4. Dominio: Adquisición e implementación
Para llevar a cabo la
estrategia de TI, las soluciones de Ti deben ser identificadas, desarrolladas o
adquiridas, asi como implementadas e integradas dentro del proceso del negocio.
Además, este dominio cubre los cambios y el mantenimiento realizados a sistemas
existentes.
Procesos:
·
AI1 Identificación de Soluciones Automatizadas
Objetivo: Asegurar el
mejor enfoque para cumplir con los requerimientos del usuario
Para ello se realiza
un análisis claro de las oportunidades alternativas comparadas contra los
requerimientos de los usuarios y toma en consideración:
·
Definición de requerimientos de información para poder aprobar un
proyecto de desarrollo.
·
Estudios de factibilidad con la finalidad de satisfacer los
requerimientos del negocio establecidos para el desarrollo de un proyecto.
·
Arquitectura de información para tener en consideración el modelo de
datos al definir soluciones y analizar la factibilidad de las mismas.
·
Seguridad con relación de costo-beneficio favorable para controlar que
los costos no excedan los beneficios.
·
Pistas de auditoria para ello deben existir mecanismos adecuados. Dichos
mecanismos deben proporcionar la capacidad de proteger datos sensitivos (ej.
Identificación de usuarios contra divulgación o mal uso)
·
Contratación de terceros con el objeto de adquirir productos con buena
calidad y excelente estado.
·
Aceptación de instalaciones y tecnología a través del contrato con el
Proveedor donde se acuerda un plan de aceptación para las instalaciones y
tecnología especifica a ser proporcionada.
·
AI2 Adquisición y mantenimiento del software aplicativo
Objetivo: Proporciona
funciones automatizadas que soporten efectivamente al negocio.
Para ello se definen
declaraciones específicas sobre requerimientos funcionales y operacionales y
una implementación estructurada con entregables claros y se toma en
consideración:
·
Requerimientos de usuarios, para realizar un correcto análisis y obtener
un software claro y fácil de usar.
·
Requerimientos de archivo, entrada, proceso y salida.
·
Interfase usuario-maquina asegurando que el software sea fácil de
utilizar y que sea capaz de auto documentarse.
·
Personalización de paquetes
·
Realizar pruebas funcionales (unitarias, de aplicación, de integración y
de carga y estrés), de acuerdo con el plan de prueba del proyecto y con los
estándares establecidos antes de ser aprobado por los usuarios.
·
Controles de aplicación y requerimientos funcionales
·
Documentación (materiales de consulta y soporte para usuarios) con el
objeto de que los usuarios puedan aprender a utilizar el sistema o puedan
sacarse todas aquellas inquietudes que se les puedan presentar.
·
AI3 Adquisición y mantenimiento de la infraestructura tecnológica
Objetivo:
Proporcionar las plataformas apropiadas para soportar aplicaciones de negocios
Para ello se
realizara una evaluación del desempeño del hardware y software, la provisión de
mantenimiento preventivo de hardware y la instalación, seguridad y control del
software del sistema y toma en consideración:
·
Evaluación de tecnología para identificar el impacto del nuevo hardware
o software sobre el rendimiento del sistema general.
·
Mantenimiento preventivo del hardware con el objeto de reducir la
frecuencia y el impacto de fallas de rendimiento.
·
Seguridad del software de sistema, instalación y mantenimiento para no
arriesgar la seguridad de los datos y programas ya almacenados en el mismo.
·
o
AI4 Desarrollo y mantenimiento de procedimientos
Objetivo: Asegurar el
uso apropiado de las aplicaciones y de las soluciones tecnológicas
establecidas.
Para ello se realiza
un enfoque estructurado del desarrollo de manuales de procedimientos de operaciones
para usuarios, requerimientos de servicio y material de entrenamiento y toma en
consideración:
·
Manuales de procedimientos de usuarios y controles, de manera que los
mismos permanezcan en permanente actualización para el mejor desempeño y
control de los usuarios.
·
Manuales de Operaciones y controles, de manera que estén en permanente
actualización.
·
Materiales de entrenamiento enfocados al uso del sistema en la práctica
diaria.
·
o
AI5 Instalación y aceptación de los sistemas
Objetivo: Verificar y
confirmar que la solución sea adecuada para el propósito deseado
Para ello se realiza
una migración de instalación, conversión y plan de aceptaciones adecuadamente
formalizadas y toma en consideración:
·
Capacitación del personal de acuerdo al plan de entrenamiento definido y
los materiales relacionados.
·
Conversión / carga de datos, de manera que los elementos necesarios del
sistema anterior sean convertidos al sistema nuevo.
·
Pruebas específicas (cambios, desempeño, aceptación final, operacional)
con el objeto de obtener un producto satisfactorio.
·
Acreditación de manera que la Gerencia de operaciones y usuaria acepten
los resultados de las pruebas y el nivel de seguridad para los sistemas, junto
con el riesgo residual existente.
·
Revisiones post implementación con el objeto de reportar si el sistema
proporciono los beneficios esperados de la manera mas económica.
·
o
AI6 Administración de los cambios
Objetivo: Minimizar
la probabilidad de interrupciones, alteraciones no autorizadas y errores.
Esto se hace posible
a través de un sistema de administración que permita el análisis,
implementación y seguimiento de todos los cambios requeridos y llevados a cabo
a la infraestructura de TI actual y toma en consideración:
·
Identificación de cambios tanto internos como por parte de proveedores
·
Procedimientos de categorización, priorización y emergencia de
solicitudes de cambios.
·
Evaluación del impacto que provocaran los cambios.
·
Autorización de cambios
·
Manejo de liberación de manera que la liberación de software este regida
por procedimientos formales asegurando aprobación, empaque, pruebas de
regresión, entrega, etc.
·
Distribución de software, estableciendo medidas de control especificas
para asegurar la distribución de software correcto al lugar correcto, con
integridad y de manera oportuna.
En este dominio se
hace referencia a la entrega de los servicios requeridos, que abarca desde las
operaciones tradicionales hasta el entrenamiento, pasando por seguridad y
aspectos de continuidad. Con el fin de proveer servicios, deberán establecerse
los procesos de soporte necesarios. Este dominio incluye el procesamiento de
los datos por sistemas de aplicación, frecuentemente clasificados como
controles de aplicación.
Procesos
·
Ds1 Definición de niveles de servicio
Objetivo: Establecer
una comprensión común del nivel de servicio requerido
Para ello se
establecen convenios de niveles de servicio que formalicen los criterios de
desempeño contra los cuales se medirá la cantidad y la calidad del servicio y
se toma en consideración:
·
Convenios formales que determinen la disponibilidad, confiabilidad,
desempeño, capacidad de crecimiento, niveles de soporte proporcionados al
usuario, plan de contingencia / recuperación, nivel mínimo aceptable de
funcionalidad del sistema satisfactoriamente liberado, restricciones (límites
en la cantidad de trabajo), cargos por servicio, instalaciones de impresión
central (disponibilidad), distribución de impresión central y procedimientos de
cambio.
·
Definición de las responsabilidades de los usuarios y de la función de
servicios de información
·
Procedimientos de desempeño que aseguren que la manera y las
responsabilidades sobre las relaciones que rigen el desempeño entre todas las
partes involucradas sean establecidas, coordinadas, mantenidas y comunicadas a
todos los departamentos afectados.
·
Definición de dependencias asignando un Gerente de nivel de Servicio que
sea responsable de monitorear y reportar los alcances de los criterios de
desempeño del servicio especificado y todos los problemas encontrados durante
el procesamiento.
·
Provisiones para elementos sujetos a cargos en los acuerdos de niveles
de servicio para hacer posibles comparaciones y decisiones de niveles de
servicios contra su costo.
·
Garantías de integridad
·
Convenios de confidencialidad
·
Implementación de un programa de mejoramiento del servicio.
·
o
Ds2 Administración de servicios prestados por terceros
Objetivo: Asegurar
que las tareas y responsabilidades de las terceras partes estén claramente
definidas, que cumplan y continúen satisfaciendo los requerimientos
Para ello se
establecen medidas de control dirigidas a la revisión y monitoreo de contratos
y procedimientos existentes, en cuanto a su efectividad y suficiencia, con
respecto a las políticas de la organización y toma en consideración:
·
Acuerdos de servicios con terceras partes a través de contratos entre la
organización y el proveedor de la administración de instalaciones este basado
en niveles de procesamiento requeridos, seguridad, monitoreo y requerimientos
de contingencia, así como en otras estipulaciones según sea apropiado.
·
Acuerdos de confidencialidad. Además, se deberá calificar a los terceros
y el contrato deberá definirse y acordarse para cada relación de servicio con
un proveedor.
·
Requerimientos legales regulatorios de manera de asegurar que estos
concuerde con los acuerdos de seguridad identificados, declarados y acordados.
·
Monitoreo de la entrega de servicio con el fin de asegurar el
cumplimiento de los acuerdos del contrato.
·
o Ds3 Administración de
desempeño y capacidad
Objetivo: Asegurar
que la capacidad adecuada está disponible y que se esté haciendo el mejor uso
de ella para alcanzar el desempeño deseado.
Para ello se realizan
controles de manejo de capacidad y desempeño que recopilen datos y reporten
acerca del manejo de cargas de trabajo, tamaño de aplicaciones, manejo y
demanda de recursos y toma en consideración:
·
Requerimientos de disponibilidad y desempeño de los servicios de
sistemas de información
·
Monitoreo y reporte de los recursos de tecnología de información
·
Utilizar herramientas de modelado apropiadas para producir un modelo del
sistema actual para apoyar el pronóstico de los requerimientos de capacidad,
confiabilidad de configuración, desempeño y disponibilidad.
·
Administración de capacidad estableciendo un proceso de planeación para
la revisión del desempeño y capacidad de hardware con el fin de asegurar que
siempre exista una capacidad justificable económicamente para procesar cargas
de trabajo con cantidad y calidad de desempeño
·
Prevenir que se pierda la disponibilidad de recursos mediante la
implementación de mecanismos de tolerancia de fallas, de asignación equitativos
de recursos y de prioridad de tareas.
Monitoreo
·
Ds4 Asegurar el Servicio Continuo
Objetivo: mantener el
servicio disponible de acuerdo con los requerimientos y continuar su provisión
en caso de interrupciones
Para ello se tiene un plan de continuidad probado y funcional, que esté
alineado con el plan de continuidad del negocio y relacionado con los
requerimientos de negocio y toma en consideración:
·
Planificación de Severidad
·
Plan Documentado
·
Procedimientos Alternativos
·
Respaldo y Recuperación
·
Pruebas y entrenamiento sistemático y singulares
·
o
Ds5 Garantizar la seguridad de sistemas
Objetivo:
salvaguardar la información contra uso no autorizados, divulgación,
modificación, daño o pérdida
Para ello se realizan
controles de acceso lógico que aseguren que el acceso a sistemas, datos y
programas está restringido a usuarios autorizados y toma en consideración:
·
Autorización, autenticación y el acceso lógico
junto con el uso de los recursos de TI deberá restringirse a través de la
instrumentación de mecanismos de autenticación de usuarios identificados y
recursos asociados con las reglas de acceso
·
Perfiles e identificación de usuarios estableciendo procedimientos para
asegurar acciones oportunas relacionadas con la requisición, establecimiento,
emisión, suspensión y suspensión de cuentas de usuario
·
Administración de llaves criptográficas definiendo implementando
procedimientos y protocolos a ser utilizados en la generación, distribución,
certificación, almacenamiento, entrada, utilización y archivo de llaves
criptográficas con el fin de asegurar la protección de las mismas
·
Manejo, reporte y seguimiento de incidentes implementado capacidad para
la atención de los mismos
·
Prevención y detección de virus tales como Caballos de Troya,
estableciendo adecuadas medidas de control preventivas, detectivas y
correctivas.
·
Utilización de Firewalls si existe
una conexión con Internet u otras redes públicas en la organización
Monitoreo
·
Ds6 Educación y entrenamiento de usuarios
Objetivo: Asegurar
que los usuarios estén haciendo un uso efectivo de la tecnología y estén
conscientes de los riesgos y responsabilidades involucrados
Para ello se realiza
un plan completo de entrenamiento y desarrollo y se toma en consideración:
·
Curriculum de entrenamiento estableciendo y manteniendo procedimientos
para identificar y documentar las necesidades de entrenamiento de todo el
personal que haga uso de los servicios de información
·
Campañas de concientización, definiendo los grupos objetivos,
identificar y asignar entrenadores y organizar oportunamente las sesiones de
entrenamiento
·
Técnicas de concientización proporcionando un programa de educación y
entrenamiento que incluya conducta ética de la función de servicios de
información
·
o
Ds7 Identificación y asignación de costos
Objetivo: Asegurar un
conocimiento correcto de los costos atribuibles a los servicios de TI
Para ello se realiza
un sistema de contabilidad de costos que asegure que éstos sean registrados,
calculados y asignados a los niveles de detalle requeridos y toma en
consideración:
·
Los elementos sujetos a cargo deben ser recursos identificables,
medibles y predecibles para los usuarios
·
Procedimientos y políticas de cargo que fomenten el uso apropiado de los
recursos de computo y aseguren el trato justo de los departamentos usuarios y
sus necesidades
·
Tarifas definiendo e implementando procedimientos de costeo de prestar
servicios, para ser analizados, monitoreados, evaluados asegurando al mismo
tiempo la economía
Monitoreo
·
Ds8 Apoyo y asistencia a los clientes de TI
Objetivo: asegurar
que cualquier problema experimentado por los usuarios sea atendido apropiadamente
Para ello se realiza
un Buró de ayuda que proporcione soporte y asesoría de primera línea y toma en
consideración:
·
Consultas de usuarios y respuesta a problemas estableciendo un soporte
de una función de buró de ayuda
·
Monitoreo de consultas y despacho estableciendo procedimientos que
aseguren que las preguntas de los clientes que pueden ser resueltas sean
reasignadas al nivel adecuado para atenderlas
·
Análisis y reporte de tendencias adecuado de las preguntas de los
clientes y su solución, de los tiempos de respuesta y la identificación de
tendencias
·
o Ds9 Administración de
la configuración
Objetivo: Dar cuenta
de todos los componentes de TI, prevenir alteraciones no autorizadas, verificar
la existencia física y proporcionar una base para el sano manejo de cambios
Para ello se realizan
controles que identifiquen y registren todos los activos de TI así como su
localización física y un programa regular de verificación que confirme su
existencia y toma en consideración:
·
Registro de activos estableciendo procedimientos para asegurar que sean
registrados únicamente elementos de configuración autorizados e identificables
en el inventario, al momento de adquisición
·
Administración de cambios en la configuración asegurando que los
registros de configuración reflejen el status real de todos los elementos de la
configuración
·
Chequeo de software no autorizado revisando periódicamente las
computadoras personales de la organización
·
Controles de almacenamiento de software definiendo un área de
almacenamiento de archivos para todos los elementos de software válidos en las
fases del ciclo de vida de desarrollo de sistemas
·
o Ds10 Administración
de Problemas
Objetivo: Asegurar
que los problemas e incidentes sean resueltos y que sus causas sean
investigadas para prevenir que vuelvan a suceder.
Para ello se necesita
un sistema de manejo de problemas que registre y dé seguimiento a todos los
incidentes, además de un conjunto de procedimientos de escalamiento de
problemas para resolver de la manera más eficiente los problemas identificados.
Este sistema de administración de problemas deberá también realizar un seguimiento
de las causas a partir de un incidente dado.
·
Ds11 Administración de Datos
Objetivo: Asegurar
que los datos permanezcan completos, precisos y válidos durante su entrada,
actualización, salida y almacenamiento.
Lo cual se logra a
través de una combinación efectiva de controles generales y de aplicación sobre
las operaciones de TI. Para tal fin, la gerencia deberá diseñar formatos de
entrada de datos para los usuarios de manera que se minimicen lo errores y las
omisiones durante la creación de los datos.
Este proceso deberá
controlar los documentos fuentes (de donde se extraen los datos), de manera que
estén completos, sean precisos y se registren apropiadamente. Se deberán crear
también procedimientos que validen los datos de entrada y corrijan o detecten los
datos erróneos, como así también procedimientos de validación para
transacciones erróneas, de manera que éstas no sean procesadas. Cabe destacar
la importancia de crear procedimientos para el almacenamiento, respaldo y
recuperación de datos, teniendo un registro físico (discos, disquetes, CDs y
cintas magnéticas) de todas las transacciones y datos manejados por la
organización, albergados tanto dentro como fuera de la empresa.
La gerencia deberá
asegurar también la integridad, autenticidad y confidencialidad de los datos
almacenados, definiendo e implementando procedimientos para tal fin.
·
Ds12 Administración de las instalaciones
Objetivo:
Proporcionar un ambiente físico conveniente que proteja al equipo y al personal
de TI contra peligros naturales (fuego, polvo, calor excesivos) o fallas
humanas lo cual se hace posible con la instalación de controles físicos y
ambientales adecuados que sean revisados regularmente para su funcionamiento
apropiado definiendo procedimientos que provean control de acceso del personal
a las instalaciones y contemplen su seguridad física.
·
Ds13 Administración de la operación
Objetivo: Asegurar
que las funciones importantes de soporte de TI estén siendo llevadas a cabo
regularmente y de una manera ordenada
Esto se logra a
través de una calendarización de actividades de soporte que sea registrada y
completada en cuanto al logro de todas las actividades. Para ello, la gerencia
deberá establecer y documentar procedimientos para las operaciones de
tecnología de información (incluyendo operaciones de red), los cuales deberán
ser revisados periódicamente para garantizar su eficiencia y cumplimiento.
Todos los procesos de
una organización necesitan ser evaluados regularmente a través del tiempo para
verificar su calidad y suficiencia en cuanto a los requerimientos de control,
integridad y confidencialidad. Este es, precisamente, el ámbito de este
dominio.
Procesos