Gobierno de Tecnologas de Informacin

Security Governance
La Gobernanza es el conjunto de responsabilidades y prcticas
ejercidas por la Junta y la Gerencia Ejecutiva, con el objetivo de
proporcionar una orientacin estratgica, asegurando que los
Objetivos se alcancen, la determinacin de que los riesgos se
gestionan adecuadamente y la verificacin de los recursos de la
empresa, para que se utilicen con responsabilidad.
Todas las herramientas, el personal y los procesos de negocio,
necesarios para asegurar que la implementacin de seguridad sea
acorde a las necesidades especificas de la organizacin.
Esto
requiere
de
la
estructura
organizacional,
roles
y
responsabilidades, la medicin del desempeo, tareas definidas y
mecanismos de supervisin.

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

Security Governance (cont.)
La mayora de organizaciones hoy da, tienen muchas de las
piezas y partes de un Programa de Seguridad (polticas,
estndares, firewalls, personal de seguridad, IDS, etc), pero no
tienen el apoyo de Gerencia y la seguridad no ha afectado a toda
la organizacin.
La seguridad no es solamente un asunto de tecnologa y debe de
involucrar a toda la Organizacin.
Security Governance es un sistema coherente de los componentes
de seguridad integrados (Productos, Personal, Capacitacin,
Procesos, Polticas, etc), que existen para asegurar que la
organizacin sobreviva y prospere.
Para que haya gobernabilidad de la seguridad, debe haber algo
para gobernar. La coleccin de los controles que una organizacin
debe tener, se conocen colectivamente como un Programa de
Seguridad.
Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

Gobierno de TI ISO/38500:
La norma ISO/IEC 38500:2008 se public en junio de 2008,
basndose en la norma australiana AS8015:2005. Es la primera de
una serie sobre el Gobierno de TI.
Su objetivo es proporcionar un marco de principios para que la
direccin de las organizaciones los utilicen al evaluar, dirigir y
monitorizar el uso de las tecnologas de la informacin (TI's).
Est alineada con los principios de gobierno corporativo recogidos
en el "Informe Cadbury" y en los "Principios de Gobierno
Corporativo de la OCDE.

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

ISO/38500 Marcos de trabajo:

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

Alcance, aplicacin y objetivos

La norma se aplica al gobierno de los procesos de gestin de las
TI's, en todo tipo de organizaciones que utilicen las tecnologas de
la informacin, facilitando las bases para la evaluacin objetiva
del gobierno de TI.
Hoy en da, la tendencia
organizaciones, es creciente.

de

utilizacin

de

TI's

en

las

Dicha tendencia a utilizarla, genera la llamada dependencia

tecnolgica, la cual es ampliamente conocida en ciertos mbitos
de negocios, como en la banca, el comercio, la industria, entre
otros.

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

Beneficios de un buen Gobierno de TI

En cuanto a la conformidad de la organizacin con:
Los estndares de seguridad,
Legislacin de privacidad,
Legislacin sobre el SPAM,
Legislacin sobre prcticas comerciales,
Derechos de propiedad intelectual, incluyendo acuerdos de
licencia de software,
Regulacin medioambiental (ISO/14001),
Normativas sobre seguridad y salud laboral,
Legislacin sobre accesibilidad (de aplicacin local, regional,
etc),
Estndares de responsabilidad social.

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

Bsqueda del buen rendimiento de las TIs

En cuanto a la conformidad de la organizacin con:
Apropiada implementacin y operacin de los activos de TI,
Clarificacin de las responsabilidades y rendicin de cuentas en
el logro de los objetivos de la organizacin,
Continuidad y sostenibilidad del negocio,
Alineamiento de las TI's con las necesidades del negocio,
Asignacin eficiente de los recursos,
Innovacin en servicios, mercados y negocios,
Buenas
prcticas en las relaciones con los interesados
(stakeholders),
Reduccin de costos,
Materializacin efectiva de los beneficios esperados de cada
inversin en TI.

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

ISO/38500 - Definiciones
La norma incluye 19 definiciones de trminos, entre los que se
pueden destacar los siguientes:
Gobierno corporativo de TI (corporate governance of IT):

El sistema mediante el cual se dirige y controla el uso actual y

futuro de las tecnologas de la informacin.
Gestin (management): El sistema de controles y procesos
requeridos para lograr los objetivos estratgicos, establecidos por
la direccin de la organizacin. Est sujeta a la gua y
monitorizacin establecidas mediante el gobierno corporativo.
Interesado (stakeholder): Individuo, grupo u organizacin
que puede afectar, ser afectado, o percibir que va a ser afectado,
por una decisin o una actividad.

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

ISO/38500 Definiciones (cont.)

Uso

de TI (use of IT): Planificacin, diseo, desarrollo,

despliegue, operacin, gestin y aplicacin de TI para cumplir con
las necesidades del negocio. Incluye tanto la demanda como la
oferta de servicios de TI por unidades de negocio internas,
unidades especializadas de TI, proveedores externos y "utility
services" (como los que se proveen de software como servicio).
Conducta humana (human behavior): La comprensin de las
interacciones entre personas y otros elementos de un sistema,
con la intencin de asegurar el bienestar de las personas y el
buen rendimiento del sistema. Incluye la cultura, necesidades y
aspiraciones de las personas, como individuos y como grupo.

Curso: Seguridad de Sistemas

05/10/2016

Gobierno de Tecnologas de Informacin

ISO/38500 Principios
La norma define seis principios de un buen gobierno corporativo
de TI:
Responsabilidad: Todo el mundo debe comprender y aceptar
sus responsabilidades en la oferta o demanda de TI. La
responsabilidad sobre una accin debe llevar asociada la autoridad
para su realizacin.
Estrategia: La estrategia de negocio de la organizacin tiene en
cuenta las capacidades actuales y futuras de las TI. Los planes
estratgicos de TI satisfacen las necesidades actuales y previstas,
derivadas de la estrategia de negocio.
Adquisicin: Las adquisiciones de TI se hacen por razones
vlidas, basndose en un anlisis apropiado y continuo, con
decisiones claras y transparentes. Hay un equilibrio adecuado
entre beneficios, oportunidades, costos y riesgos, tanto a corto
como a largo plazo.

Curso: Seguridad de Sistemas

05/10/2016

10

Gobierno de Tecnologas de Informacin

ISO/38500 Principios (cont.)

Rendimiento: La TI est dimensionada para dar soporte a la

organizacin, proporcionando los servicios con la calidad

adecuada, para cumplir con las necesidades actuales y futuras.

Conformidad: La funcin de TI cumple todas las legislaciones y

normas aplicables. Las polticas y prcticas al respecto estn

claramente definidas, implementadas y exigidas.
Conducta humana: Las polticas de TI, prcticas y decisiones

demuestran respecto por la conducta humana, incluyendo las

necesidades actuales y emergentes de toda la gente involucrada.

Curso: Seguridad de Sistemas

05/10/2016

11

Gobierno de Tecnologas de Informacin

ISO/38500 Modelo
La

direccin
principales:

ha

de

gobernar

la

TI

mediante

tres

tareas

Evaluar: Examinar y juzgar el uso actual y futuro de las TI,

incluyendo
estrategias,
propuestas
y
acuerdos
de
aprovisionamiento (internos y externos).
Dirigir: Dirigir la preparacin y ejecucin de los planes y
polticas, asignando las responsabilidades al efecto. Asegurar la
transicin correcta de los proyectos a la produccin, considerando
los impactos en la operacin, el negocio y la infraestructura.
Impulsar una cultura de buen gobierno de TI en la organizacin.
Monitorizar:
Mediante sistemas de medicin, vigilar el
rendimiento de la TI, procurando que se ajuste a lo planificado y
asegurando que exceda lo ejecutado.

Curso: Seguridad de Sistemas

05/10/2016

12

Gobierno de Tecnologas de Informacin

ISO/38500 - Modelo

Curso: Seguridad de Sistemas

05/10/2016

13

Proyectos

Propuestas de Prcticas a desarrollar al finalizar este Tema:

1. Propuestas de Proyectos:

Discusin en clase sobre elementos generales y especficos de

este tema

Curso: Seguridad de Sistemas

05/10/2016

14