Proyecto de Auditoría de
Sistemas de Información
COBIT

D 1 = 1 1 P ro c e s o s D 2
A1 E va lu a r c o m o e s ta de fin id a
.
.
D2 .
.
.
. NewUs eCas e
A6
NewUs eCas e2

SOn 4
dominios
Procesar planificación y organización de
las TI (11p) (Dominio 1)
<<include>>
Procesar la adquision e implementacion
de la TI (6p) (Dominio 2)
<<include>>
Auditores de TI
Departamento de RRHH (personal,
todos los que trabajan)
Procesar prestaciones y sorporte de TI
(13p) (Dominio 3)
<<include>>
Procesar monitoreo y controlde TI (4p)
(Dominio 4)

D1P1. Definicion de un plan
<<include>> D1P2. Definicion de la
estrategico Arquitectura de la informacion
<<include>>
D1PO3: Determinar la
D1PO11: Administracion de Direccion Tecnologica
Calidad
<<include>>
<<include>>
D1PO4: Definicion dela
D1PO10: Administracion de Organizacion de TI
Proyectos
<<include>>
<<include>> DTI
D1PO5: Manejo de la
<<include>> Inversion
D1PO9: Evaluacion de
<<include>>
Riesgo
<<include>> <<include>>
D1PO8:Asegurar el D1PO6: Comunicacion de la
Cumplimientos con ... D1PO7: Administracion de Direccion y aspiraciones...
Recursos Humanos

DTI
Definir objetivos y necesidades de TI en funcion de los objetivos del negocio
1. Definir planes del TI Corto plazo (1 año)
Definir planes de TI a largo plazo (mas de un añor hasta 5)
Elaborar diagnostico Elaborafr Direccionamiento Elaborar
Elaborar diagnostico
de PETI de PETI a CP direccionamiento
de PETI a LP
Procesar el Inventario de Soluciones y Estructura del TI
Evaluar la Automatizacion Evaluar la Evaluar la
del Negocio funcionalidad Estabilidad
Evaluar Evaluar Evaluar L
Foda Costos Complejidad
Adaptar los planes de TI a largo plazo a
los cambios organizacionles
Estudio Oportuno de
factibilidad de TI

Documentacion consistente con las
necesidades de la informacion
Procesar diccionario de datos con actualizacion permanente en
funcion de las necesidades de la informacion
Procesar la ubicacion de datos en clases de informacion
Capacidad de adaptabilidad de la infraestructura de TI en funcion de los requerimiento del negocio
Arquitectura Direccion Estrategias
del Sistema tecnologica de migracion
Monitoreo de Desarrollos
Tecnológicos
Contingencias para evaluar la
ingraestructura de TI
Planes de
adquisición

Vigilar las actividades y servicios de información
Designar alos propietarios custodios
de los datos, definir sus funciones
Supervisar las funciones y
responsabilidades
Segregación
de funciones
Evaluacion de requerimientos
regularmente
A rntiv sd F ac m n yc n ld d s mo o d Rinnie s
lte a a e innia ieto otro e ee b ls s e F ac ro
Inetig rd rete
v s a ife n s Tmrc m b s e
o a o o ae l Raiz rru a(r,p d lo c s s
e l a tins ,r) e s oto J s a c s sy
utific r oto
a rntiv s
lte a a c n ld b s re l
otro e ae a aoia o c nla ativ a e
s c d s o s c id d s b nfic s
ee io

Alta Gerencia
Establecer y hacer cumplir
estandares de control interno
Asegurar y monitorear la duracción de la
implementación de sus politicas
Definir, documentar y mantener
una filosofía de calidad
Especificar el proposito y los
objetivos dentro de la organización

Maximizar las contribuciones del Personal a los procesos de TI
Definir técnicas solidas para la Satisfacer requerimientos del
administración del personal negocio
Procesar Reclutamiento y promoción
Aplicar criterios Considerar factores determinates, educación,
objetivos experiencia y responsabilidad
Evaluar requerimientos de
calificaciones
Evaluar niveles de incremento
de habilidad técnica
Constatar la frecuencia
de evaluaciones
Definición y mantenimiento de procedimientos para requerimientos externos
Revisiciones regulares Busqueda de Seguridad y ergonomía en
ante cambios eventuales asistencia legal el ambiente de trabajo
Privacidad en flujo
de datos externos

Identificar, defin yactu
ir alizar diferen tiposderiesgos
tes
Defin alcan lím
ir ces, ites Defin plandeaccción
ir Asegu con
rar trolesym edidas Aceptación iden
, tificacióny
deriesgosym etodología con riesgos
tra desegu ridadecon icas
óm lam ediciónderiesgos
Actualizar laevaluación M ediciónderiesgos
deriesgos cualitativosy/ocu titativos
an
Definir un marco de referencia general para administración de proyectos
Definir alcances, limites
y metodología
Evaluar los campos de la Evaluar implementar o
metodología modificar proyectos
Asignar responsabilidades y
autoridades en el personal
Evaluar fases del
proyecto
Implementar planes y metodologías de
aseguramiento de calidad
Emplear planes de pruebas,
entrenamiento y revisión

D ir estan
efin daresysistem deadm istracióndecalidad
as in
D iciónym ten ien deplandecalidad
efin an im to Metodologíasdel ciclodevida
D m taciónde
ocu en R ision yreportesde
ev es
P ov lafilosofía
rom er R ar el asegu ien decalidadel
ealiz ram to pru desistem
ebas as asegu ien decalidad
ram to
dem con u
ejora tin a losdiferen tiposdeactiv
tes idades
D2AI1 Identificacion de
soluciones Automatizadas
<<include>>
D2AI6 Administracion de los
Cambios D2AI2 Adquisicion y Mantenimiento
del Software Aplicativo
<<include>>
<<include>>
DTI
<<include>>
<<include>>
D2AI5 Instalacion y
Aceptacion de los Sistemas D2AI3 Adquisicion y Mantenimiento
de la Infraestructura Tecnologica
D2AI4 Desarrollo y
Mantenimiento de Procesos

Determinar Requerimientos de Informacion
para aprobacion de un proyecto
Analizar grado de satisfaccion de
los requerimientos del negocio
Arquitectura de Informacion
Modelado de datos Analizar la
al definir soluciones factibilidad
Controlar la seguridad en
relacion a costos-beneficios
Determinar mecanismos de
protecion de datos sensitivos
Contratar personal
Adquirir productos Adquirir productos en
de buena calidad excelente estado
Instalaciones y tecnologias
Elaborar contrato Acordar un plan
con proveedor de Aceptacion

Adquirir requerimientos del usuario
Realizar correcto Obtener software
analisis del usuario claro y eficaz
Requerimiento de Archivo
Verificar Procesar datos Emitir salida
entrada de entrada
Interfase usuario-maquina
Asegurar facil uso Generar Auto
del software documento
Personalizar
Paquetes
Realizar pruebas funcionales de acuerdo
con el plan de prueba del proyecto
Controlar aplicacion y
requerimientos funcionales
Documentar materiales de de
consulta y soporte para el usuario

Identificar y Evaluar tecnologia para el
impacto del nuevo hardware o software
Elaborar Mantenimiento
preventivo del hardware
Elaborar medidadas de seguridad
ante los datos almacenados
Elaborar manuales de Procedimientos
de usuarios y controles
Elaborar Materiales de
entrenamiento

Capacitar al personal de acuerdo al
plan de entrenamiento
Realizar actulizacion del sistema anterior al sistema nuevo
Conversion Cargar datos
Realizar pruebas especificas al sistema
Cambios Desempeño Aceptacion
Final
Producir Producto Operacional
satisfactorio
Acreditar pruebas y niveles de
seguridad para los sistemas
Realizar Reviciones
post-implementacion

Identificar cambios
Solicitudes de cambios
Procesar Procesar priorizacion y
categorizacion emergencia
Evaluar impacto que
provocaran los cambios
Autorizar cambios
Manejar liberacion de software
Regir procedimientos Asegurar Empaque
formales aprobacion
Entrega Pruebas de
regresion
Manejar Distribucion de Software
Establecer medidas Establecer lugar Establecer
de control correcto Tiempo

D3PS1: Definición de
niveles de servicio <<include>>
D3PS13: Administración de
<<include>> D3PS2:Administración de
la operación
servicios prestados por terceros
D3PS12: Administración de
las instalaciones
<<include>>
<<include>>
D3PS3: Administración de
desempeño y capacidad
D3PS11: Administración de
<<include>>
Datos
<<include>>
D3PS4: Asegurar el Servicio
DTI
<<include>> Continuo
D3PS10: Administración de
Problemas <<include>>
D3PS5: Garantizar la
seguridad de sistemas
D3PS9: Administración de la
configuración
<<include>>
<<include>>
<<include>>
<<include>>
D3PS7: Apoyo y asistencia
D3PS6: Educación y
a los clientes de TI
entrenamiento de usuarios
D3PS8: Apoyo y asistencia
a los clientes de TI

Definir y controlar las tareas y responsabilidades de las terceras partes para satisfacer los requerimientos del negocio
Realizar contratos entre la organizacion y el Realizar acuerdos
proveedor de la administracion de las instalaciones de confidencialidad
Monitorear la entrega Establecer requerimientos
de los servicios legales regulatorios

Controlar el manejo de capacidad para alcanzar el desempeño deseado
Verificar los requerimientos Realizar Monitoreo y reporte Utilizar herramientas de
de disponibilidad de los recursos de TI modelado apropiadas
Administrar la capacidad
Establecer proceso Realizar revision de desempeño y
de planeación capacidad de hardware
Prevenir perdida de
disponiblidad
Asegurar capacidad justificable
económicamente

Establecer un plan de continuidad que esté alineado al plan y requerimientos del negocio
Realizar planificación de Documentar todo el
severidad planeamiento
Establecer procedimientos
alternativos
Realizar pruebas y Realizar respaldos y
entrenamiento recuperación

Salvaguardar la información contra uso no autorizados
Restringir el uso de los Generar perfiles de Adm inistrar llaves
recursos de TI identificación de usuario criptográficas
Manejar, crear reporte y
U tilizar Redes seguimiento de incidentes
firew alls publicas?
Establecer medidas de control
y prevencion de virus

Asegurar que los usuarios hagan uso efectivo de las TI
Identificar las necesidades de Documentar las necesidades
entrenamiento de entrenamiento
Planeamiento de las sesiones de entrenamiento
Definir grupos Identificar
objetivo entrenadores
Organizar oportunamente las Asignar
sesiones entrenadores

Implementar Sistema de contabilidad
Registrar Calcular Asignar niveles de
Costos costos detalle requeridos
Identificar los costos atribuibles a los servicios de TI
Clasificar los elementos Establecer
sujetos a cargo politicas de catgo
Implementar procedimientos de Definir
costeo de prestar servicios tarifas

B r in d a r s o p o r te y a s e s o r ía a lo s c lie n te s d e T I
M o n ito r ie a r la s c o n s u lta s
d e c lie n te s
Pu e d en se r
r e s u e lta s ?
R e a s ig n a r a l n iv e l a d e c u a d o
p a r a a te n d e r la
G e n e r a r r e p o r te y a n á lis is d e
la s te n d e n c ia s

Administrar todos los activos de las TI
Registrar Administrar Cambios en
activos de TI la configuración
Establecer un área de Buscar software
almacenamiento de software no autorizado

Implementar un sistema de manejo de errores
Registrar problema Realizar seguimiento
presentado de las causas
Generar reporte
de solución

Asegurar que los datos cumplan el ciclo completo de entrada hasta la salida y
almacenamiento
Diseñar formatos Controlar los
de entrada documentos fuentes
Generar un registro fisico de Validar datos de
las transacciones entrada

Asegurara las funciones importantes de las TI
Calendarizar las Revisar
actividades de soporte perodicamente las TI
Documentar las
operaciones

Incrementar la confianza entre la organización y el cliente
Obtener certificación o Realizar evaluaciones
acreditación rutinarias