COBIT 4.0Yazmina Delgado - Ana María Porras -

Jacqueline Vásquez

COBIT - Historia

Control Objectives for Information and relatedTechnology (COBIT) es un conjunto de mejores prácticas (marco de referencia o framework) para la administración IT creado por ISACA (InformationSystems Audit and Control Association), e ITGI (IT Governance Institute) en 1992.

COBIT brinda a managers, auditores, y usuarios IT, un set de medidas, indicadores, procesos y mejores prácticas de consenso general para asistirlos en maximizar los beneficios derivados del uso de las tecnologías de información y para obtener un control y gerenciamiento apropiado de IT en la organización

COBIT

La primera edición de COBIT data de 1996.

Su misión es "investigar, desarrollar, publicar y promover, un conjunto de objetivos de control generalmente aceptados para las tecnologías de la información que sean de aplicación internacional, manteniéndolos actualizados para el uso diario de gerentes y auditores".

Gerentes, auditores y usuarios se benefician del desarrollo de COBIT, ya que este los ayuda a entender sus sistemas IT y decidir el nivel de seguridad y control que se requiere para proteger los activos de sus compañias a través del desarrollo de un modelo de management IT.

COBIT

COBIT 4.1 tiene 34 procesos de alto nivel que

cubren 210 objetivos de control categorizados

en cuatro dominios:

» Planning and Organization

» Acquisition and Implementation

» Delivery and Support

» Monitoring and Evaluation

COBIT

COBIT

Planeamiento y Organización

Este dominio cubre el uso de la información y la tecnología y su mejor uso dentro de una compañia, para asistir en la consecusión de las metas y objetivos de la misma. También resalta la forma que la organización e infraestructura IT debe tomar para alcanzar resultados óptimos y para máximizar los beneficios derivados del uso de IT.

Se listan a continuación los procesos comprendidos en este dominio:

» Define a Strategic IT Plan and direction

» Define the Information Architecture

» Determine Technological Direction

» Define the IT Processes, Organization and Relationships

» Manage the IT Investment

» Communicate Management Aims and Direction

» Manage IT Human Resources

» Manage Quality

» Assess and Manage IT Risks

» Manage Projects

COBIT

Adquisición e Implementación

Este dominio identifica requerimientos IT, adquiriendo la tecnología, e implementándola dentro de los procesos de negocios vigentes de la compañia. También se ocupa del desarrollo de un plan de mantenimiento que una compañía debería adoptar para prolongar la vidad de un sistema IT y sus componentes. Se listan a continuación los procesos comprendidos en este dominio:

» Identify Automated Solutions

» Acquire and Maintain Application Software

» Acquire and Maintain Technology Infrastructure

» Enable Operation and Use

» Procure IT Resources

» Manage Changes

» Install and Accredit Solutions and Changes

COBIT

Entrega y Soporte

Este dominio se enfoca en los aspectos de la entrega (provisión) de IT. Cubre áreas tales como la ejecución de aplicaciones dentro de los sistemas IT y sus resultados, así como también los procesos de soporte que permiten la ejecución efectiva y eficiente de estos sistemas IT. Estos procesos de soporte incluyen cuestiones de seguridad y entrenamiento. Se listan a continuación los procesos comprendidos en este dominio:

» Define and Manage Service Levels

» Manage Third-party Services

» Manage Performance and Capacity

» Ensure Continuous Service

» Ensure Systems Security

» Identify and Allocate Costs

» Educate and Train Users

» Manage Service Desk and Incidents

» Manage the Configuration

» Manage Problems

» Manage Data

» Manage the Physical Environment

» Manage Operations

COBIT

Monitoreo y Evaluación

Este dominio se ocupa de la estrategía de la compañia para determinar sus necesidades y para evaluar si los sistemas IT actuales, alcanzan los objetivos para los cuales fueron diseñados; y de los controles necesarios para cumplir con los requerimientos regulatorios. El monitoreo también cubre la determinación independiente de la efectividad de los sistemas IT en relacion a su capacidad para alcanzar objetivos de negocio y el control de procesos de la compañía por auditores externos e internos. Se listan a continuación los procesos comprendidos en este dominio

» Monitor and Evaluate IT Processes

» Monitor and Evaluate Internal Control

» Ensure Regulatory Compliance

» Provide IT Governance

Maturity Model

Es modelo es el que en definitiva posibilita que los procesos que establece la COBIT sean auditables, esto es procesos que se pueden verificar primero si se cumplen y ejecutan de acuerdo a lo que la empresa declaró –ocurre la declaración cuando se publica y difunde el proceso- y, por otro parte este modelo permite establecer cual es el nivel de desarrollo que tiene el proceso en la empresa. Para esto define 6 estados o niveles, cuya definición genérica es la se incluye en la lista siguiente, no obstante para cada uno de los 34 procesos que conforman la COBIT existe su propio y único Matutity Model.

Maturity Model

La siguiente es la descripción genérica de los estados del Maturity Model:

Inexistente, se carece totalmente de un proceso. La empresa no ha reconocido la necesidad.

Inicial, existe evidencia que la empresa ha reconocido la necesidad del proceso. No existe un proceso formal – estandarizado – si no que existe enfoques ad-hoc que se aplican de manera individual o caso a caso. La gestión del mismo es desorganizada.

Repetible, el proceso se encuentra en un nivel de desarrollo tal que distintas personas ejecutan más o menos los mismos procedimientos. No existe una comunicación ni entrenamiento formal de los procedimientos, y la responsabilidad se mantiene individual. Existe una gran dependencia del conocimiento que tiene los individuos y, por tanto existe una probabilidad de error importante.

Definido, el proceso esta estandarizado,

documentado y difundido mediante

entrenamiento. Sin embargo, se deja a voluntad

de los individuos la aplicación de los

procedimientos del proceso y es poco probable

que se detecten las desviaciones en su uso. Los

procedimientos en sí no son sofisticados y

corresponden a la formalización de las prácticas

existentes.

Gestionado, es posible monitorear y medir la

conformidad en la aplicación de los

procedimientos del proceso y es posible tomar

acciones cuando el proceso no está operando

adecuadamente. Los procesos están

mejorándose continuamente. Se dispone de

automatizaciones y de herramientas que son

usadas de una manera limitada o fragmentada.

Optimizado, el proceso ha sido refinado al nivel

de las mejores prácticas, basado en los

resultados del mejoramiento continuo y de los

modelos ya maduros de otras compañías. Las TI

son usadas integralmente para automatizar

workflow, entregando herramientas que mejoran

la calidad y efectividad, aumentando la capacidad

de adaptación de le empresa.

COBIT – Como herramienta

COBIT beneficia a los managers porque les provee fundamentos sobre el cual basar sus decisiones e inversiones IT. El proceso de toma de decisión es más efectivo porque COBIT ayuda al management a definir un plan estratégico IT, definir la arquitectura de información, adquirir el hardware y software necesario para ejecutar una estrategia IT, asegurando un servicio continuo, y monitoreando la performance de los sistemas IT.

COBIT también beneficia a los auditores, ya que los ayuda a identificar puntos de control IT dentro de la infraestructura de una compañia. También los ayuda a corroborar los resultados de su auditoría.

Conclusiones

COBIT es un marco de referencia para profesionalizar el área informática de un compañía, que cuenta con capacidades propias o tercerizadas para la implementación de proyectos típicamente soportados con ERP de clase mundial, que tiene un área de operación con varias decenas de servidores que dan servicios a más de una locación, y que cuenta con áreas de mantenimiento y soporte.

Si los Sistemas Informáticos son reconocidos por el directorio como un componente clave en el éxito comercial de la compañía y, por lo mismos que implican riesgos para el negocio. En caso de que su área informática sea pequeña COBIT puede

resultar muy cara en su implementación y por tanto no se justificaría.

En el otro extremo si su empresa tranza su acciones en la Bolsa de New York es prácticamente obligatoria su implementación.