Presentacin de PowerPoint

UNIVERSIDAD NACIONAL MAYOR DE SAN MARCOSAUDITORA DE TECNOLOGAS DE LA INFORMACINTRABAJO DE INVESTIGACINPROFESOR: INTEGRANTES: Pastor Carrasco, Carlos Alberto Len Silvestre, Cindy Prez Segovia, Javier Toledo Sotelo, AnglicaZrate Obregn, NoemAULA: 408 CICLO: VIII

1CobiTObjetivos del NegocioME1 Monitorear y evaluar el desempeo de TI. ME2 Monitorear y evaluar el control interno ME3 Garantizar cumplimiento regulatorio. ME4 Proporcionar gobierno de TI. SeguimientoME1 Monitorear y evaluar el desempeo de TI. ME2 Monitorear y evaluar el control interno ME3 Garantizar cumplimiento regulatorio. ME4 Proporcionar gobierno de TI. SoporteDS1 Definir y administrar niveles de servicio.DS2 Administrar servicios de terceros. DS3 Administrar desempeo y capacidad. DS4 Garantizar la continuidad del servicio. DS5 Garantizar la seguridad de los sistemas. DS6 Identificar y asignar costos. DS7 Educar y entrenar a los usuarios. DS8 Administrar la mesa de servicio y los incidentes. DS9 Administrar la configuracin. DS10 Administrar los problemas. DS11 Administrar los datos. DS12 Administrar el ambiente fsico. DS13 Administrar las operaciones. Recursos de TIDatos, AplicacionesTecnologa, Instalaciones, Recurso Humano Req. InformacinEfectividad, Eficiencia, Confidencialidad, Integridad, Disponibilidad, Cumplimiento, ConfiabilidadPlanificacin y OrganizacinPO1 Definir el plan estratgico de TI. PO2 Definir la arquitectura de la informacin PO3 Determinar la direccin tecnolgica. PO4 Definir procesos, organizacin y relaciones de TI. PO5 Administrar la inversin en TI. PO6 Comunicar las aspiraciones y la direccin de la gerencia.PO7 Administrar recursos humanos de TI.PO8 Administrar calidad.PO9 Evaluar y administrar riesgos de TIPO10 Administrar proyectos. Adquisicin eImplementacinAI1 Identificar soluciones automatizadas. AI2 Adquirir y mantener el software aplicativo.AI3 Adquirir y mantener la infraestructura tecnolgica AI4 Facilitar la operacin y el uso. AI5 Adquirir recursos de TI. AI6 Administrar cambios. AI7 Instalar y acreditar soluciones y cambios.

PAZ CENTENARIO GLOBALPAZ CENTENARIO GLOBALes la unin de las tres empresas inmobiliarias ms importantes de Chile, Per y Ecuador. PAZ ha estado ligada exitosamente a la arquitectura y construccin por ms de 40 aos. El Grupo Centenario ha sido protagonista durante 80 aos del desarrollo inmobiliario del Per y Global, por su parte, ha entregado a sus clientes por ms de 30 aos un lugar listo para vivir y crecer.

TRABAJO A DESARROLLARPrograma de AuditoraCriterios de informacin involucrados en el objetivoRecursos de TI a considerarObjetivos especficos de control a verificarResumenDetalladoCuestionario de Control Interno

COBIT

PO 6 Comunicar las aspiraciones y la direccin de la Gerencia

ENTIDAD:PAZ CENTENARIO GLOBAL S.A.FECHA DE CORTE:30.09.2013Aplicado por:A.T.S.Fecha24/10/2013Revisado por:M.M.Fecha25/10/2013Planificacin y OrganizacinPO 6Comunicar las Aspiraciones y la Direccin de la Gerencia

Criterios de informacin involucrados en el objetivo:

EfectividadEficienciaConfidencialidadIntegridadDisponibilidadCumplimientoConfiabilidadPSRecursos de TI a considerar:

PersonasAplicacionesInfraestructuraInformacinOBJETIVO GENERAL: La direccin debe elaborar un marco de trabajo de control empresarial para TI, y definir y comunicar las polticas. Un programa de comunicacin continua se debe implementar para articular la misin, los objetivos de servicio, las polticas y procedimientos, etc., aprobados y apoyados por la direccin. La comunicacin apoya el logro de los objetivos de TI y asegura la concienciacin y el entendimiento de los riesgos de negocio y de TI. El proceso debe garantizar el cumplimiento de las leyes y reglamentos relevantes.

Objetivos especficos de control a verificar:PROGRAMA DE AUDITORACOMUNICAR LAS ASPIRACIONES Y LA DIRECCIN DE LA GERENCIAQue satisface el requerimiento del negocio de TI paraUna informacin precisa y oportuna sobre los servicios de TI actuales y futuros, los riesgos asociados y las responsabilidades.Enfocndose enProporcionar polticas, procedimientos, directrices y otra documentacin aprobada, de forma precisa y entendible y que se encuentre dentro del marco de trabajo de control de TI a los interesados.Se logra conLa definicin de un marco de trabajo de control de TI.La elaboracin e implantacin de polticas para TI.El refuerzo de polticas de TI.Y se mide conEl nmero de interrupciones en el negocio debidas a interrupciones en el servicio de TI.El porcentaje de interesados que entienden el marco de trabajo de control de TI de la empresa.El porcentaje de interesados que no cumplen las polticas.REAS DE ENFOQUE DEL GOBIERNO DE TIPrimarioSecundario

Evaluacin a los Sistemas de InformacinPROGRAMA DE TRABAJONro.Descripcin de la TareaResultadoRef. PT1Verificar que el aambiente de control del TI en la compaa se encuentre definido y alienado con los objetivos de la empresa , siendo rentable y optimizando las operaciones.

SatisfactorioA2322Verificar su marco de trabajo esta enfocado a los riesgos.Satisfactorio

A7683Verificar que exista una correcta direccin y control constante en el conjunto de polticas que apoyan la estrategia de TI.Satisfactorio

A4564Evaluar al personal por medio de un examen sobre sus conocimiento de las polticas de TI.SatisfactorioB6785Revisar la existencia de un manual en el que los interesados estn informados de los objetivos y la direccin del negocio.Satisfactorio

G457Evaluacin a los sistemas de informacinCUESTIONARIO DE CONTROL INTERNORUBROPlanificacin y OrganizacinPO 6Comunicar las Aspiraciones y la Direccin de la GerenciaTarea N.DescripcinRespuestaComentario o Ref. P/T SINON/A1Todos los empleados de la Organizacin estn a tanto de sus objetivos, tanto organizacionales como de TI?X2Las polticas de TI implantadas en la empresa son comunicadas al personal oportunamente?X3Las polticas de TI son actualizadas constantemente, segn las necesidades de las operaciones empresariales?X4PAZ CENTENARIO GLOBAL fomenta el trabajo en equipo?X5La empresa cuenta con un marco de trabajo de control para TI?X6Dicho marco de trabajo cuenta con medidas preventivas?X7En las polticas de TI se definen los roles y responsabilidades de las mismas?XEvaluacin a los sistemas de informacinCUESTIONARIO DE CONTROL INTERNORUBROPlanificacin y OrganizacinPO 6Comunicar las Aspiraciones y la Direccin de la GerenciaTarea N.DescripcinRespuestaComentario o Ref. P/T SINON/A8Se tienen las actas que garanticen la difusin de la informacin en la empresa?X9Cuenta con un marco de trabajo de control empresarial para TI ?X10Existen polticas para TI implementadas en la empresa?X11Las estrategias, polticas y el marco de control de TI se comunican adecuadamente?X12Se le realiza mantenimiento a las polticas que apoyan la estrategia de TI?X13El conjunto de polticas establecidas en las TI incluyen responsabilidades, enfoques de cumplimiento y referencia a este?X14Se garantizan que las polticas de TI sean parte integral de las operaciones empresariales?X

PO 7Administrar Recursos Humanos de TI

ENTIDAD:PAZ CENTENARIO GLOBAL S.A.FECHA DE CORTE:30.09.2013Aplicado por:C.L.S.Fecha24/10/2013Revisado por:M.M.Fecha25/10/2013Planificacin y OrganizacinPO 7Administrar Recursos Humanos de TI

Criterios de informacin involucrados en el objetivo:

EfectividadEficienciaConfidencialidadIntegridadDisponibilidadCumplimientoConfiabilidadPPRecursos de TI a considerar:

PersonasAplicacionesInfraestructuraInformacinOBJETIVO GENERAL: Incrementar las contribuciones del personal en los procesos de TI, satisfaciendo as los requerimientos de la empresa, mediante tcnicas slidas para la administracin de personal, tomando en consideracin: El reclutamiento y promocin considerando factores como la educacin, experiencia y la responsabilidad. Los requerimientos de calificaciones, el personal deber estar calificado, tomando como base una educacin, entrenamiento y experiencia apropiados. La capacitacin para incrementar los niveles de habilidad tcnica y administrativa de nuestros colaboradores. La evaluacin objetiva y medible del desempeo se dar al final de cada mes.

Objetivos especficos de control a verificar:PROGRAMA DE AUDITORAREAS DE ENFOQUE DEL GOBIERNO DE TIPrimarioSecundario

Evaluacin a los Sistemas de InformacinPROGRAMA DE TRABAJONro.Descripcin de la TareaResultadoRef. PT1Asegurar que los procesos de reclutamiento del personal de TI estn de acuerdo a las polticas y procedimientos generales de personal de la empresa. Satisfactorio2Verificar peridicamente que el personal tenga las competencias para cumplir sus funciones con base en su educacin, formacin y / o experiencia.Satisfactorio

3Monitorear y supervisar las funciones, responsabilidades y los marcos de compensacin para el personal, incluida la obligacin de adherirse a las polticas y procedimientos de gestin, al cdigo de tica y prcticas profesionales.Satisfactorio

4Se proporciona a los empleados de TI la orientacin necesaria al momento de la contratacin y capacitacin continuo para conservar su conocimiento, aptitudes, habilidades, controles internos y conciencia sobre la seguridad, al nivel requerido para alcanzar las metas organizacionales.Satisfactorio

Evaluacin a los sistemas de informacinCUESTIONARIO DE CONTROL INTERNORUBROPlanificacin y OrganizacinPO 7Administrar Recursos Humanos de TITarea N.DescripcinRespuestaComentario o Ref. P/T SINON/A1El plan de administracin de recursos humanos de TI se actualiza de forma constante para satisfacer los cambios requeridos por el negocio.XSe contrat los servicios de terceros para captar y evaluar a los postulantes.2La administracin de recursos humanos de TI est integrada y responde a la direccin estratgica de la entidad.XEl rea de Gestin Humana se rene con los directivos de la empresa.3Los componentes de la administracin de recursos humanos de TI son consistentes con las mejores prcticas de la industria, tales como compensacin, revisiones de desempeo, participacin en foros de la industria, transferencia de conocimiento y tutoras.XTodos los colaboradores son evaluados al final de cada mes utilizando el TASK MANAGER y el SIGI.4Los programas de capacitacin se desarrollan para todos los nuevos estndares tecnolgicos y productos antes de su implementacin en la organizacin.

XLas capacitaciones se dan mediante el pedido del jefe de rea, luego son aprobados por la jefa de Gestin Humana y el Contralor.

PO 8 Administrar Calidad

ENTIDAD:PAZ CENTENARIO GLOBAL S.A.FECHA DE CORTE:30.09.2013Aplicado por:N.Z.OFecha24/10/2013Revisado por:M.M.Fecha25/10/2013Planificacin y OrganizacinPO 8Administrar Calidad

Criterios de informacin involucrados en el objetivo:

EfectividadEficienciaConfidencialidadIntegridadDisponibilidadCumplimientoConfiabilidadPPSRecursos de TI a considerar:

PersonasAplicacionesInfraestructuraInformacinXXXOBJETIVO GENERAL: Satisfacer los requerimientos del cliente, para lo cual se realiza una planeacin, implementacin y mantenimiento de estndares y sistemas de administracin de calidad por parte de la organizacin.

Objetivos del control a verificar:PROGRAMA DE AUDITORAREAS DE ENFOQUE DEL GOBIERNO DE TIPrimarioSecundario

Evaluacin a los Sistemas de InformacinPROGRAMA DE TRABAJONro.Descripcin de la TareaResultadoRef. PT1Definir y mantener regularmente un plan de calidad, el cual deber promover la filosofa de mejora continua y contestar a las preguntas bsicas de qu, quin y cmo.

Satisfactorio2Revisar peridicamente las actividades de aseguramiento de calidad para alcanzar los objetivos del plan general de calidadSatisfactorio3Documentar las pruebas de sistemas y programasSatisfactorio

4Revisar y reportar el aseguramiento de calidad.SatisfactorioEvaluacin a los sistemas de informacinCUESTIONARIO DE CONTROL INTERNORUBROPlanificacin y OrganizacinPO 8Administrar CalidadTarea N.DescripcinRespuestaComentario o Ref. P/T SINON/A1El Plan de Aseguramiento de Calidad se implement de acuerdo a estndares que acrediten el xito de la entidad.XLa entidad requiri de los servicios de un tercero especializado en la implementacin de Planes de Aseguramiento de Calidad.2El Plan de Aseguramiento de Calidad se ejecuta de forma adecuada. X

La entidad cuenta con un rea encargada de supervisar y controlar la calidad.3Se obtuvieron la documentacin y reportes del sistema y los programas y se verific que son fidedignosXLa documentacin y los reportes se cruzaron con los datos del sistema.4Los Reportes de Revisiones de Aseguramiento de Calidad se obtienen peridicamente.XLos Reportes de Revisiones de Aseguramiento de Calidad se obtienen trimestralmente.

PO 9 Evaluar y Administrar Riesgos de TI

ENTIDAD:PAZ CENTENARIO GLOBAL S.A.FECHA DE CORTE:30.09.2013Aplicado por:J.P.S.Fecha24/10/2013Revisado por:M.M.Fecha25/10/2013Planificacin y OrganizacinPO 9Evaluar y administrar riesgos de TI

Criterios de informacin involucrados en el objetivo:

EfectividadEficienciaConfidencialidadIntegridadDisponibilidadCumplimientoConfiabilidadSSPPPSSRecursos de TI a considerar:

PersonasAplicacionesInfraestructuraInformacinXX

X

XOBJETIVO GENERAL: Control sobre el proceso de TI Evaluar los Riesgos con el objetivo del negocio de apoyar las decisiones de la administracin en alcanzar los objetivos de TI y en responder a las amenazas reduciendo la complejidad, aumentando la objetividad e identificando factores de decisin importantes.

Objetivos del control a verificar:PROGRAMA DE AUDITORAREAS DE ENFOQUE DEL GOBIERNO DE TIPrimarioSecundario

Evaluacin a los Sistemas de InformacinPROGRAMA DE TRABAJONro.Descripcin de la TareaResultadoRef. PT1Evaluacin de Riesgos del Negocio

Satisfactorio2Enfoque de Evaluacin de RiesgosSatisfactorio

3Identificacin y medicin de RiesgosSatisfactorio

4Plan de Accin contra RiesgosSatisfactorio

Evaluacin a los sistemas de informacinCUESTIONARIO DE CONTROL INTERNORUBROPlanificacin y OrganizacinPO 9Evaluar y administrar riesgos de TITarea N.DescripcinRespuestaComentario o Ref. P/T SINON/A1ESTABLECIMIENTO DE POLTICAS Y PROCEDIMIENTOS DE EVALUACIN DE RIESGOS La administracin deber establecer un foro Gerencial, para asegurarse que exista una direccin clara de las iniciativas de seguridadResponsable de la implementacin: Gerente GeneralPlazo: 9 meses. XPCG cuenta con una Metodologa,Frecuencia de evaluacin. Adems, mantiene actualizadas las evaluaciones de riesgo, resultados de auditoras, inspecciones e incidentes.

2REVISIONES DE GRUPOS ESPECIALIZADOSLa Gerencia solicita la revisin independiente de grupos especializados de seguridad y de tecnologa de Informacin. Responsable de la implementacin: Gerente General y Gerencia de SistemasPlazo: 3 meses.

XSe contrat a un Especialista de Seguridad. Su funcin principal es la de identificar amenazas. Adems, PCG cuenta con un especialista de TI para identificar los controles que mitiguen los riesgos.

3EVALUAR Y PRIORIZAR RIESGOSEspecialistas de seguridad deben realizar identificacin de amenazas y especialistas de TI deben dirigir la seleccin de controlesXExiste un mtodo estructurado por asesores expertos en riesgos.4DEFINICIN DE UN MARCO REFERENCIAL DE RIESGOSEstablecer una evaluacin sistemtica de riesgos incorporando: *Los riesgos de informacin relevantes para el logro de los objetivos de la organizacin. *Base de datos para determinar la forma en la que los riesgos deben ser manejados a un nivel aceptable.*El alcance y los lmites de la evaluacin de riesgos.Responsable de la implementacin: Gerente GeneralPlazo: 2 meses

XPCG cuenta con un plan de accin contra riesgos para asegurar que el costoefectividad de los controles y las medidas de seguridad mitiguen los riesgos en forma continua. El plan de accin contra los riesgos identifica estrategias de riesgos en trminos de evitar, mitigar o aceptar el riesgo.

PO 10 Administrar Proyectos

ENTIDAD:PAZ CENTENARIO GLOBAL S.A.FECHA DE CORTE:30.09.2013Aplicado por:A.T.S.Fecha24/10/2013Revisado por:M.M.Fecha25/10/2013Planificacin y OrganizacinPO 10Administracin de Proyectos

Criterios de informacin involucrados en el objetivo:

EfectividadEficienciaConfidencialidadIntegridadDisponibilidadCumplimientoConfiabilidadPPRecursos de TI a considerar:

PersonasAplicacionesInfraestructuraInformacinOBJETIVO GENERAL: Establecer un marco de trabajo de administracin de programas y proyectos para la administracin de todos los proyectos de TI establecidos. El marco de trabajo debe garantizar la correcta asignacin de prioridades y la coordinacin de todos los proyectos. El marco de trabajo debe incluir un plan maestro, asignacin de recursos, definicin de entregables, aprobacin de los usuarios, un enfoque de entrega por fases, aseguramiento de la calidad, un plan formal de pruebas, revisin de pruebas y post-implantacin despus de la instalacin para garantizar la administracin de los riesgos del proyecto y la entrega de valor para el negocio. Este enfoque reduce el riesgo de costos inesperados y de cancelacin de proyectos, mejora la comunicacin y el involucramiento del negocio y de los usuarios finales, asegura el valor y la calidad de los entregables de los proyectos, y maximiza la contribucin a los programas de inversin facilitados por TI.

Objetivos especficos de control a verificar:PROGRAMA DE AUDITORAADMINISTRAR PROYECTOSQue satisface el requerimiento del negocio de TI paraLa entrega de resultados de proyectos dentro de marcos de tiempo, presupuesto y calidad acordados.Enfocndose enUn programa y un enfoque de administracin de proyectos definidos, el cual se aplica a todos los proyectos de TI, lo cual facilita la participacin de los interesados y el monitoreo de los riesgos y los avances de los proyectos.Se logra con La definicin e implantacin de marcos de trabajo y enfoques de programas y de proyectos.La emisin de directrices de administracin para proyectos.La planeacin de proyectos para todos los proyectos incluidos en el portafolio de proyectos.Y se mide conPorcentaje de proyectos que satisfacen las expectativas de los interesados (a tiempo, dentro del presupuesto, y con satisfaccin de los requerimientos ponderados por importancia)Porcentaje de proyectos con revisin post-implantacinPorcentaje de proyectos que siguen estndares y prcticas de administracin de proyectos.

REAS DE ENFOQUE DEL GOBIERNO DE TIPrimarioSecundario

Evaluacin a los Sistemas de InformacinPROGRAMA DE TRABAJONro.Descripcin de la TareaResultadoRef. PT1Anotar las entradas del proceso (Documentos, materiales, herramientas, programas, etc.) y su proveedor.Satisfactorio2Descripcin del procesoSatisfactorio3Anotar las salidas del proceso (Productos, documentos, software, hardware) y sus clientes y usuarios.Satisfactorio

4Entrevistar a las partes interesadas sobre el conocimiento del proyecto y ejecucin del mismo, hacer pruebas al personal para medir su eficiencia.Satisfactorio

5Verificar si la empresa cuenta con un ISO y otro certificado equivalente de control de calidad .SatisfactorioEvaluacin a los sistemas de informacinCUESTIONARIO DE CONTROL INTERNORUBROPlanificacin y OrganizacinPO 10Administracin de ProyectosTarea N.DescripcinRespuestaComentario o Ref. P/T SINON/A1La empresa cuenta con un marco de trabajo para la administracin de programas en el cual los proyectos apoyen los objetivos del programa?X2La empresa cuenta con un portafolio de servicios?X3La empresa tiene definida la metodologas aplicadas a cada proyecto?X4La empresa cuenta con una estructura de gobiernos de proyectos (roles, responsabilidades, rendicin de cuentas del patrocinado, comit de direccin, gerente y mecanismos para satisfacer estas responsabilidades)?X5Se encuentra definida la naturaleza y alcance del proyecto, y la manera en que se relaciona con otros proyectos?X6Se comunica a todos los interesados del proyecto las etapas importantes y aprobacin del inicio de este?XEvaluacin a los sistemas de informacinCUESTIONARIO DE CONTROL INTERNORUBROPlanificacin y OrganizacinPO 10Administracin de ProyectosTarea N.DescripcinRespuestaComentario o Ref. P/T SINON/A7La empresa cuenta con un plan integrado para cada proyecto?X8La empresa cuenta con un adecuado control de riesgos del proyecto por medio del cual se minimiza el impacto de estos sobre cada una de las actividades?X9Utilizan estndares para la administracin de proyectos?XGracias!!!