera otro elemento que necesite ser movido)
y debe garantizar que la seguridad se mantenga durante todo el
período de transición.
La organización debe asegurar que el tercero mantenga capacidad
de servicio suficiente junto con planes aplicables diseñados para
asegurar que los niveles de continuidad del servicio acordados se
mantengan en caso de fallas de servicio importantes o desastres.
MONITOREO Y REVISIÓN DE LOS SERVICIOS DE
TERCEROS
Los servicios, reportes y registros suministrados por el tercero
deben ser monitoreados y revisados regularmente, y las auditorías
deben ser efectuadas regularmente. El monitoreo y revisión
de los servicios de terceros deben asegurar que los términos y
condiciones de seguridad de la información de los contratos se
estén cumpliendo y que los incidentes y problemas de seguridad
de información estén siendo manejados debidamente. Esto debe
involucrar una relación de administración de servicios y un
proceso entre la organización y el tercero para:
Monitorear los niveles de desempeño del servicio para verificar
el cumplimiento de los contratos
Revisar los reportes de servicio producidos por el tercero y
concertar reuniones regulares para evaluar el progreso que
requieran los contratos
Suministrar información sobre los incidentes de seguridad de la
información y revisión de esta información por el tercero y por
la organización como lo exijan los contratos y las directrices y
procedimientos de respaldo.
Revisar las pistas de auditoría de terceros y los registros de
eventos de seguridad, problemas operativos, fallas, rastreo de
faltas e interrupciones relacionadas con el servicio entregado.
Resolver y manejar cualquier problema identificado
La responsabilidad de administrar la relación con un tercero
debe ser asignada a una persona designada o a un equipo de
administración de servicios. Además, la organización debe
asegurar que el tercero asigne responsabilidades para verificar
el cumplimiento y ejecutar los requerimientos de los contratos.
Se deben poner a disposición suficientes habilidades y recursos
técnicos para monitorear si los requisitos del contrato, en
particular los requerimientos de seguridad de la información,
se están cumpliendo. Se debe emprender una acción apropiada
cuando se observen deficiencias en la prestación del servicio.
La organización debe mantener suficiente control y visibilidad
general en todos los aspectos de seguridad relacionados
con la información sensible o crítica o las instalaciones de
procesamiento de información a los que un tercero tuvo acceso,
procesó o gestionó. La organización debe asegurar que se
mantenga la visibilidad en las actividades de seguridad tales como
administración de cambios, identificación de las vulnerabilidades
Manual de Preparación al Examen CISA 2011 119
Sección Dos: Contenido
y reporte/respuesta a incidentes de seguridad de la información a
través de un proceso de reporte, formato y estructura claramente
definido. En el caso de la externalización, la organización
necesita estar consciente de que la responsabilidad en última
instancia de la información procesada por un proveedor de
servicios externos sigue siendo de la organización.
GESTIÓN DE CAMBIOS A LOS SERVICIOS DE
TERCEROS
Se deben manejar los cambios a la provisión de servicios,
incluyendo mantener y mejorar las políticas de seguridad de la
información, procedimientos y controles existentes, tomando
en cuenta la criticidad de los sistemas y procesos de negocio
involucrados y reevaluando los riesgos.
El proceso de administrar los cambios a un servicio de tercero
debe tomar en cuenta:
Cambios hechos por la organización para implementar:
— Mejoras en los servicios ofrecidos actualmente
— Desarrollo de cualquier aplicación y sistema nuevo
— Modificaciones o actualizaciones de las políticas y los
procedimientos de la organización
— Nuevos controles para resolver incidentes de seguridad de la
información y mejorar la seguridad
Actualizaciones a las políticas, incluyendo la política de
seguridad de TI
Cambios en los servicios de terceros para implementar:
Cambios y ampliaciones a las redes
Uso de nuevas tecnologías
Adopción de nuevos productos o de versiones/publicaciones
más recientes
— Nuevas herramientas y ambientes de desarrollo
Cambios a la ubicación física de las instalaciones de servicios
Cambio de proveedores o subcontratistas
Mejoramiento del servicio y satisfacción del usuario
Los SLA fijan el nivel mínimo exigido a los terceros en el
desempeño de la función de SI. Además, las organizaciones
pueden establecer expectativas de mejoramiento del servicio en
los contratos, con penalizaciones y recompensas asociadas. Los
siguientes son ejemplos de mejoramiento de servicio:
Reducciones en el número de llamadas a la mesa de ayuda
Reducciones en el número de errores del sistema
Mejoramientos en la disponibilidad del sistema
Las mejoras de servicio deben ser acordadas por los usuarios y TI
con una meta de mejorar la satisfacción del usuario y alcanzar los
objetivos de negocio. La satisfacción del usuario debe ser monitoreada
mediante la realización de entrevistas y encuestas a los usuarios.
Estándares de la industria/estudlos comparativos
Los estándares de la industria/estudios comparativos proveen
un medio para determinar el nivel de desempeño brindado por
ambientes similares de procesamiento de información. Estos
estándares o estadísticas de estudio comparativo pueden ser
obtenidos de los grupos de usuarios de los proveedores, de las
publicaciones de la industria y de las asociaciones profesionales.
Los ejemplos incluyen ISO 9000 y el CMM del Software
Engineering Institute. Las organizaciones que prestan servicios
externos deben ceñirse a un conjunto de estándares bien definido
en el que sus clientes confíen.

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI CISA Certliled Information
2.10.3 GESTIÓN DE CAMBIOS ORGANIZACIONALES
La gestión de cambios organizacionales comprende el uso de
un proceso definido y documentado para identificar y aplicar
mejoras de tecnología al nivel de infraestructura y aplicación(es)
que sean beneficiosas para la organización y abarca todos los
niveles de la organización afectados por los cambios. Este nivel
de participación y comunicación asegurará que el departamento
de SI entienda completamente las expectativas de los usuarios y
que los cambios no sean resistidos o ignorados por los usuarios
una vez implementados.
El departamento de SI es el punto focal para dichos cambios, ya
que lidera o facilita el cambio en la organización. Esto incluye
mantenerse a la vanguardia de los cambios de la tecnología que
podrían conducir a mejoras significativas de los procesos de
negocio y obtener el apoyo de la alta dirección para implementar
los cambios o proyectos que se requerirán a nivel de usuario.
Una vez que se obtiene el apoyo de la alta dirección para seguir
adelante con los cambios o el proyecto, el departamento de SI
puede comenzar a trabajar con cada área funcional y su gerencia
para obtener respaldo para los cambios. Además, el departamento
de SI necesitará desarrollar un proceso de comunicaciones,
que está dirigido a los usuarios finales, actualizarlos sobre los
cambios, su impacto y beneficio y proveer un método para
obtener retroalimentación y participación de los usuarios.
La retroalimentación de los usuarios debe obtenerse durante
todo el proyecto, incluyendo validación de los requerimientos de
negocio y capacitación y pruebas sobre la funcionalidad nueva o
cambiada.
2.10.4 PRÁCTICAS DE GESTIÓN FINANCIERA
La gerencia financiera es un elemento crítico en todas las
funciones de negocio. En un ambiente de informática con un alto
nivel de costos, es imperativo que haya prácticas correctas de
gerencia financiera.
El esquema de "cargar al usuario", que consiste en aplicar un
costo a los usuarios por el uso de los recursos informáticos,
puede mejorar la aplicación y monitoreo de los gastos de SI y
la disponibilidad de recursos. En este esquema, el costo de los
servicios de SI, incluidos el tiempo del personal, el tiempo de
uso de las computadoras así como otros costos relevantes, es
cargado a los usuarios finales basándose en una fórmula o cálculo
estándar (uniforme).
La transferencia de costos es una responsabilidad conjunta de las
gerencias de SI y gestión de usuarios. La transferencia de costos
provee al personal de SI y a los usuarios una herramienta para
medir la efectividad y eficiencia del servicio brindado por las
instalaciones de procesamiento de información.
Presupuestos de SI
La gerencia de SI, como todos los demás departamentos, debe
desarrollar un presupuesto.
120 Manual de Preparación al Examen CISA 2011
Un presupuesto permite el pronóstico, monitoreo y análisis de la
información financiera. El presupuesto permite una asignación
adecuada de recursos, en particular en un ambiente de SI en el
que los gastos pueden ser cuantiosos. El presupuesto de SI debe
estar vinculado con los planes de TI a corto y largo plazo.
2.10.5 GESTIÓN DE CALIDAD
La administración de la calidad es el medio por el cual los
procesos basados en el departamento de SI son controlados,
medidos y mejorados. Los procesos en este contexto se
definen como un conjunto de tareas que, cuando son realizadas
debidamente, producen los resultados deseados. Las áreas de
control para la gestión de la calidad pueden incluir lo siguiente:
Desarrollo, mantenimiento e implementación de software
Adquisición de hardware y software
Operaciones del día a día
Gestión de servicios
Seguridad
Gestión de Recursos Humanos
Administración General
El desarrollo y mantenimiento de procedimientos definidos y
documentados por el departamento de SI es evidencia de un
gobierno efectivo de los recursos de información. La insistencia
en que se observen los procesos y técnicas de administración de
procesos relacionados es clave para la efectividad y la eficiencia
de la organización de SI. Han surgido diversos estándares para
apoyar a las organizaciones de SI en el logro de estos resultados.
Los estándares de calidad están usándose cada vez más para
apoyar a las organizaciones de SI en el logro de un ambiente
operativo que sea predecible, medible, repetible y certificado en
lo que respecta a sus recursos de tecnología de la información.
Nota: El auditor de SI debe tener conocimiento de la Gestión
de la calidad. Sin embargo, el examen de certificación CISA
no evalúa especificamente los estándares ISO,
Un estándar prominente que recibe amplio reconocimiento y
aceptación es ISO 9001:2000 Sistemas de Gestión de la Calidad,
que reemplaza a los estándares ISO 9000, 9001, 9002 y 9003,
introducido para regir la gestión de la calidad. Este estándar se
está convirtiendo en el estándar sobre sistemas de gestión de
la calidad más importante y es representativo de los estándares
con mayor probabilidad de que se cumplan en la práctica. Se
aplica a todos los tipos de organizaciones y puede estar orientado
a servicios o productos para satisfacer las necesidades de la
organización, los usuarios y los clientes.
El sistema de gestión de la calidad se basa en un conjunto de
documentos, manuales y registros.
Una práctica clave para una organización que quiera desarrollar
un sistema de gestión de la calidad que cumpla con los
requerimientos de ISO 9001:2000 es la realización de un análisis
diferencial en comparación con los requerimientos del estándar.
El análisis permite la mejora en los procesos de la compañía para
resolver las diferencias y cumplir con los estándares. Después
de satisfacer exitosamente los requerimientos de una auditoría
C
CISA ce nadráter Capítulo 2 - Gobierno y Gestión de TI
silm
IN.KOCerelkdlee
sobre los procesos internos del sistema de gestión de la calidad,
se emite y registra un certificado ISO. La certificación es
válida hasta la siguiente auditoría. Sin embargo, el registro no
es un requerimiento y las compañías pueden escoger cumplir
voluntariamente con los estándares.
Los auditores de SI deben preocuparse por que las funciones estén
documentadas y sean ejercidas de acuerdo a su definición para
producir los resultados deseados. Como hay un costo asociado con
el desarrollo e implementación de las técnicas de administración de
procesos, un auditor de SI debería estar mayormente preocupado
con los procesos definidos y documentados en relación con TI para
las funciones críticas del negocio. Con este fin, un auditor podría
recomendar el desarrollo de un programa de mejoramiento de
procesos que dé prioridad a las acciones requeridas, establezca un
plan para llevarlas a cabo y dedique recursos para ejecutar el plan.
Adicionalmente, los auditores de SI se preocupan de que exista
documentación actualizada del proceso para administrar las
siguientes funciones dentro de la organización de SI:
Operaciones informáticas
Gestión de servicios
Adquisición, implementación y mantenimiento de software
de sistema
Adquisición y mantenimiento de hardware
Adquisición, desarrollo y mantenimiento de software
de aplicación
Información a la gerencia
Seguridad fisica y lógica
Planificación a corto y largo plazo
Reportes de tiempo
Gestión de Recursos Humanos
En la práctica, ¡SO 9001:2000 puede tener un impacto directo
en una auditoría de SI debido a la fortaleza de las cláusulas del
estándar. Los siguientes son tres ejemplos:
Manual de Calidad—ISO 9001:2000 requiere (cláusula
4.2.2) que se establezca y se mantenga un manual de calidad
que contenga procedimientos documentados o referencia a
ellos para el sistema de gestión de la calidad y los procesos
involucrados.
Recursos Humanos—ISO 9001:2000 (cláusula 6.2) requiere
que el personal que realice trabajos que afecten la calidad
sea competente sobre la base de formación, capacitación,
habilidades y experiencia apropiadas. El establecimiento
y mantenimiento de personal capacitado adecuadamente y
experimentado es un aspecto obligatorio y auditable del sistema
de administración de la calidad, y así influye directamente, por
ejemplo, sobre la capacitación del personal de SI.
Compras-1S09001 :2000 (cláusula 7.4) provee un fuerte control
sobre las compras, incluyendo la evaluación del proveedor,
usando procesos definidos y documentados que pueden incluir la
totalidad del estándar. Cuando se aplica, por ejemplo, a la compra
de servicios externos de TI, el cumplimiento de las condiciones
establecidas para los controles de compra de ¡SO 9001:2000
satisface las necesidades de una auditoría de SI.
El estándar requiere también que se mantenga un conjunto de
registros de calidad obligatorios. Estos son usados para demostrar
Manual de Preparación al Examen CISA 2011 121
Sección Dos: Contenido
la existencia y eficacia del sistema, y son revisados durante las
auditorías internas y externas.
Las auditorías de los procesos del sistema de gestión de la calidad
de ¡SO 9001:2000 (internas y externas) incluirán la provisión de
servicios de TI ya que éstos afectan el desempeño de la calidad
de toda la organización. La aplicación de los estándares de
calidad ¡SO no debe ser excusa para que la gerencia no realice
evaluaciones periódicas de riesgo con respecto a los servicios de TI.
(Véase el capítulo 3, Adquisición, desarrollo e implementación
de sistemas de información, para obtener una explicación de los
procesos de desarrollo de calidad de software, tales como ¡SO
9126 y el CMM del software desarrollado por el Instituto de
Ingeniería de Software de la Universidad de Carnegie Mellon).
Otro estándar ¡SO, ISO/IEC 20000-1:2005 (Tecnología
de Información Gerencia de Servicios), es más específica
con respecto a la Gerencia de servicios que el estándar ¡SO
9001:2000 debido a su naturaleza como un estándar de gestión de
la calidad genérico.
¡SO 20000 está estrechamente alineada con el Soporte de
Servicio ITIL V2 y las disciplinas de Prestación de servicios, y
promueve la adopción de un enfoque integrado de proceso para
la entrega efectiva de Servicios de TI. Está constituida por un
conjunto de declaraciones auditables y requerimientos contra los
cuales una organización puede ser evaluada y auditada.
La figura 2.10 describe el contenido de ISO/IEC 20000– 1:2005
(los números junto a los encabezados describen las secciones
del estándar). Extiende la Prestación de Servicios y Soporte
de Servicio ITIL V2 en algunas áreas, introduce un nuevo
agrupamiento de las prácticas generales de administración de los
procesos y desafios que son comunes dentro de otros estándares
¡SO relevantes (como ¡SO 9001:2000).
2.10.6 GESRÓN DE LA SEGURIDAD DE LA INFORMACIÓN
La gestión de seguridad de la información provee la función
rectora para garantizar que la información y los recursos de
procesamiento de información de la organización bajo su control
estén debidamente protegidos. Esto incluiría dirigir y facilitar
la implementación de un programa de seguridad de TI a nivel
de toda la organización, que incluya el desarrollo de planes de
análisis de impacto al negocio (BIA), continuidad del negocio
(BCP) y recuperación ante desastres (DR?) relacionados con
funciones del departamento de TI en apoyo de los procesos
críticos del negocio de la organización. Un componente
importante al establecer dichos programas es la aplicación de
principios de administración de riesgos para evaluar los riesgos
para los activos de TI, para mitigar estos riesgos hasta un nivel
apropiado y determinado por la gerencia, y monitorear los riesgos
residuales remanentes.
Consulte el capítulo 5, Protección de los activos de información,
para obtener más detalles sobre la gestión de seguridad de la
información.

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI aso cermet! Aidt , r fi
monrati

NI Mar Cenffleato

2.10.7 OPTIMIZACIÓN DEL RENDIMIENTO Reportar y usar información del desempeño

La medición del desempeño de TI es un proceso dinámico. Esto
es significativo porque el ambiente de hoy día es complejo y
cambiante. Los sistemas tradicionales de medición pueden dar
señales equivocadas a los gerentes de programa, en especial al
tratar de evaluar información relacionada con la contribución
de la tecnología a la misión de la organización. Con frecuencia,
muchas variables afectan el desempeño de los sistemas de
información. La medición del desempeño de TI puede ser un
requerimiento establecido en los estatutos de una empresa.
La optimización del desempeño es un proceso impulsado por
indicadores del desempeño. Estos indicadores están definidos sobre
la base de la complejidad de las operaciones y procesos del negocio
de una organización, su solución estratégica de TI y los objetivos
estratégicos corporativos primarios de implementación de TI. La
optimización se refiere al proceso de mejorar la productividad de
los sistemas de información al máximo nivel posible sin inversión
adicional innecesaria en infraestructura de TI.
Las fases genéricas de medición del desempeño son:
Establecer y actualizar las medidas de desempeño
Establecer responsabilidad por las medidas de desempeño
Recolectar y analizar los datos del desempeño
Las advertencias de la medición de desempeño incluyen:
Modelo—Un modelo se construye o se establece antes de
evaluar el desempeño y la alineación con los objetivos de
negocio.
Error de medición—Las medidas convencionales no dan
cuenta debidamente de las verdaderas contribuciones y
resultados.
Retrasos—Los retrasos de tiempo entre la ejecución del gasto y
el reconocimiento del beneficio no son debidamente reportados
en las medidas actuales.
Redistribución—La TI se utiliza para redistribuir la fuente de
los costos en las empresas; no hay diferencia en la producción
total, sólo en la forma de obtenerla.
Mala administración—La falta de medidas explícitas del valor
de la información hace que los recursos sean vulnerables a una
asignación equivocada y a consumo excesivo por parte de los
gerentes. Como resultado, las técnicas adecuadas de medición del
desempeño jugarán un papel cada vez mayor para los gerentes de
programa y los consejos de revisión de las inversiones.
Generalmente hay cinco formas de usar las medidas del
desempeño:
1. Medir productos/servicios

Figura 2.10—ISO/IEC 20000-1:2005

Responsabilidad de la gerencia
Sistema de Gerencia (3) Requerimientos de documentación
Competencias, conocimiento y capacitación

Planear, Implementar, Monitorear, Mejorar

Planeación e Implementación (4) (Planear, Hacer, Verificar, Actuar)

Planeación e Implementación
Planeación de nuevo servicio (5) de servicio nuevo o cambiado

Procesos de Entrega de Servicio (6)

Administración de capacidad Administración a nivel de servicio Administración de
Administración de la continuidad Reporte del servicio seguridad de información
y disponibilidad del servicio Presupuestación y
contabilidad para
los servicios de TI

Procesos de Control (9)

Administración de Configuraciones
Administración de Cambios

Procesos de Procesos de Procesos de

Publicación (10) Resolución (8) Relación (7)
Administración de publicaciones Manejo de Incidentes Administración de
Manejo de problemas Relaciones de Negocio
Administración de
Proveedores
*Los números que aparecen junto a los encabezados indican las secciones del estándar.

122 Manual de Preparación al Examen CISA 2011

cisA Mturitr Capítulo 2- Gobierno y Gestión de TI
C Sección Dos: Contenido
MACWOortleadis
Administrar productos/servicios
Asegurar la responsabilidad
Tomar decisiones de presupuesto
Optimizar el desempeño
Un sistema efectivo de administración del desempeño debe
tener liderazgo, un marco conceptual, una comunicación
interna y externa efectiva, responsabilidad por los resultados,
e inteligencia para los que toman las decisiones. Las
recompensas, la compensación y el reconocimiento deben estar
ligados a las medidas de desempeño. También es importante
compartir los resultados y el progreso con los empleados,
clientes y partes interesadas.
Las directrices gerenciales de COBIT están primordialmente
diseñadas para satisfacer las necesidades de la gestión de TI
de medición del desempeño. Se suministran metas, métricas y
modelos de madurez para cada uno de los 34 procesos de TI.
Estos son genéricos y están orientados hacia la acción con el fin
de tratar las siguientes preocupaciones de gestión:
Medición del desempeño—¿Cuáles son los indicadores de
buen desempeño?
Creación del perfil de control de TI—¿Qué es importante?
¿Cuáles son los factores críticos de éxito para el control?
Concienciación—¿Cuáles son los riesgos de no alcanzar
nuestros objetivos?
Creación de estudios comparativos—¿Qué hacen otros?
¿Cómo se miden y se comparan?
Desde una perspectiva de control, las directrices de gestión tratan
el aspecto clave de "cuál es el nivel correcto de control para TI de
forma que respalda a los objetivos de la empresa?
Las medidas de desempeño deben ser cortas y concentradas,
complementando la orientación de control de alto nivel provista
por el marco de COBIT, que establece que TI habilita al negocio
entregando la información que el negocio necesita. Las directrices
de gestión de COBIT se centran en definir las directrices
genéricas y orientadas a acciones para la gestión necesaria para
mantener el control sobre la información de la empresa y los
procesos y tecnología relacionados. Estas directrices pueden
incluir el uso de modelos de madurez para opción estratégica y
estudio comparativo, así como metas y métricas.
2.11 ESTRUCTURA ORGANIZATIVA Y
RESPONSABILIDADES DE SI
Un departamento de SI puede estar estructurado de diferentes
maneras. Este tipo de formato se muestra en la figura 2.11.
El organigrama descrito incluye funciones relacionadas con
seguridad, desarrollo y mantenimiento de aplicaciones, soporte
técnico para administración de redes y sistemas, y operaciones.
La estructura organizacional muestra el departamento de
SI típicamente encabezado por un gerente/director de TI o,
en las organizaciones grandes, por un director general de
información (CIO).
Manual de Preparación al Examen CISA 2011 123
Nota: el examen de CISA no prueba las responsabilidades
especificas del trabajo ya que éstas podrian ,,,ariar dentro
de las organizaciones. Sin embargo, las responsabilidades
conocidas universalmente tales como los propietarios del
negocio, las funciones de seguridad de la información y
laidireccii5n ejecutiva podrían examinarse en la prueba, en
especial cuando se prueban los controles de acceso y la
propiedad de los datos, Un C1SA debe estar familiarizado con
la separación de responsabilidades.
2.11.1 ROLES Y RESPONSABILIDADES DE SI
Los organigramas son elementos importantes que deben tener
todos los empleados, ya que ellos proveen una definición clara
de la jerarquía y autoridad del departamento. Adicionalmente, las
descripciones de los puestos de trabajo brindan a los empleados
del departamento de SI una orientación clara respecto a sus roles
y responsabilidades. El auditor de SI debe dedicar tiempo en un
área auditada para observar y determinar si las descripciones de
tareas y las estructuras son adecuadas. Generalmente se deben
revisar las siguientes funciones de SI:
Gestión de desarrollo de sistemas—Responsable de los
programadores y analistas que implementan los nuevos sistemas
y que mantienen los sistemas existentes
Gestión de proyectos—Los gerentes de proyectos son
responsables de planificar y ejecutar los proyectos de SI y
pueden reportar a una oficina de gestión de proyectos o a la
organización de desarrollo. El personal de gestión de proyectos
utiliza el presupuesto que se les asigna para la entrega de
iniciativas de SI e informar sobre el progreso de los proyectos
al comité de dirección. Los gerentes de proyectos juegan un
papel central en la ejecución de la visión de la estrategia de TI
y del comité de dirección al planificar, coordinar y entregar los
proyectos de SI a la empresa.
Mesa de servicio (mesa de ayuda)—En el entorno actual de
SI, cada vez más compañías consideran importante tener una
función de mesa de servicio. Esta es una unidad dentro de una
organización que responde a preguntas y problemas técnicos
que enfrentan los usuarios. La mayoría de las compañías de
software tienen mesas de servicio. Las preguntas y respuestas
pueden ser realizadas por teléfono, fax o correo electrónico
o mensajería instantánea. El personal de la mesa de servicio
puede utilizar software especial de mesa de ayuda de terceros
que les posibilita hallar rápidamente las respuestas a las
preguntas más frecuentes. Debe existir un procedimiento para
registrar el problema reportado, su resolución y escalamiento
a efectos de un posterior análisis de problemas/preguntas. Este
procedimiento debe ayudar a monitorear los grupos de usuarios
y para mejorar los servicios de software/(instalaciones de
procesamiento de información – IPF) brindados.
La administración de mesa de ayuda/soporte incluye las
siguientes actividades:
Adquisición de hardware/software (HW/SW) en
representación de los usuarios.
Apoyar a los usuarios finales con las dificultades de HW/SW
– Capacitar a los usuarios para usar HW/SW y bases de datos
Responder las preguntas de los usuarios finales
– Monitorear desarrollos técnicos e informar a los usuarios
finales de desarrollos que podrían ser pertinentes para ellos
Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI CISA synified
emsran
trn
113.,«1111cdon

Figura 2.11—Organización del Departamento de SI

Oficial Jefe de Información

o Gerente / Director de TI

Gestión de Riesgos Aplicaciones Datos Soporte Técnico Soporte al Usuario Operaciones

Administrador de Desarrollo / Administrador de Datos / Administrador de Administrador de

la Seguridad Administrador de Soporte Administrador de Base Soporte Técnico Mesa de Servicio Operaciones
Coordinador de de Datos
Recuperación Ante
Desastres

Programadores Administrador de Redes Programadores de Sistemas

(Aplicaciones) (LAWWAN) (Sistema Operativo) Operador de Computadora
Analistas de Sistemas Administrador Analistas de Sistemas
(Aplicaciones) de Sistemas (Operación de Sistemas)
Aseguramiento (Sistema Operativo)
de la Calidad

– Determinar la fuente de problemas con sistemas de
producción e iniciar acciones correctivas
– Informar a los usuarios finales sobre problemas con HW/
SW o bases de datos que podrían afectar sus controles por la
instalación de actualizaciones de HW/SW
– Iniciar cambios para mejorar la eficiencia
Usuario final—Responsable de las operaciones relacionadas
con los servicios de aplicaciones del negocio; utilizado
para distinguir la persona para quien se diseñó el producto
(generalmente a nivel de aplicación) de la persona que
programa, sirve o instala aplicaciones. Vale la pena señalar que
hay una pequeña distinción entre los términos "usuario final"
y "usuario". El usuario final es levemente más específico, y se
refiere a alguien que tendrá acceso a una aplicación de negocio,
como se expresó aquí anteriormente. El término usuario es más
amplio, y podría referirse a cuentas administrativas y cuentas
para acceso a plataformas
Gestión de soporte al usuario final—Responsable del enlace
entre el departamento de SI y los usuarios finales
Gestión de datos—Responsable de la arquitectura de los datos
en los ambientes más grandes de TI y encargado de gestionar
los datos como un activo corporativo
Gestión de aseguramiento de la calidad (QA)—Responsable
de negociar y facilitar actividades de calidad en todas las áreas
de tecnología de información.
Gestión de la seguridad de la información—Esta es una
función que generalmente se debe separar del departamento
de SI y debe estar encabezada por un CISO. El CISO puede
reportar al CIO o tener una relación indirecta (reporte indirecto)
con el CIO. Incluso cuando el oficial de seguridad se reporta al
CIO, existe una posibilidad de conflicto, ya que las metas del
CIO son proporcionar de modo eficiente servicios continuos
de TI, mientras que el CISO puede estar menos interesado en
la reducción de costos si esto tiene un impacto en la calidad de
la protección.
Gestión de proveedores y contratistas de externalización
Con el aumento de externalización, que incluye el uso de
múltiples proveedores, el personal dedicado puede estar obligado
a gestionar proveedores y contratistas de servicios externos,
incluyendo realizar las siguientes funciones:
Actuar como el primer contacto para el vendedor y el contratista
de externalización dentro de la función de SI
Proveer indicaciones al contratista de externalización sobre los
problemas y escalar internamente dentro de la organización y la
función de SI
Monitorear y reportar sobre los niveles de servicio a la gerencia
Revisar los cambios al contrato debidos a nuevos
requerimientos y obtener aprobaciones de SI
Operaciones y mantenimiento de infraestructura
El gerente de operaciones es responsable del personal de
operaciones informáticas. Esto incluye todo el personal
requerido para operar las computadoras de las instalaciones
de procesamiento de información (IPF) de manera eficiente y
efectiva (por ejemplo, operadores de computadora, cintotecarios,
programadores y personal de control de datos). Las instalaciones
de procesamiento de información (IPF) incluyen la computadora,
los periféricos, los medios magnéticos y los datos almacenados
en los medios. Constituye una inversión importante de activos
y tiene un impacto en la capacidad de la organización para
funcionar eficazmente. La sala de computadoras debe tener
seguridad y sólo el personal autorizado debe tener acceso a
la misma. Nadie con excepción del personal de operaciones,
debe tener acceso a las instalaciones. Dentro de las operaciones
informáticas, los controles de gestión se pueden subdividir en tres
categorías relacionadas con la seguridad física, la seguridad de los
datos y los controles de procesamiento.
El grupo de control es responsable de la recolección, conversión
y control del ingreso de datos y el balanceo y distribución de
los datos salientes a la comunidad de usuarios. El supervisor del
grupo de control usualmente reporta al gerente de operaciones
de las instalaciones de procesamiento de información (IPF). El
grupo de control de entrada/salida debe estar en un área separada
donde sólo se permita personal autorizado, ya que ellos manejan
datos sensibles.

124 Manual de Preparación al Examen CISA 2011

 cia Ar Cell!! Audit
Inforrn
Capítulo 2- Gobierno y Gestión de TI
""'a ....... 15/
a3
Gestión de medios
La gestión de medios se requiere para registrar, emitir, recibir
y salvaguardar todos los archivos de programa y de datos que
se mantienen en medios extraíbles. Dependiendo del tamaño de
la organización, esta función se puede asignar a un individuo a
tiempo completo o a un miembro de operaciones que también
desempeñe otras funciones.
Esta es una función crucial y por tanto, muchas organizaciones le
proveen soporte adicional mediante el uso de software que ayuda
a mantener el inventario así como también maneja el movimiento
de medios de almacenamiento. El uso de este software también
ayuda a mantener el control de versiones y la gestión de
configuración de los programas.
Ingreso de datos
El ingreso de datos es crítico para la actividad de procesamiento
de información. El ingreso de datos puede incluir ingreso en lote
o ingreso en línea.
En la mayoría de las organizaciones, el personal de los
departamentos de usuarios hace su propio ingreso de datos en
línea. En muchos ambientes en línea, los datos son capturados
desde la fuente original (por ejemplo, intercambio electrónico
de datos [EDI], datos capturados vía códigos de barra para
gestión de tiempo, inventario de almacenes por departamento).
El departamento de usuarios así como también la aplicación
del sistema deben tener implantados controles para asegurar
que los datos estén validados, sean correctos, estén completos y
autorizados.
Con el avance de la tecnología y la necesidad de adquirir datos
desde que se originan, las organizaciones están desplegando
sistemas automatizados para la adquisición de datos. Estos
sistemas incluyen lectores de código de barras, o sistemas a los
que se hace referencia como SCADA (Adquisición de datos,
supervisión y control). El término SCADA comúnmente se
refiere a sistemas centralizados los cuales monitorean y controlan
sitios enteros, o a complejos de sistemas propagados en áreas
grandes (en la escala de kilómetros o millas). La mayor parte
del control del sitio se realiza automáticamente por terminales
remotos (RTUs) o por controladores lógicos programables
(PLCs). Las funciones de control del anfitrión (host) suelen
restringirse a autorizaciones básica del sitio o intervención a nivel
de supervisión. Por ejemplo, medir y controlar la extracción de
petróleo de plataformas petrolíferas o controlar la temperatura y
el flujo de agua, etc.
La adquisición de datos comienza en el nivel de RTU o PLC en
incluye lecturas de medidores y reportes de estado de equipos
que se comunican a SCADA según se requiera. Luego, los datos
se compilan y formatean de tal manera que un operador de la
sala de control utilizando redes de interfaces hombre-máquina
(HMI) puede tomar decisiones de supervisión para ajustar o
anular controles de RTU (PLC) normales. Los datos también se
pueden ingresar a un registro histórico, comúnmente creado en un
sistema de gestión de bases de datos de uso general, para permitir
análisis de tendencias y otras auditorías analíticas.
Manual de Preparación al Examen CISA 2011 125
Sección Dos: Contenido
Administración de sistemas
El administrador de sistemas es responsable de mantener los
principales sistemas informáticos de multiusuario, incluyendo
redes de área local (LANs), redes inalámbricas de área local
(WLANs), redes de área amplia (WANs), redes de área personal
(PANs), redes de área de almacenamiento (SANs), intranets
y extranets, y sistemas de rango medio, además de sistemas
mainframe. Sus deberes típicos incluyen:
Agregar y configurar nuevas estaciones de trabajo y periféricos
Establecer cuentas de usuarios
Instalar software en todo el sistema
Realizar procedimientos para prevenir/detectar/corregir la
divulgación de virus
Asignar espacio de almacenamiento masivo
Las organizaciones pequeñas pueden tener sólo un administrador
de sistemas, mientras que las organizaciones más grandes tienen
por lo general un equipo de administradores de sistema. Algunas
organizaciones centradas en mainframes pueden referirse a un
administrador de sistemas como un programador de sistemas.
Administración de la seguridad
La administración de seguridad comienza con el compromiso de
la gerencia. La gerencia debe entender y evaluar los riesgos de la
seguridad y debe desarrollar y hacer cumplir una política escrita
que establezca con claridad los estándares y los procedimientos
que se deben seguir. Las funciones del administrador de
seguridad deben estar definidas en la política. Para proveer
una adecuada segregación de funciones, esta persona debe ser
un empleado de tiempo completo que reporte directamente al
director de la instalación. Sin embargo, en una empresa pequeña,
puede no ser práctico contratar a una persona de tiempo completo
para esta posición. La persona que realice esta función debe
asegurar que los diferentes usuarios estén cumpliendo con la
política de seguridad corporativa y que los controles sean los
adecuados para prevenir el acceso no autorizado a los activos de la
compañía (incluyendo datos, programas y equipos). Usualmente,
las funciones del administrador de segurid2c1 incluyen:
Mantener las reglas de acceso a los datos y a otros recursos de TI.
Mantener la seguridad y la confidencialidad sobre la emisión y
mantenimiento de las identificaciones de usuario y contraseñas
(passwords).
Monitorear las violaciones de seguridad y aplicar acciones
correctivas para asegurar que se provea la seguridad adecuada.
Revisar y evaluar periódicamente la política de seguridad y
sugerir a la gerencia los cambios necesarios.
Preparar y monitorear el programa de concienciación sobre la
seguridad para todos los empleados.
Probar la arquitectura de seguridad para evaluar la fortaleza de
la seguridad y para detectar las posibles amenazas.
Trabajar con la gestión de cumplimiento, de riesgos y las
funciones de auditoría para asegurar que la seguridad esté
diseñada de manera apropiada y actualizada sobre la base de
retroalimentación de auditoría o de pruebas.
Aseguramiento de la calidad
El personal de aseguramiento de la calidad realiza usualmente dos
funciones distintas, a saber:
Sección Dos: Contenido Capítulo 2 - Gobierno
Aseguramiento de la calidad (QA)—Ayuda al departamento
de SI a asegurar que el personal esté siguiendo los procesos de
calidad establecidos. Por ejemplo, QA ayudará a asegurar que
los programas y documentación se adhieren a los estándares y
convenciones de nomenclatura.
Control de calidad (QC)—Responsable de realizar las
pruebas o revisiones para verificar y asegurar que el software
esté libre de defectos y llene las expectativas del usuario. Esto
podría hacerse en varias etapas del desarrollo de un sistema de
aplicación, pero debe hacerse antes de que los programas sean
llevados a producción.
El grupo de QA está encargado de desarrollar, promulgar y
mantener estándares para la función de SI. Esto incluye la
capacitación en estándares y procedimientos de QA. El grupo de
QA puede también apoyar mediante la verificación periódica la
exactitud y autenticidad de los datos ingresados, el procesamiento
y el resultado de las diversas aplicaciones.
Para que este grupo pueda cumplir un papel efectivo debe ser
independiente. En algunas organizaciones, este grupo puede
ser parte del grupo de control. En organizaciones más pequeñas
puede no ser posible tener un grupo de QA separado, en cuyo
caso las personas pueden tener más de una función. Sin embargo,
bajo ninguna circunstancia debe ser efectuado por una persona
cuya función esté en conflicto, por ejemplo, programador de
sistemas que realiza una revisión de calidad de los cambios del
sistema de aplicación.
Administración de base de datos
El administrador de base de datos (DBA) como custodio de
los datos de una organización, define y mantiene la estructura
de los datos en el sistema de base de datos corporativo. El
DBA debe tener una comprensión de la organización y de los
requerimientos de datos del usuario y de la relación entre los
datos (estructura). Esta posición es responsable de la seguridad de
los datos compartidos almacenados en la base de datos. El DBA
es responsable del diseño real, la definición y el mantenimiento
adecuado de las bases de datos corporativas. Usualmente, el DBA
reporta directamente al director del IPF. El rol del DBA incluye:
Especificar la definición física de los datos (orientados a la
computadora).
Cambiar la definición física de datos para mejorar el
desempeño.
Seleccionar e implementar herramientas de optimización de la
base de datos.
Probar y evaluar herramientas de los programadores y de
optimización.
Responder las consultas de los programadores y formarlos
acerca de las estructuras de la base de datos.
Implementar los controles de definición, acceso, actualización y
concurrencia de la base de datos.
Monitorear el uso de la base de datos, recopilar estadísticas de
desempeño, y ajustar la base de datos.
Definir e iniciar los procedimientos de respaldo y de
recuperación.
El DBA tiene las herramientas para establecer los controles
sobre la base de datos y la capacidad de ignorar estos controles.
El DBA tiene también la capacidad de tener acceso a todos los
126 Manual de Preparación al Examen CISA 2011
y Gestión de TI CISA celme"Aultr
.111K.CertIkat.
datos, incluyendo los datos de producción. Usualmente no es
práctico prohibir o impedir por completo el acceso por parte del
DBA a los datos de producción. Por lo tanto, el departamento de
SI debe ejercer un control estricto sobre la administración de la
base de datos mediante:
Segregación de funciones
Aprobación de las actividades del DBA por parte de la gerencia
Revisión de los registros de acceso y actividades por parte del
supervisor
Controles de detección sobre el uso de las herramientas de la
base de datos
Analista de sistemas
Los analistas de sistemas son especialistas que diseñan sistemas
basados en las necesidades del usuario. Generalmente participan
durante la fase inicial del ciclo de vida de desarrollo de los
sistemas (SDLC). Estas personas interpretan las necesidades del
usuario y desarrollan los requerimientos y las especificaciones
funcionales y documentos de diseño de alto nivel. Estos
documentos permiten que los programadores creen una
aplicación específica.
Arquitecto de seguridad
Los arquitectos de seguridad evalúan tecnologías de seguridad;
diseñan aspectos de seguridad de topología de la red, controles
de acceso, gestión de identidades y otros sistemas de seguridad;
y establecen políticas y requerimientos de seguridad. Se puede
argumentar que los analistas de sistemas realizan la misma
función, sin embargo, los conjuntos de destrezas requeridas son
muy diferentes. Sus productos (por ejemplo, especificaciones
de programa vs. políticas, requerimientos, diagramas de
arquitectura) también son diferentes. Los arquitectos de seguridad
deberían también trabajar con la gestión de cumplimiento,
de riesgos y las funciones de auditoría para incorporar sus
requerimientos y recomendaciones para la seguridad en las
políticas y la arquitectura de seguridad.
Desarrollo y mantenimiento de aplicaciones
El personal de aplicaciones es responsable de desarrollar y
mantener las aplicaciones. El desarrollo puede incluir desarrollar un
nuevo código o cambiar la configuración de la aplicación existente.
Ellos desarrollan los programas o cambian la configuración de
la aplicación que en última instancia correrán en un entorno de
producción. Por lo tanto, la gerencia debe asegurar que el personal
no pueda modificar los programas de producción ni los datos
de aplicación. Ellos deben trabajar únicamente en un ambiente
de prueba y deben entregar su trabajo a otro grupo que lleve los
programas y los cambios de aplicación al ambiente de producción.
Desarrollo y mantenimiento de infraestructura
El personal de infraestructura es responsable de mantener
el software de sistemas, incluyendo el sistema operativo. Esta
función puede requerir que ellos tengan acceso irrestricto a todo el
sistema. La gestión de SI debe monitorear de cerca sus actividades
requiriendo que ellos lleven registros electrónicos de esta actividad
y que no sean susceptibles de cambio. El personal de infraestructura
sólo debe tener acceso a las librerías de sistemas del software
específico que ellos mantienen. El uso de la administración
de dominios y de cuentas de súper usuarios debe controlarse y
monitorearse muy de cerca.
 cisA
lnfodm
=5 Au iatIon
itor
Capítulo 2- Gobierno y Gestión de TI
AA mor ama.
Gestión de red
Hoy muchas organizaciones tienen IPFs ampliamente
descentralizadas. Pueden tener una IPF central, pero también
hacen un uso extensivo de:
LANs—Redes de área local en sucursales y en sitios distantes
WANs—Redes de área amplia (WANs) donde los LANs se
pueden interconectar para conveniencia de acceso del personal
autorizado desde otros lugares.
Redes inalámbricas—Establecidas a través de asistentes
digitales personales (PDAs) y otros dispositivos móviles.
Los administradores de red son responsables de los
componentes clave de esta infraestructura, (enrutadores
(routers), conmutadores, cortafuegos (firewalls), segmentación
de redes, gestión de desempeño, acceso remoto, etc.). Es
posible que cada LAN requiera de un administrador debido
a la dispersión geográfica. Dependiendo de la política de la
compañía, estos administradores pueden reportar al director
del IPF o, en una operación descentralizada, pueden reportarle
al gerente de usuarios finales. Esta posición es responsable del
control técnico y administrativo sobre la LAN. Esto incluye
asegurar que los enlaces de transmisión estén funcionando
correctamente, que las copias de respaldo del sistema se
estén haciendo y que las compras de software/hardware estén
autorizadas y sean instaladas debidamente. En instalaciones
pequeñas, esta persona puede ser responsable de la
administración de la seguridad sobre la LAN. El administrador
de LAN no debe tener responsabilidades de programación
de aplicaciones, pero puede tener responsabilidades de
programación de sistemas y usuario final.
2.11.2 SEGREGACIÓN DE FUNCIONES DENTRO DE SI
Los títulos de puestos de trabajo reales y estructuras
organizacionales varían mucho de una organización a otra,
dependiendo del tamaño y de la naturaleza del negocio. Sin
embargo, es importante que un auditor de SI obtenga información
para valorar la relación entre las funciones, responsabilidad y
autoridad de los puestos de trabajo, para valorar la adecuada
segregación de funciones. La segregación de funciones evita
la posibilidad de que una sola persona pueda ser responsable
de funciones diversas y criticas de tal forma que pudieran
ocurrir errores o apropiaciones indebidas y no ser detectadas
oportunamente, en el curso normal de los procesos de negocio.
La segregación de funciones es un importante medio por el cual
se pueden prevenir y disuadir actos fraudulentos y/o maliciosos.
Las funciones que deben ser segregadas incluyen:
Custodia de los activos.
Autorización.
Registro de transacciones.
Si no existiera una segregación de funciones adecuada, podría
ocurrir lo siguiente:
Apropiación indebida de activos.
Estados financieros falsos.
Documentación financiera inexacta (por ejemplo, errores o
irregularidades).
Uso indebido de fondos o la modificación de datos podría pasar
inadvertida.
Manual de Preparación al Examen CISA 2011 127
Sección Dos: Contenido
Es posible que no se detecten cambios o modificaciones de
datos y programas no autorizados y erróneos.
Cuando las funciones están segregadas, se pueden restringir los
accesos a la computadora, la biblioteca de datos de producción,
los programas de producción, la documentación de programación,
el sistema operativo y sus utilitarios asociados. El daño potencial
por las acciones de cualquier persona queda por lo tanto reducido.
Los departamentos de SI y de usuarios finales deben organizarse
para lograr una adecuada segregación de funciones. Véase la
figura 2.12, para obtener una directriz de las responsabilidades
de trabajo que no deberían ser combinadas.
Nota: La matriz de control de segregación de funciones
(figura 2.12) no es un estándar de la industria, sino una
directriz que indica cuáles posiciones de deben separar y cuáles
requieren controles de compensación cuando se combinan.
La matriz describe posibles problemas de la segregación de
funciones y no se debe ver o usar como una verdad absoluta;
por el contrario, se debe usar para ayudar a identificar posibles
conflictos de manera que se puedan plantear las preguntas
apropiadas para identificar controles de compensación
En la práctica real, las funciones y designaciones pueden variar
en diferentes empresas. Además, dependiendo de la naturaleza
de los procesos de negocio y de la tecnología desplegada, los
riesgos pueden variar. Sin embargo, es importante que un auditor
de SI entienda las funciones de cada una de las designaciones
especificadas en el manual. Los auditores de SI necesitan
entender el riesgo de combinar funciones indicadas en la matriz
de control de segregación de funciones. Además, dependiendo de
la complejidad de las aplicaciones y de los sistemas desplegados,
se puede requerir una herramienta automatizada para evaluar el
acceso real que tiene un usuario contra la matriz de la segregación
de funciones. La mayoría de las herramientas vienen con una
matriz de segregación de funciones predefinidas que deben ser
adaptadas a los procesos de TI y de negocio de una organización,
incluyendo cualquier función adicional o riesgos que no estén
incluidos en la matriz de segregación de funciones entregada.
Los controles compensatorios son controles internos que
pretenden reducir el riesgo de una debilidad existente o potencial
de control cuando las funciones no pueden ser segregadas de
una manera apropiada. La estructura de la organización y las
funciones deben ser tomadas en cuenta para determinar los
controles apropiados para el ambiente relevante. Por ejemplo,
una organización puede no tener todas las posiciones descritas en
la matriz o una persona puede ser responsable de muchas de las
funciones descritas. El tamaño del departamento de SI/TI puede
también ser un factor importante que se debe considerar, es decir,
ciertas combinaciones de funciones en un departamento de TI
de un cierto tamaño nunca se deberían usar. Sin embargo, si por
alguna razón se requieren funciones combinadas, entonces se
deben describir controles de mitigación.
El propósito de segregación de funciones es reducir o eliminar
los riesgos de negocio a través de la identificación de controles
compensatorios. La magnitud y probabilidad de riesgo se puede
valorar desde baja hasta alta, dependiendo de la organización.
Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI CISA Cerdfled Information
Systems Amber'

2.11.3 CONTROLES DE SEGREGACIÓN DE Acceso a los datos

FUNCIONES
Se pueden emplear varios mecanismos de control para lograr la
segregación de funciones. Los controles están descritos en las
siguientes secciones.
Autorización de transacciones
La autorización de transacciones es responsabilidad del
departamento de usuarios. La autorización es delegada en
la medida en que se relacione con el nivel particular de
responsabilidad de la persona autorizada en el departamento.
Se deben realizar verificaciones periódicas tanto por parte de la
gerencia como por parte de auditoria para detectar el ingreso de
transacciones no autorizadas.
Los controles sobre el acceso a los datos son provistos
mediante una combinación de seguridad física, de sistemas
y de aplicaciones tanto en el área de los usuarios como en
la IPE El ambiente físico debe ser seguro para impedir el
acceso de personas no autorizadas a los diversos dispositivos
tangibles conectados a la unidad central de procesamiento y que
permiten así, el acceso a los datos. La seguridad del sistema
y de la aplicación son capas adicionales de seguridad que
pueden impedir que personas no autorizadas logren acceder
a los datos corporativos. El acceso a los datos proveniente de
conexiones externas es una preocupación creciente desde la
aparición de Internet. Por lo tanto, la gestión de TI ha agregado
responsabilidades para proteger los activos de información de
acceso no autorizado.

Custodia de activos Las decisiones de control de acceso están basadas en política

Se debe determinar y asignar debidamente la custodia de los organizacional y en dos estándares de práctica generalmente
activos corporativos. El propietario de los datos usualmente se aceptados—segregación (separación) de funciones y el menor
asigna a un departamento de usuarios particular, y sus funciones privilegio. Los controles para el uso efectivo no deben alterar el
se deben especificar por escrito. El dueño de los datos tiene la flujo usual de trabajo más de lo necesario o colocar demasiada
responsabilidad de determinar niveles de autorización requeridos carga sobre los administradores, auditores o usuarios autorizados.
para proporcionar seguridad adecuada, mientras que el grupo de El acceso adicional no debe ser incondicional y los controles de
administración suele ser responsable de implementar y reforzar el acceso deben proteger adecuadamente todos los recursos de la
sistema de seguridad. organización.
Figura 2.12—Matriz de segregación de funciones

cli
g fil
11 g
—g
11

l Igi 2
@2
9
1-8
81"-g
M
51
re
-o

1
S
cu
4
a,

1
cl, g
4

1
aa,
cc
1
o
cn
._ 6.-
CI
?t
o- -r.
@
.c2 B

Fci
52
.T -`‘11

Grupo de control X X X X X X X X X
Analista de
X X X X X X
sistemas
Programador
X X X X X X X X X X X
de aplicaciones

Mesa de ayuda y
X X X X X X X X X
Gerente de Soporte
Usuario final X X X X X X X X
Ingreso de datos X X X X X X X X X
Operador de
X X X X X X X X X X
computadoras
Administrador de
la base de datos X X X X X X X X X

Administrador de
X X X X X X X
redes
Administrador de
X X X X X X X
sistemas
Administrador de
X X X X X
la Seguridad
Programador de
X X X X X X X X X X
sistemas
Aseguramiento de
X X X X
la calidad
X—La combinación de estas funciones puede crear una posible debilidad de control.

128 Manual de Preparación al Examen CISA 2011

CCISA Itefild Aufútx•
. 1
natkin Capítulo 2 - Gobierno y Gestión de TI
Las políticas establecen niveles de sensibilidad tales como secreto
máximo, secreto, confidencial y no clasificado, para los datos
y otros recursos. Estos niveles deben usarse para orientación
sobre los procedimientos apropiados para manejar los recursos
de información. Ellos también se pueden usar como base para
las decisiones sobre control de acceso. A las personas se les
otorga acceso sólo a los recursos que están en un nivel específico
de sensibilidad o por debajo de éste. Las etiquetas se usan para
indicar el nivel de sensibilidad de los documentos almacenados
electrónicamente. Los controles basados en políticas pueden
caracterizarse bien como obligatorios o como discrecionales.
Para obtener más detalles, consulte la sección Controles de
acceso obligatorios y discrecionales, en el tema Importancia de
los activos de información del capítulo 5.
FORMULARIOS DE AUTORIZACIÓN
Los gerentes de los departamentos de usuarios deben proveer a
SI formularios de autorización formales (ya sea en copia fisica o
electrónica) en los que se definan los derechos de acceso de sus
empleados. En otras palabras, los gerentes deben definir quién
tendrá acceso a qué. Los formularios de autorización deben ser
debidamente evidenciados con la aprobación a nivel de gerencia.
En general, todos los usuarios deben ser autorizados a un acceso al
sistema específico, por vía de solicitud formal de la gerencia. En
las compañías grandes o en las que tienen sucursales distantes, se
deben mantener registros de firmas autorizadas y las solicitudes
formales recibidas por escrito deben ser comparadas contra el
registro de firmas. Los privilegios de acceso deben ser revisados
periódicamente para asegurar que estén actualizados y que sean
apropiados para las funciones del puesto de trabajo del usuario.
TABLAS DE AUTORIZACIÓN DE USUARIO
El departamento de SI debe usar los datos provenientes de los
formularios de autorización para crear y mantener tablas de
autorizaciones de usuarios. Estas definirán quién está autorizado
para actualizar, modificar, eliminar o consultar datos. Estos
privilegios son asignados a nivel de sistema, de transacción o de
campo. En efecto, éstas son listas de control de acceso de usuario.
Estas tablas de autorización deben ser protegidas contra el acceso
no autorizado mediante contraseñas (passwords) adicionales
de protección o mediante de datos. En un registro de control
debe registrarse la actividad de todos los usuarios y la gerencia
correspondiente debe revisar este registro. Todos los casos de
excepción deben ser investigados.
Controles compensatorios por falta de segregación de
funciones
En negocios pequeños donde el departamento de SI puede estar
constituido por sólo cuatro o cinco personas, debe existir medidas
de control compensatorio para mitigar el riesgo resultante de
una falta de segregación de funciones. Antes de basarse en
reportes generados por el sistema o en funciones como controles
compensatorios, el auditor de SI debe evaluar cuidadosamente los
reportes, las aplicaciones y los procesos relacionados con SI en
busca de controles apropiados, incluyendo pruebas y controles de
acceso para hacer cambios a los reportes o a las funciones. Los
controles compensatorios incluirían:
Manual de Preparación al Examen CISA 2011 129
Sección Dos: Contenido
Pistas de auditoría—Las pistas de auditoría son un
componente esencial de los sistemas bien diseñados, ayudan
tanto al departamento de SI como al auditor de SI brindando un
mapa para trazar por segunda vez el flujo de una transacción.
Ellas permiten a los departamentos de SI y de usuarios así como
también al auditor de SI recrear el flujo real de transacciones
a partir del punto en que se originan hasta su ubicación en
un archivo actualizado. Ante la ausencia de una adecuada
segregación de funciones, las pistas de auditoría pueden ser un
control compensatorio aceptable. Con las pistas de auditoría
el auditor de SI debe ser capaz de determinar quién inició la
transacción, la hora y la fecha de ingreso, el tipo de ingreso, qué
campos de información contenía y qué archivos actualizó.
Conciliación—La conciliación es en última instancia
responsabilidad del usuario. En algunas organizaciones, el
grupo de control de datos puede realizar una conciliación
limitada de las aplicaciones mediante el uso de totales
de control y hojas de balance. Este tipo de verificación
independiente, incrementa el nivel de confianza de que la
aplicación ejecutó exitosamente y de que los datos están
correctamente balanceados.
Reportes de excepción—Los reportes de excepción deben
ser manejados a nivel de supervisión para lo cual se requiere
evidencia, como por ejemplo las iniciales en el reporte,
haciendo notar que la excepción ha sido debidamente tratada.
También, la gerencia debe asegurarse que las excepciones se
hayan atendido oportunamente.
Registros de transacciones—Un registro de transacciones puede
ser manual o automatizado. Un ejemplo de un registro manual es
un registro de transacciones (agrupadas o en lote) antes que las
mismas sean entregadas para su procesamiento. Un registro de
transacciones o diario automatizado provee un registro de todas
las transacciones procesadas y es mantenido por el sistema de
computación.
Revisiones de supervisión—Las revisiones de supervisión
pueden ser efectuadas a través de observación, investigación o
remotamente.
Revisiones independientes—Las revisiones independientes se
llevan a cabo para compensar los errores o fallas intencionales
al seguir los procedimientos prescritos. Estas revisiones son
particularmente importantes cuando las funciones en una
organización pequeña no pueden ser segregadas debidamente.
Dichas revisiones ayudarán a detectar errores o irregularidades.
2.12 AUDITORÍA A LA ESTRUCTURA E
IMPLEMENTACIÓN DEL GOBIERNO DE TI
Aunque son muchos los aspectos que le preocupan al auditor
de SI cuando audita el funcionamiento de SI, algunos de los
indicadores más significativos de los problemas potenciales
incluyen:
Actitudes desfavorables del usuario final.
Costos excesivos
Gasto por encima del presupuesto
Proyectos atrasados
Alta rotación de personal
Personal con poca experiencia
Errores frecuentes de HW/SW

Sección Dos: Contenido Capítulo 2 - Gobierno
Exceso de solicitudes atrasadas de usuarios.
Largo tiempo de respuesta de computadora.
Numerosos proyectos de desarrollo interrumpidos o
suspendidos.
Compras de HW/SW sin soporte o sin autorización.
Frecuentes ampliaciones de capacidad de HW/SW.
Informes de excepción largos
Reportes de excepciones a los que no se les hizo seguimiento.
Motivación deficiente
Ausencia de planes de reemplazo.
Confianza en uno o dos miembros claves del personal.
Falta de capacitación adecuada.
2.12.1 REVISIÓN DE LA DOCUMENTACIÓN
La siguiente documentación debe ser revisada:
Las estrategias, planes y presupuestos de TI—Proveen
evidencia de planificación y control de gestión sobre el
ambiente de SI y el alineamiento con la estrategia del negocio.
Documentación de políticas de seguridad—Provee
el estándar a cumplir. Debe establecer la posición de la
organización respecto de todos y cada uno de los riesgos
de seguridad. Debe identificar quién es responsable de
salvaguardar los activos de la compañía, incluyendo los
programas y los datos. Debe establecer las medidas preventivas
a tomarse para brindar la protección adecuada y las acciones
que se deben seguir en contra de los transgresores. Por esta
razón, esta parte del documento de política debe ser tratado
como un documento confidencial.
Cuadros organizativos/funcionales—Proveen al auditor de
SI una comprensión de la línea de subordinación dentro de un
departamento u organización determinados. Ellos ilustran una
división de responsabilidades y dan una indicación del grado de
segregación de funciones dentro de la organización.
Descripciones de los puestos de trabajo—Definen las
funciones y las responsabilidades de los cargos en toda la
organización. Estas proveen a la organización la capacidad de
agrupar puestos de trabajo similares en distintos niveles de
categoría para garantizar una compensación justa a la fuerza de
trabajo. Además, las descripciones de los puestos de trabajo dan
una indicación del grado de segregación de funciones dentro de
la organización y pueden ayudar a identificar las funciones de
posible conflicto. Las descripciones de los puestos de trabajo
deben identificar la posición a la que se subordina este personal.
El auditor de SI debe entonces verificar que los niveles de
relación de subordinación estén basados en conceptos correctos
del negocio y no afecten la segregación de funciones.
Reportes del comité directivo—Proveen información
documentada en relación con los nuevos proyectos de sistemas.
Estos reportes son revisados por la alta dirección y son
divulgados entre las diferentes unidades del negocio.
Procedimientos de desarrollo de sistemas y de cambio de
programas—Estos procedimientos proveen un marco dentro
del cual emprender el desarrollo de sistemas o el cambio de
programas.
Procedimientos de operaciones—Estos procedimientos
describen las responsabilidades del personal de operaciones.
Los procedimientos de medición de desempeño generalmente
se encuentran dentro de los procedimientos operativos y se
130 Manual de Preparación al Examen CISA 2011
y Gestión de TI CISA rstille
ejruár"
reportan periódicamente a la alta dirección y/o los comités
directivos. Los auditores de SI deben garantizar que estos
procedimientos formen parte de los procedimientos operativos.
Manuales de RR.HH.—Proveen las reglas y las regulaciones
(determinadas por una organización) sobre cómo se espera que
sus empleados se conduzcan.
Procedimientos de QA—Estos procedimientos proporcionan
el marco y los estándares que debe seguir el departamento
de SI.
Además se deben valorar los diferentes documentos revisados
para determinar si:
Fueron creados como lo autorizó la gerencia y como ésta quería
que fueran creados.
Están vigentes y actualizados.
2.12.2 REVISIÓN DE COMPROMISOS
CONTRACTUALES
Hay diferentes etapas para los contratos de hardware, software y
servicio de SI que incluyen:
Desarrollo de los requerimientos de contratación.
Proceso de licitación de contratos
Proceso de selección de contratos
Aceptación de contratos
Mantenimiento de contratos
Cumplimiento de contratos
Cada una de estas etapas debe estar respaldada por documentos
legales, sujeto a la autorización de la gerencia. El auditor de
SI debe verificar la participación de la gerencia en el proceso
de contratación y debe asegurar un nivel adecuado de revisión
oportuna del cumplimiento del contrato. El auditor de SI podrá
efectuar una revisión, por separado del cumplimiento en una
muestra de dichos contratos.
Al revisar una muestra de contratos, el auditor de SI debe evaluar
la adecuación de los siguientes términos y condiciones:
Niveles de servicio.
Derecho a auditar o reporte de auditoría de tercero.
Poner el software en custodia de un tercero.
Penalizaciones por incumplimiento.
Acatamiento de las políticas y procedimientos de seguridad.
Protección de información de clientes.
Proceso de cambio de contrato.
Terminación de contrato y cualquier penalización apropiada.
Nota: Un auditor de SI debe estar familiarizado con el
proceso de solicitud de propuesta (RFP) y conocer qué es lo
qüe necesita ser revisado en una RFP. También es importante
señalar que un. C1SA debe saber, desde la perspectiva de
gobierno, los criterios de evaluación y la metodología de una
RFP, y los requerimientos para cumplir con los estándares
organizacionales.
C jsrdrtor Capítulo 2- Gobierno
cisAsynne y Gestión de TI Sección Dos: Contenido
>a oiNCOCollba.
2.13 PLANEACIÓN DE CONTINUIDAD DEL
NEGOCIO
El propósito de la continuidad del negocio/recuperación en caso de
desastre es permitir que una empresa continúe ofreciendo servicios
críticos en caso de que ocurra una interrupción y que sobreviva a
una interrupción desastrosa de las actividades. Es necesario contar
con una planificación y un compromiso rigurosos de los recursos
para prever tales eventos de forma adecuada.
El primer paso en la preparación de un nuevo BCP es identificar los
procesos de negocio de importancia estratégica, aquellos procesos
clave que son responsables del crecimiento del negocio y de la
consecución de las metas del negocio. Lo ideal es que el BCP/DRP
sea respaldado por una política ejecutiva formal que establezca
el objetivo general de la organización en lo que respecta a la
recuperación y asigne atribuciones a las personas que participan
en el desarrollo, las pruebas y el mantenimiento de los planes.
Basado en los procesos clave, el proceso de gestión de riesgos
debería comenzar con una evaluación de riesgos. El riesgo es
directamente proporcional al impacto sobre la organización y la
probabilidad de que ocurra la amenaza percibida. Por lo tanto, la
evaluación de riesgos debería permitir identificar lo siguiente:
Los recursos humanos, los datos, los elementos de la
infraestructura y otros recursos (incluyendo los proporcionados
por terceros) que respaldan los procesos clave
Una lista de las posibles vulnerabilidades, es decir, los peligros
o amenazas para la organización
La probabilidad estimada de que ocurran estas amenazas
La eficiencia y eficacia de los controles existentes de mitigación
de riesgos (contramedidas para afrontar riesgos)
La gestión de estos riesgos se aborda en la preparación del BCP.
La parte de operaciones del BCP debería tratar todas las funciones
y los activos requeridos para continuar como una organización
viable. El grado de configuración de instalaciones alternativas es
una decisión de negocio basada en la gestión de riesgos.
El enfoque está en la disponibilidad de procesos de negocio clave
para continuar con las operaciones en caso de que surja algún tipo
de interrupción.
El BCP es básicamente responsabilidad de la alta gerencia, debido
a que a ésta se le confió la protección de los activos y la viabilidad
de la organización, tal como se definió en la política de BCP/DRP.
En general, las unidades de negocio y soporte siguen el BCP para
ofrecer un nivel de funcionalidad reducido pero suficiente en las
operaciones de negocio inmediatamente después de enfrentar una
interrupción, mientras ocurre la recuperación. El plan debería
tratar todas las funciones y los activos requeridos para continuar
como una organización viable. Esto incluye procedimientos de
continuidad considerados como necesarios para sobrevivir y
minimizar las consecuencias de la interrupción del negocio.
Manual de Preparación al Examen CISA 2011 131
El BCP toma en consideración:
Las operaciones críticas que son necesarias para la
supervivencia de la organización
Los recursos humanos/materiales que los soportan
Además del plan para la continuidad de las operaciones, el BCP
incluye:
El DRP que se utiliza para recuperar una instalación que se haya
vuelto inoperable, incluyendo la reubicación de las operaciones
en una nueva ubicación
El plan de restauración que se utiliza para normalizar las
operaciones en una instalación restaurada o nueva
Dependiendo de la complejidad de la organización, podría
haber uno o más planes para tratar los diferentes aspectos de la
continuidad del negocio y la recuperación ante desastres. Estos
planes no necesariamente tienen que integrarse en un único plan.
Sin embargo, cada uno tiene que ser consistente con otros planes
para contar con una estrategia de BCP viable.
Es muy recomendable tener un plan integrado único para
asegurar que:
todos los aspectos estén cubiertos.
los recursos comprometidos se utilicen de la manera más
efectiva y exista la confianza de que, a través de su aplicación,
la organización sobrevivirá a una interrupción.
Aun cuando procesos similares de la misma organización se
manejen en una ubicación geográfica diferente, las soluciones
de BCP y DRP pudieran ser diferentes para escenarios diferentes.
Las soluciones pudieran ser diferentes debido a requerimientos
contractuales (por ejemplo, la misma organización está procesando
una transacción en línea para un cliente y la back office está
procesando una transacción para otro cliente). Una solución
de BCP para el servicio en línea será significativamente diferente
a la solución para el procesamiento de la back office.
2.13.1 PLANEACIÓN DE CONTINUIDAD DEL NEGOCIO
DE SI
En el caso de los planes de continuidad del negocio de SI, el
enfoque es el mismo que en el BCP con la excepción de que
está amenazado el procesamiento de SI. El procesamiento de
SI es de importancia estratégica—es un componente crítico
porque la mayoría de los procesos clave de negocios dependen
de la disponibilidad de los componentes y los datos de la
infraestructura de sistemas clave.
El plan de continuidad del negocio de SI debe estar alineado con la
estrategia de la organización. La criticidad de los diferentes sistemas
de aplicaciones de la organización depende de la naturaleza del
negocio, así como del valor de cada aplicación para el negocio.
El valor de cada aplicación para el negocio es directamente
proporcional al rol que desempeña el sistema de información
en el apoyo a la estrategia de la organización. Los componentes
del sistema de información (entre ellos los componentes de la
infraestructura de tecnología) se asocian posteriormente con las
aplicaciones (por ejemplo, el valor de una computadora o una red
depende de la importancia del sistema de aplicaciones que la utiliza).

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI Certified Info
Ault • mation
or

Por lo tanto, el BCP/DRP del sistema de información es un

Nota: El candidato a CISA no sera evaluado con respecto al
componente principal de la estrategia general de continuidad del
calCulo real del analisis de riesgo; sin embargo, el auditor de SI
negocio y recuperación en caso de desastre de una organización.
debe estar familiarizado con el calculo del analisis de riesgo.
Si el plan de SI es un plan separado, debe ser consistente con y
apoyar el BCP corporativo.
Si la organización está dispuesta a investigar la magnitud
de las pérdidas que sufrirá el negocio por la interrupción, la
A lo largo de todo el proceso de planificación de la continuidad
organización puede llevar a acabo un BIA (explicado en otra
del negocio de SI (a veces mencionada como continuidad de los
sección de este manual). El BIA permite a la organización
servicios de TI), se debe tener en consideración el plan general de
determinar el máximo tiempo posible de inactividad para
continuidad del negocio de la organización: de nuevo, éste debe
una aplicación en particular y cuántos datos se podrían perder.
contar con el respaldo de la política ejecutiva. Todos los planes de
El BIA también permite a la organización cuantificar las
SI deben ser consistentes con y apoyar el BCP corporativo. Esto
pérdidas a medida que aumentan después de la interrupción,
significa que las instalaciones alternas de procesamiento que apoyan
con lo cual la organización puede tomar una decisión sobre
las operaciones clave deben estar preparadas, ser compatibles
la tecnología (y las instalaciones) utilizada para la protección
con la instalación original de procesamiento y contar con planes
y recuperación de sus activos de información clave (sistema
actualizados en lo que respecta a su uso.
de información, componentes de TI, datos, etc.).
Nuevamente, se deben tomar todas las medidas posibles para
Los resultados de la evaluación de riesgos y el BIA se incorporan
reducir o eliminar la probabilidad de una interrupción utilizando
a la estrategia de continuidad del negocio de SI, la cual describe
el método descrito en otras secciones de este Manual. Un ejemplo
la tecnología principal y los principios que sirven de base a
sería minimizar las amenazas al centro de datos considerando la
la protección y recuperación de SI, así como la directriz para
ubicación: no establecerlo en una llanura inundable, sobre una
implementar la tecnología y los principios.
falla sísmica ni cerca de un área donde se utilicen regularmente
dispositivos explosivos o materiales tóxicos. Otro ejemplo es
A medida que se ejecuta la estrategia de continuidad del negocio
utilizar topografías de red resilientes, como las de Bucle o Malla,
de SI y su estrategia global de TI, la estructura de TI de la
con instalaciones alternas de procesamiento ya integradas a la
organización cambia. Se introducen nuevas contramedidas para
infraestructura de red.
afrontar riesgos y las anteriores se vuelven obsoletas. El BCP del
sistema de información se debe cambiar según corresponda y
Desarrollar y probar el BCP/DRP del sistema de información es un
se debe volver a probar periódicamente para asegurar que estos
componente principal de la estrategia general de continuidad del
cambios sean satisfactorios.
negocio y recuperación en caso de desastre de una organización.
El plan se basa en el uso coordinado de las contramedidas para
Igual que cualquier BCP, un BCP del sistema de información es
afrontar riesgos que están disponibles para la organización (es decir,
mucho más que un plan para los sistemas de información. Un
instalación alterna de procesamiento, redes de datos redundantes,
BCP identifica lo que hará el negocio en caso de que suceda
equipos resilientes, sistemas de respaldo y recuperación, replicación
un desastre. Por ejemplo, adónde se reportarán los empleados
de datos, etc.). Si el plan de SI es un plan separado (o varios planes
para trabajar, cómo se tomarán los pedidos mientras se restablece
separados), debe ser consistente con y apoyar el BCP corporativo.
el sistema informático, a cuáles proveedores se llamará para que
suministren las provisiones necesarias. Un subcomponente del BCP
Establecer dependencias entre los procesos críticos de negocio, las
es el plan de recuperación de TI en caso de desastre. Normalmente
aplicaciones, el sistema de información y los componentes de la
detalla el proceso que utilizará el personal de TI para restablecer
infraestructura de TI es uno de los pasos de la evaluación de riesgos.
los sistemas informáticos, las comunicaciones, las aplicaciones y
El mapa de dependencias resultante con las amenazas para y las
sus datos. Los planes de recuperación en caso de desastre (DRP)
vulnerabilidades de los componentes/dependencias (junto con las
se pueden incluir en el BCP o como un documento separado,
aplicaciones clave agrupadas por su criticidad) es el resultado de la
dependiendo de las necesidades del negocio.
evaluación de riesgos.
No todos los sistemas requerirán una estrategia de recuperación.
Una vez que la evaluación de riesgos identifica la importancia
Basándose en los resultados de la evaluación de riesgos y el
de los componentes de SI para la organización, y las amenazas y
BIA, la gerencia podría considerar que no es conveniente desde el
las vulnerabilidades de esos componentes, se puede desarrollar
punto de vista económico restaurar ciertas aplicaciones en caso de
un plan de acciones correctivas para establecer los métodos más
desastre. Un factor primordial cuando se determinan las opciones
apropiados para proteger los componentes. Siempre hay diferentes
de recuperación es que el costo nunca debe exceder el beneficio
opciones de mitigación de riesgos para escoger (contramedidas
(esto suele determinarse claramente después de un BIA).
para afrontar riesgos), bien sea para eliminar la amenaza y/o
corregir la vulnerabilidad.
La recuperación de SI en caso de desastre suele ocurrir en
circunstancias poco comunes y estresantes (incendio, inundación,
El riesgo se puede calcular bien sea de forma cualitativa
devastación por huracán). Con frecuencia sucede que los
(asignando valores cualitativos al impacto de la amenaza y
controles de seguridad (tanto físicos como de SI) no funcionan.
su probabilidad) o cuantitativa (asignando valor monetario al
Por lo tanto, se recomienda que la organización implemente un
impacto—es decir, la pérdida—y asignando una probabilidad).
sistema de gestión de la seguridad de la información (ISMS) para

132 Manual de Preparación al Examen CISA 2011

C
CISA =1=1 Capítulo 2- Gobierno y Gestión de TI
mantener la integridad, confidencialidad y disponibilidad del SI, y
no solamente bajo condiciones normales.
2.13.2 DESASTRES Y OTROS EVENTOS QUE PUEDEN
CAUSAR INTERRUPCIONES
Los desastres son interrupciones que causan que recursos de
información críticos queden inoperantes durante un período,
afectando de manera adversa las operaciones organizacionales.
La interrupción podría durar de algunos minutos a varios
meses, dependiendo del grado del daño causado al recurso de
información. Es importante conocer que, ante situaciones de
desastre, es necesario desplegar esfuerzos de recuperación para
restaurar el estado operacional.
Un desastre pudiera ser el resultado de desastres naturales,
como terremotos, inundaciones, tornados, tormentas eléctricas
severas e incendios, que causan daños extensos a la instalación
de procesamiento y a la localidad en general. Otros eventos
desastrosos que causan interrupciones pueden ocurrir cuando los
servicios esperados, como energía eléctrica, telecomunicaciones,
suministro de gas natural u otro servicio público, ya no estén
disponibles para la compañía debido a un desastre natural u otra
causa. Un desastre podría ser también el resultado de eventos
causados por seres humanos, tales como ataques terroristas,
ataques de intrusos informáticos, virus o error humano.
No todas las interrupciones fisicas del servicio son causadas por
un desastre. Por ejemplo, la interrupción del servicio algunas
veces es causada por desperfectos del sistema, eliminaciones de
archivos por accidente, versiones de aplicaciones que no han sido
probadas, pérdida de los datos de respaldo, ataques de negación
de servicio (DoS) de red, intrusiones y virus. Estos eventos
pueden requerir acciones para recuperar el estado operacional
a fin de reanudar el servicio. Las acciones pueden necesitar del
restablecimiento del hardware, software o archivos de datos.
Muchas interrupciones comienzan con simples incidentes.
Normalmente, si la organización posee un centro de soporte
(help desk) o un centro de servicio, éste actuará como el sistema
de advertencia temprana para reconocer las primeras señales
de una interrupción inminente. A menudo, tales interrupciones
(por ejemplo, un rendimiento de la base de datos que desmejora
gradualmente) pasan desapercibidas. Hasta que estallan estos
"desastres progresivos" (la base de datos se detiene), sólo causan
quejas esporádicas de parte de los usuarios.
Por lo tanto, se debe implementar un sistema bien definido de
escalamiento de incidentes basado en riesgos para determinar si
un evento perjudicial específico requiere invocar el BCP o el DRP
de TI.
Un buen BCP tendrá en cuenta todos los tipos razonables de
eventos significativos que pueden tener impacto sobre las
instalaciones criticas de procesamiento de SI y las funciones
normales de usuarios finales.
Manual de Preparación al Examen COSA 2011
Sección Dos: Contenido
Basándose en la evaluación de riesgos, se formulan escenarios
del peor caso y estrategias de contingencia a largo y corto plazo
dentro de la estrategia de continuidad del negocio de SI para luego
incorporarlos en el BCP (u otro plan). A corto plazo, se puede
requerir una instalación de procesamiento alterna para satisfacer
necesidades operativas inmediatas (como en el caso de un desastre
natural). A largo plazo, se debe identificar una nueva instalación
permanente para recuperación en caso de desastre, y esta se
debe equipar para proporcionar continuidad de los servicios de
procesamiento de SI regularmente.
Enfrentar daños a imagen, reputación o marca
Los rumores perjudiciales pueden surgir de muchas fuentes
(incluso internas). Pueden estar o no relacionados con un
incidente serio o crisis. Independientemente de que sean
"espontáneos" o un efecto colateral de un problema de
continuidad del negocio o recuperación ante desastres, sus
consecuencias pueden ser devastadoras. Una de las peores
consecuencias de las crisis es la pérdida de confianza.
Las actividades efectivas de relaciones públicas (RP) en una
organización pueden desempeñar un papel importante en la
tarea de contener el daño a la imagen y asegurar que la crisis no
empeore. Ciertas industrias (por ejemplo, bancos, organizaciones
de servicios de salud, aerolíneas, refinerías petroleras, productos
químicos, transporte, plantas de energía nuclear u otras
organizaciones con impacto social relevante) deberían contar
con protocolos elaborados para tratar accidentes y catástrofes.
Una organización que experimente un incidente importante
debería considerar y aplicar algunas mejores prácticas básicas.
Independientemente de las consecuencias objetivas resultantes
de un incidente (demora o interrupción de servicio, pérdidas
económicas, etc.), de existir alguna, una opinión pública negativa o
rumores negativos pueden ser costosos. Reaccionar apropiadamente
en público (o ante los medios) durante una crisis no es simple.
Es necesario designar y preparar con antelación a un portavoz
entrenado para estos casos. En general, un asesor legal senior o
un funcionario de relaciones públicas es la mejor opción. Nadie,
independientemente de su rango en la jerarquía organizacional,
excepto el portavoz, debería emitir declaraciones públicas.
Como parte de la preparación, el portavoz debería redactar y
guardar en archivo un comunicado general con espacios en blanco
que se llenarán con datos específicos de cada circunstancia. Este
procedimiento no debería eludirse debido a la improvisación o
presión del tiempo. El comunicado no debería establecer las causas
del incidente, sino indicar que se inició una investigación y que se
reportarán los resultados. No se deberían asumir responsabilidades.
No se debería responsabilizar al sistema o al proceso.
Neta: Aunque tratar los daños a la imagen, reputación o marca
es una preocupación de muchas organizaciones públicas, el
candidato a CISA no será sometido a prueba sobre este tema.
133
Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI Catinga Information
CISA Systems /amor

2.13.3 PROCESO DE PLANIFICACIÓN DE
CONTINUIDAD DEL NEGOCIO
El proceso de BCP puede dividirse en las fases de ciclo de vida
que se muestran en la figura 2.13.
2.13.4 POLÍTICA DE CONTINUIDAD DEL NEGOCIO
Una política de continuidad del negocio es un documento aprobado
por la alta gerencia que define la magnitud y el alcance del esfuerzo
de continuidad del negocio (un proyecto o un programa continuo)
dentro de la organización. La política de continuidad del negocio
se puede dividir en dos partes: pública e interna. La política de
continuidad del negocio sirve para otros diversos propósitos:
Su parte interna es un mensaje para las partes interesadas de la
organización (por ejemplo, empleados, gerencia, directores) de
que la compañía realiza esfuerzos, compromete sus recursos y
espera que el resto de la organización haga lo mismo.
Su parte pública es un mensaje para las partes interesadas
externas (accionistas, reguladores, autoridades, etc.) de que la
organización se toma en serio sus obligaciones (por ejemplo,
prestación de servicios, cumplimiento).
Es una declaración para la organización que empodera a los
responsables de la continuidad del negocio.
Puede establecer de manera amplia los principios generales en
los cuales se basa la continuidad del negocio.
Una política de continuidad del negocio debe ser proactiva.
El mensaje que se debe transmitir a la organización es que se
tienen que usar todos los controles posibles para detectar y evitar
interrupciones y que, aunque ocurran, se deben tener los controles
necesarios para mitigar las consecuencias. Posteriormente, esto
se refleja en la estrategia de continuidad del negocio de SI y en su
ejecución. Existen controles preventivos y detectivos para reducir
la probabilidad de una interrupción y controles correctivos para
mitigar las consecuencias.
El BCP (o DRP de TI) es el control correctivo más crítico. Depende
de que otros controles sean efectivos; en particular, depende de la
gestión de incidentes y de las soluciones de respaldo y recuperación.
Los incidentes y sus impactos se pueden, hasta cierto punto,
mitigar a través de controles preventivos. Estas relaciones se
describen en la figura 2.14.
Esto requiere que el grupo de gestión de incidentes (centro de
servicio) esté adecuadamente dotado de personal, respaldado y
capacitado en gestión de crisis, y que el BCP esté bien diseñado,
documentado, probado en profundidad, financiado y auditado.
2.13.5 GESTIÓN DE INCIDENTES EN LA
PLANIFICACIÓN DE LA CONTINUIDAD DEL NEGOCIO
Los incidentes y las crisis son dinámicas por naturaleza.
Evolucionan, cambian en el tiempo y según las circunstancias y a
menudo son rápidos e imprevisibles. En vista de esto, su gestión
debe ser dinámica, proactiva y bien documentada. Un incidente
es cualquier evento inesperado, aun cuando no cause daños
significativos.
Dependiendo de una estimación del nivel del daño a la organización,
es necesario categorizar todos los tipos de incidentes. Un sistema de
clasificación podría incluir las siguientes categorías: insignificante,
menor, mayor y crisis. La clasificación puede cambiar de manera
dinámica mientras se resuelve el incidente. Estos niveles pueden
describirse como sigue:
Los incidentes insignificantes son los que causan daños
no perceptibles o significativos, tales como colapsos muy
breves del sistema operativo (SO) con recuperación total de
información o cortes momentáneos de energía con suministro
permanente de energía (UPS).
Los eventos menores son los que, aunque no sean insignificantes,
no generan impactos materiales (de importancia relativa) o
financieros negativos.

Figura 2.13—Ciclo de vida de la planificación de la continuidad del negocio

f.- Planificación del

-\ 7—
Monitoreo,
Pruebas
proyecto (política mantenimiento
de BC, alcance
•
y actualización
41111-- del plan
de BC
del proyecto) } del plan de BC
1
1 Desarrollo
del plan
Ciclo de vida de la de BC
Evaluación y análisis planificación de continuidad
de riesgos
del negocio

•
Análisis de
BC
Plan
Development
Estrategia de
impacto del desarrollo de BC
negocio Ejecución de estrategia
(implementación de
contramedidas para
enfrentar riesgos). j

134 Manual de Preparación al Examen CISA 2011


C nag" Capítulo 2 - Gobierno y Gestión de TI
entrdiltor
cisix sys
. i
Los incidentes mayores causan un impacto material negativo
sobre los procesos de negocio y pueden afectar otros sistemas,
departamentos o incluso clientes externos.
La crisis es un incidente mayor que puede tener un impacto material
(de importancia relativa) serio sobre el funcionamiento permanente
del negocio y pudiera afectar de manera adversa otros sistemas
o a terceros. La severidad del impacto depende de la industria y
circunstancias, pero en general es directamente proporcional al
tiempo transcurrido desde el inicio del incidente hasta su solución.
Es necesario documentar, clasificar y revisar los incidentes
menores, mayores y de crisis hasta que se corrijan o resuelvan.
Es un proceso dinámico, debido a que un incidente mayor puede
disminuir en grado momentáneamente y extenderse luego para
convertirse en una crisis.
Los incidentes insignificantes se pueden analizar en términos
estadísticos para identificar cualquier causa sistémica o evitable.
La figura 2.15 muestra un ejemplo de un sistema de clasificación
de incidentes y protocolo de reacción.
El director de seguridad (SO) u otro individuo designado debe
ser notificado de todos los incidentes relevantes tan pronto como
cualquier evento desencadenante ocurra. Luego, esta persona
debe seguir un protocolo de escalamiento pre-establecido
(por ejemplo, llamar a un portavoz, alertar a la alta gerencia e
involucrar a las agencias regulatorias), el cual puede estar seguido
por la invocación de un plan de recuperación, como el DRP de
tecnología de la información.
En general, el principal criterio de severidad (nivel) de incidentes
es el estimado de tiempo improductivo de servicio. Otros
criterios pueden incluir cuán extenso es el impacto sobre datos
o plataformas. El servicio se puede definir como compromisos
incluyentes con clientes que pueden ser consumidores externos o
departamentos internos. Generalmente, la prestación de servicios
es regulada por acuerdos de nivel de servicio (SLAs), los cuales
Figura 2.14 -Diagrama de relación entre incidente e impacto
Controles
(contramedidas
para enfrentar
riesgos)
Manual de Preparación al Examen CISA 2011
Sección Dos: Contenido
pueden establecer el tiempo improductivo máximo y los estimados
de recuperación. Aunque no es siempre cierto, la severidad suele
basarse en gran medida en el tiempo improductivo estimado. Otros
criterios pueden incluir el impacto sobre datos o plataformas y
el grado en el cual el funcionamiento de la organización sufre un
impacto adverso. Un enfoque conservador e infalible seria asignar
a cualquier incidente significativo un nivel inicial de severidad
provisional (ver la figura 2.15). A medida que el incidente
evoluciona, este nivel debe ser revaluado regularmente por la
persona o el equipo a cargo, al que comúnmente se hace referencia
como equipo de respuesta a incidentes o "firecall".
2.13.6 ANÁLISIS DE IMPACTO DEL NEGOCIO
El BIA es un paso critico en el desarrollo de la estrategia de
continuidad del negocio y la subsiguiente implementación de las
contramedidas de riesgo y el BCP en particular.
El BIA se utiliza para evaluar los procesos críticos (y
componentes de TI que los respaldan) y para determinar marcos
de tiempo, prioridades, recursos e interdependencias. Incluso
si se ha realizado una extensa evaluación de riesgos antes del
BIA, y la criticidad y los riesgos se incluyen en el BIA, la regla
general es verificar dos veces. Comúnmente, el BIA descubre
algún componente menos visible, pero aun así vital, que respalda
el proceso de negocio crítico. En los casos en que se hayan
externalizado actividades de TI a proveedores de servicio,
también se deben considerar los compromisos contractuales (en el
contexto de un BCP).
Para cumplir esta fase con éxito, se debe alcanzar una comprensión
de la organización, los procesos clave del negocio y los recursos de
SI utilizados por la organización para respaldar los procesos clave
del negocio. Por lo general, esto se obtiene a partir de los resultados
de la evaluación de riesgos. El BIA requiere un alto grado de
respaldo por parte de la alta gerencia y una amplia participación del
personal de TI y de usuario final. La criticidad de los recursos de
información (por ejemplo, aplicaciones, datos, redes, software del
sistema, instalaciones) que respaldan los procesos de negocio de una
organización deben ser aprobados por la alta gerencia.
135

Sección Dos: Contenido
Figura 2.15—Niveles de incidente/crisis
REACCIONES ANTE LOS NIVELES DE INCIDENTES/CRISIS
CRITE PRINCIPAL
(En horas)
i NIVEL Tiempo Fuere de Sarvicto
PitOttó a-rico ACTUAL
CASA
24
12
INC.,TANTE
MAYOR
1NC :DENTE
MENOR
NO 31:114EICATRO
NIVEL
CRA A
7 ~ir el Plan de Continuidad del NEOU:10
" el Plan. de Contlnuklad del N
mc,;;EATE
mAyoll 4 Alertar al Skri
iNc,DENTE
MENOR
NO E 14FICA1
.....==i
, Senior 62
C*) SO: SEEUrEY Mear
Fuente: Personas & Técnicas Multimedia SL O 2007. Todos los derechos reservados. Usado con autorización.
Para el BIA, es importante incluir todos los tipos de recursos de
información y ver más allá de aquellos tradicionales (por ejemplo,
servidores de base de datos).
Los sistemas de información constan de múltiples componentes.
Algunos de los componentes (por ejemplo, servidores de base de
datos o matrices de almacenamiento) son bastante visibles. Otros
(por ejemplo, pasarelas (gateways), servidores de transporte,
dispositivos de red) pueden quedar fuera de alcance y permanecer
"invisibles". Por ejemplo, una aplicación de banca no puede
realizar sus servicios si las pasarelas (gateways) de pago no están
activas. Con frecuencia, las partes vitales de la aplicación o los
datos críticos pueden residir en las estaciones de trabajo del
usuario. Idealmente, al completarse el BIA, estos componentes
"ocultos" se deben descubrir e incluir en el campo del programa
(proyecto) de continuidad del negocio para incorporarlos
posteriormente en el BCP.
Nota: El auditor de Si debería poder evaluar el BIA. El
enunciado de tarea en la práctica laboral establece: evaluar.
el BCP de la organización para asegurar su capacidad de
continuar con operaciones empresariales esenciales durante
el período de una interrupción de TI. El auditor necesita saber
en qué consiste e/ desarrollo de un BIA, de manera de poder
evaluarlo apropiadamente. Sin embargo, el candidato a CISA
no será sometido a prueba sobre cómo se realiza un BIA o
qué método se utiliza para realizar un BIA.
La información que se recolecta para el BIA proviene de
diferentes partes de la organización, la cual posee aplicaciones/
procesos críticos. Para evaluar el impacto de tiempo improductivo
para un proceso/aplicación particular, se desarrollan las bandas
de impacto (por ejemplo, alto, medio, bajo) y, para cada proceso,
el impacto se estima en tiempo (horas, días, semanas). El mismo
enfoque se usa al estimar el impacto de la pérdida de datos. Si es
necesario, el impacto financiero se puede estimar utilizando las
136
Capítulo 2 - Gobierno y Gestión de TI emsl
cerr
CISA sys latbn
Aror
CRITERIOS COIVE*LEA.NTARIOS
DATOS cuy
24
12
p a
4 Anea ERSEPPE,
2 ACCIONES
a Agenedes regionales
fa ar al a
ar
S al
.
(AdrinIstsadar Senior)
al de Seguridad/
mismas técnicas, para asignar el valor financiero a la banda de
impacto particular.
Además, los datos del BIA se pueden recolectar en las ventanas
de tiempo necesarias para suministrar recursos vitales cuánto
tiempo puede funcionar la organización si se daña un suministro o
cuándo llegó el reemplazo. Por ejemplo, ¿cuánto tiempo funcionará
el banco sin tarjetas plásticas con chips para personalizarlos en
las tarjetas de crédito o cuándo necesitará TI que se traigan las
estaciones de trabajo de escritorio después de un desastre?
Existen diferentes enfoques para realizar un BIA. Uno de los
enfoques populares es el cuestionario. Este enfoque involucra
el desarrollo de un cuestionario detallado y su distribución a los
usuarios clave en las áreas de TI y usuario final. La información
recopilada se tabula y analiza. En caso de que se requiera
información adicional, el equipo de BIA contactaría a los usuarios
relevantes para obtener esa información. Otro enfoque popular es
entrevistar a grupos de usuarios clave. La información recopilada
durante estas sesiones de entrevistas se tabula y analiza para
desarrollar un plan de BIA y estrategia detallados. Un tercer
enfoque es reunir a miembros del personal de TI y usuarios
finales relevantes (es decir, los que son dueños de los procesos
críticos) en una habitación para llegar a una conclusión sobre el
impacto potencial de varios niveles de interrupciones sobre el
negocio. El último método se puede utilizar después de recolectar
todos los datos. Un grupo mixto decidirá rápidamente sobre el
tiempo improductivo aceptable y los recursos vitales.
De ser posible, los auditores de SI deberían analizar el volumen
de transacciones pasado al determinar el impacto sobre el negocio
si el sistema no estuvo disponible durante un largo período. Esto
sustentaría el proceso de entrevistas que los auditores de SI realiza
para ejecutar el BIA.
Manual de Preparación al Examen CISA 2011

itorn Capítulo 2- Gobierno y Gestión de TI
..ISAZutefint rur
mem/emulo,.
Las tres preguntas principales que deberían considerarse durante
la fase de BIA se muestran en la figura 2.16.
Figura 2.16 -Consideraciones del BIA
1. ¿Cuáles son los diferentes procesos del negocio? Cada proceso debe
ser evaluado para determinar su importancia relativa. Las indicaciones
de criticidad incluyen, por ejemplo:
El proceso respalda asuntos de salud y seguridad, tales como registros
de pacientes hospitalizados y sistemas de control de tráfico aéreo
La interrupción del proceso causa una pérdida de ingresos a la
organización o costos excepcionales inaceptables
El proceso cumple con requerimientos legales o estatutarios
El número de segmentos del negocio o número de usuarios afectados
Un proceso puede ser crítico o no crítico dependiendo de factores tales
como tiempo de operación y modo de operación (por ejemplo, horas
hábiles u operaciones de cajeros automáticos).
2. ¿Cuáles son los recursos de información críticos relacionados con los
procesos del negocio críticos de una organización? Esta es la primera
consideración ya que la interrupción de un recurso de información no
es un desastre de por sí, a menos que esté relacionado con un proceso
del negocio crítico. Por ejemplo, una organización pierde su ingreso, lo
que genera procesos del negocio debido a una falla de SI.
Otros ejemplos de procesos del negocio críticos pueden incluir:
Recepción de pagos
Producción
Pago de empleados
Publicidad
Despacho de productos terminados
Cumplimiento con las leyes y regulaciones
3. ¿Cuál es el período de tiempo de recuperación crítico para recursos
de información en el cual los procesos del negocio se deben reanudar
antes de sufrir pérdidas significativas o inaceptables? En gran
medida, la duración del período de tiempo de recuperación depende
de la naturaleza del negocio o servicio interrumpido. Por ejemplo, las
instituciones financieras, tales como bancos y casas de corretaje,
suelen tener un período de tiempo de recuperación crítico mucho más
corto que las fábricas. Igualmente, el momento del año o el día de la
semana pueden afectar la ventana de tiempo de recuperación. Por
ejemplo, un banco que experimenta una interrupción importante el
sábado a medianoche tiene más tiempo para recuperarse que el lunes
a medianoche, suponiendo que el banco no realiza procesos el lunes.
Para tomar esta decisión, es necesario considerar dos factores
de costo independientes, tal como se muestra en la figura 2.17.
Uno es el costo del tiempo fuera de servicio del desastre. Este
componente, en el corto plazo (por ejemplo, horas, días, semanas),
crece rápidamente en el tiempo, en cuyo caso el impacto de una
interrupción aumenta a medida que se extiende su duración. En
un momento determinado, deja de crecer, reflejando el momento
o punto en que el negocio ya no puede funcionar. El costo del
tiempo fuera de servicio (que crece en el tiempo) tiene muchos
componentes (dependiendo de la industria y la compañía y
circunstancias específicas), entre éstos: costo de recursos inactivos
(por ejemplo, en producción), caída en las ventas (por ejemplo,
órdenes), costos financieros (por ejemplo, no hay facturación
ni recolección), demoras (por ejemplo, adquisición) y costos
indirectos (por ejemplo, pérdida de participación de mercado,
imagen y buen nombre).
Manual de Preparación al Examen CISA 2011 137
Sección Dos: Contenido
Figura 2.17—Costos de interrupción vs. costos de recuperación
Operaciones
Descontinuadas
Costos
Total
Tiempo fuera de servicio
Mínimo
Estrategias de
Recuperación
Alternativas
Tiempo
El otro factor es el costo de las medidas correctivas alternativas
(la activación del BCP), que disminuye con el objetivo elegido
para el tiempo de recuperación. El costo de recuperación también
tiene muchos componentes (la mayoría de los cuales rígidos--
inelásticos). Esto incluye el costo de preparación y prueba periódica
del BCP, el costo de instalaciones de almacenamiento fuera del sitio,
el costo de cobertura de seguro, el costo anual de configuración de
sitios alternativos, etc. Las estrategias de recuperación alternativas
pueden representarse mediante puntos, utilizando coordenadas como
intervalo de tiempo y costo.
Al identificar estos costos, la figura 2.17 muestra también la
suma de las curvas de costos como total de costos (interrupción
y recuperación), en cuyo caso una organización desea encontrar
el punto en el cual se puede minimizar el costo total. Para esto,
se evalúan las estrategias de desarrollo alternativas, en cuyo
caso, con algunas estrategias discretas, se puede dibujar la curva
descendente y cada punto en la curva representaría una posible
estrategia. La curva como un todo representa todas las estrategias
posibles. Cada estrategia posible tiene un costo fijo, es decir, no
cambia en el tiempo. Note que el costo fijo de cada estrategia
posible puede diferir; en general, mientras más corta sea la
recuperación objetivo, más alto será el costo fijo. La organización
paga el costo de implementación, aun cuando no ocurran
accidentes. Si existe un accidente, los costos variables aumentarán
significativamente (por ejemplo, su contrato de "warm site"
puede contemplar una cuota anual plana más una cuota diaria por
ocupación real) debido a la necesidad de personal adicional, horas
extra, transporte y otros problemas logísticos (por ejemplo, per
diem, nuevas líneas de comunicación).
Si la estrategia de continuidad del negocio busca un tiempo de
recuperación más largo, será menos costosa que una estrategia de
tiempo más reducido, pero puede ser más susceptible a que los
costos de tiempo fuera de servicio salgan de control.
Uno de los resultados importantes del BIA, aparte del RTO y
RPO (ver abajo), es que proporciona una manera de agrupar
sistemas de información de acuerdo a su tiempo de recuperación.
Esto suele servir como guía en la selección de soluciones tecnológicas
(es decir, controles) que soportan la continuidad del negocio y la
recuperación en caso de desastre de TI.
A continuación se indica terminología que el auditor de SI
puede encontrar asociada con el desarrollo de una estrategia

Sección Dos: Contenido
de recuperación a través de BIA: RTO, RPO, ventana de
interrupción, máximo tiempo tolerable de inoperatividad (MTO) y
objetivo de prestación de servicios (SDO).
En resumen, es necesario minimizar la suma de todos los
costos—tiempo fuera de servicio y recuperación. El primer
grupo (costos de tiempo fuera de servicio) aumenta en el tiempo,
mientras que el segundo (costos de recuperación) disminuye en
el tiempo; la suma es generalmente una curva en U. En la parte
inferior de la curva en U, se puede encontrar el costo más bajo.
Nota: El candidato a CISA no se someterá a prueba de
cálculos de costos.
Clasificación de operaciones y análisis de criticidad
¿Qué es la clasificación de riesgo del sistema? Involucra una
determinación de riesgo basada en el impacto derivado del
periodo de tiempo de recuperación crítico, así como también
la posibilidad de que ocurra una interrupción adversa. Muchas
organizaciones utilizarán un riesgo de ocurrencia para determinar
un costo razonable de preparación. Por ejemplo, pueden
determinar que existe un riesgo de 0.1 por ciento (o 1 en 1,000)
de que en los próximos cinco años la organización sufrirá una
seria interrupción. Si el impacto evaluado de una interrupción es
US $10 millones, el costo razonable máximo de estar preparado
puede ser de US $10 millones x 0.1 por ciento = US $10,000
durante cinco años. Este método se llama Expectativa de pérdidas
anuales (ALE). En este proceso de análisis basado en el riesgo,
la priorización de sistemas críticos puede ocurrir al desarrollar
estrategias de recuperación. El procedimiento de clasificación de
riesgo se debería realizar en coordinación con el procesamiento
de SI y el personal de usuario final.
Un sistema característico de calificación de riesgos puede
contener las clasificaciones que aparecen en la figura 2.18.
Figura 2.18—Clasificación de sistemas
Clasificación Descripción
Crítica No se pueden realizar estas funciones a menos
que se reemplacen por capacidades idénticas.
No se pueden reemplazar las aplicaciones críticas
con métodos manuales. La tolerancia a las
interrupciones es muy baja; por lo tanto, el costo
de interrupción es muy alto.
Vital Estas funciones se pueden realizar manualmente,
pero sólo por un breve período de tiempo. Existe
una mayor tolerancia a la interrupción que con los
sistemas críticos y, por consiguiente, los costos de
interrupción resultan un tanto más bajos, siempre
que las funciones se restauren dentro de cierto lapso
de tiempo (por lo general cinco días o menos).
Sensitivas Estas funciones se pueden realizar manualmente,
a un costo aceptable y por un período de tiempo
prolongado. Aunque se puede realizar manualmente,
generalmente es un proceso difícil y se requiere
personal adicional para ejecutarlo.
No sensitivas Estas funciones se pueden interrumpir por un
período de tiempo prolongado, a un costo bajo o nulo
para la compañía y requieren poco o ningún esfuerzo
de actualización cuando se restauran.
138
Capítulo 2 - Gobierno y Gestión de TI cisA Cerdfled In om
Afuci tation
nor
La próxima fase en la gestión de la continuidad es identificar
las diversas estrategias de recuperación y alternativas posibles
para recuperarse cuando ocurre una interrupción y/o desastre.
La selección de una estrategia apropiada, basada en el BIA y el
análisis de criticidad, es el siguiente paso para desarrollar los planes
de continuidad del negocio (BCP) y planes de recuperación en caso
de desastre (DRP). Las dos métricas que ayudan a determinar las
estrategias de recuperación son el RPO y el RTO.
Las estrategias de recuperación se describen detalladamente en el
capítulo 4.
2.13.7 DESARROLLO DE PLANES DE CONTINUIDAD
DEL NEGOCIO
Tomando en cuenta las entradas que se reciben del BIA, los
análisis de criticidad y la estrategia de recuperación seleccionada
por la gerencia, se deberían desarrollar o revisar los BCP y DRP
detallados. Se deberían tratar todos los problemas concernientes
al alcance de la continuidad del negocio relacionados con
la interrupción de los procesos de negocios, incluyendo la
recuperación después de un desastre. Los diferentes factores
que se deben considerar cuando se desarrolla/revisa el plan son
los siguientes:
Capacidad para actuar antes de que ocurran desastres, que cubra
el manejo de la respuesta a incidentes con el fin de resolver
correctamente todos losincidentes relevantes que afecten los
procesos de negocios
Procedimientos de evacuación
Procedimientos para la declaración de un desastre
(procedimientos de escalamiento)
Circunstancias bajo las cuales se debe declarar un desastre.
Todas las interrupciones no representan desastres, por un
mínimo incidente si no se manejan a tiempo o de una manera
adecuada, podrían conducir a un desastre. Por ejemplo, el ataque
de un virus que no se reconoce y se ha mantenido por algún
tiempo puede destruir toda la instalación de TI.
La identificación clara de las responsabilidades en el plan
La identificación clara de las personas responsables para cada
función en el plan
La identificación clara de la información sobre el contrato
La explicación paso a paso del proceso de recuperación
La identificación clara de los diferentes recursos que se
requieren para la operación de recuperación y continuidad
de la organización
El plan debe estar documentado y escrito en un lenguaje sencillo
y fácil de entender.
Es común identificar los equipos de personal que son responsables
de tareas específicas en caso de desastre. Se deben formar equipos
importantes. Sus responsabilidades se explican más adelante. Se
deben mantener copias del plan fuera del sitio. El plan se debe
estructurar de modo tal que sus partes puedan ser fácilmente
manejadas por diferentes equipos.
2.13.8 OTROS PROBLEMAS EN EL DESARROLLO DE
LOS PLANES
El personal que deberá reaccionar a la interrupción o desastre
es aquel responsable por los recursos más críticos. Por
Manual de Preparación al Examen CISA 2011
CsAcsy. . 'n'
erred u:Igen
Capítulo 2- Gobierno y Gestión de TI
MILCOrCerMance
O
consiguiente, la participación de la gestión de usuario es vital
para el éxito en la ejecución del BCP. La participación de la
gestión de usuario es esencial para la identificación de sistemas
críticos, sus correspondientes tiempos de recuperación y la
especificación de los recursos necesarios. Las tres principales
divisiones que requieren participación en la formulación del
BCP son los servicios de apoyo (quienes detectan las primeras
señales de incidentes o desastres), las operaciones comerciales
(quienes pudieran verse afectadas a raíz del incidente) y el
apoyo en el procesamiento de la información (quién correrá la
recuperación).
Debido a que el propósito subyacente del BCP es la recuperación
y el restablecimiento de las operaciones comerciales, es esencial
considerar a toda la organización, no solamente los servicios de
procesamiento IS, en el desarrollo del plan. Cuando no exista un
plan BCP uniforme en toda la organización, debería ampliarse el
plan para el procesamiento IS a fin de incluir la planificación para
todas las divisiones y unidades que dependen de las funciones de
procesamiento de los sistemas de información.
En la formulación del plan, deberían asimismo incluirse los
siguientes aspectos:
Lista del personal, con información de contacto, necesaria para
mantener las funciones críticas del negocio a corto, mediano y
largo plazo.
Configuración de las instalaciones del edificio, escritorios,
sillas, teléfonos, etc., que se requieren para mantener las
funciones críticas del negocio a corto, mediano y largo plazo.
Los recursos requeridos para reanudar/continuar las operaciones
(no necesariamente recursos de TI y ni siquiera de tecnología,
como por ejemplo los materiales con el membrete de la compañía)
2.13.9 ELEMENTOS DE UN PLAN DE CONTINUIDAD DEL
NEGOCIO
Dependiendo del tamaño o los requerimientos de una
organización, un BCP puede constar de uno o más documentos.
Esto debe incluir:
Plan de continuidad de las operaciones
DRP
Plan de restablecimiento del negocio
También puede incluir:
Continuidad del plan de apoyo/Plan de contingencias TI
Plan de comunicaciones de crisis
Plan de respuesta a incidentes
Plan de transporte
Plan de emergencia del ocupante
Plan de evacuación y reubicación de emergencia
El propósito y alcance de los componentes de un BCP, tal como lo
sugiere NIST se indican en la Figura 2.19.
Para la fase de planificación, implantación y evaluación del BCP,
debería acordarse lo siguiente:
Las políticas que regirán todos los esfuerzos de continuidad
y recuperación
Manual de Preparación al Examen ClSA 2011 139
Sección Dos: Contenido
Metas/requerimientos/productos para cada fase.
Instalaciones alternas para realizar las tareas y operaciones
Recursos de información crítica que se van a implementar
(p.ej. datos y sistemas).
Personas responsables de llevarlas a cabo.
Recursos (incluso humanos) disponibles para ayudar en
su implementación
Programa de actividades con prioridades establecidas
Muchos BCP son creados como procedimientos que albergan
los sistemas de recuperación de la información (es decir:
almacenamiento de datos, servidores, etc.), estaciones de
trabajo de usuario, otros equipos determinados (lectores de
tarjetas, scanners de códigos de barras, impresoras, etc.) y la
red (canales, equipo). Las copias del plan deberían mantenerse
fuera del establecimiento: en la instalación de recuperación, en la
instalación de almacenamiento de medios y posiblemente en las
casas del personal clave en la toma las decisiones. Cada vez con
mayor frecuencia, una organización coloca la versión electrónica
del plan en un sitio web duplicado.
Personal clave para la toma de decisiones
El plan debería contener una lista telefónica o "árbol de llamadas", es
decir, un directorio de notificación, del personal IS clave en la toma
de decisiones y del personal de usuario final, que se requieran para
emprender y llevar a cabo los esfuerzos de recuperación. Usualmente
se trata de un directorio telefónico de personas que deberían ser
notificadas en el caso de un incidente, desastre o catástrofe. El punto
de atención en la preparación de la lista es que en caso de un desastre
de envergadura, incendio o explosión en horas laborables que dañe
seriamente las oficinas de la organización, muchos líderes de equipo
pudieran no estar disponibles.
Este directorio debe contener la siguiente información:
Lista de contactos por orden de prioridad (es decir, ¿A quién
debería llamarse primero?)
Números telefónicos y direcciones principales y para
emergencias por cada persona crítica de contacto. Usualmente
serán los líderes clave de equipo quienes se encarguen de
comunicarse con los integrantes de sus equipos.
Números telefónicos y direcciones de representantes de
proveedores de equipo y software.
Números telefónicos de contactos dentro de compañías que se
hayan designado para proporcionar servicios, equipo o insumos.
Números telefónicos de personas de contacto en los sitios de
recuperación, incluso representantes en el hot site o servicios
para volver a enrutar comunicaciones de red predefinidas.
Números telefónicos de personas de contacto en sitios de
almacenamiento de medios fuera del sitio y de las personas
de contacto dentro de la compañía que estén autorizadas para
recuperar medios desde la locación fuera del sitio.
Números telefónicos de agentes de seguros.
Número telefónico de los contactos en los servicios
suministrados por personal contratado.
Número telefónico y contactos de organismos legales,
reglamentarios o gubernamentales, de ser necesario.
Un procedimiento para determinar a cuántas personas se ubicó
mientras se utilizaba la cadena de llamadas (call tree)

Sección Dos: Contenido Capítulo 2 - Gobierno y Gestión de TI cisic cortied Aufodm
In iatIon
itor

Figura 2.19—Propósito del alcance de los componentes del plan de continuidad del negocio
Plan
Planes de continuidad del
negocio
Plan de recuperación (o
restablecimiento) del negocio
(BRP)
Plan de continuidad de
operaciones (COOP)
Continuidad del plan
de respaldo o plan de
contingencia TI
Plan de comunicaciones
críticas
Plan de respuesta a incidentes
cibernéticos
Plan de recuperación en caso
de desastre
Plan de emergencia del
ocupante (OEP).
Propósito
Brindar los procedimientos para sostener las operaciones
esenciales del negocio mientras se recuperan de un
trastorno significativo.
Brindar los procedimientos para recuperar las Trata los procesos comerciales; TI no enfocada; TI basada
operaciones comerciales inmediatamente después de una solamente en el respaldo a los procesos comerciales.
situación de desastre.
Brindar los procedimientos y las capacidades para
sostener las funciones esenciales y estratégicas de una
organización como sitio alterno durante un lapso de hasta
30 días.
Brindar los procedimientos y capacidades para recuperar
una aplicación mayor o un sistema general de respaldo.
Brinda los procedimientos para distribuir informes de
situación al personal y al público.
Proporciona estrategias para detectar, responder y limitar
las consecuencias de incidentes cibernéticos dolosos.
Brindar procedimientos detallados para facilitar la
recuperación de capacidades en un sitio altemo.
Brinda procedimientos coordinados para minimizar las
pérdidas de vida o lesiones y proteger contra los daños a
la propiedad privada en respuesta a una amenaza física.
Alcance
Aborda los procesos comerciales; TI basada solamente en
su respaldo a los procesos comerciales.
Aborda el subconjunto de las misiones de una
organización que se caracterizan por ser las más críticas;
usualmente escritas al nivel de la sede; TI no enfocada
Igual que el plan de contingencia TI; acomete las
irregularidades en el sistema TI; no se enfoca en el
proceso comercial.
Trata las comunicaciones con el personal y con el público;
TI no enfocada.
Se centra en respuestas de seguridad de información a
los incidentes que afectan los sistemas o redes.
A menudo TI enfocada; se limita a los grandes trastornos
con efectos a largo plazo.
Se enfoca en el personal y la propiedad de la instalación
en particular; no está basado en el proceso comercial ni
en una funcionalidad del sistema TI.

Respaldo de los suministros requeridos
El plan debe tener provisiones para todos los insumos que
se necesiten para continuar con las actividades de negocio
normales durante las actividades de recuperación. Esto incluye
procedimientos detallados impresos y actualizados que pueda
seguir fácilmente tanto el personal interno como externo
que no esté familiarizado con las operaciones normales y de
recuperación. Asimismo, se debe garantizar que la ubicación fuera
del sitio cuente con un abastecimiento de formatos especiales,
tales como cheques, facturas y pedidos.
Si la función de entrada de datos depende de ciertos dispositivos
de hardware o de programas de software, tales programas y equipo
deberían proporcionarse en el hot site. Lo mismo aplicaría al equipo
criptográfico, incluidas las teclas electrónicas (tokens RSA, teclas
USB, etc.).
Seguro
El plan de recuperación debe contener información clave
sobre el seguro de la organización. La póliza de seguro para el
procesamiento de SI es por lo general una póliza contra múltiples
daños diseñada para brindar varios tipos de cobertura de TI. Debe
elaborarse modularrnente, para que se pueda adaptar al ambiente
de TI particular del asegurado.
Nota: Los pormenores sobre las pólizas de seguro no se
incluyen en el examen de CISA porque difieren de un país a
otro. La prueba abarcado que debería incluirse erizas pólizas
y acuerdos con terceros, pero no deberían examinar los tipos
específicos de cobertura.
Los tipos específicos disponibles de cobertura son:
Equipo e instalaciones IS—Ofrece cobertura contra daños
físicos al IPF y equipo propio. (Debería obtenerse un seguro
para el equipo rentado cuando el arrendatario sea responsable
por la cobertura contra riesgos.) Se advierte al auditor de SI
que debería revisar estas pólizas, ya que muchas obligan a los
proveedores de seguros a reemplazar equipos que no pueden
restaurarse solamente con "de igual clase y calidad", no
necesariamente con nuevo equipo por el mismo proveedor
del equipo dañado.
Reconstrucción de medios (software)—Cubre contra daños
a los medios informáticos que sean de la propiedad del
asegurado y por los cuales el asegurado podría ser responsable.
El seguro está disponible para desastres en las instalaciones,
fuera de las instalaciones o en tránsito y cubre el costo de
reproducción real del bien. Algunas consideraciones para
determinar el monto de la cobertura necesaria son los costos
de programación para reproducir los medios dañados, gastos
por respaldo y reemplazo físico de dispositivos de medios,
tales como cintas, cartuchos y discos.
Gastos adicionales—Diseñada para cubrir los costos
adicionales por continuar las operaciones después del daño o
destrucción en IPF. El monto del seguro por gastos adicionales
necesario se basa en la disponibilidad y el costo de los equipos y
operaciones de respaldo. Los gastos adicionales también pueden
cubrir la pérdida de ganancias netas ocasionadas por daños
en medios informáticos. Dispone el reembolso por pérdidas
pecunarias causadas por la suspensión de las operaciones
debido a la pérdida física de equipos o medios. Un ejemplo
de una situación que requiere este tipo de cobertura es si las
instalaciones para el procesamiento de información estaban
en el sexto piso y se quemaron los cinco primeros pisos.

140 Manual de Preparación al Examen CISA 2011

 Aje" Capítulo 2 - Gobierno y Gestión de
cisA =l'
C Sección Dos: Contenido
. l
En este caso, las operaciones se interrumpirían aun cuando
las instalaciones de procesamiento de información (IPF) no
se hubieran afectado.
Interrupción del negocio—Cubre el lucro cesante debido
al trastorno de la actividad de la empresa causada por el mal
funcionamiento de la organización IS
Documentos y registros de valor—Cubre el valor real en
efectivo de documentos y registros (no definidos como medios)
en las instalaciones del asegurado contra divulgación no
autorizada, pérdida o daño fisico directo.
Errores y omisiones—Brinda protección contra
responsabilidad legal en caso de que un experto incurra en un
acto, error u omisión que resulte en una pérdida financiera para
el cliente. Este seguro se diseñó originalmente para agencias de
servicios, pero ahora está disponible con muchas aseguradoras
para protegerse contra acciones de analistas de sistemas,
diseñadores de software, programadores, consultores y otro
personal de SI.
Cobertura de fidelidad—Por lo general se trata de una fianza
bancaria general, un seguro por exceso de fidelidad o fianzas
generales comerciales. Cubre contra pérdida ocasionada por
actos deshonestos o fraudulentos por parte de empleados.
Este tipo de cobertura es común en instituciones financieras,
que operan sus propias instalaciones de procesamiento de
información (IPF).
Transporte de medios—Proporciona cobertura contra
posible pérdida o daño de medios en tránsito a equipos de
procesamiento de información (IPFs) que estén fuera de las
instalaciones. La redacción de la cobertura de tránsito en la
póliza suele especificar que todos los documentos tienen que
ser filmados o copiados por otros medios. Cuando la póliza
no requiere especificamente que los datos se filmen antes de
su transportación y el trabajo no se filma, la gerencia debe
obtener del servicio de mensajería de la aseguradora una carta
que describa en forma específica la posición del servicio de
mensajería de la compañía aseguradora y la cobertura en caso de
destrucción de los datos.
Es importante recordar varios puntos clave sobre el seguro.
La mayoría de los seguros cubren únicamente las pérdidas
financieras con base en el nivel histórico y no en el nivel actual
de rendimiento. Tampoco, el seguro indemniza por pérdida de
imagen o fondo de comercio.
2.13.10 PRUEBAS DEL PLAN
Muchas pruebas de continuidad del negocio no alcanzan a ser
una prueba a toda escala de todas las porciones operativas de la
organización, si efectivamente se prueban en su totalidad. Esto
no descarta hacer pruebas totales o parciales, porque uno de los
propósitos de la prueba al plan de continuidad del negocio es
determinar qué tan bien funciona el plan o qué partes del plan
requieren mejoras.
Las pruebas deben programarse durante un tiempo que minimice
las interrupciones de operaciones normales. Los fines de semana
son, por lo general, un buen momento para realizar las pruebas.
Es importante que los miembros clave del equipo de recuperación
participen en el proceso de la prueba y le dediquen el tiempo
necesario para poner todo su empeño en ello. La prueba debe
Manual de Preparación al Examen CISA 2011 141
TI
incluir todos los componentes críticos y simular las condiciones
reales de procesamiento durante los momentos de mayor
actividad, aun si se lleva a cabo fuera de las horas pico.
Especificaciones
En la prueba debería hacerse énfasis en el cumplimiento de
las siguientes tareas:
Verificar la integridad y precisión del BCP.
Evaluar el desempeño del personal involucrado en el ejercicio.
Informar sobre la capacitación y concienciación de los empleados
que no formen parte de un equipo de continuidad del negocio.
Evaluar la coordinación entre los miembros del equipo y los
contratistas y proveedores externos.
Medir la habilidad y la capacidad del sitio alterno para realizar
procesamientos recomendados.
Evaluar la capacidad de recuperación de registros vitales.
Evaluar el estado y la cantidad de equipos e insumos que
se han reubicado al sitio de recuperación.
Medir el desempeño general de las actividades de procesamiento
de sistemas de información y operativos para mantener la
entidad de negocio.
Nota: Esto forma parte importante de la responsabilidad
del auditor —evaluar los resultados y el valor del 13CP y las
pruebas DRP.
Ejecución de la prueba
Para realizar las pruebas, se debe llevar a cabo cada una de las
siguientes fases de prueba:
Prueba preliminar—El conjunto de acciones necesarias
destinadas a establecer la etapa para la prueba real. Esta fase
incluye desde colocar mesas en el área de recuperación de
operaciones hasta transportar e instalar equipo telefónico de
respaldo. Estas actividades están fuera del ámbito de aquellas
que ocurrirían en el caso de una emergencia real, en la cual por
lo general no hay una advertencia del evento y, por tanto, ningún
tiempo para tomar acciones preparatorias.
Prueba—Ésta es la acción real de la prueba del plan de
continuidad del negocio. Se ejecutan las actividades operativas
reales para probar los objetivos específicos del plan. Se deben
hacer capturas de datos, llamadas telefónicas, procesamiento
de sistemas de información, manejo de pedidos y movimiento
de personal, equipo y proveedores. Los evaluadores deben
revisar a los miembros del personal mientras realizan las
tareas designadas. Ésta es la prueba real de preparación para
responder a una emergencia.
Prueba posterior—La depuración de las actividades de grupo.
Esta fase comprende asignaciones como regresar todos los
recursos a su lugar apropiado, desconectar los equipos, regresar
al personal a sus ubicaciones normales y borrar todos los datos
de la compañía de los sistemas de terceros. La depuración
posterior a la prueba también incluye evaluar formalmente
el plan e implementar las mejoras indicadas.
Sección Dos: Contenido
Además, se pueden realizar los siguientes tipos de pruebas:
Prueba de evaluación con lápiz y papel—Verificación física
del plan, que involucra a los principales actores en la ejecución
del plan, quienes disciernen sobre qué podría pasar en un tipo
en particular de trastorno del servicio. Podrían dar un repaso al
plan entero o sólo a una parte de él. La prueba en papel suele
anteceder a las pruebas de preparación.
Prueba de preparación—Usualmente es una versión localizada
de una prueba completa, donde se invierten recursos reales en la
simulación de avería de un sistema. Estas pruebas se aplican a
diferentes aspectos del plan y pueden ser una forma rentable de
obtener gradualmente evidencia sobre qué tan bueno es el plan.
También brindan los medios para mejorar el plan en incrementos.
Pruebas operativas completas—Están a un paso de una
interrupción real en el servicio. Una organización necesita haber
realizado una prueba en papel y a nivel local antes de intentar
parar las operaciones por completo. A los efectos de las pruebas
BCP, éste es el desastre.
Documentación de los resultados
Durante cada fase de la prueba, se debe mantener documentación
detallada de las observaciones, problemas y soluciones. Cada equipo
debería tener un formulario en forma de diario, para anotar los
pasos específicos y la información, que puede emplearse a modo de
documentación. Esta documentación sirve como una información
histórica importante que puede facilitar la recuperación real durante
un desastre real. Además, la compañía aseguradora o las autoridades
locales pudieran pedirlo. También la documentación ayuda a realizar
un análisis detallado tanto de las fortalezas como de las debilidades
del plan.
Análisis de resultados
Es importante contar con una manera de medir el éxito del plan y
de la prueba frente a los objetivos establecidos. Por consiguiente, los
resultados deberán calibrarle cuantitativamente en contraposición a
una evaluación basada solamente en la observación.
Las mediciones específicas varían dependiendo de la prueba y
de la organización; sin embargo, las siguientes medidas generales
suelen aplicar:
Tiempo—El tiempo transcurrido para llevar a cabo las tareas
establecidas, la entrega de equipos, la conformación del personal
y la llegada al sitio establecido previamente.
Cantidad—La cantidad de trabajo realizado por el personal
administrativo en el sitio alterno y el volumen de operaciones
de procesamiento de los sistemas de información.
Conteo—El número de registros vitales que se transportaron con
éxito al sitio alterno en comparación con el número requerido,
así como el número de insumos y equipos solicitados en
comparación con los que se recibieron en realidad. Asimismo, el
número de sistemas críticos que se recuperaron con éxito puede
medirse con el número de transacciones procesadas.
Exactitud—La exactitud de la captura de datos en el sitio
de recuperación en comparación con la precisión normal
(como un porcentaje). De igual forma, la exactitud de los
ciclos de procesamiento real se puede determinar comparando
los resultados de salida con aquellos del mismo periodo
procesados en condiciones normales.
142 Manual de Preparación al Examen CISA 2011
Capítulo 2 - Gobierno y Gestión de TI Cedilla' Information
CISA spur/13AL~
M 11..010110.1
Mantenimiento del plan
Deberían revisarse y actualizarse los planes y estrategias para la
continuidad del negocio con base en un cronograma que refleje
el reconocimiento continuo de los requerimientos cambiantes o
de manera extraordinaria (revisiones no programadas), cuando
se produzca un cambio importante que afecte los planes y
estrategias. Los siguientes factores, y otros, pueden impactar en
los requerimientos para la continuidad del negocio y la necesidad
de actualizar el plan:
Una estrategia que resulte apropiada en un momento
determinado pudiera no ser adecuada a medida que cambian las
necesidades de la organización (procesos comerciales, nuevos
departamentos, cambios en el personal clave.)
Se podrían desarrollar o adquirir nuevas aplicaciones/recursos.
Los cambios en la estrategia comercial pueden alterar la
significación de las aplicaciones críticas o catalogar de críticas
las aplicaciones adicionales.
Cambios en el ambiente de software o hardware podría hacer
que las provisiones actuales sean obsoletas o inapropiadas.
Nuevos acontecimientos o un cambio en la probabilidad de los
mismos pueden generar trastornos
Un paso importante en el mantenimiento de un BCP consiste
en actualizarlo y probarlo cada vez que se produzcan cambios
relevantes dentro de la organización. También sería deseable
incluir el BCP como parte del proceso del ciclo de vida de
desarrollo de sistemas (SDLC).
La responsabilidad por el mantenimiento del BCP a menudo recae
en el coordinador del BCP. El plan específico de mantenimiento
comprende las siguientes responsabilidades:
Desarrollar un programa para la revisión y el mantenimiento
periódico del plan e informar al personal sobre sus roles y
las fechas límite para recibir modificaciones y comentarios.
Pedir revisiones no programadas cuando se produzcan cambios
significativos.
Verificar las revisiones y los comentarios y actualizar el plan
en el transcurso de X días (por ejemplo: 30 días, dos semanas)
de la fecha de revisión.
Organizar y coordinar pruebas programadas y no programadas
del BCP a fin de evaluar su suficiencia.
Participar en las pruebas programadas del plan, las cuales
deberían realizarse al menos una vez al año en determinadas
fechas. Para las pruebas programadas y no programadas, el
coordinador escribirá las evaluaciones e integrará los cambios
a fin de resolver los resultados de pruebas fallidas en el BCP
en el transcurso de X días (por ejemplo: 30 días, dos semanas).
Desarrollar un calendario para capacitar al personal de
recuperación en los procedimientos de emergencia y
recuperación conforme a lo establecido en el BCP. Las fechas de
la capacitación deberían fijarse en el transcurso de 30 días de la
revisión de cada plan y de la prueba programada para el plan.
Mantener registros de las actividades de mantenimiento del
BCP, como pruebas, capacitación y revisiones.
Actualizar periódicamente, al menos trimestralmente (se
recomiendan lapsos más cortos), el directorio de notificación de
todos los cambios en el personal, incluidos números de teléfono,
atribuciones o rango dentro de la empresa
C CESA Systems Padlto? Capftulo 2- Gobierno
Cerned Information
.7---i---
y Gestión de TI
Una herramienta de software para administrar los planes de
continuidad y recuperación pudiera servir para rastrear y hacerle
seguimiento a las labores de mantenimiento.
Un elemento clave para este enfoque es que las copias de respaldo
rotadas fuera del sitio contengan etiquetas para cintas magnéticas y
brazos robotizados con lectores de código de barras
Mejores prácticas en la gestión de continuidad
del negocio
La necesidad de repasar y mejorar de manera continua y
periódicamente el programa de continuidad del negocio es
determinante para el desarrollo de una estrategia exitosa
y contundente de recuperación en una organización,
independientemente de que la organización se encuentre
en la etapa inicial de desarrollo de un BCP En un esfuerzo
por mejorar las capacidades del BCM (y cumplir con las
directrices reglamentarios), algunas organizaciones han
comenzado a adoptar las mejores prácticas para entidades tanto
independientes como específicas de la industria y agencias
reglamentarias. Algunas de estas entidades o prácticas/reglamen
tos/estándares son:
Instituto de Continuidad del Negocio (BCI)—Brinda las
mejores prácticas para la gestión de la continuidad del negocio
Instituto Internacional de Recuperación en Caso de Desastre
(Disaster Recovery Institute International, DRID—Proporciona
prácticas especiales para profesionales de la continuidad del
negocio
Agencia Nacional de Estados Unidos de Protección contra
Incendios (NFPA)
Asociación Federal de Estados Unidos para el Manejo de
Emergencias (FEMA)—Ofrece una guía para el comercio
y la industria en el manejo de las emergencias
COBIT
US National Institute of Standards and Technology
US Federal Financial Institution Examination Council (FFIEC)
Junta de Reserva Federal de Estados Unidos (FRB)
HIPAA
US Federal Energy Regulatory Commission (FERC)
I Nota: El candidato a eisa no será evaluado sobre prácticas/
estándares específicos
2.13.11 RESUMEN DE CONTINUIDAD DEL NEGOCIO Y
RECUPERACIÓN EN CASO DE DESASTRE
Con miras a garantizar un servicio continuo, debería redactarse un
BCP para minimizar el impacto de los trastornos. Este plan debería
basarse en el plan TI de largo alcance y debería respaldar y alinearse
con la estrategia general de continuidad del negocio. Por lo tanto, el
proceso de desarrollar y mantener un DRP o BCP apropiadodebería
consistir en:
Realizar una evaluación de riesgos—Identificar y priorizar
los sistemas y otros recursos que se requieren para soportar
los procesos de negocio críticos en caso de que ocurra una
interrupción. Identificar y priorizar amenazas y vulnerabilidades.
Elaborar un análisis del impacto del negocio sobre el efecto
que tiene la pérdida de procesos de negocio críticos y sus
componentes de soporte.
Manual de Preparación al Examen CISA 2011 143
Sección Dos: Contenido
Elegir controles apropiados y medidas de recuperación de
componentes de TI para soportar los procesos de negocio críticos.
Desarrollar el plan detallado para recuperar las instalaciones
IS (DRP).
Desarrollar un plan detallado para las funciones de negocio que
sean críticas para continuar operando a un nivel aceptable (plan
de continuidad del negocio, BCP).
Probar los planes.
Actualizar los planes a medida que cambia el negocio y se
desarrollan sistemas.
2.14 AUDITORÍA A LA PLAN DE CONTINUIDAD
DEL NEGOCIO
Las tareas del auditor IS abarcan:
Comprender y evaluar la estrategia sobre la continuidad
del negocio y su conexión con los objetivos del negocio
Revisar los hallazgos de BIA para asegurarse de que reflejen
las prioridades actuales del negocio y los controles actuales
Evaluar los BCP a fin de determinar su conveniencia y difusión,
al revisar los planes y compararlos con las correspondientes
estándares o reglamentos gubernamentales, incluidos RTO, RPO
etc., definidos por el BIA
Verificar la eficacia de los BCP mediante la revisión de los
resultados de las pruebas realizadas anteriormente por IS
y el personal de usuario final
Evaluar el almacenamiento externo para asegurar su
conveniencia al inspeccionar la instalación y verificar sus
contenidos y controles de seguridad y ambiental
Verificar los trámites para transportar los medios de respaldo
a fin de asegurarse de que satisfagan los requerimientos
apropiados de seguridad.
Evaluar la capacidad del personal para responder efectivamente
en situaciones de emergencia, al revisar los procedimientos de
emergencia, la capacitación de empleados y los resultados de las
pruebas y los ensayos.
Velar por el establecimiento y vigencia del proceso para
mantener los planes y porque éste abarque las revisiones tanto
periódicas como no programadas.
Evaluar si los manuales sobre la continuidad del negocio y los
procedimientos están redactados de una manera sencilla y fácil
de comprender. Esto puede lograrse mediante entrevistas y al
determinar si todas las partes involucradas comprenden sus
atribuciones y responsabilidades con respecto a las estrategias
sobre la continuidad del negocio.
2.14.1 REVISAR EL PLAN DE CONTINUIDAD DEL
NEGOCIO
En la revisión del plan desarrollado, los auditores IS deberían
verificar que los elementos básicos de un plan bien desarrollado
se pongan de manifiesto. Los procedimientos de auditoria para
abordar estos elementos básicos comprenden:
Revisar el documento.
Obtener una copia de la política y estrategia sobre la continuidad
del negocio.
Sección Dos: Contenido Capítulo 2 - Gobierno
Obtener una copia actual del BCP o manual.
Obtener una copia de los hallazgos más recientes del BIA e
identificar el RTO, RPO y otras directrices estratégicas clave.
Tomar una muestra de las copias distribuidas del manual
y verificar que estén vigentes.
Verificar si el BCP apoya la estrategia sobre la continuidad
del negocio en general.
Evaluar la efectividad de los procedimientos documentados
para la invocación de la ejecución del BCP.
Evaluar el procedimientos de actualización del manual. ¿Se aplican
y distribuyen las actualizaciones oportunamente? ¿Se documentan
las responsabilidades específicas de mantenimiento del manual?
Revisar las Aplicaciones Cubiertas por el Plan
Revisar la identificación, prioridades y respaldo previsto de
las aplicaciones críticas, tanto las basadas en el servidor como
las basadas en la estación de trabajo.
Determinar que se haya revisado en todas las aplicaciones
el nivel de tolerancia en caso de desastres.
Determinar que se hayan identificado todas las aplicaciones
críticas (incluidas las aplicaciones PC).
Determinar que el sitio secundario tenga las versiones correctas
de todo el software del sistema. Verificar que todo el software
sea compatible; caso contrario, el sistema no podrá procesar los
datos de producción durante la recuperación.
Revisar los Equipos de Continuidad del Negocio
Obtener una lista de miembros por cada equipo de recuperación,
continuidad o respuesta.
Obtener una copia de los acuerdos relacionados con el empleo
de las instalaciones de respaldo.
Comprobar la conveniencia e integridad de la lista del personal
encargado de la continuidad del negocio, los contactos de hot
site de emergencia, los contactos de proveedores, etc.
Llamar a una muestra de las personas indicadas y verificar
que sus números telefónicos y direcciones estén correctos, tal
como se señala, y que poseen una copia vigente del manual de
continuidad del negocio.
Entrevistarlos para tener una idea de cuáles son sus asignaciones
en una situación de interrupción o de desastre.
Pruebas del plan
Evaluar los procedimientos para documentar las pruebas.
Revisar los procedimientos de respaldo que se siguen en cada
área cubierta por el DRP.
Determinar si se siguen los procedimientos de respaldo y
recuperación.
Además de los pasos anteriores:
Evaluar si todos los procedimientos escritos de emergencia
están completos, son apropiados y exactos, están vigentes y son
fáciles de comprender.
Identificar si las transacciones que se ingresan nuevamente
en el sistema a través del proceso de recuperación deberían
identificarse aparte de las transacciones normales.
Determinar que todos los equipos de recuperación, continuidad
y respuesta hayan redactado los procedimientos que deberán
seguirse en caso de que ocurra un desastre.
144 Manual de Preparación al Examen CISA 2011
y Gestión de TI CISA Certtfled Information
Systems Au ditor'
An Cartkotan
Determinar la existencia de un procedimiento idóneo destinado
a actualizar los procedimientos escritos para casos de emergencia.
Determinar que los procedimientos de recuperación de usuario
estén documentados.
Determinar que el plan aborde de manera adecuada el
desplazamiento al sitio de recuperación.
Determinar que el plan aborde de manera adecuada la
recuperación desde el sitio de recuperación.
Determinar que los artículos necesarios para la reconstrucción
de la instalación de procesamiento de información se hayan
guardado en un almacenamiento externo, tales como proyectos,
inventario del hardware y diagramas de cableado.
Las preguntas a considerar incluyen:
¿Quién está encargado de la administración o coordinación
del plan?
¿El administrador o coordinador del plan se encarga de
mantener el plan actualizado?
¿Dónde se guarda el DRP?
¿Cuáles sistemas críticos cubre el plan?
¿Cuáles sistemas no están cubiertos en el plan? ¿Por qué no?
¿Cuál equipo no está cubierto en el plan? ¿Por qué no?
¿El plan opera con algún supuesto? ¿Cuáles son estos supuestos?
¿El plan identifica puntos de encuentro para que el comité
de gestión en caso de desastres o el equipo para el manejo de
emergencias se reúna y decida si debería iniciarse la continuidad
del negocio?
¿Los procedimientos documentados son adecuados para el éxito
de la recuperación?
¿El plan acomete los desastres de diversos grados?
¿Se abordan en el plan los respaldos de telecomunicaciones
(tanto de datos como de voz)?
¿Dónde se encuentra la instalación de respaldo?
¿El plan trata la reubicación hacia una nueva instalación
de procedimiento de información en caso de que no pueda
restaurarse el centro original?
¿El plan incluye procedimientos para fusionar los datos
del archivo maestro, los datos del sistema automatizado de
administración de cintas, etc., en archivos previos a situaciones
de desastre?
¿El plan aborda la carga de los datos procesados manualmente
en un sistema automatizado?
¿Hay procedimientos formales que especifiquen los
procedimientos y responsabilidades de respaldo?
¿Qué capacitación se ha impartido al personal para el empleo
del equipo de respaldo y los procedimientos establecidos?
¿Están documentados los procedimientos de restauración?
¿Se hacen respaldos ordinarios y sistemáticos de las
aplicaciones y archivos de datos sensibles o cruciales?
¿Quién determina los métodos y la frecuencia en el respaldo
de los datos para la información crítica que está almacenada?
¿Qué tipo de medios se utilizan para los respaldos?
¿El almacenamiento externo se emplea para mantener los
respaldos de la información crítica que se requiere en el
procesamiento de las operaciones internas o externas?
¿Hay documentación adecuada para efectuar una recuperación
en caso de desastre o pérdida de los datos?
¿Existe un cronograma para probar y capacitar al personal sobre
el plan?
 cisA cslied
.infokzation Capítulo 2- Gobierno y Gestión de TI
I
2.14.2 EVALUACIÓN DE LOS RESULTADOS DE
PRUEBAS ANTERIORES
El coordinador de BCP debería mantener documentación histórica
acerca de los resultados de una continuidad de negocio deficiente.
El auditor IS debería revisar estos resultados y determinar que se
haya incorporado al plan aquellas acciones que deban corregirse.
Así mismo, el auditor IS debería evaluar en las pruebas anteriores
de BCP/DRP la meticulosidad y la exactitud en el logro de sus
objetivos. Deberían examinarse los resultados de las pruebas para
determinar que se hayan logrado los resultados apropiados, así
como determinar los posibles problemas y la solución apropiada
de los mismos.
2.14.3 EVALUACIÓN DEL ALMACENAMIENTO
EXTERNO
Debería evaluarse la instalación de almacenamiento externo para
garantizar la presencia, sincronización y vigencia de los medios
y la documentación crítica. Esto abarca los archivos de datos,
el software de aplicaciones, la documentación de aplicaciones,
el software de sistemas, la documentación de sistemas, la
documentación de operaciones, los suministros necesarios,
formularios especiales y una copia del BCR A objeto de verificar
las condiciones antes mencionadas, el auditor IS debería efectuar un
examen detallado del inventario. Este inventario abarca las pruebas
para corregir los nombres en los conjuntos de datos, seriales de
volumen, períodos contables y localidades binarias de los medios.
El auditor IS también debería examinar la documentación,
comparar su difusión con la documentación de producción, evaluar
la disponibilidad de la instalación y asegurarse de que concuerde
con los requerimientos de la gerencia.
2.14.4 ENTREVISTAS AL PERSONAL CLAVE
El auditor IS debería entrevistar al personal clave que se requiere
para el éxito en la recuperación de las operaciones del negocio.
Todo el personal clave debería estar al tanto de sus asignaciones
así como conocer la documentación actualizada y detallada donde
se describen sus tareas.
2.14.5 EVALUACIÓN DE SEGURIDAD EN
INSTALACIONES EXTERNAS
Debería evaluarse la seguridad de la instalación externa para
asegurarse de que cuente con los controles apropiados de acceso
fisico y ambiental. Estos controles comprenden la capacidad
para limitar el acceso solamente a usuarios autorizados de la
instalación, pisos elevados, controles de humedad, controles de
temperatura, circuitos especializados, suministro ininterrumpido
de electricidad, dispositivos para la detección de agua, detectores
de humo y un sistema apropiado para extinguir incendios. El
auditor IS debería examinar en el equipo la inspección actual y
etiquetas de calibración. Esta revisión también debería considerar
los requerimientos de seguridad para el transporte de los medios.
Manual de Preparación al Examen CISA 2011 145
Sección Dos: Contenido
2.14.6 REVISIÓN DE CONTRATO DE PROCESAMIENTO
ALTERNATIVO
El auditor IS debería obtener una copia del contrato con el
proveedor sobre la instalación alterna de procesamiento. Deberían
verificarse las referencias del proveedor para garantizar la
confiabilidal, y todos los compromisos del proveedor deberían
comprobarse por escrito. Debería cotejarse el contrato con los
siguientes directrices:
Asegurarse de que el contrato esté escrito claramente y sea
comprensible.
Reexaminar y confirmar el acuerdo de la organización con
las reglas que aplican a los sitios compartidos con otros
suscriptores.
Asegurarse de que la cobertura del seguro concuerde y cubra
todos (o la mayoría de) los gastos relacionados con el desastre.
Asegurarse de que puedan realizarse las pruebas en el hot site
a intervalos regulares.
Revisar y evaluar los requerimientos de comunicaciones para
el sitio de respaldo.
Asegurarse de que el contrato exigible de depósito en garantía
para el código fuente sea revisado por un abogado especialista
en la materia.
Determinar la tolerancia del recurso de limitación en caso de
incumplimiento del contrato.
2.14.7 REVISAR LA COBERTURA DEL SEGURO
Es esencial que la cobertura de seguro refleje el costo real de
la recuperación. Al tomar en consideración la prima del seguro
(costo), debería revisarse la idoneidad de la cobertura contra
los daños a los medios, la interrupción del negocio, el reemplazo
de equipos y el procesamiento de la continuidad del negocio.
Nota: El candidato a C1SA debería conocer cuáles disposiciones
críticas deberían incluirse dentro de las pólizas de seguro en
resguardo de la orgardzación.
Sección Dos: Contenido Capítulo 2 - Gobierno
2.15 CASOS DE ESTUDIOS
Los siguientes caso de estudios están incluidos como una
herramienta de aprendizaje para reforzar los conceptos introducidos
en este capítulo. Los candidatos a examen deben notar que el examen
de CISA actualmente no usa este formato para pruebas.
2.15.1 CASO DE ESTUDIO A
Escenario de Caso de Estudio A
A un auditor de SI se le ha pedido que revise el borrador de
un contrato de servicios externos y su SLA y que recomiende
cualquier cambio o señale cualquier preocupación antes de que
éstos sean presentados a la alta dirección para su aprobación
final. El contrato incluye soporte externo de Windows y de la
administración del servidor UNIX y la administración de redes
a un tercero. Los servidores serán reubicados a la instalación
del contratista que está ubicada en otro país, y se establecerá la
conectividad usando Internet. Se aumentará la capacidad del
software del sistema operativo dos veces por año, pero éstos no
serán entregados en custodia. Todas las solicitudes de adición o
de eliminación de cuentas de usuario serán procesadas dentro
de tres días hábiles. El software de detección de intrusos será
monitoreado continuamente por el contratista y se notificará al
cliente por correo electrónico si se detecta cualquier anomalía.
Los nuevos empleados contratados dentro de los últimos tres años
estuvieron sujetos a verificaciones de antecedentes. Antes de eso,
no había políticas establecidas. Está establecida una cláusula de
derecho a auditoria, pero se requiere un aviso de 24 horas antes
de una visita al establecimiento. Si se encontrara que el contratista
está en violación de cualquiera de los términos o condiciones del
contrato, éste tendrá 10 días hábiles para corregir la deficiencia.
El contratista no tiene un auditor de SI, pero es auditado por una
firma regional de contadores públicos.
PREGUNTAS DEL CASO DE ESTUDIO A
Al. ¿Cuál de los siguientes aspectos sería de MAYOR preocupación
para el auditor de SI?
Los cambios de cuenta de usuario son procesados dentro de
tres días hábiles.
Se requiere un aviso con 24 horas de anticipación para una
visita al establecimiento.
El contratista no tiene una función de auditoria de SI.
Poner el software en custodia de un tercero no está incluido
en el contrato.
A2. ¿Cuál de los siguientes problemas sería el MÁS significativo para
tratar si los servidores tuvieran información personal identificable
del cliente a la que los usuarios finales pueden acceder
regularmente y que pueden actualizar?
El país en el que el contratista está establecido prohíbe el uso
de encriptación fuerte para los datos transmitidos.
El contratista limita su responsabilidad si toma medidas
razonables para proteger los datos de clientes.
El contratista no efectuó verificaciones de antecedentes de los
empleados contratados hace más de tres años.
El software de sistema sólo se actualiza una vez cada seis
meses.
Ver las respuestas y explicaciones a las preguntas de práctica al final del capítulo
(página 148).
146
y Gestión de TI CISA rotteittAudi
liorofi
r
2.15.2 CASO DE ESTUDIO B
Escenario de Caso de Estudio B
Una organización ha implementado una aplicación integrada para
respaldar los procesos del negocio. También llegó a un acuerdo
con un proveedor para el mantenimiento de la aplicación y para
proveer respaldo a los usuarios y administradores del sistema. Este
respaldo se suministrará a través de un centro de proveedores de
soporte remoto utilizando un ID de usuario dotado de privilegios
con autoridad de súper usuario a nivel de sistema operativo (O/S)
que tiene acceso a la escritura y lectura de todos los archivos.
El proveedor utilizará este ID de usuario especial para ingresar
al sistema a fin de solucionar problemas e implementar las
actualizaciones (parches) a la aplicación. Debido al volumen de
transacciones, los registros de actividades sólo se guardan por 90
días.
PREGUNTAS DEL CASO DE ESTUDIO B
B1 . ¿Cuál de las siguientes actividades representa la MAYOR inquietud
para el auditor de SI?
Los registros de actividades de usuarios sólo se guardan por
90 días.
El ID de usuario especial accederá al sistema de forma
remota.
El ID de usuario especial puede alterar los archivos de los
registros de actividades.
El proveedor estará probando e implementando parches a los
servidores.
B2. ¿Cuál de las siguientes acciones sería la MÁS efectiva para reducir
el riesgo de que una cuenta de usuario con privilegios se utilice
indebidamente?
Se debe inhabilitar el ID de usuario especial, salvo cuando se
requiera mantenimiento.
Se debe registrar cualquier utilización de la cuenta de usuario
especial.
Se debe modificar el acuerdo de modo que se realice todo el
soporte en el sitio.
Todos los parches se debe probar y aprobar antes de su
implementación.
Ver las respuestas y explicaciones a las preguntas de práctica al final del capítulo
(página 148).
Manual de Preparación al Examen CISA 2011
 A,Ar
cisiy =1"1°
C lanm Capítulo 2- Gobierno y Gestión de TI Sección Dos: Contenido
An mur arria.
2.15.3 CASO DE ESTUDIO C
Escenario de Caso de Estudio C
Se pidió a un auditor de SI revisar la alineación entre las metas de la
TI y del negocio en una institución financiera pequeña. El auditor
de SI solicitó diversas informaciones, incluidos los objetivos y las
metas del negocio y los objetivos y las metas de TI. El auditor de
SI encontró que las metas y los objetivos del negocio se limitaban a
una pequeña lista con viñetas, mientras que las metas y los objetivos
de la TI se limitaban a diapositivas utilizadas en reuniones con el
CIO (el CIO presenta los reportes al CFO). También se encontró
en la información proporcionada que durante los últimos dos años,
el comité de gestión de riesgos (conformado por la alta dirección)
sólo se reunió en tres oportunidades y no se levantó acta de lo que
se discutió en esas reuniones. Cuando se comparó el presupuesto de
la TI para el siguiente año con los planes estratégicos para la TI, se
evidenció que muchas de las iniciativas mencion. das en los planes
para el año siguiente no se incluyeron en el presupuesto de ese año.
PREGUNTAS DEL CASO DE ESTUDIO C
Cl . ¿Cuál de los siguientes aspectos sería de MAYOR preocupación
para el auditor de SI?
Los documentos de estrategias son informales y están
incompletos.
El comité de gestión de riesgos se reúne con poca frecuencia
y no levanta actas.
Los presupuestos no parecen ser adecuados para respaldar
las futuras inversiones en TI.
El CIO entrega reportes al CFO.
C2. ¿Cuál de los siguientes problemas sería MÁS importante tratar?
La cultura prevalente dentro de la TI.
La carencia de políticas y procedimientos para la tecnología de
la información.
Las prácticas de la gestión de riesgos en comparación con
organizaciones similares.
La estructura jerárquica para TI.
Ver las respuestas y explicaciones a las preguntas de práctica al final del capítulo
(página 149).
Manual de Preparación al Examen CISA 2011
2.15.4 CASO DE ESTUDIO D
Escenario de Caso de Estudio D
Un auditor de SI está auditando las prácticas de gobierno de TI
de una organización. Durante el curso del trabajo, se observa
que la organización no tiene un director general de información
(CIO) de tiempo completo. El organigrama de la entidad hace
posible que un gerente de sistemas de información presente
reportes al director general de finanzas (CFO), quien a su vez
entrega reportes al consejo de dirección. El consejo juega un
papel fundamental en el monitoreo de las iniciativas de TI en la
entidad y el CFO comunica el progreso de las iniciativas de TI
con frecuencia. A partir de la revisión de la matriz de segregación
de funciones, es evidente que sólo se exija a los programadores
de aplicaciones obtener la aprobación del administrador de la
base de datos (DBA) para acceder directamente a los datos de
la producción. También se observa que los programadores de
aplicaciones tienen que proporcionar el código de programación
desarrollado al bibliotecario de programas, quien luego se
encarga de migrado a producción. Las auditorías de los sistemas
de información son la responsabilidad del departamento de
auditoría interna, que entrega reportes al CFO al final de cada
mes como parte del proceso de revisión del desempeño del
negocio. Los resultados de índole financiera de la entidad se
revisan exhaustivamente para que luego los gerentes de negocio
confirmen que los datos son correctos.
PREGUNTAS DEL CASO DE ESTUDIO D
Dadas las circunstancias descritas, ¿cuál sería la MAYOR
preocupación desde la perspectiva de gobiemo de TI?
La organización no tiene un CIO de tiempo completo.
La organización no tiene un comité de dirección de TI.
El consejo de la organización juega un rol fundamental en el
monitoreo de las iniciativas de TI.
El gerente de los sistemas de información entrega reportes
al CFO.
D2. Dado el caso, ¿cuál sería la MAYOR preocupación desde una
perspectiva de segregación de funciones?
Se exige a los programadores de aplicaciones contar con la
aprobación solamente del DBA para obtener acceso directo de
escritura a los datos.
Se exige a los programadores de aplicaciones entregar el
código de programación desarrollado al bibliotecario de
programas para su migración a la producción.
El departamento de auditoría intema reporta al CFO.
Se requiere que sólo los gerentes del negocio aprueben las
revisiones del desempeño del negocio.
03. ¿Cuál de las siguientes situaciones trataría de MEJOR manera
la integridad de los datos desde una perspectiva de controles de
mitigación?
Se exige a los programadores de aplicaciones la probación del
DBA para obtener acceso directo a los datos.
Se exige a los programadores de aplicaciones entregar los
códigos de programación desarrollados al bibliotecario de
programas para que los transfiera a producción.
El departamento de auditoría intema reporta al CFO.
Se requieren los resultados del desempeño del negocio
para su revisión y aprobación por parte de los gerentes del
negocio.
Ver las respuestas y explicaciones a las preguntas de práctica al final del capítulo
Mina 149).
147

Sección Dos: Contenido
2.15.5 CASO DE ESTUDIO E
Escenario de Caso de Estudio E
Una organización está desarrollando planes revisados de continuidad
de negocios (BCP) y de recuperación en caso de desastre (DRP)
para su sede y red de 16 sucursales. Los planes actuales no se
han actualizado en más de ocho años, tiempo durante el cual la
organización ha crecido aproximadamente más de 300 por ciento.
En la sede trabajan aproximadamente 750 empleados. Estas
personas se conectan por una red de área local a un conjunto de
más de 60 servidores de aplicaciones, bases de datos e impresoras
de archivos, que se encuentran ubicados en el centro de datos de
la organización y por una red de frame relay a las sucursales. Los
usuarios itinerantes tienen acceso remoto a los sistemas corporativos
al conectarse a Internet a través de la conexión privada virtual. Los
usuarios, tanto en la sede como en las sucursales tienen acceso
a Internet a través de un cortafuegos (cortafuegos (firewall)) y
servidor proxy localizados en el centro de datos. Las aplicaciones
criticas tienen un objetivo de tiempo de recuperación (RTO) entre
tres y cinco días. Las sucursales están separadas entre sí a una
distancia entre 48 y 80 kilómetros, no estando ninguna a menos
de 40 kilómetros de la sede. Cada sucursal tiene entre 20 y 35
empleados más un servidor de correo y un servidor de archivo
o impresión. Los medios de respaldo para el centro de datos se
almacenan en una instalación ajena, a 56 kilómetros de distancia.
Los respaldos para los servidores que se encuentran ubicados en
las sucursales se guardan en las sucursales cercanas por medio de
acuerdos recíprocos entre las oficinas. Los contratos actuales con
un tercero proveedor de hot site comprenden 25 servidores, espacio
para el área de trabajo equipado con computadoras de escritorio
para albergar a 100 personas, y un acuerdo aparte para enviar hasta
dos servidores y 10 computadoras de escritorio a cualquier sucursal
que se declare en emergencia. El contrato tiene una duración de
tres años, con mejoras al equipo al momento de la renovación. El
proveedor de hot site tiene múltiples instalaciones en todo el país, en
caso de que otro cliente esté haciendo uso de la instalación primaria
o ésta se inutilice a causa de un desastre. Es el deseo de la alta
gerencia que una eventual mejora sea lo más rentable posible.
PREGUNTAS DEL CASO DE ESTUDIO E
El. Sobre la base de la información anterior, ¿Cuál de lo siguiente
debería recomendar el auditor IS con respecto al hot site?
El número de escritorios en el hot site debería elevarse
a 750.
Deberían añadirse en el contrato de hot site otros
35 servidores.
Todos los medios de respaldo deberían guardarse
en el hot site para acortar el RTO.
Los requerimientos sobre el escritorio y el equipo
del servidor deberían revisarse trimestralmente.
E2. Con base en la información anterior ¿Cuál de lo siguiente
debería recomendar el auditor IS con respecto a la
recuperación de la sucursal?
Añadir cada una de las sucursales al contrato existente
del hot site.
Garantizar que las sucursales tengan la capacidad
suficiente para respaldarse entre sí.
C. Reubicar todos los servidores de correo y archivos
o impresión de la sucursal en el centro de datos.
D.Añadir capacidad al hot site contratado equivalente
a la sucursal más grande.
Ver las respuestas y explicaciones a las preguntas de práctica al final del capítulo
(página 149).
148
Capítulo 2 - Gobierno y Gestión de TI ciso Certified Information
2.16 RESPUESTAS A LAS PREGUNTAS DEL
CASOS DE ESTUDIOS
RESPUESTAS A LAS PREGUNTAS DEL CASO DE
ESTUDIO A
Al. A Tres días hábiles para eliminar la cuenta de un
empleado despedido crearía un riesgo inaceptable
para la organización. Mientras tanto, se podría
hacer un daño significativo. En contraste, algún
grado de aviso por adelantado antes de una visita al
establecimiento es generalmente aceptado dentro
de la industria. También, no todo contratista tendrá
su propia función interna de auditoria o auditor de
SI. El poner el software en custodia de un tercero
es primariamente de importancia cuando se trata
con software de aplicación de clientes, donde hay
una necesidad de almacenar una copia del código
fuente con un tercero. El software de sistema
operativo para los sistemas operativos comerciales
generalmente disponibles no requeriría custodia del
software.
A2. A Como la conectividad con los servidores es por
Internet, la prohibición contra encriptación fuerte
pondrá en riesgo cualquier dato transmitido. La
limitación de responsabilidad es una práctica
estándar de la industria. A pesar de que no
realizar verificaciones de antecedentes para los
empleados contratados hace más de tres años es
de importancia, no es un aspecto tan significativo.
Actualizar el software de sistema una vez cada
seis meses no presenta ninguna exposición
significativa.
RESPUESTAS A LAS PREGUNTAS DEL CASO DE
ESTUDIO B
B 1. C Debido a que el ID de súper usuario posee acceso
para la lectura y escritura de todos los archivos,
no existe manera de asegurar que los registros de
actividades no se han modificado para ocultar las
actividades no autorizadas del proveedor. El acceso
remoto no representa mayor inquietud siempre y
cuando la conexión se establezca a través de una
línea encriptada, y las pruebas e implementación
de parches a los servidores sea parte del soporte
suministrado por el proveedor. A pesar de que una
retención del registro por 90 días pudiera no ser
suficiente en algunas situaciones de negocio, no
representa un problema grave, ya que es un hecho
que el proveedor puede alterar los registros de
actividades.
B2. A El control MÁS efectivo y práctico en esta
situación es bloquear la cuenta de usuario especial
cuando no se necesite. La cuenta se debe abrir
únicamente cuando el proveedor necesita acceso
para suministrar soporte, pero se debe cerrar
inmediatamente después de usarla. Se deben
registrar todas las actividades y revisar si son
apropiadas. Las otras opciones no son tan efectivas
o prácticas para reducir el riesgo.
Manual de Preparación al Examen CISA 2011
C
clisA is In
systrfo
Cer AudrAation
i
r
Capítulo 2- Gobierno y Gestión de TI
PACZPOIIIMIso
RESPUESTAS A LAS PREGUNTAS DEL CASO DE
ESTUDIO C
C 1 . B El hecho de que el comité de gestión de riesgo
se reúne con poca frecuencia y, cuando lo hace,
no se levantan actas es la mayor preocupación.
Las pocas reuniones de la alta dirección para
discutir problemas relacionados con riesgos clave
y la falta de actas, que permiten el seguimiento,
análisis y compromiso, indican una falta grave de
gobierno. Las otras opciones no son tan graves en
lo que se refiere a su impacto potencial sobre la
organización.
C2. B La ausencia de políticas y procedimientos hace
dificil, a veces imposible, la implementación de
un gobierno de TI efectivo. Otros problemas son
secundarios en comparación.
RESPUESTAS A LAS PREGUNTAS DEL CASO DE
ESTUDIO D
Dl. D Lo más recomendable es que el gerente de sistemas
de información entregue reportes al consejo
de directores o al director general ejecutivo
(CEO) para proporcionar un grado suficiente
de independencia. La estructura jerárquica que
requiere que el gerente de sistemas de información
entregue reportes al CFO no es la más idónea y
podría comprometer algunos controles.
A Los programadores de aplicaciones deberían
obtener la aprobación de los propietarios del
negocio antes de acceder a los datos. Los DBA
son simplemente custodios de los datos y deberían
proporcionar acceso únicamente después que el
propietario de los datos lo autorice.
D La aprobación que dan los gerentes del negocio a
los datos que contienen los resultados financieros
al final de cada mes detectaría las discrepancias
significativas que generaría la manipulación no
autorizada de los datos a través de acceso directo
inadecuado de los datos sin la aprobación o
conocimiento de los gerentes del negocio.
Manual de Preparación al Examen CISA 2011 149
Sección Dos: Contenido
RESPUESTAS A LASPREGUNTAS DEL CASO DE
ESTUDIO E
El. D Por cuanto las necesidades de equipo en un entorno
en rápido crecimiento están sujetas a cambios
frecuentes, se hacen necesarias las revisiones
trimestrales para garantizar que la capacidad
de recuperación se mantenga al ritmo de la
organización. Ya que no todas las funciones de un
empleado son determinantes en un caso de desastre,
no hace falta comunicarse con el mismo número
de escritorios en una instalación de recuperación
igual al número de empleados. Igualmente, no todo
servidor es determinante para la operación continua
del negocio. En ambos casos, sólo se requerirá un
subconjunto. Ya que no existen garantías de que
el hot site ya no estará ocupado, sería aconsejable
almacenar los medios de respaldo en la instalación.
Estas instalaciones generalmente no están diseñadas
para ofrecer un amplio almacenamiento de medios,
y las pruebas frecuentes por parte de otros clientes
podrían comprometer la seguridad de los medios.
E2. B La solución más rentable es recomendar que
las sucursales cuenten con capacidad suficiente
para alojar al personal crítico de otra sucursal.
Ya que las funciones críticas de un trabajo
representarían apenas 20 por ciento del personal
de la sucursal afectada, sería necesario un espacio
para alojar solamente de cuatro a siete miembros
del personal critico. Añadir cada una de las
sucursales al contrato de hot site sería mucho
más costoso, mientras que añadir capacidad no
brindaría cobertura, toda vez que los contratos
de hot site basan sus precios en cada ubicación
cubierta. Finalmente, reubicar los servidores
de las sucursales en el en el centro de datos
acarrearía temas de desempeño, y no respondería
a la interrogante de dónde ubicar a los empleados
desplazados.
 CISA gern3
e fied In1"141

An ISAGYO«Lon
C

Esta página se dejó intencionalmente en blanco

150 Manual de Preparación al Examen CISA 2011