i

CISA Capitulo 2:
Gobierno y Gestion de Ti
Certified Information
Systems Auditor'
An RCP Certgicat[on

Senior) Una: Generalidades

D e l i n i c i b u
7 0 O b j e t i v o s

7 0
T a r e a s y C o n a c i m i e n t o s R e l a c i o n a d o s .................................................................................
70 Recarsos Sugeridos para Estudios Posteriores 79
Prquatas de Autoevaluaeion............................................................................................................................
80
Respuestas a las preguntas de Autoevaluacion..............................................................................................
81
Seccion Dos: Contenido

2.1 Referencia Rapida...............................................................................................................83

21 Cobierno Corporativo .......................................................................................................84
23 Gobierno de TI de Ia Empresa...........................................................................................84
2.4 Estrategia de Sistemas de inform:16ln 93
2.5 Modelos do madurez y tnejoramiento de procesos.....................................................94
2.6 Practieas de Inversion y Asignacion de TI 95
2.7 Political y procedimientos 95
 Capitulo 2—Gobierno y Gestion de Ti Seccian Uno: Generalidades
Cr.j.,, i„,- Cer___Ma! 3.Information
, ,
1.4:Y C1 7 11ri,
ke I W.% Systemstkicitor

2.S Gestion de riesgos 98

2.9 Practices de gestion de sistemas de informaeion 100
2.10 Estructura organizativa y responsabilidades de SI......................................................111
2,11 Auditoria a Ia estructura e implementation del gobierno de TI ................................118
2.12 Planilicacian de continuidad del negocio......................................................................119
2 . 1 3 A u d i t o r i a d o c o n t i n u i d a d d e l
n e g o e i o 1 3 2
2.14 Casos do estudio............................................................................................................. 134
2,15 Respuestas a preguntas de casos de estudia................................................................ 137

Manual de Preparackin of Examen CISA 2015 69

ISACA. Todos Ins derechos reservados
DEFINICION
Seccion Uno:
Generalidades El gobiemo y Ia gestiOn de TI es
una parte integral del gobiemo de
la empresa y esta constituido par el

as_
liderazgo y estructuras y procesos
organizacionales que garantizan
que la T1 de la empresa sostiene y
extiende Ia estrategia y los
objetivos de la empresa (adaptado
de IT Governance Institute, Board
Briefing On IT Governance, 2"
Edicion, USA, 2003). El
conocimiento del gobiemo de TI es
fundamental para el trabajo del
auditor de Si y forma las bases para
el desarrollo de las practicas y
mecanismos de control correctos
para la supervision y revision de la
gerencia.
OBJETIVOS
El objetivo de este dominio es
garantizar que el candidate a CISA
comprende y puede ofrecer garantia
de que se ban implementado el
liderazgo y las estructuras y los
procesos organizacionales
necesarios para lograr los objetivos
y apoyar la estrategia de In
empresa.
Este dominio represents el 14
por ciento del examen C1SA
(aproxintadamente 28
preguntas).
TAREAS Y CONOCIMIENTOS
RELACIONADOS
TAREAS
El dominio de gobiemo de TI
contienc 11 tareas:
T2.1 Evaluar Ia efectividad de
la estructura de gobiemo
de TI para determinar si
las decisiones, las
direcciones y el
desempeilo de TI
respaldan las estrategias
y los objetivos de Ia
organizacion.
T2.2 Evaluar la estructura
organizacional de TI y la
gestion de recursos
hwitanos (personal) para
determinar si respaldan
las estrategias y los
objetivos de la organizacion.
T2.3 Evaluar la estrategia de TI,
incluyendo Ia direccion de
Ti, y los procesos para el
desarrollo, Ia aprobacion, la
iinplementaciOn y el
mantenirniento de la
estrategia para que este
alineada con las estrategias
y los objetivos de la
organizacion.
T2.4 Evaluar las politicas, los
estandares y los
procedimientos de TI de la
organizacion y los procesos
para su desarrollo,
aprobaciOn,
implementacion,
mantenimiento y monitoreo
a fin de determinar si
respaldan la estrategia de TI
y cumplen con los
requerirnientos legales y
regulatorios.
T2.5 Evaluar la adecuacion del
sistema de gestion de la
calidad para determinar si
respalda las estrategias y
nos
objetivos de la organizaciOn
de forma rentable.
T2.6 Evaluar Ia gestion de TI y
el main toreo de controles
(por ejemplo, monitoreo
continuo, aseguratniento
de la calidad [QA]) para
determinar si cumplen
con las politicas, los
estandares y los
procedimientos de Ia
organizacion.
T2,7 Evaluar las practicas de
inversion, use y asignacion
de recursos de T1,
incluyendo criterios tie
priorizacian, para
determinar si estan
alineados con las
estrategias y los objetivos
de Ia organizaciOn.
T2.8 Evaluar las estrategias y las
politicas de contratacion de
TI y Las practicas de
gestiOn de contratos para
determinar si respaldan las
estrategias y los objetivos de
la organiz.aciOn.
T2.9 Evaluar las practicas de
gestion de riesgos para
determinar si los riesgos de
la organizaciOn
relacionados con TI se
gestionan adecuadamente.
T2.10 Evaluar las practicas de
monitoreo y
aseguramiento para
dcterminar si el consejo
de direcciOn y la alta
direccion reciben infant-
melon suticiente y
oportuna sobre el
desempefio de T1.
T2.11 Evaluar el plan de
continuidad del negocio de
la organizacion para detemt
Mar la capacidad de la
organizaciOn de continuar
con las operaciones
esenciales del negocio
durante el periodo de una
interrupciOn de TI.
CONOCIMIENTOS RELACIONADOS
El candidate a CISA debe
comprender bien cada uno de los
temas a areas delineadas pot los
conocimientos relacionados. Estes
conocimientos son la base del
examen.
Existen 16 conocimientos
relacionados en el dominio que
cubren el gobiemo y Ia gestiOn de
TI:
CR2.1 Conocimiento del gobiemo,
Ia gestion, la seguridad y los
marcos de control de TI, asi
coma los estandares, las
directrices y las practicas
relacionadas
CR2.2 Conocimiento del proposito
de Ia estrategia, las
politicas, los estandares y
los procedimientos de TI
para una organizacion y los
elementos esenciales de
cada uno de ellos
CR2.3 Conocimiento de la
estructura organizacional,
los roles y las
responsabilidades
 relacionados con TI
CR2.4 Conocimiento de los
procesos para el desarrollo,
la implementaciOn y el
mantenimiento de la
estrategia, las politicas, los
estandares y los
procedimientos de TI
CR2.5 Conocimiento de la direccion
de la tecnologia y la
arquitectura de TI de Ia
organizacion y sus
implicaciones para
establecer direcciones
estrategicas a largo plazo
CR2.6 Conocirniento de leyes,
regulaciones y estandares
relevantes de Ia industria
que afecten a la
organizaciOn
CR2.7 Conocimiento de
sistemas de gestion de la
calidad CR2.8 Conocimiento
del use de modelos de madurez
CR2.9 Conocimiento de las tecnicas
de optimizaciOn de procesos
CR2.10 Conocimiento de las
practicas de inversion y asignaciOn
de recursos de TI,
incluyendo criterios de
priorizacion (por ejemplo:
gestiOn de portafolios,
gestion del valor, gestion
de proyectos)
CR2.11 Conocimiento de procesos
de seleccion de proveedores
de TI, gestion de contratos,
gestion de relaciones y
monitoreo del desemperio,
incluyendo relaciones de
outsourcing de terceros
CR2.12 Conocimiento de Ia gestion
de riesgos de Ia empresa
CR2.13 Conocirniento de las
70
practicas para monitorear
y reportar ei desempefio
de TI (por ejemplo,
cuadros de mando
(balanced scorecards),
indicadores clave de
desemperio [KPI]).
CR2.14 Conocimiento de las
practicas de gestion de
recursos humanos
(personal) de TI utilizadas
para invocar el plan de
continuidad del negocio
CR2.15 Conocirniento del analisis
del impacto en el negocio
(BIA) relacionado con el plan
de continuidad del negocio
(BCP)
CR2.16 Conocimiento de los
estandares y procedimientos
para el desarrollo y el
manteniiniento del plan de
continuidad del negocio
(BCP) y metoclos de prueba
Relackin de las tareas con los
conocimientos relacionados Los
enunciados de las tareas retie* lo
que se espera que el candidata a
CISA sepa hacer. Los enunciados
tie conocimientos indican cada una
de las areas donde el candidato a
CISA debe tener una buena
comprension para llevar a cabo las
tareas. Las relaciones entre las
tareas y los conocimientos
relacionados se muestran en la
figura 2.1 hasta donde es posible
hacerlo. NOtese que aun cuando a
menudo se presenta ma.s de una
correspondencia, cada tares, por lo
general, se relaciona con Inas de
un conocimiento.
Manual de Preparacion al Examen CISA 2015
I S A C A . To d o s l o s d e r e c h o s r e s e r v a d o s .
natidn Catifiedl
'or' CISA systems ',also Capitulo 2-Gobierno y Gestion de Ti
Seccion Una: Generalidades
Figura 2.1-Mapeo (Mapping) de Tareas y Conocimientos Relacionado
Enunciado de tarea
T2.1 Evaluar la efectividad de Ia estructura de gobierno
de TI pare determinar si las decisiones, las
direcciones y el desempeiio de TI respaldan las
estrategias y los objetivos de la organizacion.
les
T2.2 Evaluar la estructura organizacional de TI y la
la s gestiOn de recursos humanos (personal) para
determinar si respaldan las estrategias y los
objetivos de la organizaciOn.
T2.3 Evaluar la estrategia de TI, incluyendo la
direcciOn de TI, y los procesos para el desarrollo,
Ia aprobaciOn, la implementacidn y el
mantenimiento de Ia estrategia pare que este
as alineada con In estrategias y los objetivos de la
organizacion.
T24 Evaluar las politicas, los estandares y los
procedimientos de TI de la organizacion y los procesos
para su desarrollo, aprobaciOn, implementacion,
mantenimiento y monitoreo a fin de determiner sl
respaldan is estrategia de 11 y cumplen con los
requerimientos legales y regulatorios.
12.5 Evaluar Ia adecuacien del sistema de gestiOn de
la calidad pare determiner si respalda las
estrategias y los objetivos de Ia organizacion de
forma rentable.
12.6 Evaluar Ia gestiOn de Ti y el monitoreo de controles
(par ejemplo, monitoreo continuo, aseguramiento de Ia
calidad [0A]) para determinar si cumplen con las
polkas, los estandares y los procedimientos
CR2.1 Conocimiento del gobierno, Ia gestiOn, Ia segu
asi coma los estandares, las directrices y las pr
CR2.2 Conocimiento del prop) sito de Ia estrategia, las
procedimientos de TI para una organizacion y lo
uno de ellos
CR2.3 Conocimiento de la estruct
roles y las responsabildades re
CR2.1 Conocimiento del gobierno, la gestiOn, Ia segur
como los estandares, las directrices y las practi
CR2.3 Conocimiento de la estructura organizacional, lo
relacionados con TI
CR2.1 Conocimiento del gobierno, Ia gestion, la segur
como los estandares, las directrices y las practi
CR2.2 Conocimiento del proposito de Ia estrategia, las
procedimientos de TI pare una organizacion y lo
uno de ellos
CR2.4 Conocimiento de los procesos para el
mantenimiento de Ia estrategia, las politicas, los
CR2.5 Conocimiento de la direcciOn de la tecnologia y
y sus implicaciones para establecer direcciones
CR2.1 Conocimiento del gobierno, Ia gestion, la segur
coma los estandares, las directrices y las pract
CR2.6 Conocimiento de leyes, regulaciones y estanda
afecten a la organizacidn
CR2.1 Conocimiento del gobierno, Ia gestien, la segur
camp los estandares, las directrices y las practi
CR2.7 Conocimiento de sistemas de gestion de Ia cali
CR2.1 Conocimiento del gobierno, Ia gestion, la segur
coma los estandares, las directrices y las pract
CR2.8 Conocimiento del uso de modelos de madurez
 12.7 Evaluar las practices de inversion, uso y
asignacien de recursos de T1, incluyendo
criterios de priarizaclan, para determinar si estan
alineados con las estrategias y los objetivos de Ia
organizacion.
12.8 Evaluar las estrategias y las politicas de
contratacion de TI y las practices de gest* de
contratos para determinar si respaldan las
estrategias y los objetivos de la organizacion.
T2,9 Evaluar las practicas de gestiOn de riesgos para
determiner si los riesgos de Ia organizacion
relacionados con TI se gestionan adecuadamente.
12.10 Evaluar las practices de monitoreo y
aseguramiento para determiner si el consejo de
direcciOn y la alta direcciOn reciben informacien
suficiente y oportuna sobre el desempeno de TI.
T2.11 Evaluar el plan de continuidad del negocio de la
organizacion pare determiner la capacidad de Ia
organizacion de continuer con las operaciones
esenciales del negocio durante el periodo de una
interrupcien de TI.
Manual de Preparacicin al Examen CISA 2015
71
ISALCA. Todos los derechos reservados
, CR2.1 Conocimiento del gobierno, Ia gestien, la se
asi como los estandares, las directrices y las pr
CR2.9 Conocimiento de las tecnicas de optimization d
CR2.10 Conocimiento de las practicas de inversion y as
incluyendo criterios de priorizacion (par ejemplo
valor, gestiOn de proyectos)
CR2.1 Conocimiento del gobierno, la gestiOn, Ia segur
como los estandares, las directrices y las practi
CR2.1 1 Conocimiento de procesos de selecciOn de prov
contratos, gestiOn de relaciones y monitoreo
relaciones de outsourcing de lerceros
CR2.1 Conocimiento del gobierno, la gestion, la segur
asi como los estandares, las directrices y las pr
CR2.1 2 Conocimiento de Ia gestiOn de riesgos de fa em
CR2.1 Conocimiento del gobierno, la gestien, Ia segur
como los estandares, las directrices y las practi
CR2.13 Conocimiento de las practices para monitorear y
ejemplo, madras de mando (balanced sc
desempefio [KPI]).
CR2.1 Conocimiento del gobierno, Ia gestion, Ia segur
como los estandares, las directrices y las practi
CR2.14 Conocimiento de las practices de gestion de
utilizadas para invocar el plan de continuidad de
CR2.1 5 Conocimiento del andlisis del impacto en el ne
continuidad del negocio (BCP)
CR2.16 Conocimiento de los estandares y procedimiento
mantenimiento del plan de continuidad del nego
 Seccicin Uno: Generalidades
Capitulo 2—Gobierno y Gestion de TI
LIrSAL.CCRIfIrglun

Gula de Referencia de Conocimientos Relacionados

Cada Lino de los conocimientos relacionados se explica en fund& de los
conceptos subyacentes y Ia relevancia del concept() relacionado para el
auditor de SI. Es esencial que ei candidata al examen entienda los conceptos.
Los conocimicntos relacionados constituyen lo que el auditor de SI debe saber
para llevar a cabo las tareas. Consecuentemente, en esla seccion solo se
detallan los conociinientos relacionados.

Las secciones identificadas en CR2. I -CR2.16 se describcn de lbrma etas detallada

en la seccion dos de este capitula.

CR2.1 Conocimiento del gobierno, la gestion, la seguridad y los

marcos de control de Ti, asi como los estandares, las directrices y las
practicas relaclonadas
Explicacion Conceptos clave Refe

Para proporcionar alas partes interesadas Ia garantia de que los servicios de TI se Entendimiento de los 2.3.1 M
alinean con Ia vision, misian y objetivos del negocio, la alta gerencia debe aplicar un marcos de gobierno
marco de gobierno de TI. Los marcos de gobiemo de TI generalmente incluyen: dell 2.3.4 G
· Alineacion estrategica de los objetivos de TI con los objetivos del negocio
· Entrega de valor de TI
Entendimiento de roles 2.10
· Gest& de riesgos
y responsabilidades
· Administracion de recursos
relacionados con el 2.10.1
· Gest& del desemperio
gobierno de Ti
El marco de gobierno de TI permite a las partes interesadas asegurarse de que la
estrategia de TI, junto con su interpretacien en las actividades, esta completamente Mejores practicas y 2.7.1 P
alineada con el negocio. Esto incluye el rol efectivo de Ia gerencia ejecutiva de come se alinean con el
negocios en Ia creacien, el mantenimiento y la implementacion de Ia estrategia y gobierno de TI
gobierno de TI mediante los comites a nivel de direccion y a nivel ejecutivo. Practicas actuales de 2.9.2 P
Los comites, compuestos de "lideres de negocio". examinaran y aprobaran la sourcing y su impact()
en el gobiemo de Ti
 estrategia de TI—junto con sus estandares, procedimientos y directrices Impacto de los 2.11.2
asociadas—con respecto a Ia estrategia, las metas y los objetivos del negocio requerimientos
para asegurarse quo: de gobierno de Ti
· La tecnologia permitira el logro de esos objetivos empresariales a trues en compromisos
de una implementacion oportuna y un desemperio adecuado de las contractuales
instalaciones necesarias.
· Los costos de TI serail minimizados en la provision de dichas instalaciones
para obtener el mejor valor de los recursos de TL
· Los roles y las responsabilidades, dentro de las funciones de TI y del
negocio, estan claramente definidos.
En todo momento, el marco de gobierno considerara los riesgos de negocios
Para mitigarcon
asociados los riesgos,
TI paralas organizaciones
garantizar que losidentifican
riesgos losse controles
tratan deque manera
consideran
adecuada criticos para la buena gest& de la empresa. Cada objetivo de control
y apropiada.
Se deriva del riesgo quo intenta manejar. El conocimiento de varios marcos de
Las organizaciones
control ayuda a identificarsiguen
los varios estandares,
objetivos basados enrequeridos
de control adecuados las mejores parapracticas
generalmente
organizacion. Los marcos de control, tales como COBIT, ISO (Internationallas
aceptadas. Estos estandares son de caracter generic° y
empresas deben
Organization adoptarlos segfin
for Standardization) susse
y otros, necesidades especificas.
usan para guiar Los estandares
a la gerencia para y
directrices de TI internacionales proporcionan abundante informacien
astalecer practices de TI; para monitorear, medir y mejorar el desempeno de dichas de analisis
comparativo
practices: (benchmarking)
y para para practices
ofrecer las mejores el gobierno de TI y facilitan
especificas que puedanun enfoque
adaptarseuniforme
a
de las practicas de gobierno de Ti sobre una base global.
las necesidades particulares del negocio. Estes marcos apoyan los procesos de
gobierno de 1-1 en
El conocimiento deunalos organized&
estandares yyson importentesinternacionales
las directrices repositories dede practices
TI de
gobierno de TI.
proporciona unaEl referencia
conocimiento de diferentes
disponible para elmarcos
auditordedecontrol
SI conayuda
el fin al
deauditor
evaluarde
SI a hacer analisis comparativo (benchmarking)
las iniciativas de gobierno de TI y is posician de
actuallos controles identificados por la
72
organization,
Manual dedePreparachin
las organizaciones. al Examen CISA 2015
ISACA. Todos los derechos reservados.
El conocimiento y entendimiento de estos marcos de control y su importancia para el
Section
gobierno de TI son esenciales para impulsar Una: Generalidades
Ia eficiencia y la efectividad en los Capitu
esfuerzos del gobierno de TI.
Cuando se hap implemented°, los marcos de control permiten a una organization dell
monitorear y medir el desempeno con respecto alas estrategias, political y practices
de TI al definir controles especificos, procedimientos y las mejores practices que se
C pueden
R 2 . 1 Cutilizer
o n o ceni reln gobierno
i e n t o ddeeTI.
l gLos
o bmarcos
i e r n oproporcionan
, l a g e s t ilaoestructura
n , l a s necesaria
eguridad y los marcos
para implementer politicas de gestiOn del desempeno clue, gestiOn
de control de TI, asI como los estandares, las directrices y las practicas de cumplimiento
r eylgestiOn
a c i o n de
a drecursos
a s ( c ode n tTI.
. ) Debido a la general aoeptaci6n de estos marcos,
tamblen son utilizados para medir el desempeno de los proveedores slave de
servicios de TI, proveedores y sodas Explication
externos. El examen CISA evaluara el Conceptos slave Referencia
entendimiento que tiene el auditor de SI de los marcos y como estospueden utilizarse a
pare garantizar la seguridad, integridad y disponibilidad de lainformacibn y su
procesamiento.
Propesito de los marcos de control y Dirndl se utilizan en Ia gestiOn de desempelio y recursos en una organized& d
2.3 Gobierno de Ia Ti de Ia empresa 2.9.7 Optimization del rendimiento

CR2.2 Conocimiento del proposito de la estrategia, las politicas,

los estandares y los procedimientos de Ti para una organizacion
y los elementos esenciales de calla uno de ellos
ExplicaciOn Conceptos slave Refere
a
Para que seen efectivos. los esfuerzos de gobierno de TI requieren de Controles de gestiOn 2.3 G
un marco formal. Las organizaciones desarrollan soluciones de TI para sabre las decisiones, 2.3.1 M
automatizar los procesos para lograr las metes y los objetivos, En direction y desempeno d
consecuencia, el loco de la implantation de TI debe ser consistente con de TI
la estrategia y los objetivos del negocio. Las organizaciones deben
definir las estrategias, politicas, estandares y procedimientos operativos

73
 Naturaleza y propOsito 2.4 E
de las estrategias de TI I

Manual de Preparacicin al Examen CISA 2015 ISACA. Todos los derechos

reservados
 Capitulo 2—Gobierno y Gesticin de TI Section Gene
An INAGY CAninnlar

CR2.3 Conocimiento de la estructura organizacional, los roles y

responsabilidades reIacionados con TI

Explication Conceptos clan Refer

Las empresas deben definir claramente la estructura organizacional para Entendimiento de los 2.3.2 C
demostrar cOmo son capaces de lograr Ia prestacion de servicios, roles relatives de cada 2.3
seguridad, gest& de riesgos y calidad de information adecuadas que Ia nivel de Ia estructura de
organizacien requiere. organizacional en el 2.9.3 G
gobierno de TI
La definicion de la estructura organizacional puede requerir la descripcian 2.10
y documented& de las responsabilidades de las funciones principales pare
garantizar la segregation de funciones adecuadas y para identificar guien 2.10.1
en Ia organized& usa y gestiona varias informaciones y recursos. El
auditor de SI debe comprender claramente la estructura organizacional y
los roles y responsabilidades del personal en todos los niveles dentro de
Ia estructura gerencia! de TI, asi como en otras areas de Ia organizacien
donde puedan existir responsabilidades o funciones relacionadas con II
(par ejernplo, propietarics de dates y sistemas), de rnanera que los
requerimientos de cada persona responsable seen transparentes.

CR2.4 Conocimiento de los procesos para el desarrollo, la

implementaciOn y el mantenimiento de la estrategia, las Conceptos clue
politicos, los estandares y los procedimientos de Ti
Explication Referencia en el Manual de Preparacitin
al Examen CISA 2015
La alta direction debe definir un proceso para desarrollar las estrategias de
TI due logren los objetivos del negocio. Las estrategias de TI deben basarse
plenamente en los objetivos definidos del negocio.
El exit° de Ins esfuerzos de gobierno de TI de una organizacien depende de
la calidad de los procesos de gobierno que se relacionan con el desarrollo y
la implemented& de estrategias, politicas, estanderes y procedimientos de
TI. La estrategia dell se debe someter a una revisiOn peribdica pare
asegurar que continue siendo apropiada para atender las necesidades y
riesgos del negocio, tante emergentes come en desarrollo. Un gobierno
(governance) adecuado requiere que todas esas modificaciones seen
consideradas y aprobadas par Ia gerencia ejecutiva del negocio. Las
organizaciones de TI usan practices gerenciales especificas para utilizer y
proteger sus recursos de informaci6n. Estes practices Forman parte del
programa de gobierno de Ti y el auditor de Si debe entenderfo.

CR2.5 Conocimiento de la direccion de la tecnologia y la arquitectura

de Ti de la organizaciOn y sus implicaciones para establecer
direcciones estrategicas a Conceptos clave Referenda en el Manual de Preparacion
largo plazo al Examen CISA 2015
74

Manual de Preparacicin al Examen CISA 2015

ISACA. Todos los derechos reservados.

2.4.1 Factores que

Planificacion estrategica
contribuyen al desarrollo
y Ia implementacien de
una estrategia de TI
La arquitectura corporative acf0a como un facilitador para los esfuerzos de
Factores que contribuyen
gobiemo de Ti en Ia vinculadiOn de los objetivos de Ti y de los objetivos de2.3.4 Gobierno de la seguridad de la
a un efectivo gobierno y
information
negocio. La arquitectura corporative se hate alas compleja debido a Ia
2.9.6 gerencia
Gest& de Ia seguridad
de seguridad de la
disponibilidad de varias soluciones para apoyar los procesos de negodios. Al
de Ia informed&
definir la arquitectura corporative, una organized& debe tomer en considered& las informaciOn
estrategias de TI, los planes de crecimiento del negocio y Ia disponibilidad de TI
Alineacion de politicas
pare alcanzar los objetivos de vested& de servicios. Los activos de Ti deben
con is arquitectura
gestionarse adecuadamente para lograr estos objetivos. Basados en los objetivos
corporative y su relation
de Ia empresa, hay varies modelos de arquitectura de TI que pueden utilizarse.
con el gobierno de TI
El auditor de SI debe ester consciente de que fa entrada crave para determiner
la direcc& estrategica de largo plaza de una organized& de Ti es la revision, el
analisis y Ia evaluaciiin de su arquitectura de TI. La revision, el analisis y la Importancia de los
evaluacion pueden tomer la forma de un mapa de ruta e ilustrar los estados diferentos elementos de
actuates y futures. La revisiOn de Is arquitectura de TI de la empresa y su use la arquitectura de la
Explicaciem
puede ayudar a determiner si la gerencia sigue su estrategia de TI y si esa empresa y su irnpacto
estrategia necesita adaptarse a los cambios de las necesidades del negocio. en el2.3.5
gobierno de TI 2.7.1
arquitectura Politicas
corporative
n
WM rrnatkin
CISA systernsAuditer . Seccidn Uno: Generalidades Capitulo 2—
13 .W.L . Gerirrinon

Explicacion Referencia en el Manual de Preparacifin

Conceptos slave
al Examen CISA 2015
La naturaleza compleja de TI y Ia conectividad global 2,9.2 Practices
introducers de sourcing
varlos Impacto de los
2.10.2 SegregaciOn
riesgos pare Ia inforrnaciOn que las organizacicnes recoiectan, de funciones dentro
almacenan,requerimientos
procesan y distribuyen, Con el fin de proteger los intereses dedelasSIpartes legislativos en las
interesadas, se han promulgado varies requerimientos 2,10.3
legalesControles de practicas
segregacian
y regulatorios. de
de sourcing y
Los requenmientos principales de cumplimiento que se consideran funciones en la segregacion de
globalmente reconocidos incruyen Ia proteccirin de is2.11privacidadAuditoria
y la a lafunciones
estructura a
ponlidencialidad de los dates personaies, los derechos de propiedadiniplementaciOn del gobierno de
TI 2.11.1
intelectual y Ia confiabilidad de la informacidn tinancrera. Adennas„Revisidn
hay de documentacidn
2.11.2 Revisidn
algunos requerimientos de cumplimiento quo son especificos de compromisos
de la Industrie.
contractuales
Los requerimientos legislativos y regulatorlos relacionados con el acceso
yuso de los recursos, sistemas y dates de TI deben revisarse para evaluar
si La organizacion de Ti protege los activos de TI y gestiona de rnanera
elective el riesgo asociado, Para el examen CISA, el auditor de SI detie
ester consciente de estos conceptos reconocidos globatmente; sin
IN
embargo, no se evaluara el conocimiento de regulaciones y Iegislaciones
especificas,

CR2.6 Conocimiento de !eyes, regulaciones y este" nderes refevantes de la

Industrie que afecten a la organizacion
CR2.7 Conocimiento de slstemas de &satin de la calidad
Expllcaolon Conceptos slav
 La efectividad y eflciencia de los estuerzos de gobierno de Ti en Ia Comprension de
organized& dependen de las estrategias de gest& de calidad y de las tecnicas de gestidn p
politicas quo se integran en el marco de gobierno de TI. mejorar continuamen
desempeno de TI
La olaservancia de los procesos y tecnicas gerenciales de procesos
Conocimiento de
coffespondientes se relaciona con Ia efectividad y Ia eficiencia de Ia
estandares de calidad
organized& de SI. Las estrategias y las politicas de gestian de Ia calidad
describen cOrno se mantienen, utilizan y mejoran con el tiempo las
estrategias de TI, las politicas, los procedirnientos y los estandares a
maids que Ia organizaciiin cambia. Las politicas, los procedimientos y les
estandares de Ti son efectivos cuando se usan y cuando cumplen las
necesidades y los requerimientos de Ia organizacien. El proposito de las
estrategias de gestiOn de Ia calidad es facilitar y promover Ia calidad de
las politicas y procedimientos de TI basados en una variedad de marcos
estandar. El use de estandares de calidad dentro de una organizacion de
SI garantiza La operabilidad de Ia organizacidn de Ti.
CR2.8 Conocimiento del use de modelos de madurez
Explication Conceptos slave

Los modelos de rnadurez y de mejcra de procesos ayudan a las ernpresas Practices actuales 2.5 Mo
a evaluar el estado actual de su entorno de controles internos en pare medir el estado pr
cornparacion con el estado deseado y ayudan a identificar actividades para de madurez de Ia
avanzar hacia el estado deseado. Eats evaluaciOn es importante para el organizaciOn
auditor de SI porgue los resultados ilustran a Ia direccion ejecutiva la Impacto de las practices 2.9.2 Pract
efectividad, el cumplimiento y Ia relevancia de sus procedimientos, de sourcing en el estado
herramientas y procesos de TI coma soporte de alineacion con las de madurez actual y en
necesidades del negocio. Esta evaluaciOn Iambi& puede usarse pare el estado de madurez
revisal' las practices de gestiOn dentro de Ti pare determinar el deseado
cumplimiento con las estrategias y politicas organizacionales de TI.
Rol de is gerencia de 2.9.5 Gesti
calidad en Ia reduccion
de Ia brecha entre el
estado actual y el
estado deseado
Manual d e Preparacion of Examen CM 2015
ISACA. Todos los derechos reservados

75
Capitulo 2—Gobierno y Gestion de Ti

Seccion Una: Generalidades CISAertsie1insied inokuilu'amal=

Explicacien Conceptos clave Referenda en el Manual de Preparacion

al Examen CISA 2015
Las tecnicas de optimizaciOn de procesos Practices
ayudan a actuales en a
las empresas 2.9.7 Optimized& del desempeno
eliminar actividades innecesarias, lo que conlleva
la optimizaciOn
un increment°
de de las
eficiencias y un use adecuado de los recursos. procesos
La optimizacion de
procesos requiere evaluar el estado actual del entorno en comparacian
con un diselio Optima y luego identificar las actividades que pueden
eliminarse pare realizar Ia trigracian al estado deseado.
CR2.9 Conocimiento de las tecnicas de optimizaciOn de procesos

CR2.10 Conocimiento de las practicas de inversion y asignacion

de recursos de Ti, incluyendo
Conceptos clave Referencia en el Manual de
criterios de priorizackin (por Preparacion al Examen CISA
ejemplo: gestion de portafollos, 2015 de inversion y asignacik
Conciencia de practices 2.6 Practices
gestion del valor, gestion de actuales en inversiones de recursos de TI
proyectos) y asignacion de
Explicacion recursos de 11
Las organizaciones irnpfentan
Rol de las practices de 2.9.4 Practices de gestiOn financiera
recursos de TI pare garentizar la
prestaciOn y el valor de los gestion financiera en Ia
servicios y evalUen Ia prestacien y gestion de portafolios
el valor de los servicios en relaciOn de 11
con la inversion en TI. El
conocimiento de las practices de
inversion y asignacion de recursos
de 11 es esencial pore justificar la
inversion en el gobierno de TI a las
partes interesadas. Los metodos de
asignaciOn de recursos para les
inversiones de TI permiten un enfoque predecible y cotterente para autorizar rondos
para las iniciativas de TI que demuestren la generaciOn de beneficios tangibles para la
organizacion. Se ejecutan practices especificas para evaluar las iniciativas de TI, tales
comp analisis de castosibeneficios y el consumo de recursos planificados y
pronosticados, para garantizar que la gerencia financia proyectos a iniciativas que
respondan a las necesidades de la organizacion. Los costes y beneficios deben
revisarse perindicamente durante Ia ejecucien de dichas iniciativas.
CR2.21 Conocimiento de procesos de seteccion proveedores de Ti,
gestion de contratos, gestion de r 4aciones y monitoreo del
desemperio, incluyendo relaciones de outsourcing de terceros
ExplIcacion Conceptos clave Refe

Con Ia tendencia creciente del outsourcing de la infraestructura de TI a Impacto de las practices 2.9.2 P
proveedores de servicios externos. es esencial conocer los Oltirrics de sourcing en el
enfoques en estrategias de contratacion, procesos y practices de gestiOn gobierno de TI
de contratos. El outsourcing de TI (y las soluoiones relacionadas, tales 2.10.1
Relacion entre gestion
como gestion de procesos y gestiOn de infraestructuras) puede ayudar a
de proveedores y el
reducir los costos yio complementer una experiencia propia de la
gobierno dell de la
empresa. Sin embargo, el outsourcing tambien puede introducir riesgos
entidad de outsourcing
adicionales. Por consiguiente, es esencial que el auditor de SI comprenda
los enfoques mes salidos de estrategias de contrataciOn, procesos y Terminos contractuales 2.11.2
practices de gestion de contratos, tales como que conceptos criticos se y su impacto en el
deben incluir en on contrato de externalizaciiin (outsourcing) y los manejo del gobierno de
reguerimientos del caso de negocio. TI de Ia entidad de
outsourcing

76 Manual de Preparacicin al Examen CISA 2015

ISACA. Todos los derechos reservados_
Seccion Uno: Generalidades Capitulo 2—Gobierno y Gestic:in de TI
CCertifedtritorrnation CISA
tritSyst
,
t.rnemsAuditor'

CR2.12 Conocimiento de la gestion de riesgos de la

empresa
Explicacidn Conceptos cla
La supervision de los riesgos del negocio relacionados con Ti de Ia 2.8 Proceso
Gest&de de
gestion de
riesgos
empresa es esencial para legrar un gobierno efectivo. 2 8 riesgos
1 Desarrollo
y aplicacion
de endeprograma de
A su vez, el conocimlento de las metodologias y herramientas de gestion de varies metodos
gestion de de
riesgos
riesgos es esencial para evaluar y mitigar les riesgos de negocio de Ia 2.8.2 analisis de riesgos
Proceso de gestion de riesgos de
El progreso de la erganizacidn junto con la ruts de gobierno de TI deben Componentes
organizacian relacionados con Ti. 2.8.3 Metodos de analisisdedeTiriesgos
tnedirse y menitorearse a times de herramientas efectivas, tales como los y su import
cuadros de mando (balanced scorecards, BSC) y los indicadores clave de para el gobierno
Las empresas pueden seguir diferentes modeles de gestiOn de riesgos
desempeno (KPI). Los BSC y KPI traducen las expectativas del gobierno de
para gestionar los riesgos. El auditor de SI debe estar consciente de los Ito de KPIs en el
TI en terminos quo el dueno del proceso pueda entender. Los resultados
conceptos relacionados con la gestion de riesgos, tales como marieje de la
revelan las capacidades de is organizacien de TI para alcanzar sus
identificacien. evaluacidn de valoraciones, respuesta, monitoreo y gobierno optimizacren del
objetivos y pueden usarse para determinar si es necesarto realizar cambios
de riesgos, etc. tin CISA debe conocer las tecnicas de respuesta ante el desempeno para u
en la estrategia de TI a largo plazo mientras due la organizacion de TI se
riesgo come evitar, tratar, transferiricompartir y aceptar. gobierno de TI ele
esfuerza por satisfacer las necesidades de la empresa.
El auditor de SI tambien debe saber quo los controles se identifican,
disenan e implementan basandose en un analisis de costo-beneficie
donde los beneficios derivan de Ia mitigacion de riesgos.
 Explicacion Conceptos slave
Un au
se en-
flues
Los p
Manual de Preparacian al Examen CISA 2015 ,
Capitulo 2—Gobierno 77 y Gestion de Ti Session Uno: Generalidade CISAindivi
s
Zsttm
ISACA. Todos los derechos reservados Indus
ubica
y la n
en lo
gloID
CR2.14 Conocimiento de las praroticas de gestion de recursos humanos (personal) deE laTI ut
plan de continuidad del negocio rec
recut
Referencia en el Manual de PreparaciOn al Examen CISA 2015 plane
la or
a
El aliment° de Ia automatizacion de los procesos de negocios crea rotes en Rol de los procesos y las
la gestiOn optima de recursos humans (RR.HH.) asi coma en el tratamiento politicas de RR.HH. en el
de las deficiencies de control que se crean cuando los roles de trabajo se gobiemo de TI Un a
combinan mediante la autornatizacien de tareas. La evaluacidi del R CP/
desemperio, los planes de compensacian y el plan de slices& son GestiOn de RR.HH, y su el B(
importantes. El auditor de SI debe entender la necesidad de una buena capacidad de respuesta perk
gestion de recursos humanos con respecto a TI, particularmente la a las necesidades de
necesidad de eliminar los riesgos innecesarios a trays de lo siguiente: cambia de la
"leo
verificacian de las calificaciones, historial y referencias de los solicitantes: organizaciOn de TI
verificacian de las destrezas necesarias requeridas pare lograr los objetivos Comprensian de asuntos prUE
de TI, incluyendo los requisites de capaeitacien; y reconocimiento de la de RR.HH, y asignacidn grat
necesidad potencial de un despido inmediato del empleado en lugar de de responsabilidades quo a Ia
permitir un "period° de preaviso". se relacionan con el
obje
desarrollo y la ejecucion
mej
Un auditor de SI debe evaluar carno se integran en una empresa la de planes
de I;
respuesta a emergencies, Ia respuesta a incidentes y los procedimientos de
BCP. Es necesario analizar y evaluar fa gestiOn de RR.HH. y los per:
requerimientos relacionados con RCP, asi coma entender dm° se rnanejan
los eventos y cam° se mantienen las camunicaciones. El auditor de SI debe
ser consciente de las practicas que se siguen pare proteger al personal, RE(
incluyendo Ia asignacidn de responsabilidades y Ia secuencia de esfuerzos
quo se deben hacer en case de desastre. La relacionado con Ia seguridad
del personal, come los procedimientos de evacuation del edificio, no es de Bur
competencia del auditor de Ti. pero este debe compeer el rol del personal
Tool
de RR.HH. en la recuperacian siguiente a una interrupcion. La
responsabilidad de RR.HH. en la salud y seguridad de las personas
continuara y puede toner enfasis adicional, dependiendo de la naturaleza Cra
del incidente. Es bastante probable quo para el proceso de recuperacion se Bu.c
necesite personal temporal adicional, que tendra contactos con agencias
externas. Del mismo mode, se puede necesilar transporte para trasladar a Hilc
los empleados del lugar de trabajo normal al sitio de recuperacian, y es Mai
posible que RR.HH. deba hacer estos arreglos. El auditor de Si tambien
debe ser consciente de que, en on memento en que se espera que los ISA
individuos dediquen el 100 per ciento de sus esfuerzos al proceso de
recuperacian, el estres post-traumatico puede ser un factor quo reduzca su ISA
capacidad de cancentrarse en los esfuerzos para recuperarse. Sera
necesario que RR.HH. se ocupe de la tarea de manejar el estres
procurando que se proporcione asesoria y garantizando que ningtin aspecto ISC
personal innecesario pueda afectar Ia recuperackin, tales comp Tec.
5 preocupaciones sabre salario u otros pages.
os. IT !
2.9.1 GestiOn de Recursos Humanos
2.9.3 GestiOn de cambios
organizacionales
2.12.7 Desarrollo de planes de continuidad
del negocio
2.12.8 Otros problemas en el desarrollo de
los planes
2.13.5 EvaluaciOn de seguridad en
instalaciones externas
4.7.5 Organlzacian y asignacidn de
responsabilidades

CR2.15 Conocimiento del analisis del impacto en el negocio (BIA)

relacionado con el plan de continuidad del negocio (BCP)
Explicacion BIA yl3CP alineados. Para que un
Un auditor de SI debe poder determiner si un estan bien BOP sea efectivo y
eficiente. debe basarse en un BIA bien Conceptos Referencia en el Manual de Preparacion
documentado. Un BIA guia el objetivo de los slave al Examen CISA 2015
esfuerzos del BCP de una organizacion y
ayuda a equilibrar los costos en los que se Cam prension
incurrira con los beneficios correspondientes del BIA coma
para Ia organizacion. Es esencial que el impulsor slave
auditor de SI tenga una buena comprensiiin del proceso
del concepto de BIA para poder auditar Ia de BCP/DRP
efectividad y Ia eficlencia de on BCP. (plan de
recuperacian
de desastres)
2.12.6 Analisis de impacto en el negocio

78 Manual de Preparacion al Examen CISA 2015

1SACA. Todos los derechos roservados.

M
 CI SA slt rs i Seccicin Uno: Generalidades C
in 11.14 , r-4 - MS10T

CR2.16 Conocimiento de
los estandares y
procedimientos para el
desarrollo y el
2.12.1 PlanificacionComprensian del del
mantenlmlento del plan
de continuidad
de continuidad del ciclo
negocio de SI de vide del
negoclo (BCP) y 2.12.3 Proceso de plan de desarrollo
planificacian de y
metodos de prueba continuidadmantenimiento
del negocio del BCP/
DRP
2.12.4 Politica de continuidad del negocio
Explication Conceptos slave R
2.12.5 Gest& de incidentes en la
planificacion de Ia continuidad del
negocio
2.12.7 Desarrollo de planes de continuidad
del negocio
2.12,8 Otros problemas en el desarrollo de
los planes
2.12.9 Componentes de un plan de
continuidad del negocio
2.12.10 Pruebas del plan
2.12.11 Resumen de continuidad del negocio
2.12.10 Pruebas delComprensian
plan de mos
2.13 Auditoria a tipos de pruebasdel
la continuidad denegocio
BCP,
los factores que se deben
considerar cuando se
determine el alcance
apropiado de Ia prueba,
los metodos pare
observer las pruebas
Ramos, Michael J.; Now to Comply With 5'arbanes-Oxley de
Section
recuperacion
404. 3'" Edickin, John Wiley & Sons Inc., USA.. 2008 y analizar
los resultados de las
pruebas and
Raval, Vasant; Ashok Fichadia; Risks, Controls,
Security: Concepts and Applications, John Wiley & Sons,
USA, 2007, Capitulo 6: System Availability and Business
Continuity

Sherwood, John; Andrew Clark; David Lynas; Enterprise Security

Architecture: A Business-Mimi Approach, UK, 2008,

Tarantino, Anthony; Manager's Guide to Compliance: Sarbanes-

Oxley COS°. ERM. COBIT. /FRS, BASEL II, OMB's A-123, ASX
10, OECD Principles, Turnbull Guidance, Best Practices, and
Case Studies, John Wiley & Sons Inc., USA, 2006
Un auditor de SI debe ser muy versed° en las practices y tecnicas que se emplean pare el desarrollo y mantenimiento de
coordinar planes de re-cuperaciOn en toda la organizaciOn. Los planes se deben disdar a Ia medida pare ajustarse a las
organizaciones, debido a que las diferencias en la industria, asi como el tamaiio y alcance de una organizaciOn, e inclus
contenido de los planes. El tannaiio y la naturaleza de las instalaciones seleccionadas para recuperacion, en lo que resp
sustancialmeete del riesgo global asociado con una interruption. En esencla, cuanto mas rapida sea la recuperacion requ
tiempo de recuperacion (RIO), mayor sera el costo potencial. Una vez establecidos los planes de recuperaciOn se deben
organizacion y los riesgos asociados.

Un auditor de SI debe conocer los enfoques y metodos de prueba pare BCP/DPP pare evaluar is efectividad de los planes
funcionara en el caso de un desastre, es importante prober periOdic-amente el BCP/DRP, y garantizar que el esfuerzo de
observer pruebas; asegurar que las lecciones aprendidas" se registren y reflejen apropiadamente en un plan revised°, y re
informacik sabre las pruebas anteriores. Los elementos slave quo se deben buscar incluyen el grado en el cual Ia prueba u
previas a la planificaciOn quo no esiarian disponibles durante un desastre real. El objetivo de una prueba deberia ser ident
lugar de tener una prueba perfecta. Otro aspecto importante de las pruebas de BCP/DRP es proporcionar capacitaciOn a
participar en el proceso de recuperaciOn.

RECURSOS SUGERIDOS PARA ESTUDIOS POSTERIORES

Bullies, Jim; Principles and Practice of Business Continuity: Tools and
Techniques, Rothstein Associates Inc., USA, 2007

Graliam„lulia; David Kaye; A Risk Management Approach to Business Continuity,

Rothstein Associates Inc., USA, 2006

Blies, Andrew; The Definitive Handbook of Business Conthudo, %lawmen!, 3r°

Edition, John Wiley & Sons Inc., USA, 2011

ISACA, COBIT 4.1, USA, 2007, www.isaca.org/cobit ISACA, COB1T 5, USA,

2012, www.isaca.orgicobit
•
ISO, ISO/IEC 38500:2008 Corporate Governance qf Wormation
 Technology, Suiza, 2008.
IT Governance Institute, Board Briefing on IT Governance, 2Edicion, USA, 2003
11 Nova:
Las publicaciones que aparecen en negritas estan disponibles en la Libreria tie
ISACA.
Capitulo 2— Gobierno y Gestion
de Ti
PREGUNTAS DE
AUTOEVALUACION
Las preguntas de autoevaluacion de CISA
complemental el contenido de este manual
y proporcionan comprensien sobre el tipo y
la estructura de las preguntas que
nonnalmente han aparecido en el examen.
Las preguntas estan escritas en Lill fonnato
de seleecion multiple y estan disetiadas
para elegir la mejor respuesta. Cada
pregunta tiene el format() de planteamiento
de un problema (pregunta) y cuatro
opciones (opciones de respuesta). El
problema se puede fonnular como una
pregunta o como tin enunciado incompleto.
t5
En algunas ocasiones, se puedc incluir
algan escenario o description de tin
problema. Estas preguntas nonnalmente
incluyen Ia description de una situation y
requieren que el candidato responda dos o
mas preguntas basandose en la infonnacion
suministrada. Muchas veces, una pregunta
requiere que el candidato elija Ia respuesta
apropiada que sea Ia MAS probable o Ia
MEJOR entre las opciones stuninistradas.
En cada caso, el candidato debe leer la
pregunta cuidadosamente, eliminar las
respuestas que scan claramente
incorrectas y luego hater Ia mejor
elecciOn posible. Conocer el formato en
que se presentan las preguntas y como
estudiar para obtener el conocimiento de
lo que se va a probar sera de gran ayuda
para responder las preguntas
correctamente,
2-1 Para que Ia gerencia pueda monitorear
de forma efectiva el Secchin Lino: Generalidades C
eumplim iento de los procesos y ISA S Certified Muni
ystems eauat*
las aplicaciones, i,cual de las
siguientes opciones seria Ia
MAS adecuada?

A. Un repositorio de documentos
2-4 e,La responsabilidad MAS
central
B. Un sistema de gestion de
iinportante de un oficial de
conocim lentos seguridad en una
C. Un Tablero de mandos organizaciOn es:
D. Benchmarking
A. recomendar y monitorear
las politicas de seguridad de
los datos.
B. promover la conciencia
sobre la seguridad dentro de
Ia organization.
C. establecer
procedimientos para
las politicas de
seguridad de TI.
D. administrar los controles de
acceso tisico y lOgico.

1
-5 igual de los siguientes elementos
se considera MAS critic para
una implementation satisfactoria
de un programa de seguridad de
la in fonnacion (SI)?

A. Un marco de gestiOn de
riesgos emprcsariales
(ERM) efeetivo
B. Compromiso de la alta
direction
C. Un proceso de creation de
presupuestos adecuado
D. Una planificacion
meticulosa de programas

2-6 Un auditor de SI debe

asegurar que las
 medidas de desempaio estrategicos de TI
del gobiemo de TI: C. acaten los
estandares y
A. evalCien las actividades definiciones de
de los comites de reporte regulatorio
supervision de TI D. evalften el departamento de
B. provean impulsadores TI

2-2 i,Cual de los siguientes de T1 debe reconocer las

elementos estaria incluido en
un plan estrategico de Si?
A. Especificaciones para
compras planeadas de
hardware.
B. Analisis de los objetivos
futuros del negocio.
C. Fechas objetivo para los
proyectos de desarrollo.
D, Objetivos anuales de
presupuesto para el
departamento de SI.
mesas organizacionales, los
adelantos tecnolOgieos y los
requerimientos regulatorios.
D. La planificaciOn de corto
alcance para el departamento
de TI no necesita estar
integrada en los planes de
corto alcance de la
organizaciOn, ya que los
adelantos tecnolOgicos
impulsaran los planes del
departatnento de TI much°
mils rapido que los planes
organizacionales.

2-3 i,Cual de los enunciados siguientes

describe MEJOR
el proceso de planificacion
estrategica de un departamento de
TI?

A. El departamento de TI
tendril planes de corto alcance
o de largo alcance
dependiendo de los planes y
objetivos mils amplios de la
organizacion,
B. El plan estrategieo del
departamento de TI debe estar
orientado al tiempo y al
proyecto, pero no tan detallado
como para tratar y ayudar en la
determinaciOn de prioridades
para satisfacer las necesidades
de negocio.
C. La planiticaciOn de largo
alcance para el departamento
2-7 i,Cual de las siguientes tareas
pueden ser ejecutadas por la
misma persona en un centro in
formatico de procesainientc de
informacian bien controlado?
A. Administration de seguridad
y gestion de cambios.
B. Operaciones infonnaticas y
desarrollo de sistemas.
C. Desarrollo de sistemas y
gestion de cambios.
D. Desarrollo de sistemas y
mantenimiento de sistemas.
2-8 i,Cual de los siguientes es el
control NI AS critico sobre la
administraciOn de una base de
datos?
80 Manual de Preparation al Examen CISA 2015
A. AprobaeiOn de las actividades
de DBA.
B. Segregacion de funciones.
C. Revisit-5n de registros de
acceso y actividades.
D. RevisiOn del use de las
herramientas de la base de data
2-9 Cuando una segregation de
funciones completa no puede
lograrse en un entomo de
sistema en linen, i,eual de las
siguientes funciones debe ser
separada de las dernas?
A.OriginaciOn
B.Autorizacion
C.Registro
LX Correccian
ISACA. Todos los derechos reservado5
 CISA Section Lino: 2-1 C Un tablcro de mandos
rl

proporciona un conjunto

de informacion para
Certifiedsyst Information ilustrar el eumplimiento
de los procesos, las
Generalidades aplicaciones y los
elementos configurables y
mantiene a la empresa en
curso. Un repositorio de
documentos central
2-10 En una organization pequena, en proporciona muchos
la que la segregation de datos, pero no
responsabilidades no es practica, necesariamente la
un empleado desempelia information especifica que
funciones de operador de seria de utilidad para el
computadoras y de programador monitorco y el
de aplicacinnes. LCual de los cumplimiento.Un sisterna
siguientes controles debe de gestion de
recomendar el auditor de SI? conocimientos
proporciona informaciOn
A. Registro automatic° valiosa, pero
de cambios a las generalmente no es
bibliotecas de desarrollo. utilizado por Ia gerencia
B. Personal para analizar el
adicional para proveer eumplimiento,Uli
la segregacion de benchmarking
funciones.
proporciona information
C. Proccdimientos que
para ayudar a Ia gerencia
verifiquen que solo los
cambios de programa a adaptar la organizaciOn,
aprobados estan de forma oportuna, de
implementados. acuerdo con las
D. Controles de acceso tendencias y el entomo.
para impedir que el
operador haga 2-2 B Los planes estrategicos de SI
modificaciones a los deben resolver las
programas. necesidades del negocio
y eumplir los objetivos
RESPUESTAS A LAS futuros del negocio. Las
compras de hardware
PREGUNTAS DE pueden esbozarse pero
AUTOEVALUACON no ser especificadas y ni
 los objetivos del
presupuesto ni los
proyectos de desarrollo
son altemativas de
elecciOn relevantes. Las
opciones A, C y D no
son puntos estrategicos.
2-3 C La planificaciOn a largo
plazo para el departamento
de TI debe reconocer las
metas organizacionales, los
adelantos tecnologicos y
los requisites regulatorios.
Tipicamente, el
departamento de TI tendra
tanto los planes de largo y
de corto plazo que sean
consistentes y que esten
integrados con los planes
de la organization. Estos
planes deben estar
orientados al tiempo y al
proyecto, asi como
tambien tratar los planes
mas amplios de Ia
organization para alcanzar
las metas de esta.
Capitulo 2— Gobierno y Gesticin
de TI
2-4 A La responsabilidad
principal de un oficial de
seguridad de la
informacion es
recomendar y monitorear
las politicas de seguridad
de la infbrmacion.
Promover la conciencia de
seguridad dentro de la
organizaciOn es tuna de
las responsabilidades de
un oficial de seguridad de
datos. Pero, no es tan
importante como
recomendar y monitorear
las politicas de seguridad
de la information. El
departamento de TI, no el
oficial de seguridad de
datos, es responsable de
establecer procedimientos
para las politicas de
seguridad de Ti
recomendadas por el
oficial de seguridad de la
inforrnacion y de la
administracion de los
controles de awes() fisico
y lOgico.
2-5 B El compromiso de la alta
direction proporciona la
base para lograr el exito en
la implementacion de un
programa de seguridad de la
informaciOn. Un marco de
ERM efectivo no es un
 factor slave para el exit° de
un programa de Si. Si bien
un proceso de creacion de
presupuestos de TI efectivo
contribuira al exit°, el
compromiso de la alta
direecion es el ingrediente
slave. La planificacian de
programs es importante,
pero no sera suficiente sin
el compromiso de la alta
direccion.
2-6 A La evaluacian de las
actividades de las juntas y comites
que proveen supervision es
un aspecto importante del
gobierno y debe ser
medido. Las opciones B, C
y son todas irrelevantes
para la evaluaciOn de
medidas de desetnpeiio del
gobiemo de TI.
2-7 D Es comtin que el desarrollo
y et mantenimiento de
sistemas scan asumidos
por la misma persona. En
ambos casos el
programador requiere
acceso al cadigo Puente en
Manua! de Preparation al Examen CISA 2015
el ambiente de desarrollo,
pero no se le debe permitir
el acceso en el ambience
de production. La opciOn
A no es correcta porque
los roles de
administraciOn de
seguridad y de gestion de
cambio son funciones
incompatibles. El nivel de
derechos de acceso de
administration de
seguridad podria permitir
que los cambios pasen sin
ser detectados. Las
operaciones informaticas y
el desarrollo de sistemas
(opcion B) son
incompatibles pues seria
posible que an operador
ejecute un programa que el
mismo haya modificado.
La option C es incorrecta
porque la combination de
desarrollo de sistemas y
control de cambios
permitiria que las
modificaciones de
programa se desvien de las
aprobaciones de control de
cambios.
 81
ISACA. Todos los derechos reservados
CapItulo 2— Gobierno y Gestion de TI Seccicin Lino: G

B La segregacion de funciones podra prevenir la

combinaciOn de funciones conflictivas. Este es un
control preventivo, y es el control ritAs ctitico en la
administration de base de datos. La aprobacion de
las actividades de DBA no impide la combinacian
de funciones conflictivas. Revision de registros de
acceso y actividades es un control de detection.
Si las actividades de DBA son incorrectamente
aprobadas, la revision de los registros dc acceso
y actividades puede no reducir el riesgo. Revisar
el use de las herramientas de la base de datos no
reduce el riesgo, ya que este es solo un control de
detection y no previene la combination de funciones
contlictivas.

2-9 B La autorinciiin debe estar separada de todos los

aspectos de mantenimiento de registros (generacian,
registro y correction). Dicha segregacion aumcnta la
capacidad de detectar el registro de las transacciones
no autorizadas.

2-10 C En las organizaciones Inas pequeiias, generahnente

no es apropiado reclutar personal adicional para
lograr una estricta segregacion de funciones. El
auditor de SI debe analizar las alternati vas. De
las opciones, C es la Onica practica que tiene un
impact°. El auditor de SI debe recornendar proccsos
que detecten los cambios al cOdigo fuente y al
codigo objeto en production, come por ejemplo las
comparaciones de cadigo de modo que los cambios
puedan ser revisados par un tercero regularmente.
Esto seria un proceso de control cornpensatorio. La
option A, que implica el registro de los cambios a
las librerias de desarrollo, no detectaria los cambios
a las librerias de produccion. La opciOn D estd
efectivamente requiriendo que L111 tercero haga
los cambios, lo cull] puede no ser practico en una
 organizaciOn pequefia.

82 Manual de Preparation a! Examen CISA 2015

ISACA. Todos los derechos reservados.
C. Certified Information Seccicin Dos: Contenido Capitulo 2
CISA Systems Auditor'
,....,...,Dpi,...i..

Secchin Dos: Contenido

2.1 REFERENCIA RAPIDA -
 El Capitulo 2 define Ia necesidad de gobierno·de TI.ElUn auditordedela SI
gobierno seguridad de Ia informacidn se debe ejecutar y respaldar
debe ester en capacidad de entender y proveer aseguramlento
mediante las estrategias,de que la
las politicas y Ia estructura de Ia organized& de Ia seguridad
organizaciOn cuenta con Ia estructura, las politicas, los mecanismos
de Ia information. El gobierno de seguridad de la informed& deberia ser
contables y las practices de monitoreo necesarios para alcanzar
responsabilidad los de direccidnialta direccien pare aprobar politicas y
del consejo
requerimientos de gobierno corporativo de TI.sanciones
Para un auditorrelacionadasde SI, conelincumplimiento, mientras que Ia direccian de Ia seguridad
conocimiento del gobierno de TI es la base parade IaIainformacidn
evaluaciOn sede las delegar al director general de seguridad de Ia
deberia
Revision
practices y mecanismos de Iapare
de control Referencia
Ia supervisionRapida
informacidn. Revision
y revision por de Ia Referencia Rapida (cant.)
parte de la gerencia. · El gobierno de TI abarca Ia minimization de los riesgos de TI a los que esta
Manual de Preparation al Examenexpuesta CISA la2015 organizacion. La gestion de83 riesgos es el proceso de identification de las
Los candidatos a CISA deben tenor una solida connprensien de los
ISACA. Todos los derechos reservados. vulnerabilidades y las amenazas a los recursos de informacidn utilizados par una
siguientes elementes. Es imporlante tenor presente
organized&que paranolograr
es los objetivos de negocio, y decidir que contramedidas
suficiente el conocimiento de estos conceptos desde una
(protecciones perspective
o controles) se deben tomer, de tomarse alguna, pare reducir el riesgo a
sernantica. Ejemplos de terries claves en este capitulo
on nivel incluyen:
aceptable (es decir, riesgo residual), basandose en el valor del recurso de
*Uri objetivo de gobierno corporative es resolver los objetivos
informed& conflictivos
pars la organizaciOn. Este proceso empieza con Ia comprensiOn del
que resultan de explotar las oportunidadesapetito
disponibles
de riesgo parade Iaaumentar
organized& el pare luego determiner la exposition al riesgo de sus
valor de las partes interesadas, manteniendo al mismo
actives de TI. Atiempo
partir delas este identificacidin, se definen las estrategias y
operaciones de Ia organized& dentro de losresponsabilidades
limiter establecidos per losde riesgos. Segdn el tipo de riesgo y su significado
de la gestiOn
requerimientos regulatorios y las obligaciones
paresociales.
el negocio,Aplicado
los riesgos a se
Ti,pueden
el evitar, reducir, transferir o aceptar. El resulted°
gobierno ayuda a asegurar Ia alineacion dedelos Ia objetivos
presencia de deunTIriesgo
y losse dedenomina
Ia impacto y puede generar perdidas en
empresa. Al gobierno de TI le incurnben dos aspectos:
materia que legal,
financiera, Ti entregue
reputed& y eficiencia.
valor al negocio y que los riesgos de TI seen· gestionados.
Los riesgos Lo primer()
se miden se on analisis cualitativo (se definen los riesgos en
utilizando
logra con Ia alineacidn estrategica de TI con el negocio. Lo Segundo se
terminos de altoimedioibajo); un analisis semicualitativo (se definen los riesgos de
logra con el establecimiento de la gest& y elacuerdo
gobierno a unadeescala
riesgos y
nurnerica) o un analisis cuantitativo (se aplican diversos valores
tambien Ia responsabilidad dentro de la empresa. El gobiemo
a los riesgos, incluidosde TI es y se calcula la probabilidad e impacto del riesgo).
financieros,
responsabilidad del consejo de direcciOn yDespues
de la direccien
de haber ejecutiva,
identificado ylos riesgos, se diserian controles nuevos o existentes y
entre las practices slave de gobiemo de T1sedemide Ia direccien ejecutiva
so fortaleza y probabilidad se de efectividad. Los controles pueden ser
incluyen un comite de estrategias de T1, unpreventives,
proceso de gestiOna correctivos;
detectives de manuales o automatizados; y formales (es decir,
riesgos y un cuadro de mando integral de TI. documentados) o provisionales. Ademas, tambien puede haber controles
· El gobierno empresarial de TI es unacompensatorios.
vision de gobierno La que
asegura quo Ia informacidn y Ia tecnologiagerencia
relacionada respalde
puede utilizer el riesgo y residual para determiner cuales son las areas que
permita la estrategia y el logro de los objetivos
requieren de mdsla empresa;
control y siesto las beneficios de tales controles compensan los costes. La
tambien incluye el gobierno funcional de TI, es decir,
totalidad de esteasegurar
proceso que las de riesgos de TI se debe gestionar a diferentes
de gestidn
capacidades de TI se proporcionen de manera niveleseficaz
dentro de y eficiente.
Ia organizacion,La incluidos los niveles operacional, de proyectos y
planificaciOn estrategica eficaz de Ia T1 incluye
estrategico;considerar las former parte de la practice de gest& de SI. Los planes de
edemas, deberia
demandas de Ia organized& en lo que se analisis
refieredea riesgos
TI y suy capacidad
gestion de riesgos se deben reviser periedicamente pare
de provision de TI. Un unite directive rige acompanar
Ia estrategia, que esen el entomb y Ia organizacion.
los cambios
orientada y controlada por politicas y procedimientos,
· Los procesosincluida la
de gestiOn slave que dark forma a la efectividad de on
politica de seguridad de fa informacidn. Eldepartamento
auditor de SI de debe evaluar los controles pare la estrategia y el use de recursos
SI y delimitaran
las estrategias, las politicas y los procedimientos
son la gestionparededeterminer
recursos humanos,Ia Ia gestion de cambios, las practices financieras,
importancia que se ha dado al proceso delaplanificacion;
gest& de calidad, Ia Ia gestion de seguridad de la informacidn y las prdcticas de
participaciOn de Ia alta direcciOn de TI enoptimized&
Ia estrategia general deEl control y gobiemo del entomb de SI per parte de Ia
del desemperlo.
negocio; asi come al cumplimiento, relevanciagerencia y aplicabilidad
se puede evaluar de con
las base a Ia revision de su estructura organizational. Los
politicas dirigidas a terceros. organigramas deben definir claramente Ia jerarquia y autoridades del departamento,
· Un comite de estrategias de Ti monitorea
asi cam el sus
valor, losy responsabilidades
roles riesgos y el especificos. La estructura deberia definir el rol
desempefio de TI, edemas provee informacidn al consejo pare
de cada area en eI departamento de SI e indicar la segregacion apropiada de
respaldar la tome de decisiones relacionada con lasdentro
funciones estrategias de TI.
de este departamento.
El auditor de SI debe evaluar la efectividad de la estructura de gobierno
de Ti pare asegurar un control gerencial adecuado de Ia junta sobre las
decisiones, instrucciones y ejecucion de T1 de mode que respalde las
estrategias y objetivos de la organized&
· Un aspecto slave del gobierno de TI es el gobierno de is
seguridad de la informacien. La informacidn es el actin mas valioso de
una organized& y se debe proteger adecuadamente,
independientemente de coma se maneje, procese, trasporte, almacene
o deseche. La seguridad de Ia informed& abarca todos los procesos de
informacidn, Canto fisicos come electronicos, independientemente de si
ellos involucran personas y tecnologia o relaciones con socios
comerciales, clientes o terceros. Garantiza que los riesgos de
seguridad de la informed& seen gestionados de manera apropiada y
que los recursos de informed& de Ia empresa se usen con
 Capitulo 2—Gobierno y Gestion de T1Section Dos: Contenido C1SA
s g==tice
c k

Revision de la Referencia Rapida (cont.)

· El propOsito de la segregation (o separacien) de funciones medio de practicas
es prevenir el fraude y los errores dividiendo las tareas y Ia
autoridad para Ilevar a cabo un proceso entre varios empleados de gobierno
o gerentes. Especificamente, las funciones que deben segregarse corporativo.
son: custodia de los activos, autorizacion y registro de Gobiemo
transacciones. Si se requieren roles combinades, entonces se corporativo se
deberan describir los controles de compensation. define como
Este capitulo tambien aborda la necesidad de continuidad del negocio y "el sistema por el
recuperacian ante desastres dentro de una organizacion. La mayoria de
cual se dirigen
las organizaciones Ilene implementado argiin tipo plan de recuperacion
ante desastres (DRP) para Ia recuperacian de la infraestructura de TI, y controlan las
sistemas criticos y datos asociados. Sin embargo, muchas organizaciones corporaciones
no han dada el paso siguiente y desarrollado planes sobre como de negocios" (Sir
funcionaran fas unIdades craves del negocio durante un periodo de Adrian
interruption de TI. Los candidatos a CISA deben conocer los Cadbury,
cornponentes de los planes de recuperaciOn ante desastres (DRP) y los International
planes de continuidad del negocio (BCP), la importancia de alinear uno
con el otro y alinear los DRP y BCP con el apetito de riesgo y tolerancia
Corporate
ante los riesgos de la organizacion. Governance
Meeting,
En resumen, para un auditor de SI, las practicas de gestidn de SI se Hanoi,
deben evaluar para determinar el gobierno de Ia gerencia sobre TI, Vietnam, 6
incluida Ia documentacion relacionada con las estrategias, los December
presupuestos, las politicas y los procedimientos de TI; el control sabre Ia
2004, p. 3,
seguridad de la informed& en relaclan con Ia compartimentacion de los
derechos de acceso; asi como la estructura del departamento de SI, ya
que cada uno de estos elementos ilustra man eficaz es una organizacion
a la hora de asegurar que la unidad de TI brinda valor al negocio y que
los riesgos de TI son gestionados.

2.2 GOBIERNO
CORPORATIVO
Los aspectos eficos, la toma de decisiones
y las practicas en general dentro de una
organizaciOn deben romentarse por
www.oecdorg/dataoecd/18/47/34080477.
pc). Mils especificamente, un gobierno
corporativo es on conjunto de
responsabilidades y practicas usadas
por la gerencia de una organizacion
para proveer direccion estrateQica,
pant garantizar, de ese mod°, que las
metas se puedan aleanzar, los riesgos
sewn manejados de manes adecuada y
los recursos organizacionales scan
utilizados apropiadamente.
Organizacion para la CooperaciOn y el
Desarrollo Economieo (OCDE) declara:
"El gobierno corporally° incluye un
conjunto de relaciones entre Ia
direccion de una compaiiia, su consejo
de direcciOn, sus accionistas y otras
partes interesadas. El gobierno
corporativo tambien ofrece Ia
estructura a traves de la cual se
estableeen los objetivos de la compania, y
se determinan los medios para lograr esos
objetivos y monitorear el desempefio.
Un buen gobierno corporative deberia
ofrecer ineentivos apropiados para el
consejo de direcciOn y Ia gestion para
explorar los objetivos quo sear de
inheres para [a compania y sus
accionistas y deberia facilitar un
monitoreo efectivo". (OECD 2004.
OECD Principles of Corporate
Governance, France, 2004, p. 1 1,
ivtviv.oecdore
clataoecd/32/18/31557724.pdfi.
Este marco se utiliza cada vez etas en
los organisinos gubernamentales de
diferentes paiscs en un esfuerzo para
reducir Ia frecuencia y el impacto de
informes financieros inexactos y
proveer mayor transparencia y
responsabilidad. Muchas de estas
regulaciones gubemamentales incluyen
un requerimiento para que la alta
direccion apniebe lo adecuado de los
controles internos e incluya una
evaluation de los controles internos
organizacionales en los informes
financieros de la organizacion.
2.3 GOBIERNO DE TI DE LA
EMPRESA
El gobierno de TI de Ia empresa
(GEIT) impliea un sistema en el cual
todas las partes interesadas, incluyendo
el Consejo, clientes y departamentos
internos, tales como finanzas,
proporcionan una entrada en el proceso
de la toma de decisiones.
GEIT es el sistema de gestion quo
usan los directores. En otras palabras,
el GEIT trata de Ia custodia de los
recursos do TI a nombre de las panes
interesadas, las males, al mismo
tiempo, esperan el retomo de su
inversion.
Los directores responsabies de esta
custodia velanin porque la gerencia
implemente los sistemas y controles
de Ti necesarios.
GEIT es responsabilidad del
consejo do direccion y de la
direction ejecutiva.
El proposito del GEIT es dirigir los
esfuerzus de TI para asegurar que su
rendimiento logre las metas de alinear
a TI con los objetivos de Ia empresa y
la obtencion de los beneficios
prometidos. Adicionalmente, TI debe
apoyar a la empresa al aprovechar las
oportunidades y maximizar los beneficios.
Los recursos de Ti deben usarse
responsablemente y los riesgos
relacionados con TI deben manejarse de
manera apropiada.
La implementaciOn del marco de
GEIT trata estos dos problemas,
implementando practicas que
ofrecen opiniones sobre generation
de valor y gestion de riesgo. Los
procesos amplios incluyen:
· La gestiOn de recursos de
T1, quo se basa en un inventario
actualizado de todos los recursos de
TI y trata el proceso de gestion de
riesgos.
· La medieion del desempefto. que
busca asegurar que todos los
recursos de TI tengan el desempeiio
esperado para dar valor al negocio y se
extiende para identificar los riesgos a
nom)°. Este proceso se basa en los
indicadores de desempetio que se
optirnizan para la entrega de valor y a
partir de los etiales cualquier desviacion
podria conducir a una materialization
del riesgo.
· La gestion de cumplimiento, que
busca implementar procesos quo
cubran los requerimientos de
cumplimiento de contratos y politicas
legales y regulatorios.
El marco COBIT 5 de ISACA pace una
distincion clara entre gobierno y
gestion. Estas dos disciplinas abarcan
distintos tipos de actividades, requieren
distintas estructuras organizacionales y
sirven a diferentes propOsitos. El punto
de vista de COBIT 5 con respecto a
esta diferencia slave entre gobierno y
gestion es:
· Gobierno--Asegura que las
necesidades, condiciones y opciones
de las partes interesadas se eval(ion
para determinar los objetivos
empresariales equilibrados y
acordados que
84
cisA cesvisttielledms Zocirirorkm Seccion Dos:
Contenido
Kv1
deben logratse, establecer una
direccion a travel de Ia priorizacion y
toma de decisiones; y monitorear el
desemperio y cumplimiento de la
direccion y objetivos acordados.
Manual de Preparation al Examen CISA 2015
ISACA. Todos los derechos reservados.
· Gestion—Planifica, construye,
ejecuta y monitorea
actividades en alineacion con la
direccion establecida por el organo
de gobierno para alcanzar los
objetivos de la empresa.
GEIT, como uno de los dominios
del gobierno de la empresa,
abarca el grupo de temas tratados
para considerar cow se aplica Ti
dentro de la empresa.
Un gobierno corporativo eficaz se
centra en la capacidad y experiencia
individual y de grupo, en Ia areas
especificas, donde puedan ser tn6s
eficaces. La tecnologia de la
inforniacien, considerada por mucho
tiempo solo un facilitador de Ia
estrategia de una organization, es ahora
considerada como parte integral de esa
estrategia. Los directores ejecutivos
(CEO), los directores de operaciones
(COO), los directores de finanzas
(CFO), los directores de infonnacion
(CIO) y los directores de tecnologia
(CTU) coinciden en que Ia alineaciOn
estrategica entre los objetivos de TI y
los de la empresa constituye un factor
critico de exit°. El gobierno de TI
ayuda a alcanzar este factor critico de
6tito al implementar de manera
econOmica, eficiente y eficaz una
infonnacien segura y confiable, asi
como tecnologia aplicada. La
tecnologia de is information es tan
critics para el exito de las empresas que
no puede ser relegada ni a la gerencia
de Tl ni a los especialistas en TI, sino
que debe recibir la atencion de ambos
bajo los lineamierttos de la supervision
y la alta direcciOn.
Un element° slave de GEIT es la
alineacion del negocio con TI que
Ileva al logro del valor de negocio.
Fundamentalmente, a GEIT le
incumben dos aspectos: que Ti
entregue valor al negocio y que los
riesgos de Ti scan gestionados. Lo
primero se logra con Ia alineaciOn
estrategica de Ti con el negocio. Lo
segundo se logra con la integration de
la responsabilidad en Ia empresa.
Capitulo 2—Gobierno y Gestion
de Ti
2.3.1 MEJORES PRACTICAS
PARA EL GOBIERNO DE TI DE
LA EMPRESA
GEIT integra e institueionaliza las
buenas practicas para asegurar que la
TI de la empresa respalde los objetivos
de negocio. GEIT permite que Ia
empresa saque provecho total de su
informacion, maximizando de esta
manera los beneficios, capitalizando
las oportunidades y obtenicndo una
ventaja competitiva. GEIT es una
estructura de relaciones y procesos
utilizados para dirigir y controlar que
la empresa alcance sus nietas, dando
valor agregado mientras equilibra el
riesgo con el rendimiento de la
inversion en lo que respecta a TI y sus
procesos.
Los temas que la gerencia ejecutiva
debe tratar para gobernar Ia Ti dentro
de Ia empresa se describer en tres
areas centrales: realizacien de
beneficios, optimization de riesgo y
optimization de recursos (ver In figura
2.2).
GEIT se ha vuelto significativo debido
a numerosos factores:
· Los gerentes de negocio y
consejos de direccion que exigen un
mejor retorno sobre las inversiones de
TI (es decir, que Ia T1 entregue lo que
ci negocio necesita para mejorar el
 valor de las panes interesadas)
· Preocupacion por el creciente
nivel de gasto en T1
· La necesidad de cumplir con los
requerimientos regulatorios para
controles de TI en areas como
privacidad y declaraciones financieras
(por ejemplo, la Ley Sarbanes-Oxley
de USA, Acuerdos de Basilea) y en
sectores especificos como finanzas,
farmacia y servicios medicos
· La seleccion de los
proveedores de servicios y la
gestion del servicio de
externalization y adquisiciem (por
ejemplo, computacion en nube)
· lniciativas del gobierno de TI,
que incluyen Ia adopcion de
marcos de control y bucnas
pr6cticas para ayudar a monitorear
y mejorar las actividades criticas
de Ti con el fin de incrementar el
valor del negocio y reducir el
riesgo del negocio

Figura 2.2: Ei objetivo de goblemo: Crud& de valor.

Necesidades de las
Partes Interesadas

ri
s
e
s

Objetivo de Gobierno: Creation de Valor

Realizacion Optimizacr OptimizaciOn

de Beneticios del Riesgo de Recursas

FueriZe: ISACA, COBIT 5, USA, 2012, figura 3

Manual de Preparation al Examen CISA 2015 85

ISACA. Todos los derechos reservados.
Capitulo 2—Gobierno y Gestion de TI Seccion Dos: C

F
i
g
u
r
a
2
.
3
:
A
r
e
a
s
G
i
g
u
e
d
e
g
e
s
ti
O
n
y
g
o
b
i
e
r
n
o
d
e
 C
O
B
1
T

Necesidades tie negocio

Gobierno

Orientar Retroalirnentafibrt de uestiOn Monitorear

(
Gestion

Planittar Unstruir Ejecutar

(APO) (BAIT) (OR

.
Fuente: ISACA. COUIT 5, ELIA. 2012, figura 15

· La necesidad de optirnizar los comparativo)

costos, siguiendo, de ser posible,
enfoques estandarizados en Lugar
de personalizados
§ La creciente madurez y la
subsiguiente aceptacion de marcos
populares
· La necesidad do las empresas
de evaluar su desempeno frente a los
estAndares generalmente aceptados
y otros similares (estudio
Los procesos para monitorear,
evaluar y dirigir (figura 2.3) estan
integrados de principio a fin en el
proceso de gobierno y se centran en
el monitorco, Ia evaluacion y la
direccion de:
· Cuinplimiento y desempeo
· El sistema de controles 'Memos
· Cumplimiento con los
 requerimientos exteraos
Gobierno de la Ti de la empresa y
marcos generates
de gestion
A continuacion se mencionan ejemplos
de los marcos de GEIT:
· ISACA desarroll6 COBIT 5 para
respaldar GEIT proporcionando an
marco para garantizar que: TI se
alinee con el negocio, Ti apoye el
negocio y maximice los beneficios,
los recursos de TI se risen
responsablemente y los rie.sgos de Ti
se gestionen adeeuadamente. COBIT
proporciona herramientas para
evaluar y medir el desemperio de 37
procesos de TI en una organizaeion.
· La serie de estondares
ISOIIEC 27001 (ISO 27001) es
un conjunto de mejores priteticas
que proporcionan orientacion a las
erganizaciones que aptican y
mantienen prograrnas de seguridad
de la inforinacion. ISO 27001 se ha
convertido en un estandar muy
conocido en la industria.
· ITI L. file desarrollado por la
Oficina de Cornercio
Gubemamental del Reino lJnido
(OGC), en eolaboracion con el Fero
de Gestian de Servicios de T1, y es
un marco de referencia detallado con
informaciOn practica acerca dc
cainu lograr una gestion exitosa de
servicios operativos de TI.
· Los Catfflogos de
proteecion de niveles minimos
de T1 o Catilogos Grundschutz
do TI, (conocidos antes del alio
2005 corno el Manual de proteccion
de nive[es minimos de T1) son una
rccopilacion de documentos de la
Oficina Federal Alemana para la
seguridad en tecnologia de la
infonnaeion (FSI). Los doeurnentos
son (itiles para detectar y combatir
los pumas debiles de seguridad en el
entorno de Ti. La recopilacion
abarca mAs de 3,000 paginas.
· El Model° de rnadurez para la
gestion de Ia seguridad de
la informacion (ISM3) es un models
que se bass en el proceso
de madurez de ISM para la seguridad.
§ AS8015-2005 es et estandar
austral iano para el gobierno
corporativo de tecnologia de la
inforrnacion y comunicacion.
AS8015 se airlopt6 como estandar
ISO/IEC 38500 en mayo de 2008.
§ El estandar Gobierno
corporativo de tecnologia de la
informacion ISO/I EC 38500:2008
(basado en el estandar AS8015-2005)
proporciona un marco para el
gobierno efectivo de TI. ISCVIEC
38500 ayuda a aquellos en el nivel
Inds alto de Ia organizacion a
entender y cumplir con sus
obligaciones legates, reglanientarias
y 6ticas con respecto al uso de TI de
su organizaciOn. ISCVIEC 38500 se
apfica a las organizaciones de todos
los tamanes, incluyendo companias
palicas y privadas, entidades
gubernamentales y organizaciones
sin fines de tiler°. Este estandar
proporciona principles de orientacion
para los directores de organizaciones
sabre el uso efectivo, eficiente y
aceptable de TI en sus
 organizaciones,
- ISOII EC 20000 es una
especificacion para gestion de
servicios de TI que estA alineada con
el marco de gestion de servicios de
1TIL. Esta dividida en dos panes.
1SO/IEC 20000-1:2011 consta de
requerimientos especificos para la
mejora de la gestion de servicios, e
ISO/IEC 20000-2:2012 ofrece
86 Manual de fireparacion ai Examen CISA 2015
orientacion y ejemplos para Ia
aplicacien de ISO/IEC 20000-1:2011.
Rol de la auditoria en Goblemo de
is Ti de is empresa Las empresas se
gobiernan con buenas o mejores
prActicas generalmente aceptadas,
garantizadas por el establecimiento
de controles. Las buenas o rnejores
practicas orientan a las
ISACA Todos los derechos reservados.
Al
IS
LISACertifies Information Section Dos: Contenido
_... ..._ .. .
Systems Auditor'
0
[w.N...•
elJeCX
organizaciones para deterrninar como
usar los recursos. Los resultados se
linden y registran, proporcionando
information de entrada a la revision
ciclica y al mantenimiento de los
controles.
De forma parecida, las buenas o
mejores practicas gobiernan a TI para
garantizar glue la information y
tecnologia relacionada de Ia
omanizacion: apoyen los objetivos de
negocio de la empresa (es deck,
alineacion estrategica), entreguen de
valor, utilicen los recursos
responsablemente, gestionen
adecuadamente los riesgos y midan
efectivamente rendimiento.
La auditoria tiene un rol signi licativo
en una implementation exitosa del
GEIT dentro de una organization. La
auditoria esta bien posicionada para
proveer recomendaciones sobre mejores
practicas a Ia alta direcciOn para ayudar
a mejorar Ia calidad y efectividad de las
iniciativas implementadas de gobiemo
de TI.
Como una entidad que monitorea el
cumplimiento, Ia auditoria ayuda a
asegurar el cumplimiento de las
iniciativas de GEIT implementadas
dentro de una organization. El
monitoreo continuo, el analisis y Ia
evaluacion de las metricas asociadas
con las iniciativas del GEIT
requieren una vision independiente
Capitulo
ybalanceada para asegurar una
evaluaciOn cualitativa que
posteriormente facilite el
mejoralniento cualitativo de los
procesos de TI y las iniciativas del
GEIT asociadas.
Reportar sobre el GEIT implica
auditar al mils alto nivel en la
organization, y puede cruzar los
limites de division, de funciones o de
departamentos. El auditor de SI debe
confirmar que los tenninos de
referencia establezcan:
· El alcance del trabajo,
incluyendo una clara definicion de
las areas y aspectos funcionales
que se cubririm.
· El nivel al que se entregani el
informe, donde ester identificados los
temas del GE1T al wits alto nivel de
la organizaciOn.
· El derecho de acceso del auditor
de SI a la informaciOn dentro de Ia
organizacion y desde proveedores de
servicio de terceros.
Su estatus dentro de la organizaciOn y
el conjunto de habilidades del auditor
de SI deben considerarse para
detenninar si son apropiados para la
naturaleza de la auditoria planeada. Si
se considera que son insuficientes, un
nivel apropiado de Ia gestiOn debe
considerar Ia contratacion de un
tercero independiente para gestionar o
realizar la auditoria.
De acuerdo con el rol definido
del auditor de SI, se necesitan
evaluar los siguientes aspectos
relacionados con el GEIT:
· Como se alinean el gobiemo de
la empresa y el gobiemo de T1
(GEIT).
·La alineacion de la funcion de Si
con la inision, la vision, los
valores, los objetivos y las
estrategias de la organization.
· El logro de los objetivos de
desempeno (por ejemplo. eticacia y
eficiencia) establecidos por el
negocio y la [uncial. de SI.
· Requerimientos legales,
medioambientales, de calidad de
la informaciOn, fiduciarios, de
seguridad y de privacidad
· El ambiente de control de Ia
organization.
· Los riesgos inhcrentes dentro del
ambiente de SI
· lnversionigasto en Ti
2.3.2 COMITES DE GOBIERNO
DE TI
Tradicionalmente, las organizaciones
ban tenido cornites directivos a nivel
ejecutivo para resolver los problemas de
TI que son relevantes para Coda la
organization. Delve existir una clara
comprensiOn tanto de In estrategia de TI
como de los niveles de direccion. ISACA
emitio Uri document° en el que se ofrece
un clam analisis (vease la figura 2.4).
Nota: El analisis de las
responsabilidades del comite
directivo es uria information
que el CISA debe conocer.
2.3.3 CUADRO DE MANDO DE Ti
El cuadro de mando integral de Ti
(BSC), figura 2.5, es una to cnica de
evaluacion de la gestiOn de procesos que
puede aplicarse al proceso de GEIT para
valorar las ftinciones y los procesos de
TI. El metodo va was ally de Ia
evaluacion financiera tradicional,
complementandolo con medidas que
conciemen a la satisfaccion del cliente
(usuario), procesos internos (operatives)
y la capacidad de innovar. Estas medidas
adicionales impulsan a la organization
hacia el use Optimo de TI, el cual estA
alineado con las metas estrategicas de Ia
organization, mientras que inantiene en
balance todas las perspectivas
relacionadas con la evaluacion. Para
aplicar la BSC a TI, se usa una estnictura
de tres capas para tratar las cuatro
perspectivas:
· Mision—por ejemplo:
— Convertirse en el
proveedor preferido de
sistemas de information.
 — Entregar aplicaciones y servicios
de TI econOmicos, eficientes y
efectivos.
- Obtener una contribucion
razonable de las inversiones en TI
para el negocio.
— Desarrollar oportunidades que
respondan a los futuros desafios.
· Estrategias—por ejeinplo:
- Desarrollar aplicaciones y
operaciones superiores.
Desarrollar alianzas con los
usuarios y mejores servicios para
los clientes.
— Proveer mejores niveles de
servicio y de estructuras de precios.
— Controlar los gastos de TI.
— Proveer valor de negocio a los
proyectos de TI,
- Proveer nuevas capacidades de
negocio.
— Entrenar y educar al personal de
TI y promover la excelencia.
— Proveer apoyo para In
investigacion y el desarrollo.
· Medidas—por ejemplo:
— Proveer un conjunto
Manual de Preparation al Examen CISA 2015
ISACA. Todos los derechos reservados.
balanceado de metricas (es deck,
K.P1s) para guiar las decisiones
de TI orientadas a negocios.
· Fuentes—por ejemplo:
— Personal de usuario final (especifico
por finicion)
— COO (director de operaciones)
— Propietarios de procesos
El use de un cuadro de mando integral
de TI es ono de los medios was efectivos
para ayudar al comite estrategico de TI y
a la gerencia a alcanzar el gobiemo de Ti
mediante una alineacian apropiada de TI
y el negocio. Los objetivos son
establecer un vehiculo para reportar
informaciOn sobre Ia gestian al consejo
de direccion, estimular el consenso entre
las partes interesadas clave sobre los
objetivos estrategicos de TE, demostrar
la efectividad y el valor agregado de TI,
y comunicar el desempetio, los riesgos y
las capacidades de TI.
Nota: Un C1SA debe conocer los
clementos de tin BSC de T1.
87
 Capitulo 2—Gobierno y Gestion de T1
Figura 2.4—Analisis de las responsabilidades
Nivel Comite de Estrategia de TI
Responsabilidad · Proporciona informacion detallada y asesoria al consejo de
direccian sabre temas como:
— La relevancia de los desarrollos de TI desde Ia
perspectiva de negocios
— La alineacion de TI con Ia direcciOn del negocio
— El logro de los objetivos estrategicos de TI
— La disponibilidad de los recursos, destrezas e
infraestructura de TI apropiados para satisfacer los
objetivos estrateglcos
— OptimizaciOn de los costos de Tl, incluyendo el rol y Ia
entrega de valor de Ia contffataciOn externa de servicios de TI
— Riesgo, retorno y aspectos competitivos de las
inversiones de TI
— Progreso en los proyectos mayores de TI
— La contribuciOn de TI al negocio (por ejemplo, entrega del
valor de negocios prometido)
— ExposiciOn a riesgos de TI, incluyendo riesgos de
cumplimiento
— Contencion de los riesgos de TI
— DirecciOn a Ia gerencia respecto a la estrategia de TI
— Impulsores y catalizadores de TI para el consejo de direcciOn
Autoridad · Asesora al consejo de direcciOn y a Ia gerencia
sobre estrategia de TI
· Por delegaciOn del consejo de direcciOn, proporciona
intormaciOn de entrada para la estrategia y prepara
su aprobacion
·Se concentra en problemas estrategicos
de Ti presentes y futuros
Membresia · Miembros del consejo de direcciOn y especialistas
no miembros del consejo de direcciOn
2.3.4 GOBIERNO DE LA INFORMACIoN
LA SEGURIDAD DE Dentro del gobierno de TI, el gobiemo
Session Dos:Inform*
G. . a. Certified
ie
Contenido
La Zi4
systems Auditor S.IS.C.Yre FIrdon
,
del Unite directly°
Comite de Direction de T
· Decide el nivel global del gasto de TI y la d
costos
· Alinea y aprueba Ia arquitectura de TI de Ia
· Aprueba los planes y presupuestos de proy
prioridades y objetivos parciales
· Obtiene y asigna los recursos apropiados
· Garantiza que los proyectos cumplan de mane
los requerimientos del negocio, incluyendo
reevaluaciOn del caso de negocios
· Monitorea los planes de proyectos para veri
de valor esperado y resultados deseado
dentro del presupuesto
· Monitorea el conflicto de recursos y prioridad
divisiones de Ia empresa y Ia fun& de TI, as
proyectos
· Hace recomendaciones y solicitudes para ca
planes estrategicos (prioridades, financiamie
enfoques y recursos etc.)
· Comunica las metas estrategicas a los equip
8 Es un contribuyente importante para las pra
responsabilidades de gobierno de TI de Ia ge
· Asiste a los ejecutivos en Ia preparaciOn de
de 11
· Supervisa el gerenciamiento en el dia a dia d
prestacion del servicio de TI y de los proyec
· Se concentra en Ia implementacion
· Ejecutivo patrocinante
· Ejecutivo de negocios (usuarios slave)
· CIO
· Asesores slave segUn se requiera (TI, audit
de la seguridad de Ia infommcion debe
convertirse en una actividad sobre la
que se concentra mucha atenciOn, con
motivadores de valor especificos:
confidencialidad, integridad y
disponibilidad de la informacion,
continuidad de servicios y proteccion
de los activos de infonnacion. La
seguridad esta emergiendo como un
aspecto significativo de gobierno come
resultado de las redes globales, la
rapidez en Ia innovacion y los cambios
tecnolOgicos, la mayor dependencia en
Ti, la sofisticacian cada vez mayor de
los agentes de amenazas y las
explotaciones (exploits), asi coma una
extension de la empresa mss alla de sus
limites tradicienales. De alli que la
seguridad de la informaciOn debe
convertirse en una parte importante e
integral del gobierno de Ti. La
negligencia en este sentido reducir6 la
capacidad de una organizacion para
mitigar los riesgos y sacar provecho de
las oportunidades de Ti para el
mejorarniento del proceso de negocio.
La informacion es un recurso slave pam
todas las empresas, y desde el momento
en que Ia informacion es creada hasta el
inomento que es destruida, la tecnologia
tiene una funcion signilicativa. La
tecnologia de la informacion esta cada
vez mss avanzada y se ha generalizado en
las empresas y en los entornos sociales,
piablicos y comerciales. Como resultado,
en la actualidad, mss que nunca, las
empresas y sus ejecutivos se esfuerzan
para:
· Mantener informaciOn de alta
calidad para respaldar las
decisiones del negocio
· Generar valor pam el negocio
mediante inversiones habilitadas por
TI, es decir, alcanzar las metas
estrategicas y obtener los beneficios del
negocio mediante el use efectivo e
innovador de Ti
· Lograr la excelencia operativa
mediante la aplicacion confiable y
eficiente de tecnologia
· Mantener el riesgo relacionado
con la Ti en un nivel aceptable
· Optimizar el costa de servicios y
tecnologia de TI
· Cumplir con las
demandas cada vez mayores
de leycs, regulaciones,
acuerdos contractuales y
politicas relevantes
Hasta hate poco tiempo, los esfuerzos
destinados a la proteccion se
concentraban en los sistemas de
informacion que recopilan, procesan y
almacenan informacion en lugar de en la
infonnaciOn en si misma. Esie enfoque se
ha tornado demasiado limitado como
para lograr la seguridad general que es
necesaria. En la actualidad, la seguridad
de la informacion adopta una perspectiva
Inas amplia, segitn la cual los datos y
tamblen la in formaciOn y el
conocimiento en el que se basan tienen
que contar con una protecciOn
adecuada, independientemente de donde
se crean, procesan, transportan o
almacenan y se eliminan. Esto se aplica
particularmente a situaciones en las que
los dates se comparten facilmente par
Internet a traves de blogs, canales de
noticias, de usuario a usuario o redes
sociales, o sitios web. De esta manera, el
alcance de los esfuerzos de proteccion preservacion pennanente de la
deberia aharcar no solo el proceso que informacion generada como resultado de
genera la infonnacien, sino tambien la los procesos controlados.

88 Manual de Preparacicin al Examen C1SA 2015

ISA C A. To do s lo s d er e ch os reservados.
CISA Sf ert:DI =Uan Seccian Dos: Contenido Capitulo

Figura 2.5:
Cuadro de
mend('
integral
(balanced
scorecard,
BSC) de TI
 Fuente: ISACA. Comperencias y practicas de dernirrio de gobierao de TI: Medir y derllostrar el
valor de Ti, USA, 2005, figura 7.

Algunas de las tendencias principales pais sede (onshoringforfshoring)

que el negocio global experimenta adoptados por las organizaciones. La
actualniente son la contratacion de promesa de la cornputacion en nube
pmveedores extemos para procesos esta indiscutiblemente revolucionando
internos y el use de la computacien en la el inundo de los servicios de TI

• Entrega de valor
Orientacion al usuaria
i,Como ven los usuarios el
departarnento de TI?
Mision
Ser el proveedor pretend°
de sisternas de inforrnacien
Objetivos
Proveedor preferido de aplicaciones
y operaciones
Asociacien con los usuarios
Satisfaccion del usuario
__• Entregar aplicaciones y servicios
Contribucion al nogacio
COrno ve Ia direociOn al
departamento de TI?
Mision
Obtener una contribucion razonable
de las inversiones en TI
para el negocio · Causa
Objetivos A Elect°
AlineaciOn de Tlinegocio
Orientacion al futura
Gestion de costos Como esta posicionado la
Gestion de riesgos Tl para satisfacer futuras
necesidades?
Mision
BSC de 11 Desarrollar oportunidades
que respondan a los futuros
deseflos
Objetivos
Capacitacion y educacion
del personal de 11
Experiencia del personal
Excelencia operativa de TI Investigacion sobre
tecnologlas emergentes
LCuan eficientes y efectivos
son los procesos de TI? •
!Asian
4_
de TI eficientes y efectivos
Objetivos
Desarrollos eficientes y efectivos
Operaciones eficientes y
efectivas Nivel de madurez de
procesos de TI

nube (cloud computing). La cobertura mediante la fransionnacion de la

de la seguridad de la infonnaciOn se computacion en una utilidad ubicua.
extiende ma's ally de los limites Estas tendencias iambi 'en han
geograficos de las instalaciones de Ia cambiado la manera en que se maneja
empresa en modelos dentro y fuera del la seguridad de Ia informaeion.
La seguridad de Ia inionuacion
incluye la seguridad de la tecnologia
y es tipicamente impulsada desde el
nivel del director de infonnacion
(CEO). La seguridad de Ia
inforrnacion relacionada con la
privacidad de Ia informacion y la
propia seguridad de Ia informacion,
se ocupa del universo de riesgos,
benelicios y procesos relacionados
con la informacion y debe
impulsarse por la direccien ejecutiva
(par ejemplo, CEO, CFO, CTO,
CIO) y costar con el respaldo del
consejo de direccion,
El gobierno de la seguridad de la
informaciOn es responsabilidad del
consejo de direccion y de la direction
ejecutiva, y debe ser pate integral y
transparente del gobiemo de la
empresa. Esta
constituido por el liderazgo, las
estructuras organizacionales y los
procesos que protegee Ia inforinacion.
Los resultados basicos del
gobierno de la seguridad efectiva
dehen incluir el alineaniiento
estrategico, la gestion de riesgos y
Ia aportacion de valor. Estos
resultados se pueden obtener
mediante el dcsarrolla de:
· Medicion del desempetio—
Mcdicion, seguimiento y reporte
sobre informacion de los procesos
de seguridad para asegurarse de
que se alcancen los objetivos
SMART (especificos, medibles,
alcanzables, realistas y
oportunos). Lo siguiente debe
llevarse a cabo para lograr Ia
medician del desemperia:
— Un conjunto de
indicadores definido,
acordado y significativo
correctamente alineados con
los objetivos estrategicos
— Un proceso de
medicion que ayudara a
identificar las deficiencias
y proporcionara
informacion sabre los
progresos realizados en la
solucion de problemas
— Aseguramient
o independiente
proporcianado par
evaluaciones y
auditorias externas
· Administracion de recursos—
Aprovethar la inftnestructura y los
conocimientos sobre seguridad de la
in fonnacion de manera eficiente y
 eficaz. Para lograr Ia administracion
Manual de Preparacion al Examen CISA 2015
89 ISACA. Todos las derechos reservados.
Capitulo 2—Gobierno y Gestion de TI
— Asegtirese de que el conocimiento
es captado y esta
disponible
— Documente los procesos y las
practicas de seguridad
— Desarrolle la arquitectura(s) de
seguridad para definir y
utilizar los recursos de la
infraestructura de manera eficiente
· Integracion de procesos—Se
enfoca en la integracian de los
procesos de garantia de la gestion
de una organizacion para la
seguridad. Las actividades de
seguridad son a veces fragmentadas
y segmentadas en silos con
estructuras de informacinn
diferentes. Esto Dace que sea dificil,
si no imposible, que se integren
perfectamente. La integracian de
procesos sirve para mejorar la
eficiencia global de seguridad y
operativa.
Goblerno Efectivo de la Segurldad
de la informacion La direcciOn
estrategica del negocio sera definida
por las metas y los objetivos de
negocio. La seguridad de la
infonnaciem debe apoyar las
actividades de negocio para que sea
de valor para la organizacion. El
de recursos considers lo siguiente;
Session Do
MIWFDrhic11.1
gobiemo de Ia seguridad de la
informacion es un subconjunto del
gobiemo corporativo que provee
direcciOn estrategica para las
actividades de seguridad y asegura
que se logren los objetivos.
Garantiza que el riesgo para la
seguridad de la informacien sea
gestionado de manera apropiada y
que los recursos de informacion de
la empresa se usen con
responsabilidad.
Gobetwar para la seguridad
de una empresa significa ver
una seguridad adecuada
canto un mquerimiento no
negociable en el negocio. Si
la gerencia de una
organizacion, lo que inchtye
los consejos de direccion.
ejecutivos superiores y todos
los geremes, no establece y
ref terra la necesidud del
negocio de contar con
seguridad efectiva porn lc
empresa. el estado de
seguridad deseado de la
organkacion no se articulara,
lograra ni sosiendra. Para
lograr ;ma capacidad
sustentable, las
 otganizaciones deben 'weer interes.
que la seguridad de la
empresa sea responsabilidad
de los !ideres a un nivel de
gobierno, no de otros roles de
la organizacion que no tienen
autoridad, responsabilidad ni
recursos parer avatar o exigir
el cumplimiento,
— J. Allen; Governing for
Enterprise Security. CERT. USA,
Junio de 2005,
wwwcertargiarchive/pdf/051n02
3poi
Para lograr un gobierno efectivo de Ia
seguridad de la infonnaciOn, la
gerencia debe establecer y mantener
un marco para guiar el desarrollo y la
gestion de un programa completo de
seguridad de la informaciOn que
apoye los objetivos de negocio.

Por lo general, el marco de

gobierno de seguridad de la
informacien constara de lo
siguiente:
· Una estrategia completa de
seguridad inirinsecamente vinculada
con los objetivos de negocio.
· Politicas de gobiemo de
seguridad vigentes que traten
cada aspecto relacionado con la
estrategia, los controles y la
regulation.
· Un conjunto compieto de
estandares para cada politica que
garantice que los
procedimientos y directrices
cumplan con dicha politica.
· Una estnictura
organizacional efectiva de
seguridad libre de conflictos de
 · Promos de monitoreo
institucionalizados para asegurar el
cumplimiento y proveer
retroalimentaciOn sobre la
efectividad.
Este marco provee la base para el
desarrollo de tin programa rentable de
seguridad de la informacion que
respalde las metas de negocio de la
organizacion. El objetivo del programa
de seguridad de la infomiacion es un
conjunto de actividades que proveen
garantia de que a los actives de
informacion se les da un nivel de
proteccian acorde con su valor o con el
riesgo que representa para la
organizacion si los mismos se ven
comprometidos.
ROLES Y RESPONSABILIDA DES
DE LA ALTA DIRECCION V LOS
CONSEJOS DE DIRECCION
El gobiemo de la seguridad de la
informacion requiere de direccion
estrategica y de impetu. Requiere
cledicacien, recursos y asignacion de
responsabilidad en to que respecta a la
gestiOn de la seguridad de la
informacian, asi como un medio para
que el consejo de direccion determine
que su objetivo se ha alcanzado. •
Consejo de direccion/Alta direccion
Un gobiemo eficaz de la seguridad de
Ia informaciOn se puede lograr solo
mediante la participacion del consejo
de directores o de la gerencia superior
en Ia aprobaciOn de Ia politica, el
monitoreo apropiado y la revision de
metricas, in formes y analisis de
tendencias.
Los miembros del consejo de direcciOn
deben tener conocimiento de los activos
de infonnacion de la organizacion y su
criticidad para las operaciones de
negocio continuos. Esto puede lograrse
al proporcionarle al consejo de manera
periodica resultados de alto nivel de las
evaluaciones integrates de riesgo y
analisis de impacto al negocio (BIA).
Tambien se puede lograr mediante
evaluaciones de los recursos de
informacion respecto de la dependencia
del negocio. Estas actividades deberian
incluir Ia aprobaciOn por parte de los
miembros del consejo de direccion de
la evaluacian de los activos slave que
deben protegerse, to que ayuda a
garantizar que los niveles y las
prioridades de protecci'5n son
adecuados para un estandar de debido
cuidado.
La actitud de la gerencia debe
conducir a un gobiemo eficaz de Ia
seguridad. No es razonable esperar
que el personal de nivel mas bajo acate
las medidas de seguridad si estas no
son ejercidas por la alta direccion. El
consentimiento de los requeritnientos
intrinsecos de seguridad por parte de
la alta direccion provee la base para
asegurar que las expectativas de
seguridad se cumplan a todos los
niveles de la empresa. Las
penalizaciones por incumplimiento
deben ser definidas, comunicadas y
ejecutadas desde el nivel del consejo
de direccion hacia abajo.
Alta direction
lmplementar un gobiemo de
seguridad efectivo y definir los
objetivos de seguridad estrategicos de
una organizaciOn es una tarea
compleja y ardua. Como con cualquier
otra iniciativa importante, debe contar
con liderazgo y el apoyo continuo de la
direccion ejecutiva para tener exito.
Desarrollar una estrategia efectiva de
seguridad de la informacion requiere
integracien con, y la cooperaciOn de,
los duenos del proceso de negocio. Un
resultado exitoso es Ia alineaciOn de
90 Manual de Preparacien al Examen CISA 2015
las actividades de seguridad de Ia
informacion con los objetivos de
negocio. El grado en que esto se logre
determinara la rentabilidad del
programa de seguridad de Ia
informacion para alcanzar el objetivo
deseado de suministrar tin nivel
predecible y definido de aseguramiento
para
ISACA. Todos los derechos reservados.
 Certified Information
CISA systems Aueitor Saccion Dos; Contenido
-
wEL.Le Carslitsrog
Ia informacien y los procesos de
ncgocio y un nivel aceptable de
impacto de eventos adversos.
Comite directivo
Hasta cierto grado, La seguridad afecta
todos los aspectos de una
organizacien. Para ser efectiva, la
seguridad debe ser penetrante en toda
la empresa. A fin de garantizar la
participation de todas las partes
interesadas que se vean afectadas por
las consideraciones de seguridad,
muchas organizaciones recurren a un
comite directive constituido por los
principales representantes de los
grupos afectados. Esto lacilita el logro
de consenso sobre las prioridades y los
compromisos. Tambien sirve como un
canal erectly() de comunicaciones y
provee una base continua para aseaurar
Ia alineacion del programa de
seguridad con los objetivos de ncgocio.
Tambien puede ser fundamental para
alcanzar Ia modificacion del
comportamiento hacia una cultura mas
conducente a una seguridad adecuada.
Director de seguridad de la
information
Todas las organizaciones tienen un
director de seguridad de la
infonnacion (CISO),
independientemente de que alguien
posea use titulo o no. Puede ser el
CIO, el CTO, el CFO o, en algunos
cases, el CEO incluso cuando existe
Capitulo 2
una oficina o un director de seguridad
de la informacion. El alcance y la
amplitud de la seguridad de la
information en la aetualidad es tal que
Ia autoridad requerida y Ia
responsabilidad asumida
inevitablemente Ia convertinin en una
responsabilidad de un ftuicionario de
alta jerarquia o de la direccion
ejecutiva. Esto podria incluir una
position tal como un director de riesgo
(CRO) o un director de cumplimiento
(CCO). La responsabilidad legal se
extenderd, por defecto, hasta la
estructura de comando y, en Ultima
instancia, residird en la aim direccien
y el consejo de direction. El no
reconocer esto e implementar
estructuras de gobiemo inapropiadas
puede ocasionar que Ia alta direccion
no tenga conocimiento de esta
responsabilidad y de la
responsabilidad concomitante. Por lo
general, tambien tiene coma resultado
una falta de alineacion efectiva de los
objetivos de negocio y las actividades
de seguridad. Cada vez mas, Ia
gerencia prudente eleva la posicien de
official de seguridad de Ia information
a una pasicien de alta direction (es
decir, CISO), porque las
organizaciones comienzan a entender
su dependencia de la information y las
crecientes amenazas a esta.
MATRIZ DE RESULTADOS Y
RESPONSABILIDADES Las
relaciones entre los resultados de tin
gobiemo efectivo de Ia seguridad de Ia
informaciem y las responsabilidades de
la gerencia se muestran en la figura
2.6. Esta matriz no pretende ser
exhaustiva, sino simplemente indicar
*tunas tareas y niveles primarios de lo
cuales la gerencia es responsible. Sep:in
la naturaleza de la oraanizacien, estos
titulos pueden variar, pero los roles y las
responsabilidades deben existir incluso
si se utilizan diferentes rotulos.
Nota: La figura 2.6
sobre Relaciones de los
resultados del gobiemo
de la seguridad con las
responsabilidades de la
gerencia no se prueba
de manera especifica en
el examen de
certificacion CISA,
pero es information de
la que un USA debe
tener conocimiento.
2.3.5 ARQUITECTURA
EMPRESARIAL
Un area del gobiemo de TI que recibe
cada vez mas atencion es Ia
arquitectura empresarial (EA).
Esencialmente, la EA implica
documentar los activos de TI de una
organizacion de una forma
estructurada para facilitar la
comprensien, administration y
planificacion de las inversiones de TI.
Una EA a menudo incluye tanto la
representacion de un estado actual
como de un estado futuro optimizado
(por ejemplo, plan de accien).
El enfoque actual sobre Ia EA es
tuna respuesta a Ia creciente
complejidad de la TI, la complejidad
de las organizaciones modemas y un
enfoque mejorado sobre Ia
alineacion de Tl con Ia estrategia de
negocio y asegurar que las
inversiones de TI entreguen
beneficios reales.
El marco para la arquitectura de la
empresa, un trabajo innovador en el
campo de la EA, fue publicado por
primera vez por John Zachmuan a finales
de la decada de 1980. La estnictum de
Zachman continua siendo un punto de
partida para muchos proyectos
contemporancos de EA. Zachman razone
que Ia construccion de sistemas de Ti
tenia considerables similitudes con la
construction de edificios. En ambos
casos, hay una gama de participantes que
se involucran en diferentes etapas del
proyecto. En Ia construction de edificios,
una va desde /o abstracto a to fisico
usando modelos y representaciones (tales
como pianos, distribuciones de espacios
y diagramas de cableado). De manera
similar con la TI, los diferentes
elementos (tales come diagramas,
diagramas de flajo, modelos de
datoslclase y codigo) se usan para
describir diferentes aspectos de los
sistemas de una organizacien a niveles de
detalle cada vez mayores.
El marco basic° de Zachman se
describe en la figura 2.7.
El objetivo en idtima instancia es
completar todas las celdas de Ia matriz.
AI inicio de un proyecto de EA, la
mayoria de las organizaciones tendra
dificultad para proporcionar detalles
para cada celda, en particular al nivel
mas alto. Al tratar de completar una
EA, las organizaciones pueden resolver
el desaflo ya sea desde una perspectiva
de tecnologia o desde una perspectiva
de proceso de negocio.
La EA centrada en Ia tecnologia trata
de aclarar las complejas opciones de
tecnologia que enfrentan las
Manual de Preparation al Examen CISA 2015
91
ISACA. Todos los derechos reservados.
Capitulo 2—Gob!ern° y Gestion de T1
organizaciones modems. La idea es
proporcionar orientation sobre
problemas tales como: cuando usar
ambientes tecnicos avanzados (por
ejemplo, JavaEE o .NET) para el
desarrollo de aplicaciones, como
conectar mejor los sistemas intra e
interorganizacionales, como hater que
las aplicaciones antiguas y de
planificaciem de los recursos de la
empresa (ERP) scan compatibles con la
web (sin que sea necesaria una extensa
reprogramacion), si las funciones de TI
deben ejecutarse intemamente en la
empresa o subcontratarse, y si deben
utilizarse soluciones tales como la
vinualizacien y la computation en nube
y cuando utilizarlas. La EA centrada en
el proceso de negocio tram de entender
una organizacion en terminos de sus
procesos centrales que agregan valor y
sus procesos de soporte. La idea es que,
al entender los procesos, sus partes
constitutivas y la tecnologia que los
respalda, se puede Iograr un
mejoramiento del negocio a medida
que se redisetian y reemplazan
gradualmente diferentes aspectos. La
genesis de este tipo de razonamiento
puede asociarse al trabajo de
Section Dos:
440rSeMkaion
 Figura 2.6 — de los resultados del gobierno de conlas
Relaciones seguridad Entrega responsabilidades
Nivel Gestion
Gerencial Alineacion de Riesgo Valor Medici&
Estrategica Desempelio
Consejo de Requiere de · Establece Requiere reporter Requiere reporter Sup
direccion una alined& tolerancia al riesgo. los costos de las Ia eficacia de Ia pol
comprobable. · Supervise politica actividades seguridad. del
de administration relacionadas con yu
de riesgos. Ia seguridad. rec
· Asegurar
regulaciones
cumplimiento.
Direction Instituye procesos · Garantiza que los Requiere estudios Requiere monitoreo Ver
ejecutiva pare integrar a Ia roles ylas de business case y Winces pare las pro
seguridad en los responsabilidades (cases de negocio) iniciativas de par
objetivos de incluyan la gest& de las iniciativas seguridad. con
negocio. de riesgos en todas de seguridad. ym
las actividades. efic
· Monitorea el
cumplimiento de
las regulaciones.
Comite · Revise y presta Identifica los riesgos Revise y asesora Revise y asesora si Rev
directive asistencia en Ia emergentes, sobre la suficiencia las iniciativas de pro
estrategia de promueve las de las iniciativas de seguridad cumplen cap
seguridad e practices de is seguridad pare con los objetivos de con
integraciOn, seguridad de la ayudar a las negocio.
· Garantiza que Ia unidad de negocio. funciones de
integracion cuente negocio.
con el apoyo de
los duerios del
negocio.
Director de Desarrolla Ia · Garantiza que se Desarrolla e Des
seguridad de estrategia de realicen las implementa me
information seguridad; vigila el evaluaciones de enfoques de cap
(CISO) programa y las riesgo 0 impacto monitoreo y el c
iniciativas de al negocio. metricas y dirige com
seguridad, y se · Desarrolla y monitorea las par
coordina con los estrategias de p o l i t i c a . Mo n i t o r e a actividades de la e
duefios del proceso mitigation de Ia utilizaciOn y seguridad. efic
de negocio para riesgos. la efectividad de
una alineacion · Hace cumplir las los recursos de
constante. regulaciones y las s e g u r i d a d .
 Ejecutivos de Evaluar y Evaluar y reporter Evaluar y reporter Evaluar e informer Eva
auditoria reporter el grado sobre las practices sobre la eficiencia, sabre el grade de sob
de alineacian. y resultados de Ia efectividad de las o Ia
gest& de riesgo medidas y las rec
corporative. metricas en uso.

. ,
Fuente: ISACA, Information Security Governance: Guidance for Information Security Managers, 2008. Todos los derechos reserva

Figura 2.7—Marco de Zachman para Ia Arquitectura de la Empresa

Funcional Red Gente
Datos (Aplicaciim) (Tecnologia) (Organizacion) (F
Alcance
Modelodeempress
Modelo de sistemas
Modelo de tecnologia
Representation detallada

92 Manual de Preparation al Examen CM 2015

ISACA. Todos los derechos reservados.

Seccion Dos: Contenido Capitulo

C......, „.. Certified in rormaton
viam Systems Auditor'

Michael Porter, profesor de Harvard, en el modelo de Referencia de operaciones

particular, a su modelo de cadena de stmlinistros
de cadena de valor de negocio. El (SCAR) del sector de las
esfuerzo de modelar procesos telecomunicaciones. El contenido de
de negocio esti recibiendo un impuiso un modelo de proceso de negocio se
adicional per parte de puede correlacionar con los
varios modelos de negocio en todos los estratos superiores del marco de
sectores tales como el Zachman. Una vez completada la
realzada Mapa de operaciones de correlation, una organizacion puede
telecomunicaciones (eTOM) y considerar la menla Optima de
tecnologias que se necesita para
respaldar sus procesos de negocio.
A modo de ejemplo, el gobiemo federal
de Estados Unidos sc toma muy en serio
el tema de la EA. Por ley, una
organizaciOn federal de USA esta
obligada a desarrollar una EA y a
establecer una estructura de gobiemo de
EA que asegure que la EA se utiliza
como referencia y es mantenida en las
actividades de planificacion y
elaboration de presupuestos de todos los
sisternas. Para guiar este proceso, se ha
desarrollado la Arquitectura Federal de
Empresas (FEA). La FEA se describe
(en el sitio web de la FEA,
www.whitehousegovlomble-gov/fea)
como "una estructura basada en el
negocio y el desemperio para apoyar la
colaboracion entre agendas, la
transformaciOn y el mejoramiento a
nivel de todo el gobiemo". La FEA tiene
una jerarquia de cinco modelos de
referencia:
· Modelo de referencia de
desempeno--Un marco para
medir el desempao de las
principales inversiones de TI y
su contribucion al desempetio
de los programas.
· lklodelo de referencia de
negocio—Un marco basado en la
funcion, que describe las funciones
y subfunciones realizadas poi el
Gobiemo, independiente de las
agendas que realmente las
realizan.
· Modelo de referencia de
componentes de servicio—Un
marco funcional que clasifica los
componentes de servicio que
respaldan el negocio y los objetivos
de desemperlo.
· Modelo de referencia
tecnica—Un marco que
describe duo Ia tecnologia
respalda la entrega, el
intercambio y la constniccion
de componentes de servicio.
· Model() de referencia de datos—
Marco que describe los datos y la
informacion que sirven de apoyo a
los programas y las operaciones de !
Inca de negocio.
documentation sobre la
arquitectura corporativa y la FEA
se usa principalmente para
mantener y describir la coherencia
tecnolOgica, describiendo y
evaluando continuamente la
tecnologia que esta gestionando el
departamento de SI.
Aspectos relevantes del gobiemo
de TI respect° de la gestion de un
departamento de SI son los
procesos de seleccien yfo las
metodologias que se usan para
cambiar las tecnologias
estrategicas. Este tema relevante
afecta las decisiones de la gerencia
y esta sujeto a grandes riesgos de
negocio.
2.4 ESTRATEGIA DE
SISTEMAS DE
INFORMACION
2.4.1 PLANIFICACION
ESTRATEGICA
La planificacion estrategica, desde
el punto de vista de Si, se relaciona
con la direccion a largo plazo que
una org,anizacion
quiere seguir para mejorar sus
procesos de negocio utilizando
tecnologia de la informaciOn.
Bajo la responsabilidad de la alta
direcciOn, los factores a considerar
incluyen: identificar soluciones de T1
rentables para tratar los problemas y
oportunidades que enfrenta la
organizacion y desarrollar planes de
accion para identificar y adquirir los
recursos que se necesitan. Para
dcsarrollar planes estrategicos,
generalmente de tres a cinco anos de
duracion, las organizaciones deben
asegurarse de que los mismos esters
plenamente alineados y scan
congruentes con todas las metas y
objetivos generales de la organizacion.
La gerencia del departamento de SI,
junto con el comite de direccion de SI y
el comite de estrategia (que provee
valiosa information estrategica
relacionada con el valor para las partes
interesadas), tiene una funcien clove en
el desarrollo e implementaciOn de los
planes.
La planificacion estrategica efectiva de
Ti incluye la consideration de los
requerimientos de Ia empresa para
sistemas de TI nuevos y revisados y la
capacidad de la organizacion de TI
para entregar una nueva funcionalidad
mediante proyectos bien gobemados.
Determinar los requerimientos para los
sistemas de TI nuevos y revisados
inchtira una consideracion sistematica
de las intenciones estrategicas de Ia
empresa como estas intenciones se
convierten en objetivos especificos yen
iniciativas de ncgocios y que
capacidades de TI se necesitaran para
apoyar dichos objetivos c iniciativas.
Para valorar las capacidades de TI, el
portafolio de sistemas existente debe
revisarse en terminos de ajuste
funcional, costo y riesgo. La evaluation
de la capacidad de TI para ctunplir con
sus objetivos incluye una revision de Ia
infraestructura tecnica de TI de la
organizacion y de los procesos de apoyo
claves (per ejemplo gestion de
proyectos, desarrollo de software y
practicas de mantenimiento,
administraciOn de Ia seguridad y
servicios de soporte tecnico) para
determinar si es necesaria Ia
expansiOn o el mejoramiento. Es
importante que el proceso de
planificacion estrategica abarque no
solo Ia entrega de nuevos sistemas y
tecnologia, sino que tambien considere
el reudimiento que se obtiene de la
inversion en los sistemas "lights-on" de
TI existentcs, asi como el retiro de
servicio de los sistemas antiguos. El
plan estrategico de TI deberia
equilibrar el costo de mantenimiento de
los sistemas existentcs con el costo de
nuevas iniciativas o sistemas para
respaldar las estrategias de negocio.
Manual de Preparation al Examen USA 2015
ISACA. Tados los derechos reservados_
El auditor de SI debe prestar total
atencien a la importancia de la
planificacion estrategica de TI,
considerando las practicas de control de
la gestion. Ademils, el objetivo del
gobiemo de TI requiere que los planes
estrategicos de TI esten en sincronizacion
con Ia estrategia de negocio en general.
Un auditor de SI debe centrarse en la
importancia del proceso de planificaciOn
estrategica o marco de planificacion.
Debe prestarse particular atcncion a la
necesidad de evaluar como se toman en
cuenta los planes opemcionales, tacticos o
de desarrollo del negocio para la
formulacion de Ia estrategia de Ti, el
contenido de los planes estrategicos, los
requerimientos para planes de
actualization y comunicacion, asi como
los requerimientos de monitoreo y
evaluacion. El auditor de SI deberia
considerar como el CIO, o la alta
direccion de TI, intervienen en Ia
creaciem de la estrategia general de
negocio. Una falta de participacian de TI
en la creation de la estrategia de negocio
indica que hay tin riesgo de que la
estrategia y los planes de TI no ester'
alineados con la estrategia de negocio.
93
 Capitulo 2—Gobierno y Gestion de Ti
LTACY Carbitrum
2.4.2 COMITE DE DIRECCIDN
La alta direccion de una
organizaeiOn debe designar
un comite de direccion o de
planificaciOn para supervisar
la funcion de SI y sus
actividades. Un comite de
direccion de alto nivel para
tecnologia de la infon-nacion
es tin factor importante para
asegurar que el
departamento de SI este
alineado con [a mision y los
objetivos corporativos.
Aunque no es una practica
coman, es muy deseable que
un miembro del consejo de
direccion que cntienda los
riesgos y los probleinas sea el
resportsable de la tecnologia
de la informaciori, y dirija
este comite. El comite debe
ineluir representantes de Ia
alta gerencia, de cada linea
de negocio, de los
departamentos corporativos
como RR.HH. y finanzas y del
departarnento de SI.
Los deberes y las
responsabilidades del
comite deben estar
definidos en un document°
formal de cstatutos. Los
miembros del comite deben
conocer las politicas, los
procedimientos y las
Seccidn Dos: Con
practicas del departarnento
de SF. Cada miembro debe
teller autoridad para tomar
decisiones dentro del grupo
para sus areas respectivas,
Dicho comae sirve, por lo
general, como un consejo
general de revision para
proyectos importantes de Sl y
no debe participar en las
operaciones de retina. Las
funciones principales
realizadas por este comite
incluyen:
§ Revisar los planes de
largo y corto alcance dci
departamento de SI para
asegurar que esters en
cortcordancia con los
objetivos corporati vos.
· Revisar y aprobar las
adquisiciones
importantes de hardware
y software, dentro de los
limites aprobados par el
consejo de direccion.
· Aprobar y
monitorear los
proyectos de alta
relevancia y Ia situation
de los planes y
presupuestos de SI,
establecer prioridades,
aprobar los estandares
y los procedimientos, y
monitorear el
desempefio general de
SI.
· Revisar y aprobar las
estrategias de asignacian
de ciertas actividades o
todas las actividades de
SI, ineluyendo servicios
intemos o externos, y la
globalization o traslado de
las ftinciones al
extranjero.
· Revisar si los
recursos y su
asignacian son
adecuados en
terminos del tiempo,
personal y equipos.
· Tamar decisiones
con respecto a la
centralizacion
descentralizacion y
la asignacion de
responsabilidades.
· Apoyar el desarrollo c
implementackin de un
programa
de gestion de la seguridad
de Ia information a nivel de
toda
la empresa.
· Reportar al consejo de
direccion sabre las
actividades cfe SI.
Nota: Las
responsabilidades
variaran de empresa a
empresa y las
responsabilidades qua
se rnuestran son las
responsabilidades inns
comunes del comite de
direccion. Cada
empresa debe tener
los ten-ulnas de
referencia
formaimente
documeraados y
aprobados para su
cornite directly() y el
auditor de SI debe
famiiiarizarle con Ia
documentaciOn del
comite directive de SI
y comprender las
principales
responsabilidades que
se asignan a sus
rniembros. Muchas
empresas pueden
referirse a este comite
con un noinbre
diferente. El auditor
de SI debe identificar
el grupo que
desempena las
funciones antes
mencionadas.
El comite de direccion de SI
debe recibir informacion de
gestion apropiada de los
departamentos de SI, do
usuarios y de auditoria, para
coordinar y monitorear con
efectividad los recursos de S[
en la organizacion. El comite
debe monitorear el
desempeno y establecer las
acciones apropiadas para
alcanzar los resultados
deseados. El comite debe
reunirse periodicamente e
inforrnar a Ia alta direccion.
Deben elaborarse aetas
fonnales de las reuniones del
comite de direccion de SE,
para docurnentar las
actividades y las decisiones
del comite.
2.5 MODELOS DE
MADUREZ Y
MEJORAMIENTO DE
PROCESOS
La implementacion del
gobierno de TI requiere una
mediciOn de desempello
constante de los recursos de
una organizacion que
contribuyen a la ejecueion de
procesos que prestan
servicios de Ti al negocio. El
inantenimiento de la eficacia
y eficiencia constantes de los
procesos requiere la
implementaciOn de un marco
de referencia de madurez de
procesos. El marco de
referencia puede basarse en
diversos modelos como, por
ejeniplo, Capability Maturity
Model Integration* (CMMI"),
el modelo "Inicio,
Diagnostic°, Establecimiento,
ActuaciOn y Aprendizaje"
(IDEAL), etc.. Esta section
presenta varios inodelos de
madurez y de mejoramiento
de procesos que los
candidates a CISA pueden
encontrar en una
organization.
El Model(' de Eyaluaeion de
Procesos (PAM) de COBIT,
que utiliza COB1T 5, ha sido
desarrollado para abordar la
necesidad de mejorar el rigor
y la confiabilidad de las
revisiones de procesos de TI.
Fl
modelo serve como un
document° de referencia
para llevar a caho las
evaluaciones dc capacidad de
los procesos de TI actuales
de una organization y define
el conjunto minima de
requerimientos para Ilevar a
cabo una evaluaciOn para
asegurar que los resultados
scan coherentes, repetibles y
representativos de los
procesos e.valuados. Se
alinea con ISO/IEC 15504-2 y
utiliza la capacidad de
procesos y los indicadores del
desempeilo de proceso para
deterniinar si se han
alcanzado los atributos del
proceso.
El modelo IDEAL es un orientar el mejoramiento de
model° de programa de procesos en un proyecto,
mejoramiento de procesos division a en toda la
de software (SP!), organizaciOn. CMMI ayuda a
desarrollado por el integrar las funciones
Software Engineering organizacionales
Institute (SE!). Dicho tradicionalmente separadas,
modelo forma una fijar objetivos y prioridades de
inforestructura para mejoramiento de procesos,
orientar a las empresas en proporcionar orientation para
la planificacion y aplieacion loo procesos de calidad y un
de un programa efectivo panto de referencia para
para eel inejoramiento de evaluar los procesos actuales.
procesos de software cticaz El modelo de capacidad del
y consta de cinco faces: proceso se basa en la norms
inicio, diagnostieo, ISO/ IEC 15504 Ingenieria de
estableeiiniento, actuation y software—Evaluation de
aprendizaje (IDEAL). procesos, reconocida
intemacionalmente.Este
CMMI es un enfoque de models alcanza los mismos
inejorarniento de procesos objetivos generales que Ia
que proporciona a las evaluation de procesos y
empresas los elernentos respaldo de mejoramiento de
esenciales de procesos procesos; es decir, provee un
efectivos. Se puede usar para media para medir

94 Manual de Preparacidn al Examen CISA 2015

BACA. Todos los derechos reservados,
CISA
CertIfleclinforrylaSiOn
Sole= Seccion Dos: Contenido Capitulo 2— Gobie
Auditor'
Orip$ACK.Grise-con.
2,6 PRACTICAS DE
INVERSION Y
el desempeno de cualquicra ASIGNACION DE TI
dc los procesos de gobierno
Cada empresa se enfrenta al
CUBIT 5 (basados en EDM)
reto de utilizar sus recursos
o procesos de gestiOn
limitados, incluyendo las
(basados en PBRM), y
personas y el dinero. para
permite la identificacion de
lograr sus metas y objetivos.
areas de niejora.
Cuando una organizacion
invierte sus recursos en un
esfuerzo detertninado,
incurre en costos de
oportunidad, porque no
puede seguir otros esfuerzos
que podrian aportar valor a
la empresa. Estos costos de
oportunidad deben estar inuy
bien gestionados porque, de
acuerdo con la puhlicacion
de ISACA The Val IT
Framework 2.0, entre el 20 y
el 70 por demo de las
inversiones a gran main en
cambios pant Ia habil itaciOn
de TI se pienien, se yen
amenazadas a no aportan
ningurt return° a la empresa.
lin auditor de SI deberia
comprender las practicas de
inversion y asignacian de una
empresa para detenninar si
esta est6 biers posicionada
para lograr el mayor valor
posible de Ia inversion de sus
recursos.
Tradicionalmente, cuando
los profesionales en 11 y Ia
aka gerencia discutian el
retorno do las inversiones
(ROl) de una inversion de
Tl, pensuban en los
beneficios financieros. Hoy,
los lideres de negocios
tambien consideran los
beneficios no financieros de
las inversiones de TI.
Cuando sea factiblc, los
beneficios no financieros se
deben (racer visibles y
tangibles usando
algoritmos clue los
transfonnan en unidades
monetarias para entcrider
su impacto y mejorar 51.1
anal isis.
Los beneficios financieros
incluyen inipactos en el
presupuesto y en las finanzas
de Ia organizacion, por
ejemplo, reducciones de
Pastas o aumento de
ingresos.
Los beneficios no financieros
incluyen impactos en las
operaciones o en el
cumplimiento de la inisian y
los resultados, por ejemplo,
mejoras en Ia satisfaecion
del cliente, mejor
infonnacion. tiempo de ciclo
mss corto.
Valor de Ti
Las personas encargaths de
decidir, toman las
decisiones de seleccion de
proyectos de TI basandose
en el valor percibido de la
inversion. El valor de TI lo
detennina la relacion entre
to que la organizacion
pagara (costos) y lo que
recibira (beneficios).
Mientras mayor sea el
beneticio en relacian al
costa, mayor sera el valor
del proyecto de T1.
 implementacion de la Gestifin de
Portafolio de Ti La apticacion de
los metodos ineluye: analisis
de perfil de riesgos,
diversificacion de proyectos,
infraestructura y tecnologia,
alineacion continua con los
4 objetivos del negocio y
mejoras continuas.
No existe una (mica y mejor
manera de implementar la
gestiOn de cartera de TI.
Gestion de Portafolio
de Ti
vs. Cuadros de Mando
La ventaja Inas grancle de la
grestiOn de portafolio de Ti es
su agilidad para ajustar las
inversiones. Mientras que los
cuadros de mando (ambler]
enfatizan el use de vision y
estrategia en una decision de
inversion, In supervision y
control de los presupuestos de
operaciones no son et
objetivo. La gestion de
portfolio de TI permite a las
organizaciones ajustar las
inversiones basadas en el
ineeanisino integrado de
realimentacion.
2.7 POLiTICAS Y
PROCEDIMIENTOS
Las politicas y los
proceditnientos reflejan
1n orientacian y direccion
de la direcciOn sabre los
sisternas de informaciOn,
recursos relacionados y
procesos del
deparlamento de SI.
2.7.1 POLiTICAS
Las politicas son documentos
de alto nivel que representan
la filosofia corporativa de
una organizacion. Las
politicas deben ser clams y
concisas para que scan
efectivas. La gerencia debe
crear un ambiente de control
positive, al asumir la
responsabilidad de formular,
clesarrollar, do-cumentar,
promulgar y controlar las
politicas que abarcan las
metas y las directrices
generates. La gerencia debe
ernprender las acciones
necesarias para asegurar
que los empteados afectados
por una politica especiftca
reciban una explicacion
completa de la politica y
entiendan cual es su
proposito. Ademas, las
politicas pueden tambien
aplicarse a terceros y a
proveedores de servicio
externos, quienes deberan
comprometerse a seguir las
politicas a travtS de
contratos o declaraciones de
trabajo (SOW).
Adernas de las politicas
corporativas que establecen
el estilo de ltt organizaciOn
coma Lin todo, las divisiones
y los departarnentos
individuates deben definir
 politicas a un nivel menor.
Las politicas do menor nivel
deben ser congruences con
las politicas a nivel
eorporativo. Estas deben
La gestiOn de portafolio de
TI es distinta de la gestion
financiera dell en (pie
cstablecc una direecian
explicita, con tin objetivo
estral6gico para detenninar
las areas en las que la
empresa seguira inviniendo
versus las areas en las que
no se haran inversiones.
Eta COB1T 5, el proceso
EDMO2 Asegurar la
entrega de borefirios
optimiza la contribucion del
valor al negocio a partir de
los procesos del negocio,
servicios de TI y actives de
T1 que surgen de las
inversiones realizadas por
TI a un costo aceptable. Las
prkticas slave de gobierno
en el proceso incluyen:
1. Evaluar la optimizacion
del valor
2. Diriair Ia optimizacion
del valor
Monitorear la optimizacion
del valor
Manual de Preparacion al Examen CISA 20/5
ISACA. Todos los dereehos reservados.
aplicarse a los empleados y a
las operaciones de estas
unidades, y centrarse en el
nivel operativo.
La gerencia debe revisar
today las politicas
periodicamente.
Preferiblemente, estos
documentos deben
especificar una fecha de
revision que el auditor de SI
debera verificar con
exactitud. Es necesario que
las politicas scan actual
izadas para que reflejen la
nuevo de la tecnologia,
cambios en el ambiente (por
ejemplo, requerimientos de
cumplimiento de
regulaciones) y los cambios
significativos en los procesos
de negocio que haven uso dc
tecnologia de la informaciOn
para obtener eficiencia y
elicacia en la productividad n
logros competitivos. Las
politicas formuladas deben
apoyar el logro de los
objetivos de negocio y [a
implementacion de controles
de Si. Sin embargo, la
gerencia debe atender las
necesidades de los clientes
y cambiar las politicas que
puedan obstaculizar la
satisfaccion del cliente la
capacidad cle la organizacion
para alcanzar los objetivos
del
95
 Capitulo 2—Gobierno y Gestion de Ti
negocio. Esta consideration debe tomar
en cuenta los aspectos de
confidencialidad y seguridad de la
informacion, las cuales pueden ser
contrarios a Ia conveniencia del
cliente. Las politicas generales en un
nivel superior y las politicas detalladas,
en un nivel inferior, deben coincidir
con los objetivos del negocio.
Los auditores de SI deben entender que
las politicas son parte del alcanee de la
auditoria y deben coinprobar su
cumplimiento. Los controles de Si
deben fluir de las politicas de Ia
empresa y los auditores de SI deben
usar las politicas como un pwno de
comparacion pant evaluar el
cumplimiento. Sin embargo, si existen
politicas que obstaculizan el logro de
los objetivos de negocio, se deben
identificar y reportar para que sean
mejoradas. El auditor de SI debe
tambien considerar el grado al que las
politicas se aplican a terceros o a
contratistas de externalization, el grado
al que estos cumplen con las politicas,
y si las politicas de los terceros o de los
proveedores de servicio externos estan
en contlicto con las politicas de la
empresa.
Politica de seguridad de la
informacion
Una politica de seguridad comunica un
estOndar de seguridad coherente a los
usuarios, a la gerencia y al personal
Section Dos: Contenido
tOcnico. Una politica de seguridad para
tecnologia de la informacion y
tecnologias relacionadas es un primer
paso hacia la constniccion de la in
fraestructura de seguridad para
organizaciones impulsadas por Ia
tecnologia. Las politicas a menudo
definiran el escenario tn tenninos de clue
herramientas y procedimientos se
necesitan para Ia organizaciOn. Las
politicas de seguridad deben equilibrar
el nivel de control con el nivel de
productividad. Ademas, el costa de un
control nunca debe exceder el beneficio
que se espera obtener. Para disetiar e
implemental- estas politicas, la cultura
organizacional desempefiara un papel
importante. La politica de seguridad
debe ser aprobada por la alta direcciOn,
y debe ser documentada y comunicada a
todos los empleados y proveedores de
servicio y socios de negocio (es decir,
proveedores), segtm sea pertinente. La
politica de seguridad debe ser usada por
los auditores de SI coin() un marco de
referencia para realizar diferentes
asignaciones de auditoria de SI. La
suficiencia y pertinencia de la politica de
seguridad podria tambien ser un area de
revision para el auditor de SI.
DOCUMENT° DE POLITICA
DE SEGURIDAD DE LA
INFORMACION
La politica de seguridad de la
infonnacion debe establecer el
compromiso de la gerencia y el enfoque
de la organizacion para gestionar la
seguridad de la infonnacion. El
estandarlSO/IEC 27001 (o los
estandares equivalentes), asi como Ia
directriz 27002 pueden considerarse
como referencias para el contenido del
document° de la politica de seguridad
de la infonnaciOn.
docutnento de politica debe contener:
· Una delmiciOn de seguridad
de la informacion, sus objetivos
generales y su alcance, asi como la
importancia de la
seguridad como un mecanismo que
permite que se comparta Ia
infonnacion .
· Una declaration de Ia intention
de la gerencia, que apoye las metal
y los principios de seguridad de la
informacion en Linea con la
estrategia y los objetivos de
negocio.
· Un marco para fijar los
objetivos de control y los
controles, incluyendo la estructura
de evaluacion de riesgos y gestian
de riesgos.
· Una explicacion breve de las
politicas, principios, estandares y
requisitos de cumplimiento de
importancia particular para la
organizacion, incluyendo:
— Cumplimiento con
los requerimientos
legislativos, regulatorios
y contractuales
— Requerimientos de formation,
capacitation y concienciacien
en seguridad
Gestion de la continuidad del
negocio
— Consecuencias de Ia violation de
la politica de seguridad
de la informacion
· Una definition de las
responsabilidades generales y
especificas para la gerencia de
seguridad de la infonnacion,
incluyendo reportar incidentes de
seguridad de la infonnaciOn.
· Referencias a Ia documentation
que puede respaldar Ia politica; por
ejemplo, politicas, estandares y
procedimientos Inas detallados de
seguridad para sistemas de
infonnacion especificos o reglas de
seguridad que deben acatar los
usuarios.

Esta politica de seguridad de la

informacion debe ser comunicada en
toda la organizacion a los usuarios de
una forma que sea accesible y
compressible para el lector al que esta
destinada. La politica de seguridad de la
informacion podria ser parte de un
document° de politica general y puede
ser apropiado distribuirla a terceros o a
los proveedores de servicio externos de
la organizaciOn, siempre y cuando se
tenga el cuidado de no revelar
informacion sensible de la empresa. Se
debe requerir que todos los empleados o
terceros con acceso a activos de
informacion firmen para dar constancia
de su comprensiOn y voluntad de
cumplir con la politica de seguridad de
Ia informacion en el momenta en que
son contratados y regularmente a partir
de ese momento (por ejemplo,
anualmente) para informarse de los
cambios de Ia politica que ocurran en el
tiempo.
incluya informacion para todos los
recursos de infonnacion (hardware,
software, redes, Internet, etc.) y
describa los permisos de la
organizacion para el uso de Ti y de
recursos relacionados con
informaciOn.
· Politica informitica para el
usuario final—Esta politica describe
los parametros y eI uso de
herramientas de escritorio,
dispositivos de computation movil y
otras herramientas por los usuarios.
·Politicas de control de acceso
—Estas politicas describen el
motodo para definir y dar acceso
a los usuarios a diferentes
recursos de TI.

SegOn la necesidad y pertinencia,

las organ izaciones pueden
documentar las politicas de
seguridad de la informacion como
un conjunto de politicas.
Generalmente, se tratan las
siguientes cuestiones de politicas:
· Politica de seguridad de
la informacion de alto nivel
—Esta politica debe incluir
declaraciones relativas a la
confidencialidad, integridad y
disponibilidad.
·Politica de clasiftcacion de datos—
Esta politica debe describir las
clasiticaciones, los niveles de control
en cads clastfieacien y las
responsabilidades de todos los
usuarios potenciales, incluso a quien
pertenecen.
·Politica de uso aceptable—Debe
existir una politica integral que
Dn
Seccion Dos: ContenIdo
C. Certified Information
C1SA Systems Auditor'
tot. c.nal
, 1
96 Manual de Preparacicin al Examen CISA 2015
POLITICA DE USOACEPTARLE
El uso inadecuado de los recursos de TI
por parte de los usuarios expone a una
empresa a riesgos que incluyen ataqucs
de virus, compromiso de sistemas de
redes y servicios, asi como aspectos
legales. Para tratar este requerimiento,
una organizacion define tut conjunto de
directrices o normas que se ponen en
practiea para controlar coma se utilizaran
sus recursos de sistemas de informacion.
Estas directrices o norms se denominan
como politica de use aceptable (AU P).
Es una practica cornim exigir a los
nuevos
miembros de una empresa que firmen
carta de reconociiniento antes de recibir
aceeso a los sistemas de informacion.
LaAUP debe explicar lo que Ia empresa
considera use aceptable de las
computadoras, con el objetivo de
proteger tante al empleado como a [a
empresa de las consecuencias de las
acciones ilegales. Per esta razon, la
AUP debe ser concisa y Clara,
abarcando al mismo tiempo los pintos
Capitulo 2—Gobierno y Gestion de Ti
Todos /cps derechos reservados.
mss importantes, tales como definir a
quien so le considera usuario y clue
tiene permitido pacer el usuario con los
sistemas de TI. La AUP debera indicar
que los usuarios consulter las politicas
de seguridad, que son was completas,
cada vez que sea necesario. La AUP
debeni tambit3n definir claramente quo
sanciones se aplicaran si los usuarios no
curnplen las normas deAUP, que
pueclen incluir el despido. El
cumplirniento de estas politicas deberA
medirse con auditorias regulares. Esta
politica debe establecer (en terininos
redactados por el asesor legal) el
dereeho de la compafila a conservar
registros, respaldos y copias, a realizar
analisis rorenses manuales o
automatizados, y a Ilevar la evidencia
ante un tribunal, conservando los
derechos de privacidad.
La forma Inas comnn de una AUP es la
politica de use aceptable de Internet,
quo detennina el codigo de conducta
que guia [a conducta del usuario
mientras esta conectado a la
redilntemet. El codigo de conducta
puede incluir "netiquette"—una estas revisiones. [debe
descripcion del lenguaje que se
considera adecuado usar cuando se esta
en linea. El codigo de conducta tambien
debera describir clue se considera ilegal
o una actividad personal excesiva. La
aclhesiOn a un codigo de conducta
ayuda a garantizar que las actividades
iniciadas por un usuario no expongan a
la empresa a los riesgos de seguridad de
Ia informacion.

REVISION DE LA POLiTICA
DE SEGURIDAD DE LA
INFORMACION
La politica de seguridad de la
inforniacion debe revisarse con
intervalos planificados (por lo menos
una vez al at o cuando murrieran
cambios significativos en la empresa, en
sus operaciones cornerciales o en su
riesgo inherente relative a la seguridad,
para asegurar quo sign siendo pertinente,
adecuada y eficaz. La politica de
seguridad de la informacion debe tenor
un propietario al quo se haya otorgado la
responsabilidad de gestiOn aprobada
para desarrollar, revisar y evaluar la
politica de seguridad. La revision debe
incluir Ia evaluacion de las
oportunidades rye niejoramiento de Ia
politica de seguridad de la informacien
de la organizacion y un enfoque para
gestionar la seguridad de la informacion
ern respuesta al ambiente organizacional,
las circunstancias de negocio, las
condiciones legales o el ambiente
t6cnieo,

El mantcnimiento de In politica de
seguridad de la informacion debe
lunar en cuenta los resultados de
haber procedimientos definidos de objetivos de negocio
revisiOn de la gerencia, (pie · Mejoramiento del enloque de la
incluyan un cronograma o periodo para orizanizaciOn para gestionar la
la revision. seguridad de la informacion y sus
Las contribuciones a la revisiOn de Ia procesos
gerencia deben incluir: · Mejoramiento de los objetivos de
· Retroolimentacion de las panes control y los controles
interesaclas · Mejoramiento en Ia asignacion
· Resultados de revisiones de recursos yio
independientes responsabilidades.
§ Estatus de las acciones
preventivas y correctivas Se debe mantener un registro de las
- Resultados de las revisiones revisiones de la gerencia y SC debe
antcriores de Ia gerencia obtener Ia aprobacion de la gerencia
· Desempao del proceso y para la politica revisada.
cumplimiento de la politica de
seguridad de Ia informacion Nota: Esta revision es realizada
· Cambios que podrian afectar el en por la gerencia para tratar Ins
foque do In organizacion para cambios en factores ambientales.
gestionar la seguridad de Ia in
formaciOn, incluyendo cambios al Mientras revisa las politicas, el
ambiente organizacional; las auditor de SI debe valorar lo
circunstancias de negocio:, la siguiente:
disponibilidad de recursos; las · Base sabre Ia cml so ha
definido Ia politica-generalmentet
condiciones contractuales, regulatorias
y legales; o el ambiente tecnico se basa en un proceso de gestion
· Consideracian del use de de riesgos.
proveedores de servicio eXiCITIOS o · Pertinencia de estas politicas.
·
traslado al exterior do la funcion de Contenido de las politicas.
TI e funciones de negocio · Exccpciones a las politicas—
- aclarar en qu6 areas no se aplican
Las tendencies relacionadas con las
arnena7as y las vulnerabilidades las politicas y por qu6., por ejemplo,
· [ncidentes de seguridad de la es posiblc que las politicas de
informacian reportados contrasefias (passwords) no sean
· Recomendaciones suministradas compatibles con aplicaciones
por las autoridades relevantes, existentes.
- Proceso de aprobaciOn de
El resultado de la revision de la politicas.
gerencia debe incluir decisiones y · Proceso de implernentacion de
acciones relacionadas eon: politicas.
· Mcjora en la alineacion de la · Efectividad de irnplementaciOn
seguridad de la informaciOn con de politicas.
· Concienciae ion y capacitacion.
 · Proceso periadieo de revision y
actualizacion.
2.7.2 PROCEDIMIENTOS
Los procediraientos son pasos definidos
y doeumentados
para alcanzar los objetivos de la
politica. Deben derivarse de
la politica madre e implementar el
Manual de Preparacian al Examen CISA 2015
Todos los derechos reservados.
Capitulo 2—Gobierno y Gestion de TI
y operacionales) y los controles
integrados en los mismos. Los
procedimientos son formulados por
los dueilos de los procesos coino una
traducciOn efectiva de las politicas.
Generalmente, los procedimientos son
mas dinamicos que sus politicas madre
respectivas. Deben reflejar los continuos
cambios en el enfoque de negocio y su
ambiente. Por to tanto, es esencial
revisar y actualizar fiecuentemente los
procedintientos si se desea que sean
relevantes. Los auditores revisan los
procedimientos para identiticar, evaluar
y, posteriormente, probar los controles
sobre los procesos de negocio. Los
controles integrados en los
procedimientos son evaluados pant
asegurar que cumplan con los objetivos
de control necesarios, al tiempo que
liacen el proceso tan cficicnte y practico
como sea posible. Cuando las practicas
operativas no coincides con los
procedimientos documentados o cuando
no existen procedimientos
espiritu (la intencion) del
enunciado de la politica. Los
procedimientos se deben escribir
de forma clam y concisa, de modo que
scan comprendidos facil
y correctamente por todos los quo se
deben regir por elle& Los
procedimientos documental) procesos de
negocio (administrativos
97
Secchin Dos:
brD,Elar
documentados, es dificil (para la
gerencia y para los auditores) identificar
los controles y asegurar que esten en
operacion continua.
Uno de los aspectos 'Yids criticos
relacionados con los procedimientos es que
estos deben ser bien conocidos por las
personas que los aplican. Un
procedimiento que no es conocido
completamente por el personal que lo tiene
que usar es, esencialmente, inefectivo, Por
lo tanto, se debe prestar especial atencion a
los metodos de implementacion y
automatization de mecanismos para
almacenar, distribuir y gestionar los
procedimientos de TI.
2.8 GESTION DE RIESGOS
La gestion de riesgos es el proceso de
identiticar las vulnerabilidades y las
amenazas para los recursos de
inforrnacion utilizados por una
organizacion para lograr los objetivos
de negocio, y decidir que contramedidas medios.
(protecciones o controles) tomar, si · Aceptar—Reconocer
hubiera alguna, para reducir el riesgo a formalmente la existencia del
un nivel aceptable (es decir, riesgo riesgo y monitorearlo.
residual), basandose en el valor del
recurso de informacion para Ia
organizacion.

La gestion efectiva de riesgos comienza

con una clara comprension del apetito
de riesgos de la organizacion. Esto
impulsa todo el esfuerzo de gestion de
riesgos y, en un contexto de TI,, tiene un
impacto sobre las inversiones futures en
tecnologia, el grado de protecciOn de los
activos de TI y el nivel de garantia
requerido. La gestion de riesgos abarca
identificar, analizar, evaluar, tratar,
monitorear y comunicar el impacto del
riesgo sobre los procesos de TI. Despues
de definir el apetito de riesgo e
identificar la exposition al riesgo, se
pueden establecer estrategias para
gestionar el riesgo y aclarar las
responsabilidades. Dependiendo del tipo
de riesgo y su importancia para el
negocio, la gerencia y el consejo de
direction pueden optar por:
· Evitar—Eliminar el riesgo al
eliminar Ia causa (por ejemplo,
donde sea factible, elegir no
implemental- ciertas actividades o
procesos que generen un riesgo).
· Mitigar—Definir, implementar y
monitorear controles apropiados
para reducir Ia probabilidad o el
impacto del riesgo.
· Compartiritransferir
(derivar o asignar)--Companir el
riesgo con socios o transferirlo
mediante cobertura de seguro,
acuerdo contractual u otros
En otras palabras, el riesgo puede ser
evitado. reducido, transferido o
aceptado. Una organizacion tambien
puede optar por rechazar el riesgo
ignoraridolo, hecho que puede ser
peligroso y que el auditor de SI deberia
considerar como bandera roja.
2.8.1 DESARROLLO DE UN
PROGRAMA DE GESTION DE
RIESGOS
Para desarrollar un prograrna de
gestion de riesgos, se debe:
· Establecer el proposito del
programa de gestion de riesgos—El
primer paso cs determinar el proposito
de la organizacion para crear un
programa de gestion de riesgos. El
propOsito del programa puede ser
reducir el costo de los seguros o reducir
el nuttier() de lesiones relacionadas con
el programa. Al detenninarsu intention
antes de iniciar Ia plartificacion de la
gestien de riesgos, la organization puede
definir los indicadores slave de
desemperlo (KPIs - siglas del termino
en ingles: Key Performance Indicators)
y evaluar los resultados para
determinar su efectividad. En general,
la alta gerencia, junto con el consejo de
direceiOn, marca Ia pauta y los
objetivos para el programa de gestion
de riesgos.
· Asignar responsabilidad para el
plan de gestiOn de riesgos—El
segundo paso es designar una persona
o un equipo responsable de desarrollar
e implementar el programa de gestiOn
de riesgos de la organizacion. Aunque
el equipo es principalmente
responsabie del plan de gestion de
riesgos, un programa cxitoso requiere
la integraciOn de la gestion de riesgos
dentro de todos los niveles de la
organizacion. El personal de
operaciones y los miembros del consejo
de direccion deben apoyar al comite de
gestion de riesgos para identi ficar los
riesgos y desarrollar estrategias
adecuadas para el control de perdidas
e intervencion.
2.8.2 PROCESO DE GESTION
DE RIESGOS
A fin de garantizar que la cmpresa
gestiona sus riesgos de forma coherence
y adecuada, la organizacion debe
identiticar y establecer un proceso
repetible para gestionar sus riesgos de
TI. C01311. 5 proporciona un proceso
de gestion de riesgo, el AP012 Gestionar
el riesgo. Las practicas slave de gestion
incluyen:
I. Recolectar datos.
2. Analizar el riesgo.
3. Mantener un perfil del riesgo.
4. Articular el riesgo.
5. Definir un portafolio de action de
gestion de riesgo.
6. Responder ante el riesgo.
El primer paso en el proceso es la
identificacien y recoleccion de datos
relevantes para perm itir la
identifieacion efectiva del riesgo
relacionado con Ia TI, su analisis y
reporte. Esto ayudara a identificar los
activos o recursos de information que
necesitan proteccion porque son
vulnerables a amenazas. En este
contexto, una amenaza es cualquier
circunstancia o evento con el potential
de &liar un recurso de information
(tales como destrucciOn, divulgacion,
modification de dates o negaciOn de
servicio). El proposito de la
clasificacien puede ser priorizar
investigaciones adicionales e identificar
Ia proteccion apropiada (clasificacien
simple, basada en ci valor del active), o
pennitir la aplicacion de un model°
estandar de proteccion (clasificacion
en term inos de criticidad y
sensibilidad). Los ejemplos de activos
tipicos asociados con la infonnacion y
con TI incluyen:
· Infonnacion y datos
- I I ardware

98 Manual de Preparation al Examen CISA 2015

ISACA. Todos los derechos reservados.
Seccion Dos: Contenido Capitulo 2
CISA rfied,InZ:rim
liACX Drt.tain,

· Software producen debido a que las

· Documentos amenazas tienen la
· Personal posibilidad de expiatar las
vulnerabilidades asociadas
Otros activos de negocio mas con el use de recursos de
tradicionales que se deben infonnacion. Las
considerar son los edificios, vulnerabilidades son
el inventario, el efectivo y caracteristicas de los
activos memos tangibles, reeursos de infonnacion
como por ejemplo el buen que pueden ser explotadas
nombre o la por una amenaza para
imagen/reputacion. causar dalio. Los
siguientes son ejemplos de
El segundo paso del proceso vulnerabilidades:
es evaluar las amenazas y las · Falta de conocimientos
vulnerabilidades asociadas del usuario
con el recurso de
· Falta de funcionalidad en
informaciOn y Ia
probabilidad de que ocurran. la seguridad
· Concienciacieni
Las clases comunes de
amenazas son: educacion
· Errores inadecuada del
· Dafialataque intencional usuario (por ej.,
· Fraude selecciOn
· Robo inadecuada de
· Falla del equipoisofiware contrasefias)
· Tecnologia no probada
· Transmisian de
Los riesgos de Ti se
 comunicaciones no
protegidas
El resultado de tin agente
de amenaza que explota
una vulnerabilidad se
denomina impacto. El
impacto puede variar en
cuanto a su magnitud, y se
ye afectado por Ia gravedad
y duracion. En las
organizaciones comerciales,
las amenazas suelen
ocasionar una perdida
financiera directa en el
corto plazo
o una perdida
financiera final
(indirecta) en el largo
plazo. Ejemplos de
dichas perdidas
incluyen los
siguientes:
· Perdida directa de dincro
(efectivo o credito)
· ViolaciOn de la
legislacion (por
ejemplo,
divulgaciOn no
autorizada)
· Perdida de
reputaciainiblien nombre
· Peligro potencial para el
personal o los clientes
· Violacion de la confianza
· Perdida de oportunidades
de negocio
· Reduccion en el
desempelioieficiencia
operativos
· Interrupcion en las
actividades de negocio
Una vez que se hayan
establecido los elementos
de riesgo, .2stos se
cornbinan para formar
una vision general del
riesgo. Un metodo comfin
de combinar los
elementos es calcular lo
iiguiente para calla
amenaza: (probabilidad
de que ocurra) X
(magnitud del impacto)
para obtener una medida
del riesgo
§ general. El riesgo es
proporcional a la
probabilidad estimada de
la antenaza y el valor de
la perdida o dar).
§ Una vez que se han
identificado los riesgos, se
pueden evaluar los controles
existentes o se pueden
diseilar nuevos controles para
reducir las vulnerabilidades a
un nivel aceptable de riesgo.
Estos controles se denominan
contrameclidas o
protecciones. Pueden ser
acciones, dispositivos,
procedimientos o tecnieas (es
decir, personal, procesos o
productos). La fortaleza de tin
control puede ser medida en
terminos de su fortaleza
inherente o de disefio y de la
probabilidad de su
efectividad. Los elementos de
los controles que deben
considerarse cuando se
evalne su fortaleza incluyen
si los controles son
preventivos, detectivos
o con-ectivos, manuales o
automatizados y fonnales
(es decir, documentados en
manuales de
procedimientos,
manteniendose evidencia
de su operacion) o
prorisionaies.
El nivel remanente de riesgo,
una vez que los controles han
sido aplicados, se denomina
riesgo residual y puede ser
usado por la gerencia para
identificar las areas en las
que se requiere mas control
para reducir aun Ms los
riesgos. La gerencia puede
establecer la meta de tin
nivel aceptable de riesgo
(apetito de riesgo). Los
riesgos que excedan este
nivel deben ser reducidos
mediante la implementacion
de controles mas estrictos.
Los riesgos que esten por
debajo de este nivel deben
ser evaluados para
determinar si se esta
aplicando tin nivel excesivo
de control y si se puede
recortar costos eliininando
estos controles excesivos.
Para la aceptacion definitiva
de los riesgos residuales
debe tenerse en cuenta lo
siguiente:
· Politica organizacional
· Apetito de riesgo
· La identificacion y la
medicion del riesgo
· La incertidumbre
incorporada en el
enfoquc de evaluacion
de riesgos
· Costa y eficacia de la
implementacian
· Cost° del control versus
beneficio
Es importante darse
cuenta de que la gestion
de riesgos de TI necesita
operar a multiples
niveles, que incluyen:
· El nivel operativo—En
el nivel operativo, uno se
preocupa de los riesgos que
podrian comprometer Ia
efectividad de los sistemas
de Ti y Ia infraestructura
que los soporta, la
capacidad de evadir los
controles de los sistemas, la
posibilidad de perdida
o de no disponibilidad de
recursos slave (por
ejemplo, sistemas, datos,
comunicaciones, personal,
instalaciones) y falta de
cumplimiento de las !eyes
y regulaciones.
· El nivel de proyeeto—
En el nivel de proyecto, la
 administracian de riesgos
necesita concentrarse en la
capacidad de entender y
manejar la complejidad del
proyecto y (si esto no se
hicicra efectivamente) en el
riesgo resultante de que los
objetivos del proyecto no
scan cumplidos.
· El nivel estrategieo—El
enfoque del riesgo se
traslada a consideraciones
tales como el grado en que
las capacidades de TI estan
alineaclas con la estrategia
del negocio, canto se
compara con la capacidad
de los competidores, y las
amenazas (asi coma tambien
las oportunidades)
planteadas por el cambio
tecnologico.
La identificacion, evaluacien
y administracion de los
riesgos de TI en di versos
niveles es responsabilidad de
Manual de Preparacion al Examen CISA 2015
99 ISACA. Todos los derechos reservados.
Capitulo 2—Gobierno y Gestic:in de TI
En resumers, el proceso de gestion
del riesgo deberia lograr un balance
efectivo en costo entre la aplicaciOn
de controles de seguridad como
contrainedidas y las amenazas
significativas. A Igunas de las
diferentes personas y grupos
dentro de la organizaciOn.
Sin embargo, estas personas
y grupos no deben operar
completamente por
separado, ya que los riesgos
en un nivel o en un area
pueden impactar a otro. Un
mal funcionamiento
importante del sistema
podria obstaculizar la
capacidad de una
organizacion para prestar
servicios al cliente tratar con
provcedores, y podria tener
implicaciones estrategicas
que requirieran la atencian
de la alta gerencia. De forma
similar, los problems en tin
proyecto importante
podrian tener implicaciones
estrategicas. Tambien, a
medida que los proyectos
entregan nuevos sistemas e
infraestructura de TI, el
nuevo entorno de riesgo
operativo necesita ser
considerado.
,Section Dos: Contenido
arnenazas estan relacionadas con
aspectos de seguridad que pueden
ser extremadamente sensitivos para
algunas industrias.
2.8.3 METODOS DE ANALISIS
DE RIESGOS
Esta section discute metodos
cualitativos, semicuantitativos y
cuantitativos de administraciOn
del riesgo y las ventajas y
limitaciones de estos ithimos.
Metodos de analisis cualitatIvo
Los metodos de analisis cualilativo de
riesgo usan elasificaciones deseriptivas
o verbales para describir los impactos o
la probabilidad. Son los etas sencillos y
los mas comanmente usados.
Nonnalmerae se basan err listas de
verification y en cal itIcaciones
subjetivas del riesgo, tales coma alto,
media o bajo.
Dichos enfoques carecen del
rigor que es habitual para Ia
contabilidad y la
adrninistracion.
Metodos de analisis
semicuantitativo
En el analisis sernicuantitativo, las
clasificaciones descriptivas e-stan
asociadas con ttna escala numerica.
Dichos metodos se usan frectientemente
cuando no es posible utilizar un metodo
cuantitativo o para reducir la subjetividad
en los metodos cualitativoS.
Par ejemplo, la medida cualitativa de
"alto" puede dar un peso cuantitativo
de 5. "medio" puede dar 3 y "bajo"
puede dar 1. El peso total para el area
relacionada que se evalita puede ser el
agregado de los pesos derivados para
los di ferentes factores que se estan
considerando.
Metodos de analisis cuantitativo
Los metodos de analisis cuantitativo
usan valores numerieos para describir
la probabilidad y el inipacto de los
riesgos, usando dates provenientes de
varies tipos de luentes, tales coma
registros historicos, experiencias
pasadas, practicas y registros de la
industria, teorias estadisticas, pruebas
y experimentos.
Muchos metodos de analisis
cuantitativo del riesgo estan
actualmente disponibles para areas
coma la militar, nuclear, quirnica,
rutaneiera y alms. Las siguientes
secciones describen conceptos
relacionados con los metodos
Cuantitativos.
Muchas organizaciones utilizatt el
analisis de riesgo cuantitativo, el cual
expresa los riesgos en terminos
numericos (por ejemplo, monetarios)•
Un analisis de riesgo cuantitativo se
realiza - generalmente durante un
analisis de impact() al negocio (BR).
El principal problems en este proceso
es la evaluacit5n de activos de
informacion. Diferentes individuos
pueden asignar diferentes valores al
mismo active, dependiendo de la
relevancia que tenga la informacian
para ellos. En el case de actives
tecnologicos, no es el costa del activo
lo que se considera, sine tambien el
costa de reemplazo y el valor de la
informaciOn procesada par ese activo.
2.9 PRACT1CAS DE
GESTION DE SISTEMAS DE
INFORMACION
Las practicas gerenciales de SI retie* Ia
impleinentacion de politicas y
procedimientos desarrollados para
diversas actividades gerenciales
relacionadas con SI. En la inayoria de las
organizaciones, el departamento de SI es
tin departamento de scrvicio (apoyo). La
funeion traditional de un departamento de
servicio es ayudar a los departamentos de
production a Ilevar a cabo sus
operaciones mas efectivarnente y
eficientemente. Hoy, sin embargo, SI se
ha convertido en parts integral de today
las rases de la operation de una
organinciOn. Su importancia continua
creciendo art° tras alio, y hay poca
probabilidad de que esta tendencia se
revierta. Los auditores de SI deben
entender y apreciar el grado al que tin
departamento tle St bien administrado es
crucial para lograr los objetivos de la
organization.
Las actividades de Ia gerencia para
revisar las formulaciones de politicas y
procedimicntos y su efectividad dentro
del departamento de Si incluirian
practicas tales coiuu administration de
personal, contratacion y administraci6n
de cambios de TI.
2.9.1 GESTIoN DE RECURSOS
HUIVIANOS
La gestiOn de personal se refiere a las
politicas y procedimientos de la
organizacion para reclutamiento,
selection, capacitaciOn y promotion del
personal, medician del desempefio del
personal, disciplina, planificacian de
sucesion y retention de personal. La
efectividad de estas actividades, a
medida que se relacionan con Ia funcion
de SI, impala la calidad del personal y el
deseinpefio de las funciones de SI.
Nota: El auditor de SI debe
tenet- conocimiento de los
problemas de administraciOn
de personal pero esta
inforrnacion no se prueba en el
examen de certificacion CISA
debido t su subjetividad y a su
relation con el objetivo
organizational especifico.
Contratackin
Las practicas de contratacion de una
organization son importantes para
asegurar que se escoja el personal Inas
eficiente y efective y que la compaata
cumpla con los requisitos legates de
reelutantiento. Algunos de los controles
comunes
· Verificacion de antecedentes (par
ejemplo, penale-s, financieros,
profesiOnales, referencias,
calificaciones).
· Acuerdos de confidencialidad.
· Establecim lento de una llama
para los empleados para proteger
contra perdidas, errores y
negligencia (Nota: La Iianza de
empleados no es siempre una
practica aceptada en todo el mundo;
en algunos paises no es legaimente
aceptada).
· Acucrdos sabre el conflicto de
intereses.
 · Codigos de conductaaica
profesionai.
· Acuerdos de no divulgacion.
Los riesgos del control incluyen:
· Es posible que el personal no
sea el adecuado para la position
para la cual es reclutado.
· Es posible que no se Ileve a cabo
Ia verificacion de referencias.
· El personal temporal y los
terceros pueden introducir riesgos
fuera de control.

100 Manual de Preparation al Examen CISA 2015

ISACA. Todon los derechos reservados.
C. Certified Information CI Section Dos: Contenido
SA systarts Auditor-
..,.......- ,,m....,
· Es posible que el
deseonocimiento de los
requerimientos de confidencialidad
conduzca a comprometer el
ambiente esperado de seguridad
general.
Manual del empleado
Los manuales de empleado,
distribuidos a todos los empleados
al ser contratados, deben explicar puntos
tales C01110:
· Politicas y procedimientos de
seguridad
· Conducta aceptable e inaceptable
· Codigo de valores y etiea de la
organization
· Expectativas de la empresa
· Eteneficios de los empleados
· Politicas de vacaciones (dias
feriados)
· Rcglas de horns extra
· Empleo extern°
· Evaluaciones de desempeiio
· Procedimientos de einergeneia
· Aeciones disciplinarias por:
- Ausencias excesivas
-Violation de la confidencialidad y/o
seguridad
-No cumplimiento de las politicas
En general, debe existir tut
endigo de conducta publicado
para Ia organization que
especifique las responsabilidades
de todos los empleados.
Capitulo
Politicas de promocion
Las politicas de promocien deben ser
justas y connprendidas por los
empleados. Las politicas deben estar
basadas en criterios objetivos y tomar
en consideration el desemperio, el
nivel de fonnacian, Ia experiencia y el
nivel de responsabilidad individual.
El auditor de SI debe asegurar que la
organization de SI tenga politicas y
procedimientos de promociOn bien
definidos y los este aplicando.
Capacita don
Todos los empleados deben recibir
capacitation de manera habitual,
dependiendo de las areas en que les
falte experiencia y conoeimientos.
Esto es especialmente importante
para los profesionales de SI, dado el
rapido ritmo de cambio de la
tecnologia y los productos. La
capacitaciOn no solo asegura el uso
eficiente y efectivo de los recursos
de SI sino que tambien fortalece la
moral de los empleados. Se debe
proveer capacitacion cuando se esta
implementando nuevo hardware y/o
software. La capacitation debe
cubrir tambien areas pertinentes de
gerencia, de gestien de proyectos y
aspectos tecnicos.
La capacitaciOn cruzada consiste
en capacitar adecuadamente a aids
de un individuo para realizar un
trabajo o procedimiento especifico.
Esta practica tiene la ventaja de
disminuir la
dependencia con respecto a un
empleado y puede ser parte de la
planificacion de sucesiones, Tambien
provee un respaldo de personal en los
casos en que alguien se ausente por
alguna razOn y de este modo proveer
continuidad en las operaciones. Sin
embargo, al utilizar este enfoque seria
prudence que se evaliten previamente
los riesgos de que cualquier persona
conozca todas las partes de un sistema y
el grado de exposition que esto podria
generar.
Cronogramas y reportes de tlempo
La preparacien de un cronograrna
adecuado permits una operacion y uso
mks eficiente de los recursos
informaticos. El reporte de tiempo
permite a la administration monitorear
el proceso de programacion de
actividades. La gerencia podia entonees
detenninar si el personal escogido es el
adecuado y si la operaciOn esta
funcionando de manera eficiente. Es
importante que la information que este
siendo introducida o registrada en dicho
sisterna sea exacta.
El reporte de tiempo puede ser una
excelente Puente de informaciOn para
los fines del gobiemo de T1. Uno de los
recursos mas escasos en T1 es el
tiempo, y su debido reporte
definitivamente ayudara a administrar
mejor este rccurso fink°. Esta
informaciOn puede ser util para Ia
asignacion de costos, facturacion,
medicion de indicadores slave de metas
(KGI) e indicadores chive de
desempefio 000 y analisis de
actividades (por ejemplo, cuintas horns
dedica Ia organizaciOn a los cambios
en las aplicaciones en comparacion con
nuevos desarrollos).
Evaluaciones del desemperio de
los empleados
Las evaluaciones del
desempeoivaloraciOn de los
empleados deben ser un estandar y
un tema habitual para todo el
personal de SI. El departamento de
recursos humanos (1-IR) debe
garantizar que los gerentes y los
empleados de SI establezcan metas y
resultados esperados de mutuo
acuerdo. La evaluacion puede ser
aplicada en ftincion de estas metas
solo si el proceso es objetivo y
neutral.
Los atunentos de salmi°, las
bonificaciones per desempetio y las
promociones deben basarse en el
desempefto del empleado. El mismo
proceso puede tambien pennitir que
la organization evalue las
aspiraciones y la satisfaceiOn del
empleado y que identifique sus
problernas.
Vacaciones legales
Las vacaciones legales aseguran que
una vez al afio, como minima, alguien
que no sea el empleado titular realice
una fluxion de trabajo. Esto reduce Ia
oportunidad de cometer actos
indebidos o ilegales. Durante este
tiempo, puede ser posible que se
descubra alguna actividad fraudulenta,
siempre y cuando no haya habido
confabulaciOn entre los empleados
para cubrir las posibles discrepancias.
La rotation de puestos provee tut
control adicional (para reducir el riesgo
de actos fraudulentos o maliciosos), ya
que el mismo individuo no realiza las
mismas funciones todo el tiempo. Esto
genera la oportunidad para que un
individuo que no es la persona asignada
regularmente realice el trabajo y se de
cuenta de
posibles irregularidades. Ademds, la
rotacion de puestos Iambi& protege el
riesgo de dependencia excesiva de
personal slave divulgando Ia
experiencia en procedimientos y
controles asi como tambien en
tecnologias especificas. Sin esto, una
empresa podria ser vulnerable si un
empleado slave no esta disponible.
 Nota: El auditor de SI (CISA) debe conocer naaneras
de mitigar el fraude interno. La licencia obligatoria
para ausentarse es una de tales medidas de control.
Manual de Preparation a! Examen CISA 2015
10 1 ISACA. Todos los derechos reservados.
Capitulo 2— Gobiemo y Gesticin
de 71
PoUticas de terminacion de
contrato
Se deben establecer politicas
escritas pam la terminacion
de contratos que indiquen
pasos claramente definidos
para el retire de un
empleado. Es importante que
las politicas se estructuren
para brindar la protecciOn
adecuada a los actives y datos
in fonmiticos de la
organizacion. Las practicas
de terminacian de contratos
deben considerar tanto los
retiros voluntarios coma los
involuntartos (par ejemplo,
despido inmediat4 Para
ciertas situaciones, tales
coma las term inaciones
involuntarias bajo
condiciones adversas, Ia
organizaciOn debe tener
procedimientos claramente
definidos y documentados
para escoltar al entpleado
retirado fuera de las
instalaciones. Sin embargo,
cn todos los cases, se deben
aplicar los siguientes
procedim lentos de control:
· Devolution de todas las
chives de acceso, tarjetas y
distintivos de Went -if-tendon
para prevenir un posterior
acceso tisico facil.
· Eliminacionirevocaeion de Ia
identilicaeitm para iniciar
sesiOn (logon) y las
contrasenas (passwords)
para probibir el acceso al
sistema.
· Notilleacion a los
empleados y personal de
seguridad perlinentes
con respecto al camhio
del estado del empleado
"despedido".
· Arreglo de las retinas de pago
final para eliminar al
empleado de los archivos
vigentes de namina.
· Realization de una entrevista
de termination para
recoger una opinion sabre
la perception que tiene el
empleado sabre la
gerencia.
Nam: Los cambios en las
funciones y las
responsahilidades de trabajo
coma, par ejemplo, Ia
transferencia a otro
departarnento, pueden
requerir la revocation y Ia
nueva emision de derechos
de acceso al sisterna y al area
de trabajo similares a los
pmcedimientos de despido.
2.9.2 PRACTICAS DE SOURCING
Las practicas de sourcing se
refieren a la forma en que Ia
organizacion obtendra las
funciones de SI requeridas
para respaldar el negocio. Las
organizaciones pueden
realizar todas las funciones
de SI internatnente (lo que se
conoce como "insourcing") en
una forma centralizada, o
contratar todas las funciones
en otras panes del inundo. La
estrategia de sourcing debe
considerar cada funcion de SI
y detertninar que enlbque
permite que la funcion de SI
alcance los objetivos de la
empresa.
horarias y arbitrar las
tarifas laborales, y pueden
incluir:
· En el sitio---E1 personal
trabaja en el sitio, en el
departarnento de SI.
· Fuera del sitio—Tainbien
conocido corno "Ithicacion
cercana", el personal
trabaja en un lugar distante
en la rnisma area
geograftea,
· En el extranjero—El
personal trabaja en on
lugar distante en una
regiOn geografica
diferente.

La entrega de funciones de Si
puede incluir:
· Funciones in ternas—Realizadas
totalmente por el personal
de Ia organizacion
· Externalizadas—Realizadas por
el personal terceros
· I librido—Realizadas
por una rnezcla del personal
de Ia organizacion y de
terceros, puede
incluir personal en
asociaeiones de
negocios/suplementar
io

Las funciones de SI se
pueden Ilevar a cabo en
diferentes panes del monde,
para aprovechar las zonal
 Seccicin Dos:
Contenido CiSA
La organizacion debe evaluar sus
funciones de SI y determinar el
inetoclo mas apropiado de
entregar las funciones de Sl,
prestando consideracidn a lo
siguiente:
·i,Es esta una funcion
primordial para la
organizacion?
·Jiene esta funcion
conocimientos, procesos y
personal especificos que scan
criticos para alcanzar las
metas y objetivos, y que no
se puedan obtener
externamente n en otro
lugar?
-i,Puede esta funcion scr
cfcctuada por un tercero o en
otro lugar por el mismo
precio o por un precio ma's
bajo, con la misma o mayor
calidad, y sin aurnentar el
riesgo?
·i,Tiene la organizacion
experiencia administrando a
terceros o usando lugares
distantesien el extranjero
para ejectitar funciones de SI
o de negocio?
Al completarse la estrategia
de sourcing, el comitd de
direction de SI debe revisal y
aprobar Ia estrategia. En
este panto, si la organizacion
ha elegido usar
extemalizacion, debe
seguirse tin proceso
A trI r
ir r il
riguroso. que incluya:
·
04)Inkum Definir la funcion de SI que
debe ser extemalizada.
· Describir los niveles
de scrvicio requeridos y
las metricas minirnas
que se deben cumplir.
· Estar consciente del
nivel deseado de
conocimiento, habilidades y
calidad que se espera del
proveedor de servicio.
· Conocer la
infonnacidn actual
del costo intern°,
para campararlo con
las ofertas de
terceros.
§ Realizar revisiones de
debida diligencia de posibles
proveedores de servicio.
Us.ando esta informacion, la
organizacion puede realizar
un analisis detallado de las
ofertas de los proveedores de
servicio y delerminar si la
externalization pernutira a is
organizacion cumplir sus
inetas de una fomia eficiente
en costa, con riesgo limitado.
El mismo proceso debe ser
considerado cuando una
organizacion escoge
"globalizar" o trasladar sus
funciones de SI al extranjero.
PractIcas y estrategias de
externalizacion
Las practicas de
externalization se refieren a
acuerdos contractuales por los ajustar el lama& at nivel adecuado,
etudes una organizaciOn la decision de externalizar
entrega el control de parte a la servicios
total idad de las funciones de productos requiere que Ia
SI a un tercero. La mayoria de gerencia vuelva a analizar el inarco
los departamentos de SI de control sabre el que puede
utilizan recursos de basarse.
infortnacion de una amplia
gania tic proveedores y, por lo
tanto, necesitan un proceso
definido de externalization
para administrar
efectivainente Jos acuerdos
contractuales con estos
proveedores.

El tercero provee los recursos,

Ia experiencia y conocimientos
que se requieren para realizar
el servicio acordado. La
externalization se esta
volviendo cada vez MaIS
importante en inuchas
organizaciones. El auditor de
SI debe estar consciente de las
diversas tbrinas que puede
asumir la externalization, asi coma
de los riesilos que estan asociados
con esta modalidad.

Los objetivos especificos para

la extemalizaciOn de TI varian
de una organizacion a otra. Es
caracteristico, sin embargo,
que la meta sea alcanzar una mejora
duradera y significativa en los procesos
de negocio y los servicios a
troves de tuna reestructuracion
corporativa, para sacar
provecho de las principales
competencias de tin proveedor.
Al igual que con Ia decision de reducir o
In C
Seccion Dos: Contenido
CISA Cestifed
rAck- rort
.c.in on
Capitulo 2—Gobierno y Gestion de 11

102 Manual de Preparacion al Examen CISA 2015

ISACA_ Todos los derechos reservados.
InfoLas
rmation razones para decidirse por la Organizacion Internacional
extemalizaciOn incluyen: de Nonnas (ISO)
· El deseo de centrarse en · Asegurar una •
las actividades clove consideraciOn contractual •

· Presion sobre los adecuada del control de

margenes de utilidades aceesofadministracion de
· Mayor competencia quc la seguridad, controlada
exige reducciOn de costos por el proveedor o por el
· Flexibilidad con duetio.
respecto tanto a Ia · Asegurar que el y
organizaciOn como a la contrato exija un
estructura reporte de violaciones
y seguimiento, y
Uri auditor de SI deberia cualquier requerinnento para
detenn Mar si al desarrollar notificacion al duet° y C
sus priktieas y estrategias de cooperation con
extemalizacion, una empresa cualquier
ha considerado las ventajas, investigacion.
las desventajas y los riesgos · Asegurar que el
del negocio, asi corno las contrato exija un control y
opciones de reduceiOn de prueba de cambio/ version
riesgos indicadas en la figura para las etapas de
2.8. implementation y
production.
Ademas, una empresa · Asegurar que las partes
deberia considerar las responsables y los
siguientes elausulas en sus requerimientos para los
contratos de outsourcing o controles sobre la red esten
cxternalizacion: adecuadamente definidos, y
· Incorporar expectativas quc este establecida
de calidad de servicio, lo quc cualquier delineation
incluye necesaria de estas
el use de ISO/IEC 15504 responsabilidades.
(Determination de Ia
Capacidad
de Mejora del Proceso de
Software [SPICE]}, CMM1, 1TIL
metodologias de la

ISI
· Establecer concedan el derecho a
parametros de auditar las operaciones del
desempefio especificos, proveedor (por ejemplo,
definidos, que deben ser acceso a instalaciones,
cumplidos, por ejemplo, acceso a los registros,
tiempos mininios de derecho a hacer copias,
procesamiento para las acceso al personal, provision
transacciones o tiempos de archivos computarizados)
minimos de retention para los que se relacionen con los
contratistas. servicios contratados.
· Incorporar criterios de · Asegurar que el
administraciOn de la contrato trata de manera
capacidad. adecuada las disposiciones
· Proveer de continuidad del negocio
disposiciones y recuperation ante
contractuales para desastres y las pruebas
hacer cambios al apropiadas.
contrato. · Determinar quc
· Proveer un proceso deben mantenerse la
claramente definido de confidencialidad, la
escalamiento y resoluciem de integridad y la
disputas. disponibilidad de los
· Asegurar que el contrato datos (algunas veces
indemnice a Ia compailia por denominado la triada
daftos causados por la CIA) propiedad de Ia
organizacion responsable organization, y
de los servicios external establecer claramente la
izados. propiedad de los datos.
· Requerir contratos de · Rcquerir que el
con fidencialidad que proveedor cumpla con todos
protejan a ambas partes. los requerimientos legales y
· Incorporar disposiciones regulatorios relevantes,
clams, no ambiguas, sobre el incluyendo los promulgados
"derecho a auditar", que despues de la in iciaciOn del
contrato.

Figura 2,8—Ventajas, desventajas y del negocio, y opciones de reduccion de riesgos relaci

riesgos Posibles ventajas Opoio
Posibles desventajas y riesgos del negoclo
· Las comparlias de externalizaciOn · Costos que excedan las expectativas del · Establece
(outsourcing) pueden Iograr economies de cliente compartid
escala par media de Ia implementaciOn de · Perdida de Ia experiencia interne de SI sociedad
software de componentes reutilizables. · POrdida del control sabre SI · User mul
· Los proveedores de servicios externos
tienen la posibilidad de dedicar mss tiempo
y concentrarse con mayor efectividad y
eficiencia en un proyecto dado que el
personal interno.
·Los proveedores de servicios externos tienen
probablemente mss experiencia con un
conjunto mss amplio de problemas, aspectos
y tecnicas que el personal interno.
· El ado de desarrollar especificaciones y
acuerdos contractuales empleando servicios
externos probablemente tenga como
resulted° mejores especificaciones que
si fueran desarrollados Onicamente por el
personal Intern°.
* Dada que los proveedores son altamente
sensibles a las variaciones y los cambios que
consumen tiempo, es mucho menos probable
que haya un exceso de funcionalidades con
los proveedores de servicios externos.
· Incumplimiento del proveedor (preocupacion parte del
constants) · Realizar
· Acceso limited° al producto y establec
· Dificuttad para revertir o cambiar los comparat
contratos de servicios externos · Implemen
· Deficiente cumplimiento de los · Former u
requerimientos legales y regulatorios administra
· Incumplimiento de los terminos del contrato · Incluir pro
0
Falta de lealtad del personal del contratista considera
para con el cliente puedan a
· Clientes/empleados insatisfechos como
consecuencia del acuerdo de contratacion de
servicios externos
· Due los costs del servicio no seen
competitivos durante el period° total del
contrato
· Obsolescencia de los sistemas de TI del
proveedor
· Que ninguna de las dos compatiias reciba
los beneficios anticipados del acuerdo de
extemalizacion
· Dario a la reputaciOn de una de las
companies, o de ambas, debido a Pallas
del proyecto
· Litigios prolongados y costosos
· Perdida o fuga de informaciOn o procesos

Manual de Preparation al Examen C1SA 2015 103

ISACA. Todos los derechos reservados.
 Capitulo 2—Gobierno y Gestion de TI
· Proteger los derechos de
propiedad intelectual
· Cunaplir las leyes
· Establecer roles y
responsabilidades clams entre las
partes.
· Requerir que el contratista siga
las politicas de is organization,
incluyendo so politica de seguridad,
a menos que la organization Maya
aceptado las politicas del contratista
por anticipado.
· Requerir que el proveedor
identifique todas las relaciones de
subcontrato y requerir la
aprobaciOn de la organizaciOn
para cambiar los subcontratistas.
La extemalizacion requiere que la
gerencia maneje activamente la
relaciOn y los servicios
externalizados. Como el acuerdo de
externalizaciOn se rige por los
terminos del contrato, el contrato con
el proveedor de servicios externos
debe incluir una descripciOn de los
medios, los metodos, los procesos y is
estructura que acompalian la oferta de
servicios y productos de SI, asi como
tambien el control de calidad. El
caracter formal o legal de estos
contratos depende de Ia relation entre
las partes y de las exigencias
presentadas por los directivos a las
personas eneargadas de ejecutar el
contrato.
Section Dos: Contenido
CI
AR 11.11V,w1...ntsr.
Una vez que se ha seleccionado el
proveedor de servicios externos, el
auditor de SI debe revisar
regularmente el contrato y los niveles
de servicia para asegurar que sean
apropiados. Ademas, el auditor de SI
podria revisar los procedimientos
documentados del proveedor de
servicios y los resultados de sus
programas de calidad, que podrian
incluir, pot- ejemplo, ISO/IEC 15504
(SPICE), y las metodologias
CMIVII, 1TIL e ISO. Estos
programas de calidad requieren
auditorias regulares para certificar
que el proceso y los procedimientos
satisfacen el estandar de calidad.
La extemalizaciOn no es solo una
decision de costo; es una decision
estrategica que tiene considerables
implicaciones de control para la
gerencia. La calidad de servicio, las
garantias de continuidad del servicio,
los procedimientos de control, la
ventaja conipetitiva y los
conocimientos tecnicos son aspectos
que necesitan ser parte de Ia decision
para externalizar servicios de TI.
Escoger el proveedor correcto es de
extrema importancia, en particular
cuando Ia extemalizacien es turn
estrategia a largo plazo. La
compatibilidad de los proveedores en
terminus de cultura y de personal es un
aspecto importante que no debe ser
ignorado por Ia gerencia.
La decision de externalizar un servicio
en particular que actualmente esti'
dentro de la organization, exige debida
atencian a la negociaciOn del contrato.
tin contrato con on buen balance de
acuerdos de nivel de servicio (SLA) es
de suma importancia para la calidad del
servicio y la cooperation futura entre las
partes.
Por encima de todo, los SLA deben
servir como instrumentos de control.
Cuando el proveedor de servicios
externos sea de otro pais, la
organization debe conocer la
legislation mas ally de sus fronteras.
Los SLA estipulan y comprometen a
un proveedor a tin nivel requerido de
servicio y opciones de soporte tecnico.
Esto incluyc garantizar un nivel de
desempetio del sistema con respecto a
tiempo activo o inactivo, asi coin°
tambien un nivel especifico de soporte
al cliente. Tambien se estipulan los
requerimientos de
software o hardware. Los SLA
tambien contienen disposiciones
relativas a penalizaciones y opciones
de aplicacion en el caso de servicios
no suministrados, y pueden incluir
incentivos tales como bonos o
participacion en las ganancias por
superar los niveles de servicio.
Los SLA son on medio contractual de
ayudar al departamento de SI a
administrar los recursos de
information bajo el control de un
proveedor.
Estanderes de la
Industria/Referencies
La mayoria de las organizaciones que
prestan servicios externos deben
cenirse a un conjunto de estandares
bien definido en el que sus clientes
confien.
Estos estandares de la industria proveen
un medio para detenninar el nivel de
desempefio brindado por entomos
similares de procesamiento do
infonnacion. Estos estandares pueden
ser obtenidos de los grupos de usuarios
de los proveedores, de las publicaciones
de la industria y de las asociaciones
profesionales. Los ejemplos incluyen
ISO 9001:2008 Sistemas de Gestien de
Calidad—Requerimientos y CMMI.
Practices y estrategias de
globalizacien
Ademas de recurrir a Ia contrataciem de
funciones como servicios externos,
mochas organizaciones Ilan elegido
globalizar sus funciones de SI. La
globalization de las fitneiones de SI se
realiza por muchas de las mismas
razones citadas para la extemalizacion:
sin embargo. la organizaciOn puede
escoger no externalizar la tuncion.
Globalizar las funciones de Si requiere
que la administration supervise
activamente las ubicaciones distantes y
las instalaciones en el extranjero.
Cuando la organiz_aciOn realice las
funciones internamente, puede escoger
trasladar las funciones de Si a otro
Lugar o al extranjero. El auditor de SI
puede ayudar en este proceso al
asegurarse que Ia gerencia de SI
considere los riesgos y preocupaciones
de auditoria siguientes cuando detina la
estrategia de globalization y erectile la
transition subsiguiente a las ubicaciones
en el extranjero:
· Aspectos legales, regulatorios
y fiscales—Operar en un pais a
region diferente puede introducir
nuevos riesgos sabre los cuales la
organinciOn puede tener
conocimientos limitados.
· Continuidad de las operaciones
104 Manual de Preparacitin al Examen CISA 2015
ISACA. Todos los derechos reservados.
—La continuidad del negocio y la
recuperation ante desastres pudieran
no estar establecidas y probadas de
manera adecuada.
· Personal—Las
modilicaciones que se
necesitan para las politicas de
personal pudieran no
considerarse.
· Problemas de
telecomunicaciones—Los controles
y el aeceso a Ia red desde
ubicaciones distantes o en el
extranjero pueden estar sujetos a
mas interrupciones frecuentes o a
un flamer° mayor de riesgos de
seguridad.
· Problemas transfronterizes y
transeulturales—Administrar
personas y procesos en multiples
zonas horarias, idiomas y culturas
puede presentar desafios y problemas
no planeados. El Cluj° de datos entre
fronteras tambien puede estar sujeto a
requerimientos legislativos, por
ejemplo, que los datos deben estar
encriptados durante la transmisiOn.
CISACertified Information
Systems Auditor'
Seccian Dos: Contenido
Computacion en la nube
lino de los problemas que afecta a la
nube y a sus servicios relacionados es la
falta de definiciones acordadas. Al igual
que con todas las tecnologias
emergentes, la falta de claridad y de
acuerdos a menudo dificulta la
evaluaciOn general y la adopciem de
esa tecnologia. Dos grupos que han
ofrecido una line de base de las
definiciones son el Instituto Nacional
de Estandares y Tecnologia (NIST) y la
Cloud Security Alliance. Ambos
definen a la computacion en la nube
corno un modelo para permitir el
acceso conveniente bajo dernanda en
una red, a un conjunto campartido de
recursos informaticos configurables
(por ejemplo, redes, servidores,
alinacenamiento, aplicaciones y
servicios) que pueden ser surninistrados
y I iberados rapidamente con un
minim° esfuerzo de gestion o de
interaccion del proveedor de servicios.
Otra forma de desctibir los servicios
ofrecidos en la nube es comparandolos
con los de una empresa de servicio
pilblico. De la misina fonna que las
empresas pagan por la electricidad, el
gas y el agua que utilizan, ahora tienen
la opcian de pagar por los servicios de
TI desde un panto de vista de consumo.
El modelo de la nube se puede
considerar como compuesto por ties
modelos de servicio (figura 2.9), cuatro
Capitulo
modelos de implementaciOn (figura
2.10) y cinco caracteristicas esenciales
(figura 2.11). Los riesgos y beneficios
globales seran di ferentes segini el
modelo, y es importante tener en cuenta
que al considerar los di ferentes tipos de
servicios y modelos de
implementacion, las empresas deben
considerar el riesgo que los acompatia.
El almacenamiento en la nube puede
involucrar requisitos
legales adicionales sobre los cuales el
auditor de SI debe teller
conocimiento. Algunas legislaciones,
por ejemplo, requieren que las datos
almacenados fuera de la region esten
sujetos a controles de seguridad
adicionales incluida la encriptaciOn
robusta.
Externalizacion e inforrnes de
auditoria de terceros Un metodo para
que el auditor de SI tenga el
aseguramiento de las controles
aplicados por tin proveedor de servicios
requicre que el proveedor suministre
periodicamente un informe de auditoria
de terceros. Estos infonnes cubren Ia
gama de cuesliones relacionadas con la
confidencialidad, la integridad y la
disponibilidad de los datos. En algunas
industrias, dichas auditorias pueden
estar bajo la supervisiOn y el control
regulatorio. Par ejemplo, existen
requerimientos tales corno Statement
on Standards for Attestation
Engagements (SSAE) 16 (conocido
anteriormente como Statement on
Auditing Standards [SAS] 70), y una
guia de auditoria del American Institute
of Certified Public Accountants
(AICPA), que proporciona un marco de
referencia de tres opciones de informes
de Organizacion de Servicios de
Control (SOC) (informes SOC 1, SOC
2 y SOC 3). Los infonnes SOC I se
centran Onicamente en los controles en
una organizacion de servicio que
puedan ser relevantes para una auditoria
de estados financieros de una entidad
del usuario. Los SOC 2 y 3 vincutan los
controles de direccian en la empresa de
servicios que se relacionan con las
operaciones y el ctunplitniento. Estas
nuevas normas de informacion
representan cambios significativos
desde el infonne SAS 70, ya que las
organizaciones se interesan cada vez
nth en los riesgos, ademas de Ia
presentaciOrt de informes de los
estados financieros (por ejemplo, la
privacidad). El International Auditing
and Assurance Standards Board
(IAASB) tambien emitiO una nueva
directriz en este sentido: la International
Standard on Assurance
Engagements (ISA E) 3402,
Assurance Reports on Controls at a
Service Organization.
Gobierno en externalizacion
La extemalizaciOn es el mecanismo
quc pennite a las organizaciones
transferir Ia prestacion de servicios a
terceros. Fundamental para la
externalizacion es aceptar que,
aunque Ia entrega es transferida, la
responsabilidad sigue estando sobre
los hombros de la gerencia de [a
organizaciOn cliente, que debe
asegurar que los riesgos est6n
correetamente administrados y haya
entrega continua de valor de parte del
proveedor de servicios. La
transparencia y la propiedad del
proceso de toma de decisiones deben
estar dentro de la competencia del
cliente.
La decision de externalizar es una
decision estrategica, no simplemente
una decision de adquisicion. La
organizacien que extenializa esta
efectivamente reconfigurando su cadena
de valor al identificar las actividades
que son centrales para su negocio,
retenerlas y seleccionar las actividades
no centrales quc se puedan contratar
externamente. Entender esto a la luz del
gobiemo es slave, no solo porque se ha
demostrado que las organizaciones bien
gobernadas aumentan el valor de los
accionistas, sino porque, mas
importante aun, las organizaciones estan
compitiendo en un mercado global y
dinamico cada vez mas agresivo.
Establecer y retener la ventaja
competitiva y de mercado requiere que
Ia organizacion pueda responder
efectivamente a Ia competencia y a las
cambiantes condiciones del mercado.
La externalizacion puede apoyar esto,
pero solo si la organizacion entiende
que partes de su negocio
verdaderamente crean ventaja
competitiva.
El gobierno de la extemalizacien es el
conjunto de responsabilidades, roles,
objetivos, interfaces y controles
requeridos para anticipar el cambio y
manejar la introduccien, el
rnantenimiento, el desemperio, los costos
y el control de los servicios provistos por
terceros. Es tut proceso activo que el
cliente y el proveedor de servicio debe
adoptar pant proveer un enfoque coma,
congruente y efectivo que identifique la
informaciOn necesaria, las relaciones, los
controles y los intercambios entre varios
interesados por ambas partes.
La decision de extemalizar y
Manual de Preparacion al Examen CISA 2015
105
ISACA. Todos los derechos reservados.
posteriormente administrar esa
relaciOn con exit° exige un gobiemo
efectivo. La mayoria de las personas
que desarrollan contratos de servicios
extemos (outsourcing) incluyen
disposiciones sobre control basica y
ejecucion de los servicios; sin
embargo, uno de los principales
objetivos del proceso de gobierno de Ia
extemalizaciOn, como se define en el
contrato de extemalizaciem, es
asegurar la continuidad del servicio en
los niveles apropiados y Ia rentabilidad
y el valor agregado apropiados para
sostener Ia viabilidad comercial de
ambas partes. La experiencia ha
demostrado que muchas compatlias
hacen supuestos sobre lo que esta
incluido en la propuesta de
externalizacion. Mientras que no es ni
posible ni rentable definir
contractualmente cada detalle y cada
acciOn, el proceso de gobierno provee
el mecanismo para equilibrar el riesgo,
la demanda de servicio, la provision de
servicio y el costo.
Capitalo 2—Gobiemo y Gestiem de 71 Seccidn Dos: Co

Figura
2.9—Modelos de servicio de is computacion nube
en la

Modelo de servicio Definichin Lo quo se debe

Infraestructura corno
Capacidad pare configurar procesamiento,
Opciones de minimizer el impact° si el proveedor
de
un servicio (laaS)
alnnacenanniento, redes y otros recursos de
computacian
Ia nube experimenta una interrupcion del
Plataforma como un
Capacidad para implemental. en la
infraestructura de la
• Disponibilidad
servicio (PaaS)
nube aplicaciones creadas o adquiridas por el datos que cont
cliente que ahora
• Confidencialidad estaran hosped
se hayan creado utilizando lenguajes y
herramientas de
Software como un
Capacidad para utilizar las aplicaciones del
proveedor
• 6Ouien es el duel] de las aplicaciones?
servicio (SaaS)
que se ejecutan en Ia infraestructura de Ia nube.
Se
[sAcA, amid Computing: Business Benefits With Security. Govenriance and Assurance
imagen I . Mina 5, vmwisacaorg/Knowiedge-Center/

Figura 2.10—Modelos de implementacion de la en la

computaciOn
Model° de implementacion Descripcion de Ia infraestructura de Ia nube Lo
Nube privada · Operada ilnicamente para una organizaciOn · Servicios
· Puede ser manejada por Ia organizaciOn 0 · Es posib
un tercero escalabi
· Puede existir dentro o fuera de las instalaciones de la nub
Nube comunitaria · Compartida per varies organizaciones · Igual que
· Respalda una comunidad especifica que adicional
haya cornpartido su rnisiOn o interes · Los datos
· Puede ser manejada por las organizaciones 0 con los da
en tercero
· Puede residir dentro c fuera de las instalaciones
Nube priblica · Esta disponible para el Oblico en general o un · Igual
que
grupo industrial grande adicional
· Pertenece a una organizaciOn que vende · Los dates
servicios en la nube ubicacion
_ ser facile
Nube hibrida Una composicion de dos o mss nubes (privada, · El riesgo
comunitaria a pbblica) que contintjan siendo modelos
entidades 6nicas, pero quo estan unidas mediante · La clasif
tecnologia estandarizada o propietaria que permite ayudard
Ia portabilidad de datos y aplicaciones (por ejemplo, garantiza
ampliaciOn de Ia nube [cloud bursting] para tipo de n
equilibrar la carga entre las nubes)
ISACA, Cloud Computing: Business Benefits With Security Governance and Assurance Perspectives, EE. UU., 2009, imago 2,
Research/Researchneliverables/PagesiCiouct-Computing-Business-Benefits-With-Security-Governance-and-Assurance-Perspective.a,

106

Manual de Preparacion al Examen LISA 2015

ISACA. Todus los derechos reservados.
C me
, A. Certified Information
411014 Systems
f.r ' t . I.,,
to
Caracteristica
Autoservicio a sollcitud
Acceso a redes de banda ancha
Agrupacion de recursos
Elasticidad rapida
Servicio medido
tSAC& Cloud Computing: Business Benefits With Security. Governance and Assurance Perspectives, EE. UU., 2009, ir
www.isaca.org/Knowledge-Center/ Itsearch/ResearchOefiverables/Pagesiaoud-Computing-Business-Benefits-With-Security-Governance-
El gobiemo de
extemalizacion extiende
las responsabilidades de
ambas panes (por ejemplo,
cliente y proveedor) en lo
que respecta a:
· Asegurar la viabilidad
contractual a Waves de
Seccian Dos: Contenido Capitulo 2—Gobierno y Gestion de TI
Hon 2.11—Caracteristicas fundamentales de is computacion en Ia
Definicion
El proveedor de Ia nube debe poder suministrar automaticamente ca
coma el almacenamiento en servidores y redes, segan sea necesario
con cada proveedor de servicios.
De acuerdo con el NIST, debe ser posible acceder a la red en Ia nube
de casi cualquier dispositivo (por ejemplo, telefono inteligente, laptop
Los recursos informaticos del proveedor se agrupan para prestar serv
utilizando un modelo de multiples usuarios, con diferentes recursos fi
reasignados de manera din5mica segan Ia demanda. Existe un sentid
Generalmente, el cliente no tiene control o conocimiento de la ubicac
proporcionados. Sin embargo, puede ser capaz de especificar una ab
abstraccion mayor (par ejemplo, pais, region o centro de datos). Los e
almacenamiento, procesamiento, memoria, ancho de banda de la red
Las capacidades se pueden suministrar de manera rapida y elastica,
autornaticamente, para una rapida expansion y liberar rapidamente p
Para el cliente, las capacidades disponibles para suministro, con frec
ademas, se puede adquirir cualquier cantidad de capacidades en cua
Los sistemas en Ia nube controlan y optimizan el uso de recursos de
capacidad de mediciOn (por ejemplo, almacenamiento, procesamient
usuaria activas). El uso de los recursos se puede monitorear, controla
transparencia tanto para el proveedor como para el cliente que utiliza
revision continua,
mejoramiento y obtencion
de beneficios para ambas
panes.
· Inclusion de un programa
explicito de gobierno para el
contrato.
· GestiOn de Ia
relacion pant asegurar Invertir en la costosa
que las obligaciones implementation de
contractuales se tecnologia, y en la
cumplan a craves de capacitacion relacionada, es
acuerdos de nivel de considerado menos una
servicio (SLA) y actividad organizational
acuerdos de nivel central que la capacidad
operativo (OLA). para trabajar elicientemente
· Identificacion y manejo en toda la cadena de valor al
de todos los interesados, integrar Ia extemalizaciOn
sus relaciones y donde sea apropiado.
expectativas.
· Establecimiento de roles Aunque el tennino
y responsabilidades claros "alineacion con el
para Ia Coma de negocio" se utiliza con
decisiones, escalamiento frecuencia, no siempre
de probletnas, gestion de esta claro lo que abarca.
disputas, gestion de En el sentido mss amplio,
demandas y prestaciOn de implica pacer que los
servicios. servicios provistos por la
· Asig,nacien de funcion corporativa de TI
recursos, gastos y reflejen mss
consumo de servicios estrechamente los
en respuesta a las
necesidades
priorizadas.
· Evaluaeion continua
del desempeilo, costa,
satisfacciOn de los
usuarios y eficacia.
· Comunieacion constante
con today las panes
interesadas. El creciente
tamafio del espacio de
soluciones de tecnologia es
irnpulsado por el ritmo de Ia
evolution tecnologica.
Adquirir, capacitar y retener
personal califlcado se esta
volviendo mss taro en una
economia cada vez mils
global, dinamiea y inovil.
requerimientos y deseos de
los usuarios del negocio.
Cuando las organizaciones
reconocen lo que es central
para su negocio y que
servicios les proveen una
ventaja diferencial y
extemalizan las actividades
que respaldan estos servicios,
Ia alineaciOn con el negocio
puede empezar a alcanzarse.
Si ha de entenderse el grado
al quo esta alineacion se
aproxima, Ia implication es
que los SLA y los OLA deben
ser establecidos,
monitoreados y medidos en
terminos de desempetio y
satisfaction de los usuarios.
La alineacion con el negocio
deberia ser impulsada por el
usuario final del servicio.
Se deberia planificar
previamente el gobierno e
integrarlo en el contrato
como pane de Ia optimization
de costos del servicio. Los
procesos definidos de
gobierno deben evolucionar a
medida que las necesidades y
las condiciones de la relacion
de servicios externos se
adaptan a los cambios en la
demanda y entrega del
servicio y a la innovation
Manual de Preparation al Examen CISA 2015
107
!MCA. Todos los derechos reservados.
tecnologica.
Capacidad y planificacion del
crecimiento
Dada la importancia
estrategica de TI en las
compailias y el cambio
constante en la tecnologia, la
capacidad y Ia planificacion
del crecimiento son
esenciales. Esta actividad
debe reflejar los planes de
largo y corto plazo del
negocio y debe ser
considerada dentro del
proceso de elaboration del
presupuesto. Los cambios en
Ia capacidad no deben
solamente reflejar cambios
en la infraestructura
subyacente, sino tambien en
la cantidad de personal
disponible para respaldar la
organizaciOn. Una carencia
de personal debidamente
calificado puede demorar
proyectos que son criticos
para Ia organizaciOn u
ocasionar que los niveles de
servicio acordados no se
cumplan. Esto es la que Ileva
a algunas organizaciones a
escoger la extemalizaciOn
como una solution para el
crecimiento.
 Capitulo 2—Gobierno y Gestion de Ti
Gestic:in de prestacion de
servicios de terceros
Cada organizacion que usa
los servicios de terceros
debe tencr un sistema de
administraciOn de
prestaciOn de servicios para
implementar y mantener el
nivel apropiado de
seguridad de la informacion
y prestacion de servicios
que este' alineado con los
contratos de prestacion de
servicio de terceros.
La organizacion debe
verificar la implementation de
los contratos, monitorear el
cumplimiento de los contratos
y administrar los cambios
para asegurar que los
servicios entregados
satisfagan los requcrimientos
acordados con el tercero.
PRESTACION DE
SERVICIOS
Se debe asegurar que los
controles de seguridad, las
definiciones de servicio y los
niveles de entrega incluidos
en el contrato de prestacion
de servicios por un tercero
sean implementados,
operados y rnantenidos por
el tercero.
La prestaciOn de servicios
por un tercero debe incluir
los acuerdos de seguridad
Seccion Dos: Co
pactados, las definiciones de
servicio y los aspectos de
administracion de servicio. En
el caso de acuerdos de
extemalizaciOn, la
organizacion debe planificar
las necesarias transiciones
(de informacion, instalaciones
de procesamiento de
informacion y cualquiera otro
element() que necesite ser
movido) y debe garantizar
que la seguridad se mantenga
durante todo el periodo de
transition.
La organizacion debe
asegurar que el tercero
mantenga capacidad de
servicio suficiente junto con
planes aplicables disenados
para asegurar que los niveles
de continuidad del servicio
acordados se mantengan en
caso de fallas de servicio
importantes o desastres.
MONITORED V
REVISION DE LOS
SERVICIOS DE
TERCEROS
Los servicios, reportes y
registros suministrados por el
tercero deben ser
monitoreados y revisados
regularmente, y las auditorias
deben ser efectuadas
regularmente. El monitoreo y
revision de los servicios de
terceros deben asegurar que
los terminos y condiciones de
seguridad de la informacion
de los contratos se ester negocio y de la Ti en
cumpliendo y que los general, es el foco principal
incidentes y problernas de al considerar el use de la
seguridad de infonnacion computation en la nube.
esten siendo manejados medida que las empresas
debidamente. Esto debe confien en la nube para
involucrar una relacion de ofrecer servicios que
administracion de servicios y tradicionalmente han lido
un proceso entre la manejados intemamente,
organizacion y el tercero para: tendran que hacer algunos
· Monitorear los niveles de cambios para ayudar a
descmpetio del servicio para garantizar
verificar el cumplimiento de
los contratos 108
· Revisar los reportes
de servicio producidos
por el tercero y
concertar reuniones
regulares para evaluar
el progreso que
requieran los contratos
· Suministrar informacion
sobre los incidentes de
seguridad de la infonnacion
y revision de esta
infonnacion por el tercero y
por Ia organizacion Como lo
exijan los contratos y las
directrices y procedimientos
de respaldo
· Revisar las pistas de
auditoria de terceros y los
registros de eventos de
seguridad, problemas
operativos, Pallas, rastreo
de faltas e intemtpciones
relacionadas con el
servicio entregado
· Resolver y manejar
cualquier problema
identificado

GOBIERNO DE LA NUBE
La direccion estrategica del
que continuen cumpliendo con
los objetivos de desempetio,
con su aprovisionamiento de
tecnologia y que los negocios
esten estrate'gicamente
alineados y el riesgo bajo
control. Ascgurar que TI esta
alineada con el negocio, los
sistemas son seguros y el
riesgo es administrado es dificil
en cualquier entorno y afin mas
complejo en una relacion con
terceros. Las actividades
tipicas de gobierno, tales como
el establecimiento de metas,
las politicas y el desarrollo de
estandares, Ia definicion de
roles y responsabilidades, y el
manejo del riesgo deben incluir
consideraciones especiales
cuando se trata de Ia
tecnologia de la nube y sus
proveedores.
Al igual que con todos los
cambios en la organizaciOn, es
de esperarse que sera
necesario hacer algunos
ajustes en Ia forma en que se
manejan los procesos de
negocio. Los procesos de
negocio, come procesamiento
de datos, desarrollo y
recuperation de informacion,
son ejemplos de areas de
cambio potential. Ademas, sera
necesario considerar los
procesos que detallan Ia forma
de almacenar, archivar y
respaldar la informacion. La
nube presenta muchas
situaciones (micas que deben
abordar las empresas. Un gran
problema del gobiemo es que el
personal de las unidades de
negocio, que se vio obligado Lc
anterionnente a pasar por Ia Ti de
para obtener un servicio, ahora pu
puede prescindir de ella y los
recibir el servicio directamente sib
desde la nube. Las politicas se · 1
deben modificar o desarrollar · I
para abordar el proceso de · r
sourcing, gestiOn y L
discontinuidad del use de a
servicios de la mtbe.
T
La responsabilidad de
I
administrar la relacion con un
IQ:
tercero debe ser asignada a
111
una persona designada o a un
4
equipo de administracion de
US
servicios. Ademas, la
organizaciOn debe asegurar
que el tercero asigne 2.
responsabilidades para La
verificar el cumplimiento y un
ejecutar los requcrimientos mi
de los contratos. Se deben qu
poner a disposition nil
suficientes habilidades y
de
recursos tecnicos para de
monitorear si los requisites
qu
del contrato, en particular los
un
requerimientos de seguridad
de la informacion, se estan
cumpliendo. Se debe El
emprender una accion qu
apropiada cuando se
observen deficiencias en la po
prestacion del servicio. ne
los
La organizaciOn debe
mantener stificiente control y Ur
visibilidad general en todos ad
los aspectos de seguridad pu
relacionados con Ia pa
infomsacion sensible o critica de
qu
Ca
ob
re
t
o las instalaciones de cuenta:
procesamiento de · Cambios hechos por
informacion a los que un la organizaciOn para
tercero tuvo implementar: — Mejoras
acceso, proceso o gestiona. La en los servicios
organizacian debe asegurar ofrecidos aclualmente
que se mantenga la visibilidad
en las actividades de seguridad Manual de Preparation a!
tales como administracion de Examen CISA 2015 '
cambios, identificaciOn de las 1SACA. Todos los derechos
reservados.
vulnerabilidades y
reporteirespuesta a incidentes
de seguridad de la informacion
a traves de un proceso de
reporte, formates y estructura
claramente definido. En el case
de la externalization, la
organizacion necesita estar
consciente de que la
responsabilidad en Ultima
instancia de la infonnacion
procesada por un proveedor de
servicios extemos sigue siendo
de Ia organizacion.

GESTION LW
CAMBIOS A LOS
SERVICIOS DE
TERCEROS
Se deben manejar los
cambios a la provision de
servicios, incluyendo
mantener y mejorar las
politicas de seguridad de la
information, procedimientos y
controles existentes, tomando
en cuenta la criticidad de los
sistemas y procesos de
negocio involucrados y
reevaluando los riesgos.

El proceso de administrar los

cambios a un servicio de
tercero debe tomar en
 Section Dos: Centenido
C. Certified Information
systems Audittre
CISA
-Desarrollo de cualquier aplicacion y
sistema nuevo
- Modificaciones o actualizaciones de
las politicos y los
procedimientos de Ia organizacion
- Nuevos controles para resolver
incidentes de seguridad de la
information y rnejorar la seguridad
-Actualizaciones a las politicas,
incluyendo la politica de
seguridad de Ti
· Cambios en los servicios de terceros
para implemental.:
Cambios y ampliaciones a las redes
Uso de nuevas tecnologias
-Adoption de nuevos productos o
de versionestpublicaciones mas
recientes
-Nuevas herramientas y ambientes
dc desarrollo
Cambios a Ia ubicacion fisica de las
instalaciones de servicios
Cambio de proveedores o
subcontratistas
Mejoramiento de! servicio y
satisfaccion del usuarlo Los SLA
fijan el nivel minima exigido a los
terceros en el deseinpeiio de la
funcion de Si. Ademas, las
organizaciones pueden establecer
expectativas de mejoramiento del
servicio en los contratos, con
penalizaciones y recompensas
asociadas. Los siguientes son
ejemplos de mejoramiento de
servicio:
Capitulo
· Reducciones en el nOmero de
Ilarnadas a la mesa de ayuda
· Reducciones en el niimicro de errores
del sistema
· Mejorainientos en Ia disponibilidad
del sistema
Las mejoras de servicio deben ser
acordadas por los usuarios y TI con una
meta de mejorar la satisfaccion del
usuario y alcanzar los objetivos de
negocio. La satisfaction del usuario
debe ser monitoreada mediante la
realizaciOn de entrevistas y encuestas a
los usuarios.
2.9.3 GESTION DE CAMBIOS
ORGANIZACIONALES
La gestion de cambios
organizacionales comprende el uso de
un proceso detinido y documentado
para identificar y aplicar mejoras de
tecnologia al nivel de infraestructura y
aplicacion(es) que scan beneficiosas
para la organization y abarca todos los
niveles de Ia organiz.aciOn afectados
por los cambios. Este nivel de
participation y comunicacion
asegurara que el departamento de SI
entienda completamente las
expectativas de los usuarios y que los
cambios no sean resistidos o ignorados
por los usuarios una vez
implementados.
El departamento de SI es el punto
focal para dichos cambios, ya que
lidera o facility el cambio en la 2.9.4 PRACTICAS DE GESTION
organization. Esto incluye mantenerse FINANCIERA
a Ia vanguardia de los cambios de Ia
La gerencia financiera es un element°
tecnologia que podrian conducir a
critic° en todas las funciones de
mejoras siQnificativas de los procesos
negocio. En un ambiente de
de negocio y obtener el apoyo de la
informatica con tin alto nivel de
alta direccion para implemental-los
costos, es imperativo que haya
cambios o proyectos que se requeriran
practicas correctas de gerencia
a nivel de usuario.
financiera.
El esquema de "cargar al usuario", que
Una vez que se obtiene el apoyo de la
consiste en aplicar tin costo a los
alta direcciOn para seguir adelante con
usuarios por el uso de los recursos
los cambios o el proyecto, el
infonnaticos, puede nicjorar Ia
departamento de SI puede comenzar a
aplicacion y monitoreo de los gastos de
trabajar con cada area funcional y su
SI y la disponibilidad de recursos. En
gerencia para obtener respaldo para los
este esquema, el costo de los servicios
cambios. Ademas, el departamento de
de SI, incluidos el tiempo del personal,
SI necesitara desarrollar un proceso de
el tiempo de uso de las computadoras
comunicaciones que esta dirigido a los
asi como otros costos relevantes, es
usuarios finales, actualizarlos sobre los
cargado a los usuarios finales
cambios, su impact() y beneficio y
basandose en una formula o caleulo
proveer un metodo para obtener
estandar (uni forme).
retroalimentacion y participaciOn de
los usuarios. La retroalimentacion de
El prorrateo de costos brinda a todas
los usuarios debe obtenerse durante
las partes involucradas una medida de
todo el proyecto, incluyendo validation
"mercado" de Ia efectividad y
de los requerimientos de negocio
eficiencia del servicio provisto por la
yeapacitacion y pruebas sobre la
instalacion de procesamiento de
funcionalidad nueva o cambiada,
informaciOn. Donde se implemente,
Ia politica de prorrateo de costos debe
ser establecida por el consejo y ser
implementada de manera conjunta por
el CFO, gerencia de usuarios y
gerencia de Si.

Presupuestos de Si
La gerencia de SI, como todos los
demas departamentos, debe
desarrollar ran presupuesto.

Un presupuesto pennite el pronOstico,

monitoreo y analisis de Ia information
financiera. El presupuesto permite una gestion de Ia calidad pueden incluir
asignacion adecuada de recursos, en to siguiente:
particular en un ambiente de SI en el · Desarrollo, mantenimiento c
que los gastos pueden ser cuantiosos. implementation de software
El presupuesto de SI debe estar · Adquisicion de hardware y software
vinculado con los planes de TT a corto · Operaciones del dia a dia
y largo plazo. · Gestion de servicios
· Seguridad
Desarrollo de software · GestiOn de Recursos Humanos
En los Estados Unidos, las normas · Administration General
contables requieren que las comparlias
tengan tin conocimiento detallado de sus
esfuerzos de desarrollo, incluyendo el
tiempo invertido en proyectos y
actividades especificos. Un auditor de SI
debe entender estos requisitos y las
practicas utilizadas por las empresas para
controlar los costos de desarrollo de
software. El AICPA detalla estos
requisitos en su Estado contable de la
PosiciOn (SOP) 98-I, Contabilidad para
los Costos de los programas informaticos
desarrollados u obtenidos para uso
intemo. Este SOP explica que las
empresas deben aprovechar ciertos
costos por el software de uso inferno. El
software de uso intemo es un software
que una entidad no tiene planes
substanciales para comercializarlo
extemamente.

2.9.5 GESTION DE CALIDAD

La gestion de Ia calidad es uno de los
medios por los cuales los procesos
basados en el departamento de TI son
controlados, medidos y inejorados.
Los procesos en este context° se
definen como un conj unto de tareas
que, cuando son realizadas
debidamente, producen los resultados
deseados. Las areas de control para la
 Manual de Preparation al Examen CISA 2015
109 ISACA. Todos los derechos reservados.
Capitulo 2—Gobierno y Gestion
de TI
El desarrollo y mantenimiento de
procedimientos detinidos y
documentados por el departamento de
SI es evidencia de on gobiemo electivo
de los recursos de infonnaciOn. La
insistencia en que se observen los
procesos y tecnicas de administration
de procesos relacionados es slave para
la efectividad y la eticiencia de la
organizacion de SI. Han surgido
diversos estandares para apoyar a las
organizaciones de SI en el logro de
estos resultados. Los estandares de
calidad estan usandose cada vez mas
para apoyar a las organizaciones de SI
en el logro de un ambiente operativo
que sea predecible, inedible, repetible y
certificado en lo que respecta a sus
recursos de tecnologia de la
information.
[Nola: El auditor de Si debe
tener conocimiento de la
Gestion de la calidad. Sin
embargo, el examen de
certificaciOn CISA no evaliia
especificamente los estandares
ISO.
Un estandar prominente que recibe
amplio reconocimiento y aceptacion es
ISO 9001:2008 Sistemas de GestiOn de
la Calidad, que reemplaza a los
estandares ISO anteriores que rigen la
gestiOn de la calidad. Otros estandares,
coma Ia familia de estandares ISO/ IEC
27000, sientan las bases para crear
programas de seguridad de informacion
de calidad. Los estandares explican el
enfoque planificar-hater-verificar-actuar
(PDCA) general y proporcionan una
orientacion detallada para su
implementacion.
El estAndar introductorio 1SO/IEC
27000 define el alcance y el vocabulario Lt
que se usa en todo el estanclar ISMS y pr
proporciona un directorio de las in,
publicaciones que confonnan el estambr.
ISO/ IEC 27001 es el conjunto formal de HI
especificaciones en el cual las
organizaciones pueden buscar la co
certificacion independiente de su ISMS. · c.
1SO/IEC 27002 contiene un conjunto
estructurado de controles sugeridos que ·I •
pueden ser utilizados por las -1 -
.1 4
organizaciones cuando sea pertinente
para abordar los riesgos en la seguridad
de la information. Las publicaciones Si:
ISO/lEC 2700X adicionales oti-ecen pa
orientacitin para gestionar la seguridad est
de Ia information en industrias y yI
situaciones especificas. [SO/IEC 2700X c
ha evolucionado a partir de [SO/IEC m
17799, que estaba basado en el estrindar
BS1799 del Reino Unido de 1995, para El
las mejores pthcticas de gestion de pre
seguridad de la infonnacion. las
ev;
2.9.6 GESTION DE SEGURIDAD qu
DE LA INFORMACION e
int
La gestion de seguridad de Ia adi
el
4
rni,
sot
informaciOn provee la funcion rectora
para garantizar que la information y los
rccursos de procesamiento de informaciOn
de la organizacion bajo so control esten
debidamente protegidos. Esto incluiria
dirigir y facilitar Ia implementation de un
programa de seguridad de Ia infonnacion a
nivel de toda la organizacion, que incluya
el desarrollo de planes de analisis de
impact() al negocio (BIA), de continuidad
del negocio (BCP) y de rectiperacion ante
desastres (DRP) relacionados con
funciones del departamento de SI en
apoyo de los procesos criticos del negocio
de la organization. Un components
importante al establecer dichos programas
es la aplicacion de principios de
administration de riesgos para evaltiar los
riesgos para los activos de Ti, para mitigar
estos riesgos pasta un nivel apropiado y
detenninado por la gerencia, y monitorear
los riesgos residuales remanentes.
Consulte el capitulo 5, Proteccian de los
activos de infornaacion,
para obtener Inas detalles sabre la
gestion de seguridad de la
in formacian.
Session Dos:
ContenidoInforental
___________ CISA =lc kicky.
2.9.7 OPTIMIZACION DEL
RENDIMIENTO
El desempefio no es cuan bien funcione
tin sistema; el desempeao es el servicio
percibido por los usuarios y las partes
interesadas. La optimizacion del
desempeiio es el proceso de mejorar la
productividad de los sistemas de
informaciOn al maxima nivel posible
sin inversion adicional innecesaria en
infraestructura de Ti.
Factores criticos de exito
En enfoques efectivos de gestiOn de
desempeao, las medidas no son solo
utilizadas para asignar responsabilidades
a cumplir con los requerimientos de
reportes. Son utilizadas para crear y
facilitar la action para mejorar el
desernpefto y, por lo tanto, GEIT.
La medicien efectiva del
desempeflo depende de dos
aspectos slave que se abordan:
· La clara definicion de las metas
de desempeao
· El establccimiento de
metricas efectivas para
monitorcar el logro de las metas
Tambien se requiere un proceso de
medician de desempeao para ayudar a
asegurar que el desempeno sea
monitoreado de manera coherente y
confiable.
El gobiemo ciectivo pennite
de manera significativa Ia
optimization del desempefio
global y se logra cuando:
· Las metas son establecidas de
arriba hacia abajo y estan
alineadas a objetivos del negocio
aprobados y de alto nivel.
· Las metricas se establecen de
abajo hada arriba y estan alineadas de
manera que permits el logro de las
Judas en todos los niveles pant ser
monitoreadas par cada nivel de
direccion.
Dos factores de exito de gobiemo
criticos (que permiten la
optimizaciOn de desempelio
global) son:
- La aprobaciOn de metas par parte
de los interesados
· La aceptacian de
responsabilidad para el logro de
metas por parte de directores y
gerentes
TI es un terna complejo y tecnico; por
to tanto, es importante lograr la
transparencia expresando metas,
metricas y reportes de desempello en
un Ienguaje significativo para los
110
Manual de Preparation al Examen CISA 2015
ISACA. Todos los derechos reservados.
interesados logrando asi que se
puedan tomar las acciones adecuadas.
Metodologias y herramlentas
Se encuentra disponible una variedad
de metodologias de optimization y
mejora que complementan los
simples enfoques desarrollados
internamente. Estas incluyen:
- Las metodologias de mejora
continua, como el ciclo PDCA por
las siglas en ingles Plan-Do-
Check-Act, Planificar, Hacer,
Comprobar, Actuar.
· Mejores practicas integrates,
como ITIL
· Marcos, como COBIT
PDCA es un mdtodo iterativo de gestion
de cuatro pasos utilizado en el negocio
para el control y la mejora continua de
los procesos y productos. Los pasos en
cada ciclo PDCA sucesivo soil:
· Planificar: Establecer los
objetivos y los procesos necesarios
para producir los resultados en
conformidad con la salida esperada
(el objetivo a metas). AI establccer Ia
salida esperada,
M.
ISi
 C Certified Information Seccion Dos: Contenido
CISA Systems Auditor'
la integridad y precision de la
especificaciem tambien es parte de la
mejora dirigida. Cuando sea posible,
comenzar en una escala menor para
prober los posibles efectos.
§ [beer: lmplementar el plan,
ejecutar el proceso y labricar el
producto. Recolectar datos para
diagramas y amilisis en los
siguientes pasos de Comprobar
y Actuar.
*Comprobar: Estudiar los resultados
reales (medidos y recolectados en el
paso de Hacer) y compararlos con
los resultados esperados (objetivos
o metes del paso de Planificar) para
detenninar cualquier di ferencia.
Buscar cualquier
desviacion en la implementacion del
plan, y tambien buscar lo apropiado
del plan para pennitir la ejecucion; es
decir, cl paso de Hacer. Los datos de
los diagramas pueden 'lacer mucho
m6s sencillo ver las tendencias sabre
varios ciclos PDCA y convertir los
datos recolectados en informaciem.
La informaciem es necesaria para el
siguiente paso, Actuar.
· Aetuar: Solicitar medidas
correctives sobre las diferencias
signifieativas entre los resultados
reales y los planificados. Analizar las
diferencias para determinar sus causas
raiz. Detenninar &ode aplicar los cam
bios que incluiran mejoras del
proceso o producto. Cuando un pase a
Capituto
traves de estos cuatro pasos no results
en la necesidad de mejorar, el alcance
al que el PDCA se aplica puede
refinarse para planificar y mejorar con
etas detalle en la siguiente iteracien
del ciclo, o se debe colocar atenciOn
en una etapa diferente del proceso.
Lapin COBIT 5 para
Aseguramiento expl ica comb los
profesionales de aseguramiento
pueden brindar aseguramiento
independiente a directores con
respect° al desemperio de TI.
Herramientas y tecnicas
Las herramientas y tecnicas que
facilitan las medidas, la buena
comunicacion y el cambio
organizacional incluyen:
*Six Sigma
·Cuadro de mando (balanced
scorecard, BSC) de TI
· indicadores slave de desempeno
(KPIs)
· Estudio comparativo de mercado
(Benchmarking)
· Reingenieria de los procesos de
negocio (BPR)
*Annlisis de causa raiz
*Amilisis de costo-beneficio del ciclo
de vida
Six Sigma es una metodologia de mejora
del proceso apropiada paraTI. El
objetivo de Six Sigma es la
 implementacion de ma estrategia
orientada a la medicion enfocada en Ia
mejora del proceso y la reduccion del
defecto. Un defecto de Six Sigma se
define como cualquier cosa fuera de las
especificaciones de los clientes.
El BSC de TI es una tecnica de
evaluacion de la gestien de procesos
que puede aplicarse al proceso de
GEIT para valorar las funciones y los
r
procesos de TI. La tecnica va Inas alla
de la evaluacion financiera tradicional,
suplementandolo con medidas que
conciemen a Ia satisfaction del cliente
(usuario), procesos internos
(operativos) y Ia capacidad de innovar.
Estes medidas adicionales impulsan a
Ia organization hacia el uso optimo de
TE, el coal estA alineado con las metes
estrategicas de la organizacion,
mientras que mantiene en equilibrio
todas las perspectivas relacionadas con
la evaluacion. Para obtener rnas
informaciem sobre el BSC de TI, ver
Ia seed& 2.3.3 Cuadro de mando
(balanced scorecard) de TI.
Un KPI es una medida que dcterniina
que tan bien se esti desempefiando el
proceso para hacer posible la
consecution de la meta. Es un indicador
de si una meta tendra posibilidades de
alcanzarse, y es un buen indicador de
las capacidades, de las practicas y de
las competencias. Por ejemplo, un
servicio prestado por TI es una meta
pare TI, pero un indicador de
desemperio y una capacidad para el
negocio. Es por eso que los indicadores
de desemperio, a veces, se mencionan
como factores de rendimiento, en
particular en los BSC.
A medida que se seleccionan los
controles para implementacion,
tambien deben establecerse los criterios
para determinar el nivel operativo y la
efectividad de los controles. Estos
criterios se basaran, a menudo, en los
KPI que indiquen si un control esti
funcionando correctamente. Por
ejemplo, un KPI para el proceso de
implementacion mide el exit° relativo
del cambio en comparaciOn con los
objetivos de desemperio deseados. El
exito de un cambio se mide, a menudo,
como un porcentaje de errores,
cantidad de reporter de problemas,
duracion de interrupcian del sisterna o
grado de satisfaccian del cliente. El uso
de KPI indica a Ia gestian si el proceso
de control de cambio file gestionado
correctamente, con niveles suficientes
de calidad y pruebas.
Estudio comparativo de mercado
(Benchmarking) es un enfoque
sistematico para comparar el
desemperio de una empresa con el de
sus pares y competidores para aprender SI
la mejor forma de hacer negocios. Los
ejemplos incluyen el estudio
Un departamento de SI puede estar
comparativo de Ia calidad, Ia eficiencia
estructurado de diferentes maneras.
logistica y algunos otros indicadores.
Este tipo de fonnato se muestra en la
figura 2.12. El organigrama descrito
BPR es el analisis exhaustivo y el
incluye funciones relacionadas con
rediselio significativo de los procesos
seguridad, desarrollo y mantenimiento
de negocio y los sistemas de gestiem
de aplicaciones, soporte tecnica para
para establecer una esiructura de mejor
administracion de redes y sistemas, y
rendimiento, mayor capacidad de
operaciones. La estructura
respuesta al cliente base y a las
organizacional muestra el
condiciones del tnercado, que al mismo
departamento de SI tipicamente
tiempo produzca importantes ahorros en
encabezado por un gerenteidirector de
los costos. Para obtener mas
TI o,
infomiacion sabre BPR, ver seccion
3,11.1 Reingenieria del proceso de
negocio y proyectos de cambios al
proceso.

La medicion y la presentacion de
reportcs del desemperio de Ti puede ser
un requerirniento establecido por la
legislaciOn o par contrato. Las practicas
adecuadas de medicion de desemperio
para la empresa incluyen medidas de
resultados pare valor del negocio,
ventaja competitive y metrica de
desemperio definida que muestre que
bien Cunciona Ia TI. Los incentivos,
como las recompensas, la
compensaciem y el reconocimiento
deben estar ligados a las medidas de
desemperio. Tambien es importante
compartir los resultados y el progreso
con los empleados, clientes y partes
interesadas.

2.10 ESTRUCTURA
ORGANIZATIVA Y
RESPONSABILIDADES DE
 ref
cot
am
par
·
Ge
Capitulo 2—Gobierno y Gestian de TI Section Dos:
CISA Systuns Arritte Certif
Contenido
ent
·
Manual de Preparacion al Examen CISA 2015 C.e
111
en
los
Figura 2,12—Organization del Departamente de SI
·
Jefe de Inform acliiin Cc
o Gerente / Director do TI do
do
L ·
GestiM de Itiesgos Aplitacienes Gatos Soporte Thome Soporte 31 US-nail)
Go
Dperaclo
fur
de
· Administrader de
rep
Desarrollo I Ad mlnlstrador de Dates f
Ia Seguridad Nam i nis radon de Administrat
cot
Administrator de Soporte Admin istrador de Base Mesa de Servicio
· Coordinator de Soporte Tecnice Operacio
de Dates Cil
Recuperation Aiiie
Desastres CIi
· Programadores · Administrator de Redes · Program adores de Sistemas
de
(Aplicacienes) (LANIWANI (Sistema Operative) l a Uo
Opetanortie
· Anal istas de Sistemas · AdminiStrador · Analistas de Sistemas
(Aplicaclenes) de SiSternas (Operacidri de Sisternas) la
· Aseguram lento (SIsterna Operative)
de la Calidad
Ges
Con
ISACA. Todos los derechos reservados. mUlt
en las organizaciones grandes, CISA debe estar familiarizado a ge !
por an director general do con Ia segregation de funciones, inch
informacion (CIO). ·
Nota: El examen CISA no 2.10.1 ROLES I' Ac
prueba responsabilidades RESPONSABILIOADES DE SI de
especificas del trabajo, ya que ·
Los organigramas son elementos
pueden variar dentro de [as Pr(
importantes que deben conocer todos
organizaciones. Sin embargo, las prc
los empleados, ya que ellos proveen
responsabilidades conocidas firr
una definition clam de la jerarquia y
universalmente tales como los Mr•
autoridad del departamento. Adernas.,
propietarios del negocio, las ·
las descripciones de puestos de
funciones de seguridad de la Re
trabajo, los graficos de RACI y
informacion y la direction rec
diagranias de flujo de trabajo de la
ejecutiva podrian examinarse en :
cadena de responsabilidad brinda a los
la prueba, en especial cuando se
ernpleados del departamento de SI una
pnieban los controles de acceso Ope
direction mss completa y clara con
y la propiedad de los datos. Un El g
respect° a sus (y de otros) funcioncs y
de 01
requ
efic
prog
data
responsabilidades. El auditor de SI
debe dedicar tiempo en un area
auditada para observar y determinar si
las deseripciones fonnales de puestos
de trabajo y las estructuras coinciden
con las verdaderas y son adecuadas.
Generalmente se deben revisar las
siguientes funciones de SI:
· Gestion de desarrollo de
sistemas--Responsable de los
prograrnadores y analistas quo
implernentan los nuevos sista-ins y
quo mantienen los sistemas existentes.
· Gestion de proyectos--Los
gerentes de proyectos son
responsables de planificar y ejecutar
los proyectos de SI y pueden reportar
a una ofieina de gestion de proyectos
o a la organization de desarrollo, El
personal de gestion de proyectos
utiliza et presupuesto quo se les
asigna para la entrega de iniciativas
de SI e informar sabre el progreso de
los proyectos al comite de direceiOn.
Los gerentes de proyectos juegan un
papel central en [a *crier& de la
vision de la estrategia do TI y del
comite de direccion al planiticar,
coordinar y entregar los proyectos de
SE a la empresa.
· Servicio de soporte (help desk)—
En el entorno actual de SI, cada vez
mas comparlias consideran importante
toner una funcion de servicio de
soporte. Esta es una unidact dentro de
una organization quo responde a
preguntas y problemas tecnicos gut
enrrentan los usuarios. La mayona de
las compaiiias de sot rare tienen
servicios de soporte. Las preguntas y
respuestas pueden ser realizadas por
telefono, fax, correo cicctronico o
rncnsajcria instantanea. El personal del
servicio de soporte puede utilizar
software especial de Centro de soporte
(help desk) de terceros quo les
posibilita hallar rapidamente las
respuestas a las preguntas mss
frecuentes. Debe existir un
procedimiento para registrar el
problema reportado, su resolucion y
escalarniento a efectos de un posterior
analisis de problemasipreguntas. Este
procedimiento debe ayudar a
monitorear los grupos de usuarios y
para mejorar los servicios de software/
(instalaeiones de procesamiento de
infonnaciOn — IPA') brindados.
La administration de servicio de
soporte incluye las siguientes
act ividades:
AdquisiciOn de hardware/software
(HW/SW) en
representacion de los usuarios
Apoyar a los usuarios finales con las
diticultades de HW/SW
— Capacitar a los usuarios para usar
I-1W/SW y bases do datos
— Responder las preguntas de los
usuarios finales
— Monitorear desarrol los tdcnicos
 e in formar a los usuarios finales de
desarrollos que podrian ser
pertinentes para ellos — Detcnninar
la fuente de problemas con sistemas
de production
o in ieiar acciones correctives
— In forrnar a los usuarios finales
sabre problemas con HW/ SW o
bases de dates que podrian afectar
sus controles por la instalacion de
actualizaciones do HW/SW
— Iniciar eanibios para mejorar la
eficiencia
112 Manual de Preparackin al Examen CISA 2015
Cat'lied intorroation
CISA Systems Auditor Section Dos: Contenido
!Sex' Cerlmr~
refiere a alguien que tendra acceso a
una aplicacion de negocio, como se
expresO aqui anteriormente. El
tennino usuario es mas amplio, y
podria referirse a cuentas
adrainistrativas y euentas para acceso
a plataformas.
Gestian de soporte al usuario final
—Responsable del enlace entre el
departamento de SI y los usuarios
finales.
§ Cestion de datos--Responsable
de Ia arquitectura de los datos en los
ambientes Inas grandes de TI y
encargado de gestionar los datos
· Usuario final—ResportsabEe
de las operaciones relacionadas con
los servicios de aplicaciones del
negoeio: utilizado para distinguir la
persona para quien se disefa5 el
product° (generalniente a nivel de
aplicaciOn) de Ia persona quo
programa, sirve o instals aplicaciones.
Vale la Pena serialar que hay una
pequelia distinciOn entre los
Wrminos "usuario final" y "usuario".
El usuario final es levemente mas
especifico, y se
Mao
ISACA. Todos
los derechos
reservados.
ISA{
Capitu
como un activo corporativo.
§ GestiOn de aseguramiento de la
calidad (QA)—Responsable de
negociar y facilitar actividades de
calidad en todas las areas de
tecnologia de informacian.
· Gestien de la seguridad de la
informacion—Esta es una funcian
gue generalmente se debe separar
del departamento de SI y debe estar
encabezada por un CISO. El CISO
puede reportar al CIO o terier una
relation indirecta (reporte indirect())
con el 00. Incluso cuando el oficial
de seguridad se reporta al CIO,
existe una posibilidad de conflicto,
ya que las metas del CIO son
proporcionar de modo eficiente
 servicios continuos de TI, mientras
que el CISO puede estar menos
interesado en la reduction de costos
si esto tiene un impacto en La
calidad de la protection.
Gestion de proveedores y
contratistas de externalizacion
Con el aumento de external izacion,
que incluye el uso de
multiples proveedores, el personal
dedicado puede estar obligado a
gestionar proveedores y contratistas
de servicios externos, incluyendo
realizar las siguientes funciones:
*Actuar coma el primer contacto
para el vendedor y el contratista de
externalizaciOn dentro de Ia funcian
de Si
Proveer indicaciones al contratista de
externalizaciOn sobre los problernas y
esealar intemamente dentro de la
organization y la funcien de SI
centro de datos incluye los servidores
y el mainframe, perifericos como,
porejemplo, impresoras de alta
velocidad, equipamiento de red,
medios magneticos y redes de area de
almacenamiento. Cortstituye una
inversion importante de activos y
tiene un impact() en la capacidad de la
organization para funcionar
eficazmente.
El grupo de control es responsable de
Ia recoleccian, conversion y control del
ingreso de datos y el balanced y
distribution de los datos salientes a la
comunidad de usuarios. El supervisor
del gnipo de control usualmente
reporta al gerente de operaciones de
las instalaciones de procesamiento de
information (IPF). El grupo de control
de entradalsalida debe estar en un area
separada donde solo se pennita
personal autorizado, ya que ellos

•
Monitorear y reportar sobre los manejan datos sensibles. Pam obtener
niveles de servicio a la gerencia Inas infonnacion, ver seccion 3.12.1
§ Revisar los Controles de entradalorigen.
cambios al contrato
debidos a nuevos
requerimientos y
obtener aprobaciones
de SI

Operaciones y mantenimiento de
infraestructura El gerente de
operaciones es responsable del
personal de operaciones informaticas.
Esto incluye todo el personal
reguerido para operar el centro de
dates de tnanera eficiente y eficaz (por
ejemplo, operadores de computadora,
bibliotecarios, programadores y
personal de control de datos). El
Gesticin de medios
La gestion de medios se requiere para
registrar, emitir, recibir y
salvaguardar todos los archivos de
prograrna y de datos que se
mantienen en medios extraibles.
Dependiendo del tamano de la
organization, esta ftnicion se puede
asignar a un individuo a tiempo
compieto a a un miembro de
operaciones que tambien desempelie
otras funciones.
Esta es una ftmcion crucial y por
tanto, muchas organizaciones le
proveen soporte adiciortal mediante el
uso de software que ayuda a mantener
el inventario asi como tambien maneja
el movimiento de medios de
almacenamiento. El uso de este
software tambien ayuda a mantener el
control de versiones y la gestion de
configuraciOn de los progratnas.
Ingres° de datos
El ingreso de datos es critico para la
actividad de procesamiento
de informaciOn. El ingreso de datos
puede incluir ingreso en tote
o ingreso en Linea.
En Ia mayoria de las organizaciones,
el personal de los departamentos de
usuarios hace su propio ingreso de
datos en linea. En machos ambientes
en linea, los datos son capturados
desde la fuente original (par ejemplo,
intercambio electronic° de datos
[EDI], datos capturados via codigos de
barra para gestion de tiempo,
inventario de almacenes por
departamento). El departamento de
usuarios asi como tambien la
aplicacion del sisterna deben tener
implantados controles para asegurar
que los dates esten validados, sean
correctos, esten completos y
autorizados.
Con el avarice de la tecnologia y la
necesidad de adquirir datos desde que se
originan, las organizaciones estan
desplegando sistemas automatizados
para Ia adquisiciOn de datos. Estos
sistemas incluyen lectores de cOdigo de
barras, a sistemas a los que se hace
referenda como SCADA (AdquisiciOn
de dates, supervisiOn y control). El
termino SCADA comCmmente se
refiere a sistemas centralizados los
cuales monitorean y controlan sitios
enteros, o a complejos de sistemas
propagados en areas grandes (en la
escala de kilometros o minas). Estos
sistemas son tipicos de las plantas
industriales, acerias, plantas de energia,
instalaciones electricas y similares. La
mayor parte del control del sitio se
realiza automaticamente par terminales
remotos (RTUs)
o por controladores logicos
programables (PLCs). Las funciones de
control del anfitrion (host) suelen
restringirse a autorizaciones basicas del
sitio o intervention a nivel de
supervision. tin ejernplo de sistemas
automatizados para la adquisicion de
datos son aquellos utilizados en las
plataformas petroliferas para medir y
controlar Ia extraction de petroleo y
controlar la temperatura y el MO de
agua.
La adquisicien de datos comienza en el
nivel de RTU o PLC e incluye lecturas
de medidores y reportes de estado de
equipos que se comunican a SCADA
segiin se requiera. Luego, los datos se
compilan y fonnatean de tal manera
que un operador de la sala de control
utilizando redes de interfaces hombre-
maquina (IIMI) puede tomar
decisiones de supervisidat para ajustar
Manua! de Preparation al Examen CISA 2015
113
ISACA. Todos los derechos reservados_
a anular controles de RTU (PLC)
normales. Los datos tambien se pueden
ingresar a un registro histOrico,
comnnmente creado en un sisterna de
gestion de bases de datos de uso
general, para permitir analisis de
tendencias y otras auditorias
analiticas.
Capitulo 2—Gobierno y Gestion de Ti Section Dos: Contenido CISA cs7stiedmaletor CISA

Las aplicaciones SCADA utilizan tradicionalmente lineas de administrador de seguridad incluyen:

comunicacion dedicadas. En la actualidad, existe una migracion
significativa a Inteniet. Esta tendencia tiene ventajas obvias, entre
ellas Ia integration mas facil en las aplicaciones comerciales de la
compafiia. Sin embargo, una desventaja es que amebas de dichas
compailias son infraestructuras criticas para la 'lacier' y se
vuelven presas faciles de los ataques ciberneticos.
Administration de sistemas
El administrador de sistemas es responsable de mantener los
principales sistemas informaticos de multiusuario, incluyendo
redes de area local (LANs), redes inalambricas de area local
(WLANs), redes de area amplia (\VANs), redes de area personal
(PANS), redes de area de almacenamiento (SANs), intranets y
extranets, y sistemas de rango medio, ademas de sistemas
mainframe. Sus dcberes tipicos incluyen:
· Agregar y configurar nuevas estaciones de trabajo y
perifericos
· Establecer cuentas de usuarios
· Instalar software en todo el sistema
· Realizar procedimientos para
prevenir/detectar/corregir la divulgacion de virus
· Asignar espacio de almacenamiento masivo
Las organizaciones pequelias pueden tener solo un administrador
de sistemas, mientras que las organizaciones mas grandes tienen
por lo general un equipo de administradores de sistemas. Algunas
organizaciones centradas en mainframes pueden referirse a un
administrador de sistemas corno un programador de sistemas.
· Mantener las reglas de acceso a los datos y a otros recursos
de TI.
· Mantener la seguridad y la confidencialidad sobre la
emisien y mantenimiento de las identificaciones de usuario y
contraseilas (passwords).
· Monitorear las violaciones de seguridad y aplicar acciones
correctivas para asegurar que se provea la seguridad adecuada.
· Revisar y evaluar periedicamente Ia politica de
seguridad y sugerir a la gerencia los cambios necesarios.
· Preparar y monitorear el programa de
concienciacien sobre Ia seguridad para todos los
empleados.
· Probar la arquitectura de seguridad para evaluar la
Fortaleza de la seguridad y para detectar las posibles amenazas.
· Trabajar con la gestien de cumplimiento, de ricsgos y
las funciones de auditoria para asegurar que Ia seguridad
este

Administration de la seguridad
La administration de seguridad cornienza con el compromiso de la
gerencia. La gerencia debe entender y evaluar los riesgos de Ia
seguridad y debe desarrollar y hater cumplir una politica escrita
que establezca con claridad los estandares y los procedimientos que
se deben seguir. Las funciones del administrador de seguridad
deben estar definidas en la politica. Para proveer una adecuada
segregation de funciones, esta persona debe ser un empleado de
tiempo completo que reporte directamente al director de Ia
instalacien. Sin embargo, en una empresa pequefia, puede no ser
pnictico contratar a una persona de tiempo completo para esta
posicion. La persona que realice esta funcion debe asegurar que los
diferentes usuarios esten curnpliendo con la politica de seguridad
corporativa y que los controles scan los adecuados para prevenir el
acceso no autorizado a los activos de la compania (incluyendo
datos, programas y equipos). Usualmente, las funciones del

114 Manual de Preparation al Examen CISA 2015

ISACA. Todos Ios derechos reservados.
 disefiada de manera apropiada y actualizada sobre Ia base de mantener estandares para la funcien de SI. Esto incluye Ia · C
retroalimentacion de auditoria o de pruebas. capacitacion en estandares y procedimientos de QA. El grupo ambi
de QC apoya mediante la verificacion periedica la exactitud y deserni
Aseguramlento de la calidad autenticidad de los datos ingresados, el procesamicnto y el · Se
Los terminos "asegttramiento de la calidad" y "control de calidad" resultado de las diversas aplicaciones. lecc
base eh
son utilizados, a menudo, indistintamente para referirse a las
Para que el grupo de QA pueda cumplir un papel efectivo debe · Pr
maneras de asegurar la calidad de un servicio o producto. Sin
ser independiente. En algunas organizaciones, este grupo puede obar
embargo, los tenninos tienen diferentes significados. optirni:
ser parte del grupo de control. En organizaciones mas pequefias
· Aseguramiento de Ia calidad (QA)—Un patron · R
puede no ser posible tener tin grupo de QA separado, en cuyo caso
planificadoy sistematico de todas las acciones neeesarias para espoi
las personas pueden tener mas de una ftincion. Sin embargo, bajo
proporcionar la confianza adecuada de que un elemento o acerca
ninguna circunstancia ninguna persona debe Ilevar a cabo una
producto cumple los requisitos tecnicos, El QA ayuda al · I
revision de QC de su propio trabajo. Adicionahnente, la revision
departamento de SI a asegurar que el personal este siguiendo mpler
no debe ser efectuada por ningtin individuo cuyas funciones
los procesos de calidad establecidos. Por ejemplo, el QA concur
entren en conflict°. For ejemplo: an programador efectuando
establecera los procedimientos (por ej., que cumple con ISO · M
revision de calidad de cambios en aplicaciones.
9001) para facilitar el use extendido de las practices de onitc
aseguramientoigestion de la calidad. desemi
· Control de calidad (QC)— Las actividades y tecnicas de Administration de base de datos
· D
observation utilizadas para cumplir con los requerimientos El administrador de base de datos (0 BA) coma custodio de los
efinii
para Ia calidad. El QC es responsable de realizar las pruebas o dates de una organization, define y mantiene la estructura de los
recupe
revisiones para verificar y asegurar que el softsvare este libre de datos en el sistema de base de datos corporativo. El DBA debe
defectos y Ilene las expectativas del usuario. Esto podria tener una comprension de Ia organizaciOn y de los
requerimientos de datos del usuario y de la relation entre los dates El DBA
hacerse en varias etapas del desarrollo de un sistema de la base d
aplicacion, pero debe hacerse antes de que los programas scan (estructura). Esta posicien es responsable de la seguridad de los
dates compartidos almacenados en la base de dates. El DBA es DBA tie
Ilevados a production. Por ejemplo, QA ayudara a asegurar incluyen
que los programas y documentacien se adhieren a los responsable del disefio real, hi definition y el mantenimiente
adecuado de las bases de datos corporativas. Usualmente, el DBA prohibir
estandares y convenciones de nomenclatura. los dates
reporta directamente al director del IPF. El rol del DBA incluye:
· Especificar la definition fisica de los datos ejercer u
El grupo de QA esta encargado de desarrollar, promulgar y dates mt
(orientados a Ia computadora).
· Se
greg
· A
prolx
· R
evisit
supery
· C
ontro
base dt

Analist.
Los a na
basados
durante I
sistemas
usuario
func ion
a
documer
aplicacie

Arquite
Los arqi
disefian
de access
y estab le
argumen
funcion,
muy dife
de progn
Manua
ISACA. 1
Seccion Dos: Contenido Capitulo 2—Gobierno y Gestion de TI

C „,,, A. Certeied Informal' 1,010.1 4 Systems Auditor' attar 1

Al..SIGYCPT,01.11 1

· Cambiar la departamento de SI debe ejercer un

definicien fisica de control estricto sobre la administracion
datos para mejorar el de Ia base de dates mediante:
desempecio. · Segregation de funciones
· Seleccionar e implementar · Aprobacien de las actividades del
herramientas de optintizac ion de DBA par parte de la gerencia
la base de dams. · Revision de los registros de
· Probar y evaluar acceso y actividades poi- parte
herramientas de los del supervisor
programadores y de · Controles de detection sobre
optimization. el use de las herramientas de la
· Responder las consultas de base de datos
los programadores y formarlos
acerca de las estructuras de Ia Analista de sistemas
base de datos. Los analistas de sistemas son
· implementar los controles de especialistas que diseiian sistemas
definicien, acceso, actualization y basados en las necesidades del usuario.
concurrencia de Ia base de datos. Generalmente participan durance la
· Monitorear el use de la base fuse inicial del ciclo de vida de
de datos, recopilar estadisticas de desarrollo de los sistemas (SDLC).
desempetio, y ajustar la base de Estas personas interpretan las
datos. necesidades del usuario y desarrollan
· Definir e iniciar los los requerimientos y las
procedimientos de especificaciones funcionales y
respaldo y de documentos de diserio de alto nivel.
recuperation. Estos documentos permiten que los
programadores creen cola
El DBA time las herramientas para aplicacion especifica.
establecer los controles sobre Ia base de
datos y la capacidad de ignorar estos Arquitecto de seguridad
controles. El DBA tiene tambien la Los arquitectos de seguridad
capacidad de tenet acceso a todos los evalUan tecnologias de seguridad;
datos, incluyendo los datos de disenan aspectos de seguridad de
produccion. Usualmente no es practice topologia de la red, controles de
prohibir o itnpedir por completo el acceso, gestion de identidacles y otros
acceso par parte del DBA a los datos de sistemas de seguridad; y establecen
produccion. Per lo tanto, el politicas y requerimientos de
seguridad. Se puede argumentar que
los analistas de sistemas realizan la
mistna funcion, sin embargo, los
conjuntos de destrezas requeridas son
muy diferentes. Sus productos (par
ejemplo, especificaciones de programa
vs. politicas, requerimientos,
diagramas de arquitectura) tambien
son diferentes. Los arquitectos de
seguridad deberian tambien trabajar
con la gestion de cumplimiento, de
riesgos y las funciones de auditoria
para incorporar sus requerimientos y
recomendaciones para la seguridad en
las politicas y la arquitectura de
seguridad.
Desarrollo y mantenlmiento de
aplicaciones
Ei personal de aplicaciones es
responsable de desarrollar y mantener
las aplicaciones. El desarrollo puede
incluir desarrollar un nuevo codigo o
cambiar Ia configuraciOn de la
aplicacion existents. Ellos desarrollan los
prograrnas o cambian la configuracion
de
Ia aplicacion que en aim instancia
correran en un entomo de produccion. Par
lo tanto, la gerencia debe asegurar que el
personal no pueda modificar los
programs de producciOn ni los dates de
aplicacion. Ellos deben trabajar
imicamente en un ambiente de prueba y
deben entregar su trabajo a otro grupo
que neve los programas y los cambios
de aplicacion al ambiente de
produccion.
Desarrollo y mantenimiento de
infraestructura El personal de
infraestructura es responsable de
mantener el software de sistemas,
incluyendo el sisterna operativo. Esta
filmier' puede requerir que ellos tengan
acceso irrestricto a todo el sisterna. La
gestion de SI debe monitorear de cerca
sus actividades requiriendo que ellos
lleven registros electronicos de esta
actividad y que no sean susceptibles de
cambio. El personal de infraestructura
solo debe teller acceso a las librerias de
sistemas del software especifico que
ellos mantienen. El use de la
administration de dorninios y de cuentas
de superusuarios debe controlarse y
monitorearse muy de cerca.
Gestion de red
Hoy muchas organizaciones
tienen las instalaciones de
procesamiento de information
(IPFs) ampliamente
descentralizadas. Pueden tener una
IPF central, pero tambien hacen
un use extensivo de:
· LANs—Redes de area local en
sueursales y en sitios distances.
· WANs—Redes de area amplia
(WANs) donde los LANs se pueden
 ace,
de
mat
ada
incl
interconectar para conveniencia de respaldo del sistema se incl
acceso del personal autorizado esten haciendo y que las compras de
desde otros lugares. software/hardware esten autorizadas y Los
· Redes inalambricas-- sean instaladas debidamente. En prel
Establecidas a traves de instalaciones pequerias, esta persona de
asistentes digitales personales puede set responsable de la una
(PDAs) y otros dispositivos administration de la seguridad sobre fun
moviles. la LAN. El administrador de LAN no con
debe tener responsabilidades de una
Los administradores de red son programacien de aplicaciones, pero la n
responsables de los componentes slave puede tener responsabilidades de fun
de esta infraestructura: enrutadores prograrnacion de sistemas y usuario tarr
(routers), conmutadores (switches), final. Ciel
cortafuegos (firewalls), segmentation del
de redes, gestion de desempetio, acceso 2.10.2 SEGREGACION DE alga
remoto, etc. Es posible que cada LAN FUNCIONES DENTRO DE SI (let
requiera de un administrador debido a
la dispersion geografica. Los titulos de puestos de trabajo reales
y estructuras organizacionales varian 2.1
Dependiendo de la politica de la Se la
compania, estos administradores mucho de una organization a otra,
dependiendo del tamario y de la s
pueden reportar al director del IPF sign
o, en una operaciOn descentralizada, naturalez.a del negocio. Sin embargo,
pueden reponarle al gerente de usuarios un auditor de SI debe obtener
suficiente informacion para entender y Au
finales, si bien se aconseja al inenos
documentar las relaciones entre las La
una linea de punkas al director del [PE
varias funciones de trabajo, dot
Esta position es responsable del control
responsabilidades y autoridades, y la I
tecnico y administrativo sobre la LAN.
evaluar la idoneidad de la segeegacion res
Esto incluye asegurar que los enlaces
de funciones. La segregation de Se
de transmisiOn esten funcionando
funciones evita Ia posibiliklad de que ger
correctamente, que las copias de
una sola persona pueda tray
Manual de Preparacion al Examen CISA 2015
Cu
115
ISACA. Todos los derechos reservados.
Se
act
asi:
Capitulo 2—Gobierno y Gestian de TI ft se 4
Seccion Dos: Contenido
res
par
adi
nisi
datos
Base

--.0'It Flgura 2.13—

de

Ac
Matrlz
Lo
me
yd
la 1
acc
 CD
de control
a. Th-

Mgleso de Vas
Grupo
-

Red
437 .
ill t'1

...
eg d ,
(.,,
Grupo de control X X X X X X X
Analista de
X X X X
sistemas

;
Programador
de aplicaciones X X X X X X X

Mesa de ayuda y
X X X X X X X
Gerente de Soporte
Usuario final X X X X X X
Ingres() de dates X X X X X X
Operador de
X X X X X X X
computadoras
Administrador de
Ia base de dates X X X X X X X

Administrador de
X X X X X X X
redes de funciones diversas y criticas de tal forma que
ser responsible
pudieran ocurrir errores
Administrador deo apropiaciones indebidas y no ser
detectadas oportunamente,
sistemas enXel curso normal de
X los procesos
X de X X X
negocio. La segregacion
Administrador de de funciones es un importante medio por
el cual la
seSeguridad X fraudulentos
pueden prevenir y disuadir actos X y/o X X
_
maliciosos.
Programador
Las funciones de ser segregadas incluyen:
quo deben X X X X X X X
sistemas
· Custodia de los activos.
· Aseguramiento de Ia
AutorizaciOn. X X X
· calidad de transacciones.
Registro
X—La combinaciOn de estas funciones puede crear una posible debtlidad de control.
Si no existiera una segregaciOn de funciones adecuada, podria
ocurrir lo siguiente: por las acciones de
· Apropiacion indebida de activos. cualquier persona
· Estados ftnancieros falsos. queda por lo tanto
· DocumentaciOn financiera inexacta (por ejemplo, reducida. Los
errores o irregularidades). departamentos de S1
· Uso indcbido de rondos o Ia modificacion de datos podria y do usuarios
pasar inadvertida. finales deben
· Es posible quc no se detecten cambios o organizarse para
modificaciones de datos y programas no autorizados y lograr una
erroneos.

Cuando las funciones estan segregadas, se pueden restringir los

accesos a la computadora, la biblioteca de datos de producciOn, los
programas de produccien, la documentaciOn de programacion, el
adecuada segregacion de funciones. Vease la figura 2.13, para obtener una directriz
de las responsabilidades de trabajo que no deberian ser combinadas.
Nota: La matriz de control de segregacion de tunciones (figura 2.13) no es un
estandar de la industria, sino una directriz quo indica cuales posiciones de
deben separar y cuales requieren controles de compensacion cuando se
combinan. La matriz describe posibles problemas de Ia segregacion de
funciones y no se debe ver o usar comp una verdad absoluta; por el
contrario, se debe usar para ayudar a identificar posibles conflictos de
manera que se puedan plantear las preguntas apropiadas para identificar
controles de cornpensacian.

En Ia practica real, las funciones y designaciones pueden variar en diferentes empresas.

Ademas, dependiendo de la naturaleza de los procesos de negocio y de la tecnologia
desplegada, los riesgos pueden variar. Sin embargo, es importante que un auditor de SI
entienda las funciones de cads una de las designaciones especificadas en el manual.
Los auditores de SI necesitan entender el riesgo de combinar funciones indicadas en
la matriz de control de segregacion de funciones. Ademas, dependiendo de la
complejidad de las aplicaciones y de los sistemas desplegados, se puede requerir una
herramienta automatizada para evaluar el
116 Manual de Preparackin al Examen CISA 2015
ISACA. Todos los derechos reseruados.
lion
Seccion Dos: Contenido
C „
„„., . G....ctred Information
LA i.& Systems koclitor .
acccso real que tiene un usuario contra la
matriz de Ia segregacion de funciones.
La mayoria de las herramientas vienen
con una matriz de segregaciOn de
funciones predefinidas que deben ser
1 adaptadas a los procesos de Ti y de
negocio de una organizacion, incluyendo
cualquier funcion adicional o riesgos que
no ester) incluidos en la matriz de
segregaciOn de funciones entregada.
Los controles compensatorios son
controles internos que pretenden reducir
el riesgo de una debilidad existente o
potencial de control cuando las
funciones no pueden ser segregadas de
una nianera apropiada. La estructura de
la organizacion y las funciones deben
ser tomadas en cuenta para determinar
los controles apropiados para el
ambierite relevante. Por ejemplo, una
organizaciOn puede no tener todas las
posiciones descritas en Ia matriz o una
persona puede ser responsable de
muchas de las funciones descritas. El
tamaiio del departamento de SI/TI
puede tambien ser un factor importante
que se debe considerar, es decie ciertas
combinaciones de funciones en un
departamento de Ti de un cierto tainalio
nunca se deberian usar. Sin embargo, si
por alguna razor] se requieren funciones
combinadas, entonces se deben
Capituto 2—Gobierno y Gesticin de 71
desarrollar e implementar controles de
compensacion.
2.10.3 CONTROLES DE
SEGREGACIoN DE FUNCIONES
Se pueden emplear varios mecanismos de
control para fortalecer Ia segregacion do
funciones. Los controles estan descritos en
las siguientes seccion es.
Autorlzaclon de transacciones
La autorizacion de transacciones es
responsabilidad del departamento de
usuarios. La autorizacion es delegada en
la medida en que se relacione con el
nivel particular de responsabilidad de Ia
persona autorizada en el departamento.
Se deben real iur verificaciones
periOdicas tanto por parte de la gerencia
como por parte de auditoria para detectar
el ingreso de transacciones no
autorizadas.
Custodia de activos
Se debe detenninar y asignar debidamente
la custodia de los activos corporativos. El
propietario de los datos usualmente se
asigna a un departamento de usuarios
particular, y sus finiciones se deben
especificar por escrito. El duerio de los
datos tiene la responsabilidad de
determiner niveles de autorizacion
requeridos para proporcionar seguridad
adecuada, mientras que el grupo de
administracion suele ser responsable de
implementar y reforzar el sistema de
seguridad.
Accent a los datos
Los controles sobre el acceso a los dates
son provistos
mediante una combination de seguridad
fisica, de sistemas
y de aplicaciones tanto en el area de los
usuarios como en
Ia IPF. El ambiente fisico debe ser
seguro para impedir el
acceso de personas no autorizadas a los
diversos dispositivos
tangibles conectados a la unidad central
de procesamiento y
que pemiiten asi, el acceso a los datos.
La seguridad del sistema
y de la aplicacion son capas adicionales
de seguridad que
pueden impedir que personas no
autorizadas logren accedcr
a los datos corporativos. El acceso a los
datos proveniente de
conexiones extemas es una
preocupacion creciente desde Ia
aparicion de Internet. Por to tanto, la
gestion de TI ha agregado
responsabilidades para proteger los
activos de inforrnacian de acceso no
autorizado.
Las decisiones de control de acceso estan
basadas en la politica organizacional y en
dos est5ndares de practica generalmente
aceptados—segregacian (separacion) de
funciones y el menor privilegio. Los
controles para el use efectivo no deben
alterar el tlujo usual de trabajo mas de lo
necesario o colocar demasiada carga
sobre los adm in i stradores, auditores o
usuarios autorizados. El acceso adicional
no debe ser incondicional y los controles
de acceso deben proteger adecuadamente
todos los recursos de la organizacion.
Las politicas establecen niveles de
sensibilidad tales cotno secreto maxima,
secrete, confidencial y no clasificado,
para los datos y otros recursos. Estos
niveles deben usarse para orientacion
sobre los procedimientos apropiados
para manejar los recursos de
informacion. Ellos tambien se pueden
usar como base para las decisiones sobre
control de acceso. A las personas se les
otorga acceso solo a los recursos que
estan en un nivel especifico de
sensibilidad o por debajo de este. Las
etiquetas se usan para indicar el nivel de
sensibilidad de los documentos
alniacenados electranicamente. Los
controles basados en politicas pueden
caracterizarse bien como obligatorios o
como discrecionales.
Pam obtener ins detal les, consulte Ia
secciOn Controles de acceso
obligatorios y discrecionales, en el
tema Importancia de los activos de
informacion del capitulo 5.
FORMULARIOS DE
AUTORIZACION
Los propietarios del sistema deben
proveer a SI lonnularios de autorizacion
formales (ya sean en copia fisica o
electronica) que definan los derechos de
acceso de cada persona. En otras
palabras, los gcrentes deben definir
quien tendril' acceso a que. Los
formularios de autorizacion deben ser
debidamente evidenciados con la
aprobaciOn a nivel de gerencia. En
general, todos los usuarios deben ser
autorizados a un acceso al sistema
especifico, por via de solicitud formal
de la gerencia. En las comparlias
grandes o en las que tienen sucursales
distantes, se deben mantener registros
de fin-nas autorizadas y las solicitudes
fonnales recibidas por escrito deben ser
comparadas contra cl registro de lamas.
Los privilegios de acceso deben ser
revisados periodicamente pars asegurar
Manual de Preparation al Examen CISA 2015
117
ISACA. Todos los derechos reservados_
Capitulo 2—Gobierno y Gestion
de Ti
Controies compensatorios por
fatta de segregacion de
funclones
En negocios pequerms donde
el departatnento de SI puede
estar constituido por solo
cuatro o cinco personas. debe
apropiados para las funciones del puesto
TABLAS DE AUTORIZACION DE
USUARIO
El departamento de SI debe usar los
datos provenientes de los formularios
de autorizacion para crear y mantener
tablas de autorizaciones de usuarios.
Estas definirkin quien esti autorizado
pare actualizar, modificar, eliminar o
consultar datos. Estos privilegios son
asignados a nivel de sistema, de
transaccian o de campo. En efecto,
estas son listas de control de acceso de
usuario. Estas tablas de autorizacion
deben ser protegidas contra el acceso
no autorizado mediante contraseilas
(passwords) adicionales de proteccion
o mediante cifrado de datos, En on
registro de control debe registrarse Ia
actividad de todos los usuarios y la
gerencia correspondiente debe revisar
este registro. Todos los casos de
exception deben ser investigados.
existir tnedidas de control
eompensatorio para rnitigar
el riesgo resultante de una
falta de segregacion de
funciones. Antes de basarse
en reportes generados par el
sistema o en funciones coma
controles compensatorios, ci
auditor de SI debe evaluar
cuidadosamente los reportes,
las aplicaciones y los procesos
relacionados con SI en busca
de controles apropiados,
incluyendo pruebas y
controles de acceso para
pacer carnbios a los reportes
o a las funciones. Los
controles compensatorios
· Pistas de auditoria—Las
pistas de auditoria son un
componente esencial de los
sistemas bien disehados,
ayudan tanto al
departamento de SI coma al
auditor de Si brindando un
mapa para trazar por
segunda vez el flujo de una
transaction. Elias penniten a
los departamentos de SI y de
usuarios asi coma tambion al
auditor de SI recrear el flujo
real de transacciones a
partir del punto en que se
originan hasta su ubicacion
en un archive actualizado.
Ante la ausencia de una
adecuada segregaciOn de
funciones, las pistas de
auditoria pueden ser un
control compensatorio
aceptable. Con las pistas de
auditoria el auditor de S1
debe ser capaz de
determinar quien inicio la
transaction, la horn y la
fecha de ingreso, el tipo de
ingreso, clue campus de
infonnacion contenia y qud
archivos actualize.
· Conciliation—La
conciliaciOn es
responsabilidad, en
ciltima instancia, del
departamento de usuarios.
En algtmas organizaciones,
el grupo de control de
datos puede realizar una
conciliaciOn limitada de las
aplicaciones mcdiante el
use de totales de control y
hojas de balance. Este tipo
de verification
independiente, incrementa
el nivel de confianza de que
la aplicacion ejeeuto
exitosaniente y de que los
dates estan correctamente
balanceados.
· Reportes de exception—Los
reportes de excepcion
debett ser nianejados a
nivel de supervision para
lo cual se requiere
evidencia, coma par
ejemplo las iniciales en el
reporle, hacienda notar
clue la exception ha sido
debidamente tratada.
Tambien, la gerencia debe
asegurarse que las
excepciones se hayan
atendido oportunamente.
· Registrus de transacciones
—Un rcgistro de
transacciones puede ser
manual o automatizado. Un
ejernplo de un registro
manual un registry de
transacciones (agrupadas o
en late) antes Tie las
mismas scan entregadas
para su procesamiento. Un
registro de transacciones
automatizado provee un
registro de todas las
transacciones
procesadas y
es mantenido
por el sistema
de
cotnputacion.
· Revisiones de
supervision—Las
revisiones de supervision
pueden ser efectuadas a
traves de observacion,
investigation o
remotamente.
· Revisiones independientes—
Las revisiones
independientes se ilevan a
cabo para compensar los
errores o Callas
intencionales al seguir los
procedimientos prescritos.
Estas revisiones son
particularniente
importantes cuando las
funciones en una
organizaciOn pequefia no
pueden ser segregadas
debidamente. Dichas
revisiones ayudaran a
detectar errores o
irregularidades.
Section Dos: ContenidoCISA rgedris 'tit?
Jr I'SJ.1 1,51,r111.
2.11 AUDITORIA A LA ESTRUCTURA E •
IMPLEMENTACIoN DEL
GOBIERNO DE TI
•
Aunque son muchos los
aspectos que le preocupan
al auditor de SI cuando
audita el funcionamiento
de Si, algunos de los
indicadores mas
significativos de los
problemas potenciales
incluyen:
· Actinides desfavorables
del usuario final
§ Costos excesivos
· Gasto por encima del
presupuesto
- Proyectos atrasadus
· Alta rotation de personal
· Personal con poca
experiencia
· Errores frecuentes de
FINV/SW
· Exceso de solicitudes
atrasadas de usuarios
· Largo tiempo de
respuesta de computadora
· Nurnerosos proyectos de
desarrollo interrumpidos v
suspendidos
· Conipras de
hardware/software sin
soporte 0 sin autorizacion
· Freeuentes ampliacioncs
 de capacidad de HW/SW
· Informes cle excepcion
largos
· Reportes de excepciones
a los que no se les hizo
seguimiento
· MotivaciOn deficiente
· Ausencia de planes de
reemplazo
· Confianza en uno n dos
miembros clave del personal
· Falta de capacitation
adecuada
2.11.1 REVISION DE
DOCUMENTACION
I,a siguiente documentation
debe ser revisada:
- Las estrategias, planes y
presupuestos de TI—Proveen
evidencia de planificacion
y control de gestion sabre
el ambience de Si y el
alinearniento con la
estrategia del negocio.
· Documentation de politicas de
seguridad—Provee el estandar
a curnplir. Debe establecer
la posiciOn de Ia
organization respecto de
todos y cada into de los
riesgos de seguridad. Debe
identificar quien es
responsable de
salvaguardar los acfivos de
la cornpailia, incluyendo los
programas y los datos,
Debe establecer las
medidas preventives a
tomarse para brindar la
proteeciOn adecuada y las
acciones que se deben
seguir en contra de los
transgresores. Por esta
razon, esta parte del
document° de politica debe
ser tratado coma un
document° confidencial.
- Cuadros
organizativosifuncionales—Proveen
al auditor de S1 una
comprension de la linen de
subordination dentro de un
departamento u
organizacien determinados.
Ellos ilustran una division
de responsabilidades y dan
una indicacian del grado de
segregaciOn de fiinciones
dentro de la organization.
· Deseripciones de los puestos de
trabajo—Definen las
funciones y las
responsabilidades de los
cargos en toda la
organizacion. Estas proveen
a la organization Ia
capacidad de agrupar
puestos de trabajo similares
en distintos niveles •
categoria para garantizar
una compensacion justa a la
A
fuerza de trabajo. Ademas,
las descripciones de los
puestos de trabajo dan
indication del grado de
segregacion de funciones
dentro de la organizacion y
pueden ayudar a identificar
las funciones de posible
conflicts. Las descripciones
de los puestos de trabajo
deben identificar la posicion
a la que se subordina este
 personal. El auditor de SI
debe entonces verificar que
los niveles de relation de
subordination esten basados
11 Et Manual de Preparacidn al Examen CISA 2015
ISACA. Todos los derechos reservados.
Certified Information
CISA systems Auditor Session Dos: Contenido
Af 4LADVG“winne.
· Reportes del comae directivo
—Proveen informacion
documentada en relacion con los
nuevos proyectos de sistemas.
Estos reportes son revisados por la
alta direcciOn y son divulgados
entre las diferentes unidades del
negocio.
· Procedimientos de desarrollo
de sistemas y de cambio de
programas—Estos procedimientos
proveen tin marco dentro del cual
emprender el desarrollo de sistemas o
el cambio de programas.
· Procedimientos de operaciones
—Estos procedimientos describen
las responsabilidades del personal de
operaciones. Los procedimientos de
medicion de desempetio
generalmente se encuentran dentro
de los procedimientos operativos y
se reportan periOdicamente a la alta
direcciOn y/o los comites directivos.
Los auditores de SI deben garantizar
que egos procedimientos formen
parte de los procedimientos
operativos.
· Nlanuales de RR.H H.—
Proveen las reglas y las regulaciones
(determinadas por una organizacion)
en conceptos correctos del
negocio y no afecten la
segregacion de lunciones.
Capitulo
sobre coma se espera quc sus
empleados se conduzcan. Los
manuales de Recursos Hwnanos
iambi& incluiran las normas
relacionadas con las licencias
anuales, que ayudan a proteger a la
organizacion del riesgo de
actividades inapropiadas o
fraudulentas y la dependencia
excesiva en personal slave.
· Procedimientos de QA—Estos
procedimientos proporcionan el
marco y los estandares que debe
seguir el departamento de SI.
Adernas se deben valorar los
diferentes documentos revisados
para determinar si:
Fucron creados como lo autoriz6 Ia
gerencia y como esta queria que
fueran creados.
· vigentes y actualizados.
2.11.2 REVISION DE
COMPROMISOS
CONTRACTUALES
flay diferentes etapas para los
contratos de hardware, software y
servicio de SI que incluyen:
· Desarroilo de los requcrimientos
de contrataciOn
*Proceso de licitacion de contratos
*Proceso de selecciOn de contratos
AceptaciOn de contratos
*Mantenimiento de contratos
*Cumplimiento de contratos
Cada una de estas etapas debe estar
respaldada por doctunentos legales,
sujeto a Ia autorizacion de Ia gerencia.
El auditor de SI debe verificar Ia
participacion de la gerencia en el
proceso de contratacion y debe
asegurar tin nivel adecuado de
revision oportima del cumplirniento
del contrato. El auditor de SI podra
efectuar una revision por separado del
cumplimiento en una muestra de
dichos contratos.
Al revisar una muestra de contratos, el
auditor de SI debe evaluar
la adecuaciOn de los siguientes
tertninos y condiciones:
*Niveles de servicio.
Derecho a auditar o reporte de
auditoria de tercero.
§ ?oiler el software en custodia de
un tercero.
· Penalizaciones par
incumplimiento.
Aeatamiento de las politicas y
procedimientos de seguridad.
* Proteccion de informaciOn de clientes.
*Derecho a Ia propiedad intelectual
(PI)
Proceso de cambio de contrato.
*TerminaciOn de contrato y cualquier
penalizacion apropiada.
Nota: Un auditor de SI debe
estar familiarizado con el
proceso de solicitud de
propuesta (RFP) y conocer
quO es lo que necesita ser
revisado en una RFP. ilunbien
es importante whaler que un
CISA debe saber, desde la
perspectiva de gobiemo, los
criterios de evaluaciem y la
metodologia de una REP, y los
requerimientos para cumplir
con los estandares
organizacionales.
2.12 PLANIFICACION DE
CONTINUIDAD DEL
NEGOCIO
El proposito de la continuidad del
negocio/reetiperacion en caso de
desastre es penuitir que una empresa
continue ofreciendo servicios criticos en
caso de que ocurra una interrupcion y
que sobreviva a una internipcion
desastrosa de las actividades. Es
necesario contar con una planificacion y
un compromiso rigurosos de los recursos
para prever tales eventos de forma
adecuada.
El primer paso en Ia preparacion de un
nuevo BCP, o en Ia actualizacion de uno
existente, es identiticar los procesos de
negocio de importancia estrategica,
aquellos procesos chive que son
responsables del crecimiento
permanente del negocio y de la
consecticion de las metal del negocio.
Lo ideal es que el BCP/DRP sea
respaldado por una politica ejecutiva
formal que establezca el objetivo
general de la organizacion en lo que
respects a Ia recuperaciOn y asigne
atribuciones a las personas que
participan en el desarrollo, las pruebas y
el mantenimiento de los planes.
Basado en los procesos slave, el
proceso de gestiOn de riesgos deberia
comenzar con una evaluacion de
riesgos. El riesgo es directamente
proporcional al impacto sobre la
organizacion y Ia probabilidad de que
ocurra la amenaza percibida. Por lo
tanto, Ia evaltiacian de riesgos deberia
permitir idcntificar lo siguiente:
· Los recursos humanos, los
datos, los elemcntos de Ia
infraestructura y otros recursos
(incluyendo los proporcionados por
terceros) que respaldan los procesos
clove
· Una lista de las posibles
vulnerabilidades, es decir, los
peligros o amenazas para Ia
organizacion
· La probabilidad estirnada de que
ocurran estas amenazas
Manual de Preparacion a! Examen CISA 2015
119
ISACA. Todos los clerechos reservados.
Capituto 2—Gobierno y Gesticin de TI
Adenis del plan para la continuidad
· La eficiencia y eficacia de los
controles existentes de mitigacion de
riesgos (contramedidas para afrontar
riesgos)
El BCP es tasicamente responsabilidad
de la alta gerencia, debido a que a esta se
le confi6 la proteecion de los activos y la
viabilidad de Ia organizacion, tal coma
se definio en la politica de BCP/ DRP.
En general, las unidades de negocio y
soporte siguen el BCP para ofrecer un
nivel de fiincionalidad redueido pero
suficiente en las operaciones de negocio
inmediatamente despues de enfrentar
una interrupcion, mientras ocurre Ia
recuperation. El plan deberia tratar todas
las funciones y los activos requeridos
para continuar como una organizaciOn
viable. Esto incluye procedimientos de
continuidad considerados como
necesarios para sobrevivir y minimizar
las consecuencias de la interrupcion del
negocio.
El BCP toma en consideracion:
· Las operaciones
eriticas que son
neccsarias para la
supervivencia de la
organizacion
· Los recursos humanosimateriales
quc los soportan
Seccion Dos
,
S,C+V
de las operaciones, el BCP incluye:
 · El DRP que se utiliza para
recuperar una instalacion que se
Maya vuelto inoperable, incluyendo
la reubicacien de las operaciones en
una nueva ubicacian
· El plan de restauracion
que se utiliza para normalizar
las operaciones en una
instalacion restaurada o nueva
Dependiendo de Ia complejidad de la
organizacion, podria haber uno o Inas
planes para tratar los diferentes
aspectos de la continuidad del negocio
y Ia recuperaciOn ante desastres. Estos
planes no necesariamente tienen que
integrarse en un 011ie° plan. Sin
embargo, cada uno tiene que ser
consistente con otros planes para
contar con um estrategia de BCP
viable.
Es muy recornendable tener un
plan integrado imico para
asegurar que:
- I Iaya una coordinacion
apropiada entre diversos
cotnponentes del plan.
· Los recursos comprometidos se
utilicen de Ia mancra Inas eticaz
y exista la confianza de que, a traves
de su aplicacion,
Ia organizacion sobrevivira a una
interrupciOn.
Aun cuando procesos similares de la
misma organizacion se manejen en una
ubicacion geografica diferente, las
soluciones de BCP y DRP pudieran ser
diferentes para esccnarios diferentes. Las
soluciones pudieran ser diferentes
debido a requerimientos contractuales
(por ejemplo, Ia misma organizacion
esta procesando una transaction en linea
para un cliente y Ia back office esta
procesando una transaccion para otro
cliente). Una solution de BCP pant el
servicio en linea sera sig-nificativamente
diferente a la solucion para el
procesamicnto de Ia back office.
2.12.1 PLANIFICACKIN DE
CONTINUIDAD DEL
NEGOCIO DE SI
En el caso de los planes de
continuidad del negocio de SI, el en
foque es el mismo clue en el BCP
con Ia excepciOn de que esta
amenazado el procesamiento de SI.
El procesamiento de SI es de
importancia estrattigica—es un
componente critico porque la
mayoria de los procesos slave de
negocios dependen de la
disponibilidad de los componentes y
los datos de la infraestructura de
sistemas slave.
El plan de continuidad del negocio de Si
debe estar alineado con la estrategia de la
organizacion. La criticidad de los
diferentes sistemas de aplicaciones de Ia
organization depende de Ia naturaleza del
negocio, asi como del valor de cada
aplicacien para el negocio.
El valor de cada aplicacian para el
negocio es directamente . proporcional al
ml que desemperia el sistema de
infonnacion en el apoyo a la estrategia de
Ia organizacion. Los componentes del
sistema de informacion (entre ellos los
componentes de la infraestructura de
tecnologia) se asocian posteriormente con
las aplicaciones (por ejemplo, el valor de
una computadora o una red depende de la
importancia del sistema de aplicaciones
quo la utiliza).
Par lo tanto, el BCP/DRP del sistema
de informaciOn es un componente
principal de la estrategia general de
continuidad del negocio y
recuperacion en caso de desastre de
una organizacion. Si el plan de SI es
un plan separado, debe ser consistente
con y apoyar el BCP corporativo.
A lo Largo de todo el proceso de
planificaciOn de la continuidad del
negocio de SI (a veces mencionada coma
continuidad de los servicios de TI), se
debe toner en consideracion el plan
general de continuidad del negocio de la
organiz.acion: de nuevo, este debe contar
con el respaldo de la politica ejecutiva.
Todos los planes de SI deben ser
consistentes con y apoyar el BCP
corporativo. Esto significa quo las
instalaciones altemas de procesainiento
que apoyan las operaciones slave deben
estar preparadas, ser compatibles con la
instalaciOn original de procesamiento y
contar con planes actualizados en lo que
respecta a su uso.
Nuevamente, se deben tomar todas
las medidas posibles para reducir o
eliminar la probabilidad de una
interrupcian utilizando el metodo
descrito en otras secciones de este
Manual. Los ejemplos incluyen:
· Minimizar las amenazas al
centro de datos considerando Ia
ubicacian:
· No establecerlo en una llanura
inundable
· No establecerlo en, o cerca de,
una falls sismica
· No establecerlo cerca de un area
donde se utilicen regulannente
dispositivos explosivos o materiales
taxicos
· Utilizar topograflas de red
resilientes, como las de Buck o
Malta, con instalaciones
altemativas de procesamicnto ya
integradas a Ia infraestructura
de red.
Desarrollar y probar el BCP/DRP del
sistema de infonnacion es un
componente principal de la estrategia
general de continuidad del negocio y
recuperaciOn en caso de desastre de una
organizaciOn. El plan se basa en el uso
coordinado de las contramedidas para
afrontar riesgos que estan disponibles
pant la organization (es decir, instalacion
alterna de procesamiento, redes de
datos redundantes, equipos resilientes,
sistemas de respaldo y recuperation,
replicacion de (labels, etc.). Si el plan
de SI es un plan separado (a varios
planes separados), debe ser
consistente con y apoyar el BCP
corporativo.
Establecer dependencias entre los
procesos criticos de negocio, las
aplicaciones, el sistema de infonnacion y
los componentes de Ia infraestructura de
TI es uno de los pasos de la evaluacidn
de riesgos. El mapa de dependencias
resultante con las arnenimis para y las
vulnerabilidades de los
componentes/dependencias (junto con
120 Manual de Preparacion al Examen C1SA 2015
las aplicaciones slave agrupadas por su
criticidad) es el resuitado de la
evaluacion de riesgos.
Una vez que la evaluaciOn de riesgos
identifica la importancia de los
componentes de SI para Ia
organizacion, y las amenazas y las
vulnerabilidades de esos componentes,
se puede desarrollar un plan de
acciones corrcctivas para establecer
los metodos Inas apropiados para
proteger los componentes. Siempre
hay diferentes opciones de mitigacion
de riesgos para escoger
(contramedidas para afrontar riesgos),
bien sea para eliminar la amenaza yio
corregir la vulnerabilidad.
El riesgo se puede estimar bien sea
de forma cualitativa (asignando
valores cualitativos al impacto de Ia
amenaza y su probabilidad) o
cuantitativa (asignando valor
monetario al impacta—es decir, Ia
perdida—y asignando una
probabilidad).
ISACA. Todos los derechos reservados.
 mow V IlUfmation
Seccirin Dos: Contenido
C apitulo 2—Gobierno y Gestiem de Ti
C
Audi
A Systems Aditor*
M .].CIF forti,VIA

A medida que se ejecuta la estrategia de

Note: El candidate a CISA no sera continuidad del negocio de SI y su
evaluado con respecto at calculo estrategia global de Ti. la estnictura de
Id Tide Ia organizacion cambia. Se
real del analisis de riesgo; sin
los introducen nuevas contramedidas para
embargo, el auditor de SI debe
Al afrontar riesgos y las anteriores se
ester familiarized° con el calculo
de vuelven obsoletas. El BCP del sistema de
del analisis de riesgo.
;be informacien se debe cambiar segan
de corresponda y se debe volver a probar
Si la organizaciOn esta dispuesta a
,sto periadicamente pare asegurar que estos
investigar Ia magnitud de las perdidas
apoyan cambios seen satisfactorios.
que sufrira el negocio por la
internipcien, la organizacion puede
Igual que cualquier BCP, un BCP del
Hever a acabo un BIA (explicado en
sistema de infonnaciOn es macho Inas
otra section de este manual). El BIA
era que un plan para los sistemas de
pennite a la organizacion detenninar
zando informaciOn. Un BCP identifica lo que
el maxima tiempo posible de
hard el negocio en caso de que suceda un
inactividad pare una aplicacien en
desastre. Par ejemplo, a donde se
particular y cuantos datos se
reportaran los empleados para trabajar,
la podrian perder. El BIA tambien
came se tornaran los palidos mientras se
pert-114e a la organizacion
restablece el sigma informatico, a cuales
cuantificar las *ides a medida
proveedores se liamara para que
que aumentan despues de la
surninistren las provisioner necesarias. Un
rmente interruption, con lo cual la
subcomponente del BCP es el plan de
-1 organizacion puede tornar una
recuperacion de TI en case de desastre.
0 decision sobre la tecnologia (y
Nonnalmente detalla el proceso que
las instalaciones) utilizada pare
utilizara el personal de Ti para restablecer
la proteccion y recuperacion de
los sistemas informaticos, las
sus actives de informacian
comunicaciones, las aplicaciones y SUS
chive (sistema de informaciOn,
n es un datos. Los planes de recuperaciOn en
componentes de Ti, datos, etc.).
1del caso de desastre (DRP) Sc pueden incluir
;ion. en el BCP o come un document°
Los resultados de la evaluation de
Ira separado, dependiendo de las necesidades
riesgos y el BIA se incorporan a la
del negocio.
estrategia de continuidad del
negocio de SI, la cual describe la
No todos los sistemas requeriran una
tecnologia principal y los
n plan estrategia de recuperacion. Basandose en
principios que sirven de base a la
In y los resultados de la evaluaciOn de riesgos
proteccian y recuperacion de SI,
y el INA, la gerencia podria considerar
asi como Ia directriz para
que no es conveniente desde el panto de
D, las implementer Ia tecnologia y los
vista economic° restaurar ciertas
la principios.
aplicaciones en caso de desastre. Un
lesgos.
as
las
;ia
de la
zas y
liar
 factor primordial cuando se determinan
las opeiones de recuperacion es que el
costo nunca debe exceder el beneficio
(esto suele detenninarse claramente
despues de un BIA).
La recuperacion de SI en caso de
desastre suele ocurrir ert circunstancias
pace comunes y estresantes (incendio,
inundation, devastation par Itracan).
Con frecuencia sucede que los
controles de seguridad (tanto fisicos
como de SI) no funcionan. Porto tanto,
se recomienda que la organizacion
implcmente un sistema de gestion de la
seguridad de la information (ISMS) para
mantener la integridad, confidencialidad
y disponibilidad del SI, y no solamente
baja condiciones normales.
r d).
la
2.12.2 DESASTRES Y OTROS
EVENTOS QUE PUEDEN
CAUSAR INTERRUPCIONES
Los desastres son interrupciones que
causan que recursos de infomiaciOn
criticos queden inoperantes durante
urn periodo, afectando de manera
adverse las operaciones
organizacionales. La interrupciOn
podria durar de algunos rninutos a
varios meses, dependiendo del grade
del ciao caused° at recurso de
informacien. Es importante conocer
que, ante situaciones de desastre, es
necesario desplegar esfuerzos de
recuperacion para restaurar el estado
operacinnal.
Un desastre pudiera ser el resultado de
desastres naturales, como terremotos,
inundaciones, tornados, tormentas
elOctricas severas c incendios, que
causan defies extensos a la instalacion de
procesamiento y a Ia localidad en
general. Otros eventos desastrosos que
causan interrupciones pueden ocurrir
cuando los servicios esperados, coma
energia electrica, telecomunicaciones,
suministro de gas natural u otra servicio
pdblico, ya no ester) disponibles para la
compahia debido a un desastre natural u
otra cause. Un desastre podria ser
tambien el resulted() de eventos
causados por seres huntanos, tales coma
ataques terroristas, ataques de intrusos
informaticos, virus o error humane.
No lodes las interrupciones criticas del
servicio o desastres se deben a causes
naturales. Per ejemplo, la interrupciOn
del servicio algunas veces es causada
per desperfectos del sistema,
eliminaciones de archivos par
accidente, versiones de aplicaciones que
no han sido probadas, perdida de los
datos dc respaldo, ataques de negation
de servicio (DoS) de red, intrusiones y
virus. Estos eventos pueden requerir
acciones para recuperar el estado
operacional a fin de reanudar el
servicio. Las acciones pueden necesitar
del restablecimiento del hardware,
sonware o archivos de dates.
Mochas interrupciones cornienzan con
simples incidences. Nonnalmente, si la
organizacion posee un centre dc soporte
(help desk) o un centro de servicio, este
actuary come el sistema de advertencia
temprana pare reconocer las primeras
striates de una interruption intninente. A
menudo, tales interrupciones (par
ejemplo, un rendimiento de la base de
datos que desmejora graduahnente)
pasan desapercibidas. Haste que estallan
estos "desastres progresivos" (la base de
dates se detiene), solo causan quejas
015 Manual de Preparation al Examen CM 2015
ados. ISACA. Todos los derechos resorvados.
esporadicas de parte de los usuarios.
Basandose en la evaluation de riesgos, se
fommlan escenarios del peer caso y
estrategias de contingencia a largo y corto
plazo dentro de la estrategia de
continuidad del negocio de SI para luego
incorporarlos en ci BCP (u afro plan). A
corto plazo, se puede requerir tine
instalacion de procesamiento alterna para
satisfacer necesidades operatives
inmediatas (coma en el caso de un
desastre natural). A largo plaza, se debe
identificar una nueva instalacion
permanente para recuperacion en caso de
desastre, y este se debe equipar para
proporcionar continuidad de los servicios
de procesarniento de SI regularmente.
Planificacion para pandemias
Las pandemias pueden ser defmidas
come las epidentias o brotes de
enfernnedades infecciosas en los seres
humanos, y que tienen la capacidad de
propagarse rapidamente en grandes
 Capitulo 2—Gobierno y Gestion de Ti
areas, posiblemente en todo el mundo. A
lo [argo de Ia historia han ocurrido
varias pandemias, y recientemente las
amenazas de pandemias como los brotes
de gripe aviar o porcina han
concientizado atin Inas a la gente sobre
este terra. Hay claras diferencias entre
planificacion para una pandemia y
planificaciOn de continuidad del
negocio tradicional, y por lo tanto, el
auditor de SI debe evaluar la
preparaciOn de la organizacion para
brotes
de pandemia. planificacian para
una pandemia presenta desafios anicos;
a diferencia de los desastres naturales,
los desastres tecnicos, los actos
maliciosos o los actos terroristas, el
impacto de una pandemia es mucho
mOs dificil de determiner debido a Ia
diferencia prevista en magnitud y
duraci6n.
Enfrentar dalios a imagen,
reputacitin o marca Los
rumores perjudiciales pueden
surgir de muchas fuentes (incluso
internas). Pueden estar o no
relacionados con un incidente
scrip o crisis.
Independientemente de que scan
"esponthneos" o un efecto
colateral de un problema de
continuidad del negocio o
recuperation ante desastres, sus
SecciOn
Dos: Contenido
consecuencias pueden ser
devastadoras. Una de las peores
consecuencias de las crisis es Ia
perdida de confianza.
Las actividades efectivas de relaciones
ptiblicas (RP) en una organizaciOn
pueden desempeliar un papel
importante en la (area de contener el
daiio a la imagen y asegurar que la
crisis no empeore. Ciertas industrias
(por ejemplo, bancos, organizaciones de
servicios de salud, acrolineas, refinerias
petroleras, productos quimicos,
transports, plantas de energia nuclear u
otras organizaciones con impacto social
relevante) deberian contar con
protocolos elaborados para tratar
accidentes y catastrofes.
Una organizackin que experimente un
incidente importante deberia considerar y
aplicar algunas mejores practicas basins.
Independientemente de las consecuencias
objetivas resultantes de un incidente
(dernora o intermpciOn de servicio,
perdidas economicas, etc.), de existir
alguna, una opinion p6blica negativa o
rumores negativos pueden ser costosos.
Reaccionar apropiadamente en pnblico (o
ante los medios) durante una crisis no es
simple. Es necesario desigiar y preparar
con antelacion a un portavoz entrenado
para estos casos. En general, un asesor
legal senior o tin funcionario de
relaciones pablicas es la mejor opci6n.
Nadie, independientemente de su rango
en la jerarquia organizational, excepto el
portavoz, deberia emitir declaraciones
publicas.
Como parte de Ia preparaciem, el
portavoz deberia redactar y guardar en
archive un comunicado general con
espacios en blanco que se Ilenaran con
datos especificos de cada circunstancia.
Este procedimiento no deberia eludirse
debido_a la improvisation o presiOn
del tiempo. El comunicado no deberia
establecer las causas del incidente, sino
indicar que se inici6 una investigation y
que se reportathn los resultados. No se
deberian asumir responsabilidades. No
se deberia responsabilizar al sistema o
al proceso.
Eventos no
antkipados/imprevistos
La direcciOn debe considerar los
posibles impactos de los eventos
imprevistos (cisne negro) en el negocio
de la organizacion. Los eventos de cisne
negro son aquellos eventos que son una
sorpresa (para el observador), tienen un
efecto importante y, despu6s del
hecho, son a inenudo racionalizados
de manera inadecuada coed
beneficio en retrospective.
Un ejemplo reciente de un evento de
cisne negro es el desastre nuclear de
Fukushima ocurrido en JapOn en
marzo de 2011, Un terremoto provoc6
un tsunami que desactivo la energia de
respaldo para los generadores que eran
esenciales para inyectar agua para el
enfriamiento de los reactores
nucleares, que finalmente Ilev6 al
desastre nuclear. Antes de este evento,
un plan de contingencias no habria
considerado o contemplado dicha
interconexion de eventos de ninguna
manera. Si bien estos eventos son
escasos y estan muy dispersos, una
vez que ocurren, tienen tal impacto
agobiante en la organizacion que,
basado cn Ia criticidad del proceso o
industria o actividad, la direcciOn
debe comenzar a pensar en la
planificaciOn de contingencia para
terser en cuenta dichos eventos. Los
directores ejecutivos que han
compartido responsabilidades y que se
les ha prohibido viajar juntos es otro
ejemplo donde la direction es
proactiva, asegurando que, si un la prof
desastre en comint ocurre, Ia mitig
organizacion no quedarki acefala. El BC
de quc
Nota: Aunque tratar los daf[os a gesti61
la imagen, reputation o marca
es una preocupaciOn de Los in
muchas organizaciones mitiga
pnblicas, el candidato a CISA descrii
no sera sometido a prueba Esto rt
sobre este tem servici
on 2.12.3 PROCESO DE
PLANIFICACION DE
El proceso de BCP puede dividirse
en las fases de ciclo de vida que se
muestran en la figura 2.14.
2.12.4 POLITICA DE
CONTINUIDAD DEL NEGOCIO
Una politica de continuidad del
negocio es un documento aprobado
por la aka gerencia que define la
magnitud y el alcance del esfuerzo
de continuidad del negocio (un
proyecto o un programa continuo)
dentro de la organizacion. La politica
de continuidad del negocio se puede
dividir en dos partes: pnblica e
interim La politica de continuidad
del negocio sirve para otros diversos
propositos:
· Su parte interna cs un mensaje
para las partes interesadas de Ia
organizacion (por ejemplo,
empleados, gerencia, directores) de
que Ia cornpaiiia realiza esfiterzos,
compromete sus recursos y espera
que el resto de la organizacion Naga
122
Certified
Information Section
CISA Systems Dos:
Auditor'
Contenid
o
Figura 2.14--Cielo de vida de la planificacidn de la continuidad del negocio
lo mismo.
· Su parte publica es un mensaje
para las partes intcresadas externas
(accionistas, reguladores,
autoridades, etc.) de que la
organizacion se toma en serio sus
obligaciones (por ejemplo,
prestacion de servicios,
- Es una declaration para Ia
organizacion que empodera a
los responsables de la
continuidad del negocio.
· Puede establecer de manera
amplia los principios generales en
los cuales se basa Ia continuidad
del negocio.
Una politica de continuidad del negocio
debe ser proactiva. El mensaje que se
debe transmitir a la organizaciOn es que
se tienen que usar todos los controles
posibles para detectar y evitar
interrupciones y que, aunque ocurran, se
deben terser los controles necesarios
para mitigar las consecuencias.
Posteriormente, esto se refleja en Ia
estrategia de continuidad del negocio de
SI y en su ejecticiOn. Existen controles
preventives y detectives para reducir
Manual de Prepar
IS
Capitulo 2—
Gobierno y
Gestion de TI
 la probabilidad de una interruption y controles correctivos capacitado en gestiem de crisis,
para mitigar las consecuencias. documentado, probado en profi
El BCP (o DRP de TI) es el control correctivo Inas critico. Depende
de que aims controles scan efectivos; en particular, depende de la
gestion de incidentes y de las soluciones de respaldo y recupcmcion. 2.12.5 GESTION DE INCI
PLANIFICACION DE LA C
Los incidentes y sus impactos se pueden, hasta cierto punto,
NEGOCIO
mitigar a travel de controles preventivos. Estas relaciones se
describen en la figura
/- •2.15.
Planificacion del Los incidentes y las crisis son d
proyecto (politica Monitored. Evolucionan, cambian Pruebas
en el tiem
Esto requiere que el gmpo de gestion mantenimiento
de BC, alcancede incidentes (centroy de menudo son rapidos e imprevis
actualizaciOn
del plan
servicio) este adecuadamente dotado de personal, respaldado y
del proyecto) de BCy
debe ser dituimica, proactiva
del plan de BC
_____________2
cualquier evento inesperado, au
significativos. Tatnbien ver la se
Desarrollo
Manual de Preparation al Examen CISA 2015 del plan
123
ISACA. Todos l os de re chos reservados.
Ciclo de vida de la de BC
EvaluaciOn y analisis planificacion de continuidad
de riesgos
CapituIo 2—Gobierno y Gestion de 11 del negocio Section

BC
Plan
Development
Analisis de Estrategia de
impacto del desarrollo de BC
Dependiendo de una estimation del nivel del dill° a Ia
negocio
_2 deem& de estrate
(implementaciOn de
contramedidas para
\...enfrentar riesgos).)

itLti
au
Reducir
Figura la probabilidad
2.15 —Diagrama de rein& entre incidente eControles
impacto
,
Monitored de (contramedidas{ClausufasPlan deoIJC en
especiales
( Gestion
Gestion
de de
Gestion
GestiOn de
de para enfrentar contratos de UPS
Sitio de procesamiento 4b- Controles
Controles aControles
Respaldo
DRgenerador
de IT de y
(centre) )
riesgos riesgos) Mitigar
.
5 , configuration
capacidad
incidentes
de reserva preventivos
detectivo las consecuencias
corrective's
endedoresiproveedores
recuperaciO
infraestructura
organization, es necesario
categorizar todos los tipos de
incidentes. Un sistema de
clasilicacion podria incluir las
siguientes categorias:
insignificante, menor, mayor y
crisis. La clasificacion puede
cambiar de manera dinamica
mientras se resuelve el
incidente. Estos niveles pueden
describirse como sigue:
· Los incidentes
insigniticantes son los que
causan dafios no perceptibles
o significativos, tales como
colapsos muy breves del
sistema operativo (SO) con
recuperacion total de
infonnacion o cartes moments
neos de energia con
suministro permanente de
energia (UPS).
· Los eventos menores son
los que, aunque no scan
insignificantes, no gencran
impactos materiales (de
importancia relativa) o
financieros negati vos.
· Los incidentes mayores
causan un impact()
material negativo sobre los
procesos de negocio y
pueden afectar otros
sistemas, departamentos o
incluso clientes externos.
· La crisis es un incidente
mayor que puede Eerier un
impacto material (de
importancia relativa) serio
sobre el funcionamiento
pennanente del negocio y
pudiera afectar de manera
adversa otros sistemas o a
terceros. La severidad del
impacto depende de la
industria y circunstancias,
pero en general es
directamente proporcional al
tiempo transcurrido desde el
inicio del incidente hasta su
solution.
Es necesario documentar,
clasificar y revisar los
incidentes menores, mayores
y de crisis hasta que se
corrijan o resuelvan. Es un
proceso dinthnico, debido a
que un incidente mayor
puede disminuir en grado
inomentaneamente y
extenderse luego para
convertirse en una crisis.
Los incidentes insignificantes
se pueden analizar en
terminos estadisticos para
identificar cualquier causa
sistemica o evitable.
La figura 2.16 muestra un
ejemplo de tin sistema de
clasificackin de incidentes y
protocolo de reaccian.
El director de seguridad (SO)
u otro individuo designado
debe ser notificado de todos
los incidentes relevantes tan
pronto como
 SE
cualquier evento figura 2.16). A medida que el
desencadenante ocurra. incidente evoluciona, este di
Luego, esta persona debe nivel debe ser reevaluado
seguir un protocol° de I)
regularmente por la persona o
escalamiento pre-establecido ;
el equipo a cargo, al que
(por ejemplo, llamar a un di
comunmente se Trace
portavo4 alertar a Ia alta S
referencia como equipo de
gerencia e involucrar a las di
respuesta a incidentes o
agencias regulatorias), el di
"firecall".
cual puede estar seguido por re
di
la invocation de un plan de 2.12.6 ANALISIS DE IMPACT° in
recuperaciOn, COITIO el DRP
de tecnologia de la
EN EL NEGOCIO si
informacian. El BIA es un paso critico en of
el desarrollo de la estrategia
El servicio se puede definir de continuidad del negocio y
como compromisos la subsiguiente P;
incluyentes con clientes que implementacion de las in
pueden ser consumidores contramcdidas de riesgo y el sc
extemos o departamentos BCP en particular. L
internos. Generalmente, Ia (1
prestaciOn de servicios es El BIA se utiliza para evaluar 1
regulada per acuerdos de los procesos criticos (y (f
nivel de servicio (SLA), los componentes de TI que los di
cuales pueden establecer el respaldan) y para determinar
tiempo improductivo maximo y marcos de tiempo, re
los estimados de prioridades, recursos e CE

recuperacion. Aunque no es interdependencies. Incluso si 0

siempre cierto, la severidad se ha realizado una extensa LI!

suele basarse en gran medida evaluacion de riesgos antes

en el tiempo improductivo
estimado. Otros criterios
pueden incluir el impacto
sobre datos o platafonnas y el
grado en el cual el
funcionarniento de Ia
organization sufre un impact()
adverso. Un enfoque
conservador e infalible seria
asignar a cualquier incidente
significativo un nivel inicial de
sevcridad provisional (ver la
del BIA, y la criticidad y los (r
riesgos se incluyen en el BIA, P1
la regla general es veriticar
dos veces. Comanmente, el
BIA descubre algun
componente memos visible,
pero aun asi vital, que
respalda el proceso de
negocio critico. En los casos
en que se hayan externalizado
actividades de TI a
proveedores de servicio,
tambien
L.
pz
Cr

P1
(r
se
Ion
CCertified irtformalioo Section Dos: Contenido Capitulo 2
CISA Systems Auditor*
_÷.._ M CP G rec s. ow
4 1 1

Figura 2.16—Niveles de incidente/crisis

Fuente: Personas & Tecnicas Multimedia SL 0 2007. Todos los derechos
reservados. Usado con autarizacion.

124

Manual de Preparation a! Examen CISA 2015

ISACA. Todos los derechos reservados.
se deben considerar los compromisos TI y de usuario final. La criticidad de los
contractuales (en el contexto de un recursos de informacion (por ejemplo,
BCP). aplicaciones, datos, cedes, software del
sistema, instalaciones) que respaldan los
Para cumplir esta Ease: con exito, se debe procesos de negocio de una organizaciOn
alcanzar una comprensian de la deben ser aprobados por Ia alta gerencia.
organizaciOn, los procesos slave del
negocio y los recursos de Sl utilizados Para el BIA, es importante incluir todos
por la organizacion para respaldar los los tipos de recursos de informacion y ver
procesos slave del negocio. Por lo mas al la de aquellos tradicionales (por
general, esto se obtiene a partir de los ejemplo, servidores de base de datos).
resultados de Ia evaluacion de riesgos. El Los sistemas de informacion constan de
BIA requiere un alto grade dc multiples componentes. Algunos de los
respaldoipatrocinio de la alta direction y componentes (por ejemplo, servidores de
una amplia panicipacion del personal de base de datos o matrices de

A
cl
t
CRITE RIO PRINCIPAL
t En nasal
—______________________________
tii
-
Nowa Fuera de See VICIO 2 ACCIONES
NIVEL Prilano 5 TIC° ACTUAL Ct

:P1319.
.
Segue- el Plan de Conbnuidad del II egodo 24
.. el Plan de Coritinuldad 12
..t.ietiar al St,I - y @V brilualMente 3 Las A 29.11 CIS s el
Snot 24 del Iteryl ,ao Alerlar al SU y 9Verltuairrento a L Agen [las r 9 onaies
I KC ICV.TE . ! 12
0ENTegmtirroar/ResteurareReertpuuar 9 ,.. Aderlar al St,i la
tt•,',.:P • arR e,AzurateRe
6 eirp Liz .v- A
C arreex.t.impi
)
COfrecW 4 2
Aiertar ai S1.1
Si se corirwma alerlar al SO ' es
INCIC9.‘TE Comely R E A2C C I O N E S A N T E L1O S N I V E L E S D E I N C I D E N T E V C R I S I S
V. ENCP •
Carmel, I C9 1.1 ma gement IA dm nistrador Senor)
SLI Sensor
r
41,C,CENT
INCIGU•T
EtrENC.Irt
9910Khrir.-.7
VAYV
l'JC
IC. . LP-.,
NIVEL "I SO. Seculliy
Pkrdea oacor(oticial
6e idteVded A rtaicar
de la SC Reg eeutarrrente
so-giro-los
Pirdtda AS
deC E R,t FC161-!sticvil
R IbOuf
tulnsacqm
TDATOS ea
ONArus c Tielet.do
S C Ot;•sards,
MPLE PLATA,
M E Noel
toes TA ar
R er
0rernvere
RPI OASS
Iselvtoo
almacenamiento) son bastante visibles.
Otros (por ejemplo, pasarelas
(gateways), servidores de transporte,
dispositivos de red) pueden quedar fuera
de alcance y pernianecer "invisibles".
Por ejemplo, una aplicaciOn de banca
no puede realizar sus servicios si las
pasarelas (gateways) de pago no estan
activas, Con frecuencia, las partes
vitales de la aplicacion o los datos
criticos pueden residir en las estaciones
de trabajo del usuario. Idealmente, al
completarse el BIA, estos componentes
"ocultos" se deben descubrir e incluir en
el campo del programa (proyecto) de
continuidad del negocio para
incorporarlos posterionnente en el BCP.
Nota: El auditor de SI deberia
poder evaluar el BIA. El
enunciado de tarea en la practica
laboral establece: evaluar el BCP
de la organizacion para asegurar
su capacidad de continuar con
operaciones empresariales
esenciales durante el periodo de
una interruption de TI. El
auditor necesita saber en que
consiste el desarrollo de un BIA,
de manera de poder evaluarlo
apropiadamente. Sin embargo, el
candidato a CISA no sera
sometido a prueba sabre como se
man un BIA 0 que metodo se
utiliza para realizar tut BIA.
La informacion que se recolecta para el
BIA proviene de diferentes partes de la
organizacion, la cual posee
aplicaciones/procesos critices. Para
evaluar el impacto de tiempo
improductivo para un procesoiaplicacion
particular, se desarrollan las bandas de
impacto (por ejemplo, alto, medio, bajo)
y, para cada proceso, el impact()
estima en tiempo (horas, dias,
semanas). El mismo enfoque se usa al
estimar el impacto de la perdida de
datos. Si es necesario, el impacto
financier° se puede estimar utilizando
las mismas t&nicas, para asignar el
valor financiero a la banda de impact()
particular.
Ademas, los datos del BIA se pueden
recolectar en las ventanas de tiempo
necesarias para suministrar recursos vitales
—cuanto tiempo puede funcionar Ia
organizacion si se data un suministro o
man& IlegO el reemplazo. Por ejemplo,
i,cuanto tiempo funcionard el banco sin
tarjetas plasticas con chips para
personalizarlos en Las tarjetas de credit° o
cuando necesitara TI que se traigan las
estaciones de trabajo de escritorio despues
de tin desastre? Esisten diferentes enfoques
para realizar tin BIA. Uno de los enfoques
populares es el cuestionario. Este enfoque
involucra el desarrollo de un cuestionario
detallado y su distribuciOn a los usuarios
slave en las areas de TI y usuario final. La
informacion
recopilada se tabula y analiza. En caso
de que se requiera informaciOn
adicional, el equipo de WA contactaria
a los usuarios relevantes para obtener
esa informacion. Otro enfoque popular
es entrevistar a grupos de usuarios
claw. La informacion recopilada
durante estas sesiones de entrevistas se
tabula y analiza para desarrollar un
plan de BIA y estrategia detallados. Un
tercer enfoque es reunir a miembros del
personal de T1 y usuarios finales
relevantes (es decir, los que son duetios
de los procesos criticos) en una
habitacian para Ilegar a una conclusion
sobre el impacto potential de varios
niveles de interrupciones sobre el
negocio. El Ultimo metodo se puede
utilizar despues de recolectar todos los
datos. Un grupo mixto decidira
rapidamente sobre el tiempo
improductivo aceptable y los recursos
vitales.
De ser posible, el cquipo de BCP debe
analizar el volumen de transacciones
del pasado al determinar el impacto
sobre el negocio si el sistema no estuvo
disponible durante un period()
prolongado. Esto sustentaria el proceso
de entrevistas que el equipo de BCP
realiza para ejecutar el BIA.

Manual de Preparation al
Examen CM 2015 125
ISACA. Todos los derechos
reseruados.
Capitulo 2—Gobierno y Gestion de T1
Para tomar esta decision, es
necesario considerar dos factores
de costa independientes, tae comp
se muestra en la figura 2.18. Uno
cs el costa del tiempo fuera de
servicio del desastre.
Este componente, en el corto
plaza (por ejemplo, horas, dins,
semanas), crece rapidamente en el
tiempo, en cuyo case el impact()
de una interrupcion aumenta a
medida que se extiende su
duration. En un momenta
determinado, deja de crecer,
reflejando el memento o punto en
que el negocio ya no puede
funcionar. El costo del tiempo
fuera de servicio (que crece en el
tiempo) tiene muchos
componentes (dependiendo de Ia
industria y Ia compaiiia y
circunstancias especificas), entre
Ostos: costo de recursos inactivos
(per ejemplo, en producciOn),
cada en las ventas (per ejemplo,
ordenes), costos financieros (pot- 3. 4Cual es el periodo de tiempo de recuperac& critico para recursos de
ejemplo, no hay facturacicin ni
recoleccion), demoras (por
ejemplo, adquisicion) y costos
Las tres preguntas principales que
deberian considerarse durante la fase de
BIA se muestran en Ia figura 2.17.
Figura 2.17—Consideraciones del BIA
Secchin D
1. 4Cuales son los diferentes procesos del negocio? Cada proceso debe
ser evaluado para determinar su importancia relativa. Las
indicaciones de criticidad incluyen, per ejemplo:
· El proceso respalda asuntos de salud y seguridad, tales coma
registros de pacientes hospitalizados y sistemas de control de trafico
aereo
· La interrupciOn del proceso causa una *dicta de ingresos a
la organizacion o costos excepcionales inaceptables
· El proceso cumple con requerimientos legates o estatutarios
· El nOrnero de segmentos del negocio o ntimero de usuarios
afectados
Un proceso puede ser critico o no critico dependiendo de factores
tales como tiempo de operaciOn y mode de operation (por ejemplo,
horas habites u operaciones de cajeros autornaticos).
2. ,Cuales son los recursos de informacion criticos relacionados con los
procesos del negocio criticos de una organizacion? Esta es la primera
consideracian ya que la interruption de un recurso de informaciOn no es
un desastre de per si, a menos que este relacionado con un proceso del
negocio critico. Pot ejemplo, una organizacion pierde su ingreso, lo que
genera procesos del negocio debido a una falla de SI.
Otros ejemplos de procesos del negocio criticos pueden
· Recepc& de pagos
· Produce&
· Pago de empleados
· Publicidad
· Despacho de productos terminados
· Cumplimiento con las (eyes y regulaciones
informaciOn en el cual los procesos del negocio se deben reanudar
antes de sufrir perdidas significativas o inaceptables? En gran medida,
la duraciOn del periodo de tiempo de recuperacidn depende de la
naturaleza del negocio o servicio interrumpido. Por ejemplo, las
instituciones financieras, tales como bancos y casas de corretaje,
suelen tener un periodo de tiempo de recuperaciOn critic() macho mas
corto que las fabricas. Iguatmente, el moment() del alio o el dia de la
semana pueden afectar la ventana de tiempo de recuperacion. Par
ejemplo, un banco que experimenta una interrupc& importante el
 indirectos (por ejemplo, perdida de
participation de mereado, imagen y bum
nombre).
Figura 2:18—Costos de interrupcion vs.
costos de recuperacion
El otro factor es el costo de las
medidas correctivas alternativas (la
activation del BCP), que disminuye
con el objetivo elegido para el tiempo
de recuperaciOn. El costa de
recuperacion tambien tiene muchos
componentes (la mayoria de los
cuales son rigidos—inelasticos). Este
incluyc el costo de preparacion y
prueba periOdica del BCP, el costo de
instalaciones de almacenamiento
fuera del sitio, el costo de cobertura
de seguro, el costo anual de
configuration de shies alternatives,
etc. Las estrategias de recuperacion
alternativas pueden representarse
mediante putties, utilizando
coordenadas come interval° de tiempo
Costos
Total
__ Minimo
Estrateg las de
RecuperaciO
n
y costo.
Al identificar estos costos, to figura
2.18 muestra tambien Ia suma de las
curvas de costos comet total de costos
(interrupcion y recuperaciOn), en cuyo
case una organizacidn desea encontrar
el punto en el coal se puede miniinizar
el costa total. Para esto, se evaleran las
estrategias de desarrollo alternativas,
en cuyo case, con algunas estrategias
discretas, se puede dibujar la curva
descendente y cada punto en la curva
representaria una posible estrategia. La
curva come tin todo representa todas
las estrategias posibles. Cada
estrategia posihie tiene tin costo fijo,
es decir, no cambia en el tiempo. Note
que el costo fijo de cada estrategia
posible puede diferir; en general,
mientras mas corta sea la recuperacion
objetivo, mils alto sera el costa fijo. La
organization paga el caste de
implementation, aun cuando no
ocurran
Operaciones
Descontinuada
s
Tiempo fuera de servicio
Tiempo
accidentes. Si existe un accidente, los
costos variables aumentaria
significativamente (per ejemplo, su
emirate de "warm site" puede contemplar
una cuota anual plena mas una cuota
diaria per oeupacion real) debido a la
necesidad de personal adicional, horns
extra, transporte y otros problemas
logistices (per ejemplo, per diem, nuevas
lineas de comunicacion).
Si la estrategia de continuidad del
negocio busca un tiempo de
recuperaciOn rinds large, sera metros
costosa que una estrategia de tiempo mas
reducido, pero puede ser mas susceptible
a que los costos de tiempo fuera de
servicio salgan de control.
Uno de los resultados importantes del
BIA, aparte del RTO y RPO, es que
proporciona una mantra de agrupar
sistemas de information de acuerdo a su
tiempo de recuperacion. Este suele
server contra guia en la selecciOn de
soluciones tecnologicas (es decir,
controles) que soportan Ia continuidad
del negocio y la recuperaciOn en caso de
desastre de TI.
En resurnen, es necesario minimizar la
suma de rectos los costos—tiempo fuera
de servicio y recuperacion. El primer
amp° (costes de tiempo ftiera de
servicio) aumenta en el tiempo, mientras
que el segundo (costos de recuperacion)
disminuye en el tiempo; la suma es
generalmente una curva en U. En la pane
inferior de la curva en U, se puede
encontrar el costo mas bajo.
Nets: El candidate a CISA no se
sometera a prueba de calculos de
costes.
Clasificacion de operaciones y
analisis de criticidad i_,Que es Ia
clasificacien de riesgo del sistema?
Involucra una detemtinacien de riesgo
basada en el impact° derivado del
period() de tiempo de recuperaciOn
C
critico, asi come tambien la
posibilidad de que ocurra una
interrupciOn adversa. Muchas
organizaciones utilizaran un riesgo de
ocurrencia para determinar un cosh)
razonable de preparacien. Per
ejemplo, pueden determinar que La
existe un riesgo de 0,1 per ciento (o I las
en 1 000) de que en los prOximos pa
cinco Aces Ia organizacion sufrira una La
seria interrupcion, Si el impacto el
evaluado de una interrupcion es US 10
$10 millones, el costo razonable 5S
maxim° de estar preparado puede ser re(
de US SI 0 mil tones x 0,1 per ciente = ay
US SIO 000 durante cinco afies. Este yc
inetode se llama Expectativa de
perdidas anuales (ALE). En este La
proceso de analisis basado en el ea!
riesgo, la prierizacion de sistemas
criticos puede oeurrir al desarrollar 2.
estrategias de recuperacion. El
procedimiento de clasifteaciOn de DI
riesgo se deberia realizar en To
coordinacian con el procesamiento de an;
SI y el personal de usuario final. pU
del
Un sistema caracteristico de al
calificacian de riesgos puede ; is
contener las clasificaciones que re c
aparecen en la figura 2.19. qui
los
·
C
p
·
126 Manual de Preparation al Examen CISA 2015
ISACA. Todos los derechos reservados.

M
IS,
 . aerkiSed Int o
LISA Weirs Ami rmationte Section Dos: Contenido Capitulo 2
i
471,,r

Figu desastre (DRP). Las dos inetricas que

ra
ayudan a determinar las estrategias de
ClasificaciOn Descrfpcion recuperacion son el RPO y el RTO.
Critica No se pueden realizar estas funciones a memos
que se reemplacen por capacidades identicas.de recuperacion se
Las estrategias
No se pueden reemplazar las aplicaciones
describen detalladamente en el
criticas con mOtodos manuales. La 4.
Lapitulo
a las interrupciones es muy Baja; por lo tanto, el
corto de interwpciOn es muy alto.
2.12.7 DESARROLLO DE
Vital Estas funciones se pueden realizar manualmente,
pero solo por un breve periodo dePLANES DE una
tempo. Existe CONTINUIDAD
DEL
mayor tolerancia a Ia interrupciOn queNEGOCIO
con los
sistemas criticos y, por consiguiente,
Tomandacostos
los de las entradas que se
en cuenta
interrupciOn resultan on tante mas bajos, siempre
recibendedel
que las funciones se restauren dentro B1A,
cierto los analisis de
lapso
de tiempo (par lo general cinco criticidad y Ia estrategia de recuperacion
dias a nnenos).
seleccionada por Ia gerencia, se deberian
Sensitivas Estas funciones se pueden realizar manualmente,
desarroilar a los BCP y DRP
o revisar
on costa aceptable y por un periodo de tiempo
deiallados. Se deberian tratar todos los
prolongado. Aunque se puede realizar manualmente,
probleinas
generalmente es un proceso dificil concern ientes al alcance de Ia
y se requiere
continuidad del negocio relacionados con
personal adicional para ejecutarlo.
la intemipcion de los procesos de
No sensitivas Estas funciones se pueden interrumpir
negocios, paincluyendo
on la recuperacion
periodo de tiempo prolongado, a un costa bajo o
nulo para Ia compania y requieren poco a ['ling& Los diferentes
despues de un desastre.
esfuerzo de actualizacion cuandolactates que se deben considerar cuando
se restauran.
se desarrolla/revisa el plan son los
La proxima lase en Ia gestion de la siguientes:
continuidad es identiftear las diversas · Capacidad parr actuar antes de
estrategias de recuperacion y alternatives quc ocurran desastres, que cubra el
posibles para recuperarse cuando manejo de la respuesta a incidentes
ocurre una interruption y/o desastre. con el fin de resolver correctamcnte
todos los incidentes relevantes que
La seleccian de una estrategia
apropiada, basada en el BIA y el afecten los procesos de negocios
· Procedimientos de evacuation
analisis de criticidad, es el siguiente
paso para desarrollar los planes de Procedimientos para la declaracien de tin
continuidad del negocio (BCP) y desastre
planes de recuperaciOn en easo de (procedimientos de escalamiento)
· Circunstancias bajo las
cuales se debe declarar un
desastre. Todas las interrupciones
no representan desastres, pero un
minima incidente si no se maneja a
tiempo o de una manera adecuada,
podria conducir a un desastre. Por
ejemplo, el ataque de un virus que
no se reconoce y se ha mantenido
por algk tiempo puede destruir toda
Ia instalaciOn de TI.
· La identificaciOn clam de las
responsabilidades en el plan
· La identiticaciOn clara de las
personas responsables para cads
funcian en el plan
· La Wend ficacidat clara de la
informaciOn sabre el contrato
· La explieacion paso a paso del
proceso de recuperaciOn
· La identification clara de
los diferentes recursos que se
requieren para la operacion de
recuperaciOn y continuidad de
la organization

El plan debe estar documentado y

escrito en un lenguaje seneillo y faun
de entender.

Es comtin identificar los equipos de

personal que son responsables de tareas
especificas en case de desastre. Algunos
equipos importantes deben formarse y
sus responsabilidades se explican en Ia
siguiente section. Se deben mantener
copias del plan luera del sitio. El plan se
debe estructurar de modo tat que sus
panes puedan ser flicilmente manejadas
por diferentes equipos.

2.12.8 OTROS PROBLEMAS EN

EL DESARROLLO DE LOS
PLANES
El personal que deber6 reaccionar a la
interrupcion o desastre es aquel
responsable par los recursos mas
criticos. Por consiguiente, la
participation de la gestion de
usuario es vital para el exit° en la
ejecueion del BCP. La participation
de la gestion de usuario es esencial
para la identilicacion de sistemas
criticos, sus correspondientes
liempos de recuperacion y la
espccificacion de los recursos
necesarios. Las tres principales
divisiones que requieren
participation en la formulaciOn del
BCP son los servicios de apoyo
(quienes detectan las primeras
setiales de incidentes o desastres),
las operaciones comereiales
(quienes pudieran verse afectadas a
raiz del incidente) y el apoyo en el
procesamiento de la informaciOn
(quien correra la recuperacion).
Debido a que el proposito subyacente
del BCP es la recuperacion y el
restablecimiento de las operaciones
comerciafes, es esencial considerar a
toda la organizacion, no solamente los
servicios de procesamiento IS, en el
Manual de Preparackin at Examen C1SA 2015
ISACA. Todos los derechos reservados.
desarrollo del plan. Cuando no exista un
plan BCP unifonne en toda Ia
organization, deberia ampliarse el plan
para el procesamiento IS a fin de incluir
Ia planificaciOn para todas las divisiones
y unidades que dependen de las
funciones de procesamiento de los
sistemas de infonnacion.
En la fonnulacian del plan,
deberian asimismo incluirse los
siguientes aspectos:
· Lista del personal, con informacion
de contacto, necesaria para
mantener las funciones criticas del
negocio a corto, mediano y largo
plaza.
· Configuration de las
instalaciones del edificio,
escritorios, silias, telefonos, etc.,
que se requieren para mantener las
funciones criticas del negocio a
corto, mediano y largo plaza.
· Los recursos requcridos para
reanudar/continuar las operaciones (no
necesariamente recursos de Ti y ni
siquiera de tecnologia, conio par
ejemplo los materiales con el membrete
de la compaitia).
127

Capitulo 2—Gobierno y Gestion de Ti
Figura
Plan
Planes de continuidad del
negocio
Plan de recuperaciOn (o
restablecimiento) del negocio
(BRP)
Plan de continuidad de
operaciones (COOP)
Continuidad del plan
de respaldo o plan de
contingencia TI
Plan de comunicaciones
criticas
Plan de respuesta a incidentes
cibernetices
Plan de recuperacion en
caso de desastre
Plan de emergencia del
ocupante (OEP).
2.12.9 ELEMENTOS DE UN PLAN
DE CONTINUIDAD DEL NEGOCIO
Dependiendo del tamario o los
requcrimientos de una organizaciOn,
un BCP puede constar de uno o mas
documentos.
Esto debe incluir:
Section Dos: CertifiedItionmato
Contenido
LISA systems haw
MCA' CrtAcAM
2.20—Proansito del alcance de los componentes del plan de contin
PropOsito
Brindar los procedimientos para sostener las operaciones Aborda los proceso
esenciales del negocio mientras se recuperan de un en su respaldo a los p
, trastorno significativo.
Brindar los procedimientos para recuperar las Trata los procesos co
operaciones comerciales inmediatamente despues de solamente en el resp
una situacian de desastre.
Brindar los procedimientos y las capacidades para Aborda el subconjun
sostener las funciones esenciales y estrategicas de una organization que se
organization como sitio alterno durante un lapso de usualmente escritas
hasta 30 dial.
Brindar los procedimientos y capacidades para recuperar Igual quo el plan de
una *cad& mayor o un sistema general de respaldo. irregularidades en e
el proceso comercia
Brinda los procedimientos para distribuir informer de Trata las comunicac
situacion al personal y al ptiblica TI no enfocada.
Proporciona estrategias para detectar, responder y limitar Se centra en respue
las consecuencias de incidentes ciberneticos dolosos. a los incidentes que
Brindar procedimientos detallados para facilitar la A menudo TI enfocad
recuperaciOn de capacidades en un sitio alterno. con efectos a largo pl
Brinda procedimientos coordinados para minimizer las Se enfoca en el pers
perdidas de vida a lesiones y proteger contra los dews a en particular; no esta
la propiedad privada en respuesta a una amenaza fisica, en una funcionalidad
· Plan de continuidad de las
operaciones
· D RP
· Plan de restablecimiento del
negocio
Tambien puede incluir:
· Continuidad del plan de
 apoyo'Plan de contingencias TI
· Plan de comunicaciones de crisis
· Plan de respuesta a incidentes
· Plan de transporte
· Plan de emergencia del ocupante
· Plan de evaettac ion y
reubicacion de ernergencia
Un ejemplo de los componcntes de un
BCP segon lo sugerido por NIST
800-34 se inuestra en Ia figura 2.20.
Para la Ease de planificacion,
implantacidn y evaluation del BCP,
deberia acordarse lo siguiente:
· Las politicas que regiran
todos los esfuerzos de continuidad
y recuperacion
· Metastrequerimientosiproductos
para cada fuse
· lnstalac iones alternas para
realizar las tareas y operaciones
· Recursos de informaciOn
critica que se van a
implementar (p.ej. datos y
sistemas)
· Personas responsabics de
llevarlas a cabo
- Recursos (ineluso
humanos) disponiblcs para
ayudar en su
implementaciOn
· Programa de actividades con
prioridades establecidas
Muchos BCP son creados como
procedimientos que albergan los
sistemas de recuperacion de Ia
informaciOn (es decir:
almacenamiento de datos, servidores,
etc.), estaciones de trabajo de usuario,
otros equipos dctcrminados (lectores
de tarjetas, scanners de codigos de
barras, impresoras, etc.) y la red
(eanales, equipo). Las copias del plan
deberian mantenerse fuera del
establecimiento: en la instalacion de
recuperacion, en la instalacion de
almacenamiento de medios y
posiblemente en las casas del personal
slave en la Ionia las decisiones. Cada
vez con mayor frecuencia, una
organization coloca la version
electrOnica del plan en un sitio web
duplicado.
Personal slave para la toma de
decisiones
El plan deberia contener una lista
telefonica o "arbol de llaniadas",es decir,
un directorio de notification, del personal
IS slave en Ia torna de decisiones y del
personal de usuario final, que se
requieran para emprender y llevar a
cabo los esfuerzos de recuperacion.
Usuahnenk se trata de un directorio
telefonico de personas que deberian ser
notifieadas en el caso de un incidente,
desastre o catistrofe.
Los puntos para recordar al preparar la
lista son:
· En caso de un desastre de
envergadura o un
incendio/explosion en horas
laborables que dine seriamente las
oficinas de la organization, muchos
lideres de equipo podrian no estar
disponibles
· La lista telef'onica a "cudena
de llamadas- tiene que ser rnuy
redundante y actualizada
regularmente.

128 Manual de Preparation al Examen C1SA 2015

I S A C A . To d o s l o s c l e re c h o s re s e r v a d o s .
 - Certified information Secular) Dos: Contenido
CISA Systems Auditor'
It ISJC-IV,Ten,rsr4o,
Este directorio telefonico debe contener
la siguiente informaciiitu
· Lista de contactos por orden
de prioridad (es decir, j,a qui&
deberia llamarse primero?)
· Niimeros teleftinicos y direcciones
principales y para
emergencias por cada persona
critica de contacto. Usualmente
scrim los lideres clave de equipo
quienes se encarguen de
comunicarse con los integrantes de
sus equipos.
§ Nitmeros telefonicos y
direcciones de
=.•
representantes de
proveedores de equipo y
software.
Nameros telefonicos de contactos
dentro de connpanias que se hayan
designado para proporcionar servicios,
equipo o insumos. .Nameros
telefOnicos de personas de contacto en
los sitios de recuperaciein, incluso
representantes en el hot site o servicios
para volver a enrutar comunicaciones
de red predefinidas.
.NUmeros telefonicos de personas
de contacto en sitios de
almacenamiento de medios fuera
del sitio y de las personas de
contacto dentro de la compaiiia que
esten autorizadas para recuperar
medios desde la locaciOn fuera del
sitio.
.Nameros telefonicos de agentes de
Capitulo
seguros.
'Mutter° telefonico de los
contactos en los servicios
suministrados por
personal contratado.
'Nattier° telefonico y
contactos de organismos
legales, reglamentarios o
gubemamentales, de ser
necesario.
· Un procedimiento para
deterrninar a cuantas personas se
tibia') mientras se utilizaba la cadena
de Ilamadas (call tree)
Respaldo de los sumlnIstros
requerldos
El plan debe tener provisiones para
todos los insumos que
se necesiten para continuar con las
actividades de negocio
nonnales durante las actividades de
recuperaciOn. Esto incluye
procedimientos detallados impresos y
actualizados que pueda
seguir facihnente tante el personal
interno corm externo
que no este familiarizado con las
operaciones normales y de
recuperation. Asimismo, se debe
garantizar que la ubicaciOn fuera
del sitio cuente con un abastecimiento
de formatos especiales,
tales coma cheques, facturas y pedidos.
Si la funcion de entrada de datos depende
de ciertos dispositivos de hardware ode
programas de software, tales programas y
equipo deberian proporcionarse en el hot
 site. Lo mismo aplicaria al equipo
criptografico, incluidas las teclas
electrOnicas (tokens RSA, teclas USB,
etc.).
War°
El plan de recuperaciOn debe contener
information clove
c}bre el seguro de la organizacion. La
poliza de seguro para el procesamiento
de SI es por lo general una Olin contra
multiples dahos disetiada para brindar
varios tipos de cobertura de TL Debe
claborarse modulannente, para que se
pueda adaptar al ambiente dell
particular del asegurado.
Nota: Los pormenores sobre
las Ohms de seguro no se
incluyen en el examen de
CISA porque difieren de un
pais a otro. La pmeba abarca
lo que deberia incluirse en
las pOlizas y acuerdos con
terceros, pero no deberian
examinar los tipos
especificos de cobertura.
so Los tipos especificos disponibles de
cobertura son;
· Equipo e instalaciones IS—
Ofrece cobertura contra dailos
fisicos al 1PF y equipo propio.
(Deberia obtenerse un seguro para
el equipo rentado cuando el
arrendatario sea responsable por la
cobertura contra riesgos.) Se
advierte al auditor de SI que
deberia revisar estas polizas, ya
que inuchas obligan a los
proveedores de seguros a
reemplazar equipos que no
pueden restaurarse solamente con
"de igual clase y calidad", no
necesariamente con nuevo equipo
per el misrno proveedor del
equipo dafiado.
· Reconstruction de medios
(software)—Cubre contra daiios a
los medios informaticos que sean de
la propiedad del asegurado y por los
cuales el asegurado podria ser
responsable. El seguro esta
disponible para desastres en las
instalaciones, fuera de las
instalaciones o en transit° y cubre el
costa de reproduction real del bien.
Algunas consideraciones para
determiner el monto de la cobertura
necesaria son los costos de
programacian para reproducir los
medios danados, gastos por respaldo
y reemplazo fisico de dispositivos
de medios, tales coma cintas,
cartuchos y discos.
· Gastos adicionales—Disertada
para cubrir los costos adicionales por
continuar las operaciones despues del
daiio o destruction en IPF. El monto
 del seguro por gastos adicionales
necesario se basa en la disponibilidad
y el costa de los equipos y
operaciones de respaldo. Los gastos
adicionales tambien pueden cubrir la
perdida de ganancias netas
ocasionadas por darios en medios
informAticos. Dispone el reembolso
por perclidas pecuniarias causadas
por la suspension de las operaciones
debido a Ia perdida fisica de equipos
o medios. Un ejemplo de una
situation que requiere este tipo de
cobertura es si las instalaciones para
el procesamiento de infonnacion
estaban en el sexto piso y se
quemaron los cinco primeros pisos.
En este caso, las operaciones se
interrumpirian aun cuando las
instalaciones de procesarniento de
information (IPF) no se hubieran
afectado.
· InterrupeiOn del negoeio--
Cubre el fuer° cesante debido al
trastomo de la actividad de Ia
empresa causada por el mal
funcionamiento de Ia
organization [S.
· Documentos y registros de valor
—Cubre el valor real en efectivo de
documentos y registros (no
definidos como medios) en las
instalaciones del asegurado contra
divulgacion no autorizada, perdida o
dark) fisico directo.
· Errores y omisiones—Brinda
Manual de Preparation of Examen CISA 2015
ISACA. Todos los derechos reservados.
protection contra responsabilidad
legal en caso de que un experto
incurra en un acto, error u omisiOn
que resulte en una perdida
financiera para el cliente. Este
seguro se disetio originalmente
para agendas de servicios, pero
agora estd disponible con muchas
aseguradoras para protegerse
contra acciones de analistas de
sistemas, disefiadores de software,
programadores, consultores y otro
personal de SI.
· Cobertura de fidelidad—Por lo
general se trata de una fianza
bancaria general, un seguro per
exceso de fidelidad o fianzas
generales comerciales. Cubre
contra perdida ocasionada por
actos deshonestos o fraudulentos
por parte de empleados. Este tipo
de cobertura es comun en
instituciones financieras, que
operan sus propias instalaciones de
procesamiento de infounacion
(1PF).
· Transporte de medios—
Proporciona cobertura contra
posible perdida o (tato de medios
en transit° a equipos de
procesamiento de information
(1PFs) que esten fuera de las
instalaciones. La redaction de la
cobertura de transit° en la poliza
suele especificar que todos los
documentos tienen que
129
 Capitulo 2—Gobierno y Gestion de Ti
ser filnaados o copiados por otros
medios. Cuando Ia pOliza too
requiere especificamente que los
datos se filmen antes de su
transportacien y el trabajo no se tibia,
la gerencia debe obtener del servicio
de mensajeria de la aseguradora una
cam que describa en fonria especifica
la posiciOn del servicio de inensajeria
de la compaiiia aseguradora y la
cobertura en caso de destmcciOn de
los datos.
Es importante recordar varios puntos
slave sabre el seguro. La mayoria de
los seguros cubrcn finicamente las
perdidas financieras con base en el
nivel historic° y no en el nivel actual
de rendimiento. El auditor de SI
tambien se ocupara de garantizar que
Ia valoracion de los elementos
asegurados, como el equipamiento
tecnico, la infraestructura y datos, sea
adecuada y este actualizada. Ademas,
el seguro indemniza par perdida de
imagen o fondo de comercio.
Tampoco, el seguro indemniza por
perdida de imagen o fondo de
comercio,
2.12.10 PRUEBAS DEL PLAN
Muchas pruebas de continuidad del
negocio no alcanzan a ser una prueba
a toda escala de todas las porciones
operativas de la organizacian, si
Seccion Dos: Contenido
d
efectivamente se prueban en su
totalidad. Esto no descarta hacer
pruebas totales o parciales, porque
una de los propOsitos de Ia prueba al
plan de continuidad del negocio es
determinar que tan bien funciona el
plan o clue partes del plan requieren
•
mejoras.
Las pniebas deben programarse
durante un tiempo que minimice las
intemipciones de operaciones
normales. Los fines de sernana son, •
por lo general, un buen moment() para
realizar las pruebas. Es importante que
los miembros slave del equipo de
recuperacion participen en el proceso
de la prueba y le dediquen el tiempo
necesario para poner todo su emperio
en ello. La prueba debe incluir todos
los componentes criticos y simular las
condiciones reales de procesamiento L
durante los momentos de mayor
actividad, aun si se Ileva a eabo fuera e
de las horas pica. d
Especificaciones e
En la prueba deberia hacerse enfasis en 1
el cumplimiento de 4
d
las siguientes tareas:
· Verificar la integridad y
precision del BCP.
· Evaluar el desempeno del
personal involucrado en el ejereicio.
ri
· Informar sabre la capacitation y it
concienciacion de los empleados que
L •
e
•
•
no formen parte de un equipo de
continuidad del negocio.
- Evaluar Ia coordination entre
los miembros del equipo y los
contratistas y proveedores
extemos.
· Medir Ia habilidad y la
capacidad del sitio alterno para
realizar procesamientos
recomendados.
- Evaluar la capacidad de
recuperaciOn de registros vitales.
· Evaluar el estado y la
cantidad de equipos c insumos
que se han reubicado al sitio
de recuperacion,
· Medic el desempelio general de
las actividades de procesamiento de
sistemas de informaciOn y operativos
para mantener la entidad de negocio.
Nota: Este forma parte
importante de la
responsabilidad del auditor —
evaluar los resultados y el
valor del BCP y las pruebas
DRP.
Ejecucion de la prueba
Para realizar las pruebas, se debe Ilevar
a cabo cada una de las
siguientes fases de prueba:
· Prueba preliminar—El conjunto
do acciones necesarias destinadas a
establecer la etapa para la prueba
real. Esta lase incluye desde colocar
mesas en el area de recuperacion de
operaciones hasta transportar e
instalar equipo telefonico de
respaldo. Estas actividades estan
fuera del ambito de aquellas que
ocurririan en el caso de una
ernergencia real, en la cual par lo
general no hay una advertencia del
evento y, por tanto, ningun tiempo
para tomar acciones preparatorias.
· Prueba—Esta es Ia action real
de la prueba del plan de continuidad
del negocio. Se ejecutan las
actividades operativas reales pant
probar los objetivos especificos del
plan. Se deben hacer capturas de
datos, Ilamadas telefonicas,
procesamiento de sistemas de
infonnaciOn, manejo de pedidos y
movimiento de personal, equipo y
proveedores. Los evaluadores deben
reviser a los miembros del personal
mientras realizan [as tareas
designadas. Esta es la pnieba real de
preparation para responder a una
emergencia.
· Prueba posterior—La
depuraciOn de las actividades de
grupo. Esta lase comprende
asignaciones como regresar todos los
recursos a su lugar apropiado,
desconectar los equipos, regresar al
personal a sus ubicaciones nonnales y
borrar todos los datos de Ia compaiiia
de los sistemas de terceros. La
depuracion posterior a Ia prueba
Ell
Seccidn Dos: Contenido
CCurtifiedInformation CISA
In !SAP' GM% r41.104Swims
Auditor'
tambien incluye evaluar formalmente
el plan e implemental- las mejoras
indicadas.
Ademas, se pueden realizar los
siguientes tipos de pruebas:
· Prueba de evaluaciOn con
lapiz y papel—Veriticacion fisica del
plan, que involucra a los principales
aetores en la ejectician del plan,
quienes disciernen sabre qui podria
pasar en un tipo en particular de
trastorno del servicio. Podrian dar un
repaso al plan entero o solo a una
parte de el. La prueba en papel suele
anteceder a las pruebas de
preparacion.
· Prueba de preparation—
Usualmente es una version localizada
de una prueba completa, donde se
invierten recursos reales en la
simulation de averia de un sistema.
Estas pruebas se aplican a diferentes
aspectos del plan y pueden ser una
forma rentable de obtener gradualmente
evidencia sabre que tan bueno es el
plan. Tambien brindan los medios para
mejorar el plan en incrementos.
· Pruebas operativas completas
—Estan a un paso de una
interrupcion real en el servicio. Una
organizacion necesita haber realizado
130
Las mediciones especiticas varian
dependiendo de la prueba y
de Ia organizacion; sin embargo, las
siguientes rnedidas generales
Capitulo 2—Gobierno y Gestitin de Ti
una prueba en papel y a nivel local
antes de intentar parar las
operaciones por completo. A los
efectos de las pruebas BCP, este es el
desastre.
Documentacicin de los resultados
Durante cada rase de la pnieba, se debe
mantener doetimentacion detallada de las
observaciones, problemas y soluciones.
Cada equipo deberia tenor un formulario
en forma de diario, para anotar los pasos
especificos y la information, que puede
emplearse a modo de documentacion.
Esta documentaciOn sirve como una
infonnacion histOrica importante que
puede facilitar la recuperacion real
durante un desastre real. Ademas, la
compania aseguradora o las autoridades
locales pudieran pedirto. Tatnbien Ia
documentacion ayuda a realizar un
analisis detallado tanto de las fortalezas
como de las debilidades del plan.
Anallsis de resultados
Es importante contar con una manera de
medir el exito del plan y de la patch
frente a los objetivos establecidos. Par
consiguiente, los resultados deberan
calibrarse cuantitativamente en
contraposition a una evaluation basada
solamente en Ia observacitin.
Manual de F'reparaciOn al Examen CISA 2015
MAGA. Todos los derechos reservados.
suelen aplicar:
§ Tiempo--El tiempo transcurrido
para Ilevar a cabo las tareas
establecidas, Ia entrega de equipos,
 la con formacion del personal y Ia
Ilegada al sitio cstablecido
previamente.
Ca atidad—La cantidad de
trabajo realizado por el personal
administrativo en el sitio alterno y
el volumen de operaciones de
procesamiento de los sisternas de
in formacion.
Conteo—E1 niimero de registros
vitales que se transportaron con exit°
al sitio alterno en comparaciem con el
mlinero requerido, asi como el
niiinero de insumos y equipos
solicitados en comparacion con los
in
que se recibieron en realidad.
Asimismo, el nfunero de sistemas
criticos que se recuperaron con exito
puede medirse con el narnero de
transacciones procesadas.
§ Exactitud—La exactitud de la
captura de dates en el sitio de
recuperacion en comparacion con
la precisiOn normal (como un
porcentaje). De igual forma, Ia
exactitud de los ciclos de
procesainiento real se puede
determinar comparando los
resultados de salida con aquellos
del mismo period° procesados en
condiciones normales.
Mantenimiento del plan
Reberian revisarse y actualizarse los
planes y estrategias para la
continuidad del negocio con base en
un cronograma que re fleje el
reconocimiento continuo de los
requerinnientos cambiantes o de
mariera extraordinaria (revisiones no
programadas), cuando se produzca un
carnbio importantc que afecte los
planes y estrategias. Los siguientes
factores, y otros, pueden irupactar en
los requerimientos para Ia
continuidad del negocio y la
necesidad de actualizar el plan;
§ Una estrategia que results
apropiada en un rnomento
determinado pudiera no scar
adecuada a medida que cambian
las necesidades de la organizacion
(procesos comerciales, nuevos
departamentos, cambios en el
personal claw.)
Se podrian desarrollar o adquirir
nuevas aplieacionestrectirsos. Los
cambios en la estrategia coinercial
pueden alterar Ia sigAiticacion de
las aplicaciones criticas o catalogar
de criticas las aplicaciones
adicionales
· Nuevos acontecimientos un
cambio en su probabilidad pueden
generar interrupeiones,
· Se rcalizan cambios en el
personal slave et en sus dctalles do
contacto.
tin paso importante en el
mantenimiento de un BCP
consiste en actualizarlo y probarlo
cada vez que se produzcan
cambios relevantes denim de la
organizaciiin. Tambien seria
deseable incluir el BCP como
parte del proceso del ciclo de vida
de desarrollo de sistemas (SDLC).
La responsabilidad por el
mantenimiento del BCP a menu&
recae en el coordinador del BCP. El
plan especilico de manten imiento
comprende Las siguientes
responsabilidades:
· Desan-oliar un programa para
la revision y el mantenimiento
periodic° del plan e infonnar al
personal sobre sus roles y las
fechas !finite para recibir rnodi
ficaciones y cornentarios.
· Pedir rcvisiones no
programadas cuando se
produzcan cambios sign i
ncativos.
· Verificar las revisioncs y los
comentarios y actualizar el plan
en el transcurso de X dias (par
ejemplo: 30 dias, dos semanas)
de is facha de revision,
· Organizar y coordinar pruebas
programadas y no programadas del
BCP a fin de evaluar su suficiencia.
· Participar en las pruebas
programadas del plan, las cuales
deberian realizarse al menos Lula
vez al alio en detenninadas fechas.
Para las pruebas programadas y no
programadas, el coordinador
escribirA las evaluaciones e
integrara Los cambios a fin de
resolver los resultados de pruebas
fallidas en el BCP en cl transcurso
de X dias (por ejemplo: 30 dias, dos
semanas).
· DesarrolItir un calendario para
eapacitar al personal de recuperacion
en los procedimientos do emergencia
y recuperacion confortne a lo
establecido en el BCP. Las fechas de
la capacitaciOn deberian fijarse en el
transcurso de 30 dias de la revision de
cada plan y de la prueba prograrnada
para el plan.
· Mantener registros de las
actividades de mantenimiento
del BCP, como pruebas,
capacitacion y revisiones.
· Actualizar periodicamente, al
menos trimestralmente (se
recomiendan lapses Inas cortos), el
direetorio de waif-teat:ion de todos
los cambios en el personal, incluidos
numeros de telefono, atribuciones o
rango dentro de la empresa

Una herrarnienta de software para

administrar los planes de
continuidad y recuperacion pudiera
servir para rastrear y hacerle
seguimiento a las labores de
mantenimiento.
Mejores practicas en la
gestion de continuidad del
negocio
La necesidad de repasar y mejorar de
tnanera continua y periOdicamente el
programa de continuidad del negocio
es detenninarae para el desan-ollo de
una estrategia exitosa y contundente de
rectiperaciOn en una organizacion,
independientemente de que Ia
organizacion se encuentre en la etapa
inicial de desarrollo de un BCP. En un
esfucrzo par mejorar las eapacidades
del BCM (y cumplir con las directriees
realamentarios), algunas
organizaciones hart connenzado a
adoptar las mejores practicas para
entidades Canto independientes como
especificas de Ia industria y agencias
reglamentarias. Algunas do estas
entidades o
practicasireglamentosiestandares son:
· Institut° de Continuidad del
Negocio (Business Continuity
Institute, BCD)-Brinda las mejores
practicas para la gestion de la
continuidad del negocio
· lnstituto Internacional de
Recuperacion en Caso de Desastre
(Disaster Recovery Institute
International, DR1I)—Proporciona
practicas especiales para
profesionales de la continuidad del
negocio
· Asociacion Federal de Estados
Unidos para la Gestion de
Emergencias (Federal Emergency
Management Association, FEMA)—
Ofrece una guia para el cornercio y
la industria en el manejo de las
emergencias
· ISACA—El estandar CUBIT
proporciona orientacion sobre los
controles de TI que son relevantes
para el negocio,
· Institututo Nacional de
Estandares y Tecnologia de los
Estados Unidos (National Institute
of Standards and Technology)
· US Federal Financial Institutions
Examination Council (FFIEC)
· Departamento de Salud y
Servicios I lumanos de los Estados
Unidos (US Health and Human
Services, HHS)—EI estimdar HIPAA
describe los requisitos para gestionar la
informacion de salud.
 Nota: El candidato a CISA no sera evaluado sobre
practicasiestandares especificos
Manual de Preparacion al Examen CISA 2015
!MCA. Todos los derechos reservados.
Capitulo 2—Gobierno y Gestion de T1
2.12.11 RESUMEN DE
CONTiNUIDAD DEL NEGOCIO
Con miras a garantizar un servicio
continuo, deberia rcdaetarse un BCP para
minimizar el impact() de los trastomos.
Este plan deberia basarse en el plan TI de
largo alcance y deberia respaldar y
alinearse con Ia estrategia general de
continuidad del negocio. Por to tanto, el
proceso de desarrollar y mantener un
DRP o BCP apropiado deberia consistir
en:
· Realizar una evaluaciOn de
riesgos—Identificar y priorizar
los sistemas y otros recursos que se
requieren para soportar
los procesos de negocio criticos en
caso de que ocurra una
interrupcian. Identificar y priorizar
amenazas y vulnerabilidades.
· Elaborar un analisis del
impacto del negocio sobre el
efecto que tiene la perdida de
procesos de negocio criticos y
sus componentes de soporte.
· Elegir controles apropiados y
medidas de recuperacion de
componentes de TI para soportar los
procesos de negocio criticos.
· Desarrollar el plan detallado
para recuperar las instalaciones IS
(DRP).
· Desarrollar un plan detallado
131
Secci
An 1516:r CNtlic.d.a•
para las funciones de negocio que
Sean criticas para continuar
operando a un nivel aceptable (plan
de continuidad del negocio, BCP).
· Probar los planes.
· Actualizar los planes a
medida que cambia el negocio
y se desarrollan sistemas.
2.13 AUDITORIA DE
CONTINUIDAD DEL NEGOCIO
Las tareas del auditor IS abarcan:
· Comprender y evaluar Ia
estrategia sabre Ia
continuidad del negocio y su
conexion con los objetivos del
negocio
· Revisar los hallazgos de BIA
para asegurarse de que reflejen las
prioridades actuates del negocio y
los controles actuates
· Evaluar los BCP a fin de
determinar su conveniencia y
difusiOn, al revisar los planes y
cotnpararlos con las correspondientes
estandares a reglamentos
gubernatnentales, incluidas RTO, RPO
etc., definidos por el BIA
· Verificar Ia eficacia de los BCP
mediante Ia revision de los
resultados de las pruebas realizadas
anteriormente por IS
y el personal de usuario final
· Evaluation de los tnecanismos
basados en Ia nube
· Evaluar el
almacenamiento externo para
asegurar su conveniencia al
inspeccionar la instalacion y
verificar sus contenidos y
controles de seguridad y
ambiental
· Verificar los tramites para
transportar los medios de respaldo
a fin de asegurarse de que
satisfagan los requerimientos
apropiados de seguridad
· Evaluar la capacidad del
personal para responder
efectivamente en situaciones de
emergencia, al revisar los
procedimientos de emergencia, la
capacitaciOn de empleados y los
resultados de las pruebas y los
ensayos
· Velar por el establecimiento y
vigcncia del proceso para mantener
los planes y porque este abarque
las revisiones tanto periOdicas
coma no programadas
· Evaluar si los tnanuales sabre
la continuidad del negocio y los
procedimientos estan redactados de
una manera sencilla y facil de
comprender. Esto puede lograrse
mediante entrevistas y al determinar
si todas las panes involucradas
comprenden sus atribuciones y
responsabilidades con respecto a las
estrategias sobre Ia continuidad del
negocio.
2.13.1 REVISION DEL PLAN
DE CONTINUIDAD DEL
NEGOCIO
HI la revision del plan desarrollado,
los auditores IS deberian verificar
que los elementos basicos de un plan
bien desarrollado se pongan de
manifiesto. Los procedimientos de
auditoria para abordar estos
elementos basicos comprenden:
Revisar el documento
· Obtener una copia de Ia
politica y estrategia sabre Ia
continuidad del negocio.
· Obtener una copia actual del
BCP o manual.
· Obtener una copia de los
hallazgos etas recientes del BIA e
identificar el RTO, RPO y otras
directrices estrategicas awe.
· Tomar una muestra de las
copias distribuidas del manual
y verificar que esten vigentes,
· Verificar si el BCP apoya Ia
estrategia sabre la continuidad
del negocio en general.
· Evaluar Ia efectividad de los
procedimientos documentaclos
para Ia invocacion de la
ejecuciOn del BCP.
· Evaluar el procedimientos de
actualizacion del manual. i,Se aplican y
distribuyen las actualizaciones
aportunamente? LSe documentan las
responsabilidades especificas de
mantenimiento del manual?
Revisar las Apllcaciones
Cublertas per el Plan
· Revisar la identificacion,
prioridades y respaldo previsto de
 las aplicaciones criticas, tanto las
basadas en el servidor como las
basadas en la estaciOn de trabajo.
· Determinar que se haya
revisado en todas las
aplicaciones el nivel de
tolerancia en caso de desastres.
· Detemiinar que se Mayan
identificado todas las aplicaciones
criticas (incluidas las aplicaciones
PC).
· Deteniiinar que el sitio
secundario tenga las versiones
correctas de todo el software del
sistema. Verificar que todo el
software sea compatible; caso
contrario, el sistema no podia
procesar los datos de produccion
durante la recuperacion.
Revisar los Equities de
Continuidad del Negocio
· Obtener una lista de micmbros
por cada equip() de recuperaciOn,
continuidad o respuesta.
· Obtener una copia de los
acuerdos relacionados con el
empleo de las instalaciones de
respaldo.
· Comprobar la conveniencia e
intcgridad de la lista del personal
132 Manual de Preparacitin al Examen CISA 2015
encargado de [a continuidad del
negocio, los contactos de hot site de
emergencia, los contactos de
proveedores, etc.
· Llamar a una muestra de las
personas indicadas y verificar que
sus nameros telefOnicos y
direcciones esten eorrectos, tat
como se seliala, y que poseen una
copia vigente del manual de
continuidad del negocio.
· Entrevistarlos para tener una idea
de cuales son sus asignaciones en una
situation de interrupcion o de desastre.
pruebas del plan
· Evaluar los procedimientos para
documentar las pruebas.
· Revisar los procedimientos
de respaldo que se siguen en cada
area cubierta por el DRP.
· Detenninar si se siguen los
procedimientos tic respaldo y
recuperacion.
Ademas de los pasos anteriores:
· Evaluar si todos los
procedimientos escritos de
emergencia estan completos, son
apropiados y exactas, estan vigentes
y son ladles de comprender.
ISACA. Todos ios derechos reservados.
 on
C. Certifi In ed Secclin Doss Contenido
ionnation CISA
Sptern.Auditac
Identiticar si las transacciones que
se ingresan nuevamente en el
sistema a traves del proceso de
recuperacion deberian
identificarse aparte de las
transacciones normales.
Determinar que todos los equipos de
recuperacion, continuidad yrespuesta
hayan redactado los procedimientos
que debenin seguirse en caso de que
ocurra un desastre.
Detertninar Ia existencia de un
procedimiento idimeo destinado a
actualizar los procedimientos escritos
para casos de emergencia. Determinar
que los proccdimientos de recuperaciOn
de usuario esten documentados.
Determinar que el plan
aborde de manera adecuada
el desplazamiento al sitio d
recuperacion.
· Detenninar que el plan
ahordc de manera adecuada
la recuperacion desde el
shin de recuperacion.
· Detenninar que los articulos
necesarios para la recenstrucciOn de
la instalacion de procesarniento de
informacion se hayan guardado en un
almacenamiento externo, tales coma
proyectos, inventario del hardware y
diagramas de cableado.
Las preguntas a considerar incluyen:
· ,t)uieri esta encargado de Ia
administraciOn o coorclinacion del
plan?
· administrador o
coordinador del plan se
encarga de mantener el plan
actualizado?
· i,DOnde se guarda el DR P?
Capitulo 2—Gobierno y G
· i,euhles sistemas entices cubre el
plan?
· i,Cuales sistemas no estan
cubierios en el plan? ,Per que no? 4
Cual equipo no esta cubierto en el
plan? i,Por clue no?
· LEI plan opera con algfin supuesto?
ettales son estos supuestos? LEI plan
identifica punkas de encuentro para que el
comite de gestiOn en caso de desastres o el
equipo para el man* de emergencies se
retina y decida si deberia Miciarse la
continuidad del negocio?
§ i,Losprocedimientos
documentados son adecuados para el
exito de la recuperacion?
· LE1 plan acomete los desastres de
diversos grades?
· i,Se abordan en el plan los
respaldos dc tclecomunicaciones
Onto de datos coma de voz)?
· LDonde sc encucntra Ia instalaciOn
de respaldo?
·.AEI plan trata la rcubicacion
hacia una nueva instalacion de
procesamiento de infonnacion en
caso de que no pueda restaurarse el
centre original?
· ,F`,1 plan incluye procedilnientos
para fusionar los dams del archivo
maestro, los datos del sistema
automatizado de administracion de cintas,
etc., en arch i vos previos a situaciones de
desastre?
· LEI plan aborda la carga de los
datos procesados manualmente en un
sistema autornatizado?
· Hay procedimientos
formales que especifiquen
los procedimientos y
responsabilidades de
respaldo?
· 1Que capacitacion se ha
impartido al personal para el empleo
del equipo de respaldo y los
procedim lentos establecidos?
· i,Estan documentados los
procedimientos de restattracion?
· Se hacen respaldos
ordinarios y sistematieos de
las aplicaciones y archives de
dates sensibles o cruciales?
· iiQuien delennina los metodos
y la frecuencia en el respaldo de los
datos para la in formacion critica que
esta almacenada? i,Qud tipo dc
medios se utilizan para los
respalclos:r
AEI almacenamiento extern° Sc
emplea para mantener los
respaldos de la informacian
critica que se requiere en el
procesanuiento de las
operaciones internas o externs?
· z,Flay documentaciOn adecuada
para efectuar una recuperacion en
caso de desastre o pordida de los
dates?
· i:,Existe un cronograma para
probar y capacitar al personal sobre el
plan?
2.1.3.2 EVALUACION DE
LOS RESULTADOS DE
PRUEBAS ANTERIORES
El coordinador de BCP deberia mantener
documentacion historica acerca de los
resultados de una continuidad de negocio
deficiente. El auditor IS deheria revisar
estos resultados y determinar que se
Maya incorporado al plan aquellas
acciones que deban corregirse. Asi
mismo, el auditor IS deberia evaluar en
las pniebas anteriores de BCPIDRP la
rneticulosidad y la exactitud en el logro
de sus objetivos. Deberian examinarse
los resultados de las pruebas para
deterniinar que se hayan logrado los
resultados apropiados, asi coma
detenninar los posibles problemas y la
solution apropiada de los mismos.
El auditor de SI tambien debe revisar el
tnetodo de transporte de datos de
respaldo desde y hacia la instalacion de
almacenamiento fuera del sitio para
garantizar que no represente una
debilidad en el sistema de gestien de
seguridad de la informaciOn.
2.13.3 EVALUACION DEL
ALMACENAMIENTO EXTERN°
Dcberia evaluarse la instalacion
ahnacenarnie.nto externs para garantizar
 Capitulo 2—Goblerno y Gestion de Ti
la presencia, sincrenizAcion v vigencia
de los medios y Ia documentaciOn
critica. Este abarca los archives de
datos, el software de aplicaciones, Ia
documentacion de aplicaciones, el
software de sistemas, Ia documentaeion
de sistemas, la documentacion de
operaciones, los suministros necesarios,
fonnularios especiales y una copia del
BCP. A objeto de verificar las
condiciones antes mencionadas, el
auditor IS deberia efectuar un examen
detallado del inventario, Este inventario
abarca las pruebas para cot-regir los
nombres en los conjuntos de datos,
seriales de volumen, periodos contables
y localidades binarias de los medic's. El
auditor [S tambien deberia examinar la
documentacion, cornparar sit di fusion
con la documentacion de producciOn,
evaluar la disponibilidad de la
instalacion y asegurarse de que
concuerde con los requerimientos de Ia
gerencia.
El Auditor de SI deberia tambien
Manual de Preparacion of Examen C1SA 2015
[MCA. Todos los derechos reservados.
2.13.5 EVALUACION DE
SEGURIDAD EN
INSTALACIONES EXTERNAS
Deberia evaluarse la
seguridad de la instalacion
extema para asegurarse de
que cuente con los controles
apropiados de acceso fisico y
ambiental. Estos controles
revisar el mdtodo cle transporte de los
respaldos de datos desde y hacia Ia
instalaciOn de almacenamiento fuera
de sitio a fin de asegurar que no
representa una debilidad en el sistema
de gestian de seguridad de la
intbrunacion.
2.13.4 ENTREVISTAS AL
PERSONAL CLAVE
El auditor IS deberia entrevistar al
personal clave que se requiere para el
exit° en Ia recuperacion de las
operaciones del negocio. Todo el
personal slave deheria estar al tanto de
sits asignaciones asi como conocer la
documentacion actualizada y detallada
donde se describen sus tareas.
El Auditor de SI deberia tambien
revisar el metodo de transporte de los
respaldos de datos desde y hacia la
instalaciOn de almacenamiento fuera de
sitio a fin de asegurar que no representa
una debilidad en el sistema de gestian
de seguridad de la informacian."
133
comprenden la capacidad
para limiter el acceso
solarnente a usuarios
autorizados de la instalacion,
pisos elevados, controles de
humedad, controles de
temperatura, circuitos
especial izados, suministro
ininterrumpido de
electricidad, dispositivos
para la deteccion de aqua,
detectores de Immo y tin
sistema apropiado para
extinguir incendios. El auditor
1S deberia examinar en el
equipo Ia inspeccion actual y
etiquetas de calibracion. Esta
revision tambien deberia
considerar los requerimientos
de seguridad para el
transports de los medios.
2.13.6 REVISION DE
CONTRATO DE
PROCESAMIENTO
ALTERNATIVO
El auditor IS deberia obtener
una copia del contrato con el
proveedor sobre la
instalaciOn alterna de
procesamiento. Deberian
verificarse las referencias del
proveedor para garantixar Ia
confiabilidad, y todos los
compromisos del proveedor
deberian comprobarse par
escrito, Deberia cotejarse el
contrato con las siguientes
directrices:
· Asegurarse de que el
contrato este escrito
claramente y sea
coniprensible.
· Reexaminar y confirniar
el acuerdo de la
organizacion con las
reglas que aplican a los sitios
compartidos con otros
suscriptores. = Asegurarse de
clue la cobertura del seguro
concuerde y cubra
todos (o Ia mayoria de) los
gastos relacionados con el
desastre.
· Asegurarse de que
puedan realizarse las
pruebas en el hot site a
intervalos regulares.
· Revisar y evaluar los
requerimientos de
comunicaciones para
el sitio respaldo.
= Asegurarse de que el
contrato exigible de
deposit° eta garantia para
el codigo fuente sea
revisado por tin abogado
especialista en la materia.
· Deterrninar la
tolerancia del recurso de
limitacian en caso de
incumplimieillo del
contrato.
2.13.7 REVISION DE LA
COBERTURA DEL SEGURO
Es esencial que In cobertura
de seguro refleje el costa real
de
In recuperaciOn. Al tornar en
consideracion la prima del
seguro
(costa), deberia revisarse Ia
idoneidad de Ia cobertura
contra
los datios a los medios, la
interrupciOn del negocio, el
reemplazo
de equipos y el
procesamiento de la
continuidad del negocio.
]data: El candidate) a
CISA deberia conocer Seccion C Dos: Contenido cisA creffifiedinicirmatoE
cualesdisposiciones
criticas deberian
incluirse dentro de las
palizas de seguro en
resguardo de In 4
organization. 2.14.1 CASO DE ESTUDIO A 1.
Escenario de Case de
a
atudio A
A un auditor de SI se le ha
pedido que revise el borrador
de un contrato de servicios dd
externos y su SLA y que
recomiende cualquier cambia
o senate cualquier d
preocupacion antes de que
estos sean presentados a Ia 11
alta direccian para sit
aprobacian final. El contrato
incluye soporte extemo de
Windows y de In
administracien del servidor

PREGUNTAS DEL CASO DE ESTUDIO A

Al e,Cual de los siguientes aspectos seria de MAYOR
oreocupacilin para el auditor de SI?

A. Los cambios de cuenta de usuario son procesados

A2. i,Cual de los siguientes problemas seria el MAS signficativo para
dentro de tres dies Whiles.
fratar si los servidores tuvieran informacian personal identificable
B, Se requiere un aviso con 24 horns de anticipaclOn para
del cliente a Ia que los usuarios finales
una visita al establecimlento,
pueden acceder regularmente y que pueden actualize
C. El contratista no tiene urra fund* de auditoria de SI,
loner el software en custodia de un tercero no esta incluido
A. El pals en el que el contratista esta establecido prchibe el
en el contrato.
use de encriptaciOn fuetle para los datos transrrMidos.
B. El contratista limita su responsabilidad si torria rnedidas
razonables para proteger los datos de dente&
0. El contratista no efectuti verificaciones de antecedentes
de los empleados contratados hace runs de tires anon.
C. El software
Ver las respuesfas de sistema
y explicaciones a lassilo
prepse actualiza
ntas del casouna vez cada
de estudio al final del
seis137).
capitulo (pagina meses.
UNIX y la administracion de
redes a un tercero, Los
servidores seran reubicados a
la instalacion del contratista
que esta ubicada en otro pais,
y se estahlecera Ia
conectividad usando Internet.
Se aumentara la capacidad del
software del sistema operative
dos veces por olio, pero estos
no seran entregados en
custodia. Todas las solicitudes
de adicion o de eliminacion de
cuentas de usuarie seran
procesadas dentro de tres dias
habiles. El software de
deteccion de intrusos sera
monitorcado continuamente
par el contratista y se notificara al
cliente por correo electronic°
si se detecta cualquier anomal
la. Los nuevos empleados
contratados dentro de los
filtirnos tres nibs estuvieron
sujetos tin verificaciones de
antecedentes. Antes de eso,
no habia politicas
estahiecidas. Esta estableeida
una clausula de dcrecho a
auditoria, pero se requiere un
aviso de 24 horns antes de
una visita al estabiceimiento.
Si se encontrara que el
contratista esta en violaciOn
de cualquiera de los terminos
o condiciones del contrato,
este tendra 10 dias habiles
para corregir la deficiencia. El
contratista no tiene un auditor
de Si, pero es auditado por una
firma regional de contadores
publicos.

2.14 CASOS DE ESTUDIO

Los siguientes caso de estudios estan incluidos coma una
henamienta
de aprendizaje para reforzar los conceptos introducidos en este
cap itulo.

134 Manual de iPreparacion at Examen CISA 2015

ISACA_ Todos los derechos reservados.

awl
CISA
cn
syceremstiTe" Seccion Dos: Contenido
FI erAter.a.muimn
2.14.2 CASO DE ESTUDIO B
Una organizaciOn ha implementado
una aplicacion integrada para respaldar
los procesos del negocio. Tambien llego
a un acuerdo con un proveedor para el
mantenimiento de la aplicaciOn y para
proveer respaldo a los usuarios y
administradores del sistema. Este
respaldo se sum in istrara a travel de un
centro de proveedores de soporte
remoto utilizando un ID de usuario
dotado de privilegios con autoridad de
sfiper usuario a nivel de sistema
operative (0/S) que tiene acceso
a la escritura y lectura de todos los
archivos. El proveedor utilizara
este ID de usuario especial para ingresar
al sistema a lin de solucionar problemas
e implemental- las actual izaciones
(parches) a Ia aplicacion. Debido al
‘rolumen de transacciones, los registros
de actividades solo se guardan par 90
dial.
PREGUNTAS DEL CASO DE ESTUDIO B
Capitulo 2—Gobierno y Ge
2.14.3 CASO DE ESTUDID C
Se pidio a un auditor de SI revisar la
alineacion entre las metas de la TI y del
negocio en una institucian financiera
pequelia. El auditor de SI solicits')
diversas informaciones, incluidos los
objetivos y las metas del negocio y los
objetivos y las metas de TI. El auditor de
SE encontre) que las metas y los objetivos
del negocio se limitaban a una pequeria
lista con vilietas, mientras que las metas y
los objetivos de la.TI se limitaban a
diapositives utilizaclas en reuniones con el
CIO (el Cl() presenta los reportes al CFO).
Tambien se encontro en Ia information
proporcionada que durance los filtimos
dos aiios, el comite de gestion de riesgos
(conformado por Ia alta direction) solo se
reunio en tres oportunidades y no se
levanta acta de lo que se discutio en esas
reuniones. Cuando se compare) el
presupuesto de la TI para el siguiente aria
con los planes estrategicos para Ia Tl, se
evidencio que muchas de las iniciativas
mencionadas en los planes para el alio
siguiente no se incluyeron en el
presupuesto de ese are.
 actividades represents la MAYOR
e SI? PREGUNTAS DEL CASO DE ESTUDIO C
Cl. 4Cual de los siguientes aspectos seria de MAYOR preocupaciOn
des de usuarios solo se guardan para el auditor de SI?

ecial accedera al sistema de A. Los documentos de estrategias son informales y

ecial puede alterar los archivos
ades.
probando e implementando
ciones seria la MAS efectiva pare
a cuenta de usuario con privilegios
el ID de usuario especial, salvo
enimiento.
ualquier utilized& de Ia cuenta de
l acuerdo de modo que se realice
e debe probar y aprobar antes
estan incompletos.
0. El comite de gestion de riesgos rara vez se reline y no
levanta actas.
B. Los presupuestos no parecen sec adecuadas pare
respaldar las futures inversiones en TI.
C. El CIO entrega reportes al CFO.
C2. zCual de los siguientes problems seria MAS importante hater?
A. La culture prevalente dentro de la TI.
0. La carencia de politicas y procedimientos para la
tecnologia de to inforrnacidn.
A. Las practices de Ia gestion de riesgos en
comparaciOn con organizaciones similares.
B. La estructura jerarquida pare Ti.
Ver las respuestas y explicaciones a las preguntas del caso de estudio al final
del COMO (pagina 137).

Ver las
respuestas y
explicaciones
a las
preguntas del
caso de
estudio al
final del
Roltulo
(pagina t31),
 Manual de Preparation at Examen CISA 2015 135
ISACA. Todos los derechos reservados_

Yu
 Capitulo 2—Gobierno y Gestidn de 71 Section Dos: Contenido CISA

2.14.4 CASO DE ESTUDIO D -; PREGUNTAS DEL CASO DE ESTUDIO 0

Un auditor de SI esta auditando las Dadas las circunstancias descritas, zcual seria la MAYOR
practicas de gobierno de TI de una 01.
preoeupacion desde Ia perspective de gobierno de TI?
organizacien. Durante el curse del
trabajo, se observa que la organizaciain A. La organizaciOn no tiene un CIO de tiempo completo.
no tiene un director general de B. La organizaciOn no tiene un corned de direccion de T
informacien (CIO) de tiempo completo. C. El consejo de Ia organizaciOn juega un rol fundament
El organigrama de la entidad pace el monitoreo de las iniciativas de TI.
posible que tin gerente de sistemas de D. El gerente de los sistemas de informaciOn entrega
informaciOn presente reportes al reportes al CFO.
director general de finanzas (CFO),
quien a su vez entrega reportes al 02. Dado el case, zeta seria Ia MAYOR preocupacidn desde
consejo de direcciOn. El consejo juega una perspective de segregacian de funciones?
un papel fundamental en el monitoreo
de las iniciativas de Tl en la entidad y A. Se exige a los programadores de aplicaciones canter
el CFO comunica el progreso de las aprobaciOn solamente del DBA para obtener acceso d
iniciativas de T1 con frecuencia. A de escritura a los datos.
partir de la revision de Ia matriz de B. Se exige a los programadores de aplicaciones entrega
segregacion de funciones, es evidente el cocligo de programaciOn desarrollado al bibliotecar
que solo se exige a los programadores de programas para su migracion a production.
de aplicaciones obtener Ia aprobacien C. El departamento de auditoria interne reporta al CFO.
del administrador de Ia base de datos D. Se requiere que solo los gerentes del negocio apru
(DBA) para acceder direclamente a los las revisiones del desempeno del negocio.
datos de production. Tambien se 03. 4Cual de las siguientes situaciones trataria de MEJOR m
observa que los programadores de Ia integridad de los dates desde una perspective de cont
aplicaciones tienen que proporcionar el de mitigaciOn?
codigo de programacion desarrollado al
bibliotecario de programas, quien luego A. Se exige a los programadores de aplicaciones Ia proba
se encarga de migrarlo a production. del DBA para obtener acceso directo a los dates.
Las auditorias de los sistemas de B. Se exige a los programadores de aplicaciones entregar
informaciOn son la responsabilidad del codigos de programacion desarrollados al bibliotecario
departamento de auditoria interns, que programas pare que los transfiera a production.
entrega reportes al CFO al final de cada 0. El departamento de auditoria interne reporta al CFO.
mes coma parte del proceso de revision C. Se requieren los resultados del desemperio del negoc
del desempefio del negocio. Los para su revision y aprobacion per parte de los gerente
resultados de indole financiera de la Sabre
Con baseIa
delbase
en Iade la informaciOn
informacion
negocio. anterior,
anterior e,CualzCual
de to de lo
entidad se revisan exhaustivainente siguiente deberia recomendar el auditor IS con respecto
para que luego los gerentes de negocio aalIahotrecuperaciOn
site? de Ia sucursal?
confirmen que los datos son corrector. El numero de escritorios en sucursales
el hot site deberia elevarse
A.
A. Ariadir cada una de las al contrato
aexistents
750. del hot site.
B. Deberian
B. Garantizaranadirse
que lasen sucursales
el contrato de hot site
tengan la
otros 35 servidores.
capacidad suficiente para respaidarse entre si.
C. Todos
C. Reubicarlostodos
medios de respaldo
los servidores deberian
de correo y
guardarse
archivos oen el hot site
impresion depara acortaren
la sucursal el RTO.
el centro de
datos.
D. Los requerimientos sabre el escritorio y el
D. Anadirdel
equipo capacidad al hot site
servitor contratadorevisarse
deberian
 2.14.5
Vet las respuestas y explicaciones a las preguntas del caso CASO
de esfudlo al finalDE
del ESTUDIO E
capihilo (pagina 137). Una organizaciOn esta desarrollando
planes revisados de continuidad de
negocios (BCP) y de recuperation en
caso de desastre (DRP) para su sede y
red de 16 sucursales. Los planes actuales
no se hart actualizado en alas de ocho
2.
arlos, tiempo durante el cual Ia
organizaciOn ha crecido
DI
aproximadamente Inas de 300 por RI
ciento. En la sede trabajan
aproximadamente 750 empleados. Estas
personas se conectan por una red de area A
local a un conjunto de rues de 60
servidores de aplicaciones, bases de
datos e impresoras de archives, que se
encuentran ubicados en el centre de
datos de Ia organizaciOn y per una red
de frame relay a las sucursaies. Los
usuarios itinerantes tienen acceso remote
a los sistemas corporativos al conectarse
a Internet a tmves de Ia conexion
privada virtual. Los usuarios, Canto en Ia
sede come en las sucursales tienen
acceso a Internet a traves de un
cortaluegos (firewall) y servidor proxy
localizados en el centre de dates. Las
aplicaciones criticas tienen un objetivo
de tiempo de recuperation (RTO) entre
tres y cinco dias. Las sucursales estan A
separadas entre si a una distancia entre
48 y 80 kilemetros, no estando ninguna a
menos de 40 kilOmetros de la sede.
Cada sucursal tiene entre 20 y 35
empleados alas un servidor tie correo y
un servidor de archivo o impresion. Los
medios de respaldo para el centro de
dates se almacenan en una instalacion
ajena, a 56 kilometres de distancia. Los
respaldos para los servidores que Sc
encuentran ubicados en las sucursales se
guardan en las sucursales cercanas por
medic) de acuerdos reciprocos entre las
oficinas. Los contratos actuales con tut E
tercero proveedor de hot site
comprenden 25 servidores, espacio para
 el area de trabajo cquipado con El.
computadoras de escritorio para albergar
a 100 personas, y un acuerdo aparte para
enviar pasta dos servidores y 10
computadoras de escritorio a cualquier
sucursal que se declare en emergencia.
El contrato tiene una duraciOn de tres
alios, con mejoras al equipo al moment()
de la renovation. El proveedor de hot
site tiene multiples instalaciones en todo
el pais, en case de que otro cliente este
haciendo use de la instalacien primaria o
esta se inutilice a causa de crrt desastre.
E2.
Es el dcseo de la alts gerencia que una
eventual mejora sea lo mils rentable
posible.

PREGUNTAS DEL CASO DE ESTUDIO E

firer las respuestas y explicaciones a las

preguntas del caso de estudio al final del
capitulo (Opine 1381.

136 Manual de Preparacidn al Examen CISA 2015

ISACA. Todos los derechos reservados.
LISA 41fied.tiritm..Pa" Seccion Dos: Contenido Capitulo 2

2.15 RESPUESTAS A Al. A Tres dias habiles para

eliminar la cuenta de un
PREGUNTAS DE CASOS empleado despedido
DE ESTUDIO crearia un riesgo
inaceptable para la
organization. Mientras
RESPUESTAS A LAS tante, se podria hater un
PREGUNTAS DEL CASO dalio significativo. En
contraste, algim grado
DE ESTUDIO A de aviso por adelantado
 antes de una visits al exposition significativa.
establecimiento es
generalmente aceptado RESPUESTAS A LAS
dentro de la industria.
Tambien, no todo PREGUNTAS DEL CASO
contratista tendra su DE ESTUDIO B
propia lunch:in interne de
131 C Debido a gut: el 1D de
auditoria o auditor de SI.
superusuario poste acceso
El poner el software en
custodia de un tercero es para la lectura y
primariamente de escritura de todos los
archivos, no existe
importancia cuando se
manera de asegurar que
trata con software de
los registros de
aplicacian de clientes,
actividades no se han
donde hay una necesidad
modificado para ocultar
de almacenar una copia
las actividades no
del cc digo fuente con un
autorizadas del
tercero. El software de
proveedor. El acceso
sistema operativo para los
remoto no representa
sistemas operativos
mayor inquietud siempre
comerciales generalmente
y cuando la conexien se
disponibles no requeriria
establezca a Waves de
custodia del software.
una linea encriptada, y
las pruebas e
A2. A Como la conectividad con
implementation de
los servidores es por
parches a los servidores
Internet, Ia prohibition
sea parte del soporte
contra encriptacion
suministrado por el
fuerte pondra en riesgo
proveedor. A pesar de
cualquier dato
que una retention del
transmitido. La rcgistro por 90 dias
limitation de pudiera no ser suficiente
responsabilidad es una en algunas situaciones de
practica estandar de la negocio, no representa
industria. A pesar de un problema grave, ya
que no realizar que es un hecho que el
verificaciones de proveedor puede alterar
antecedentes para los los registros de
empleados contratados actividades.
hace mss de tres aiies es
de importancia, no es
un aspecto tan
significativo. Actualizar
el software de sistema
una vez cada seis meses
no presenta ninguna
B2. A H control MAS efectivo y
practice en esta
situacian es bloquear la
cuenta de usuario C2.
especial cuando no se procedimientos 'lace
necesite. La cuenta se
debe abrir anicamente
cuando el proveedor
necesita acceso para
suministrar soporte, pero
se debe cerrar
inmediatamente despues
de usarla. Se deben
registrar todas las
actividades y revisar si RESPUESTAS A LAS
son apropiadas. Las otras
opciones no son tan PREGUNTAS DEL CASO
efectivas o practicas para DE ESTUDIO D
reducir el riesgo.
D I . I)
RESPUESTAS A LAS
PREGUNTAS DEL CASO
DE ESTUDIO C
C]. a El hecho de que el
comite de gestion de dew
se reline con poca
frecuencia y, cuando lo
hace, no se levantan
actas es la mayor
preocupacien. Las pocas
reuniones de Ia alta
direction para discutir
problemas relacionados
con riesgos clave y la
falta de actas, que
penuiten el seguintiento,
anedisis y compromiso,
indican una falta grave
de gobierno. Las otras
opciones no son tan
graves en lo que se
refiere a su impacto
potencial sobre la
organization.
B La ausencia de politicas y
dificil, a veces
imposible, la
implementation de tin
gobierno de Ti efectivo.
Otros problemas son
secundarios en
comparacion.
Lo mans recomendable es
que el gerente de sistemas
de informaciOn entregue
reportes al eonsejo de
directores o al director
general ejecutivo (CEO)
para proporcionar un
grade suficiente de
independencia. La
estructura jerarquica que
requiere que el gerente de
sistemas de infonnacion
entregue reportes al CFO
no es Ia mss idonea y
podria comproineter
algunos controles.
D2. A Los
prograrnadores de
aplicaciones deberian
obtener Ia aprobacion de
los propietarios del
negocio antes de acceder
a los datos. Los DBA son
sinnplemente custodies
 de los datos y deberian
proporcionar acceso
imicamente despues que
el propietario de los
dates lo autorice.
D3. D La
aprobaciiin que dan los
gerentes del negocio a
los dates que contienen
los resultados
financieros al final de
Manual de Preparation al Examen C1SA 2015
iSACA. Todos los derechos reservados.
cads mes detectaria las
discrepancias
significativas que
generaria la
manipulacion no
autorizada de los dates
a traves de acceso
directo inadecuado de
los datos sin la
aprobacion o
conocimiento de los
gerentes del negocio.
137
Capitulo 2—Gobierno y Gesticin de Ti

Seccicin Dos: Contenido Inhxmake

cisA systems Audike

RESPUESTAS A LAS PREGUNTAS DEL CASO DE ESTUDIO E

4

2
3

a
3

1
2