Estrategias de Control de TI: Maximizando el Valor de la Información y Aplicando COBIT

El Valor Estratégico de la Información Empresarial

¿Cuál es el valor de la información en la empresa? La información no tiene un valor intrínseco; su valor está determinado únicamente por quienes la utilizan.

Rol del Departamento de Tecnología y Logística de la Información (LTI)

El área o departamento de LTI debe trabajar en la garantía de un alto porcentaje en la protección de la información (Seguridad).

Gestión de Riesgos y Controles

Definición de Riesgo

El Riesgo no es más que aquello que se está poniendo en peligro, por ejemplo, la información, el dinero o cualquier activo que se pueda perder y causar un impacto negativo en la organización.

Causas del Riesgo (Amenazas)

Son las amenazas que, si no se materializan, quedan siendo amenazas. En caso de materializarse, se convierten en riesgos efectivos.

Factores de Riesgo (Vulnerabilidades)

Son aquellas vulnerabilidades que facilitan que las causas de riesgo (amenazas) se hagan efectivas.

Tipos de Controles de Riesgo

Existen los controles de riesgo, los cuales se componen de:

1. Controles Preventivos

Buscan evitar que el riesgo se materialice.

• Definición de responsabilidades
• Confiabilidad del personal
• Entrenamiento y supervisión
• Competencia del personal
• Mecanización

2. Controles de Detección

Buscan identificar la materialización del riesgo en el momento en que ocurre o poco después.

• Documentos remisorios
• Totales de control de cantidad
• Totales de control de documentos individuales
• Verificación visual
• Verificación de secuencia

3. Controles Correctivos

Buscan minimizar el impacto de un riesgo ya materializado y restaurar la operación.

• Reportes de discrepancias (excepciones)
• Logs / Pistas de auditoría
• Procedimientos de backup y recuperación
• Reportes de errores
• Procedimientos para corrección de errores
• Documentación

Ejemplos Prácticos de Controles

A continuación, se detallan ejemplos específicos aplicados a sistemas y procesos:

• Preventivos: Nivel de acceso al sistema y privilegios para cada tipo de usuario, logs del sistema, confiabilidad del personal, rotación de funciones, autorización previa para algunos procesos.
• Detección: Verificación visual, verificación de secuencia, labels internos en los archivos.
• Correctivos: Pistas de auditoría, notificación de sucesos del sistema en tiempo real a una segunda persona.

COBIT: Marco de Referencia para el Control de TI

COBIT es un marco de referencia y un juego de herramientas de soporte que permiten a la gerencia cerrar la brecha con respecto a los requerimientos de control, temas técnicos y riesgos de negocio, y comunicar ese nivel de control a los participantes.

Además, COBIT permite el desarrollo de políticas claras y de buenas prácticas para el control de TI por parte de las empresas.