La falta de personal cualificado del área TIC preocupa a las empresas.

La falta de personal del área de tecnologías de información, los obstáculos en la prestación de los servicios, y la dificultad de probar el valor de las TIC son cuestiones que continúan preocupando a los ejecutivos de las organizaciones de todo el mundo, según un informe emitido por el Instituto de Gobernabilidad de Tecnología de Información, ITGI, entidad independiente y sin fines de lucro, establecido por la ISACA, Asociación de Auditoría y Control de Sistemas de Información.

El ITGI realizó una encuesta global entre directores ejecutivos y directores de información en 23 países, con el fin de determinar las prioridades de los ejecutivos en cuanto a la gobernabilidad de TI y los problemas relacionados con ésta que sus organizaciones deben enfrentar. De acuerdo con el Informe sobre el Estado Global de la Gobernabilidad de TI 2008, el 58% de los encuestados advirtió que la cantidad de personal en dicha área es insuficiente en comparación con el 35% registrado en 2005. Además, el 48% expresó que las dificultades en la prestación del servicio de TI continúan siendo el segundo problema más común, mientras que el 38% señaló que los problemas relacionados con el personal tienen que ver con la ausencia de aptitudes adecuadas. Un 30% de los encuestados también informó dificultades relacionadas con la previsión del retorno sobre la inversión (ROI) para los gastos de TI.

Documentos y novedades sobre Seguridad de la Información.

Este blog, según el subtitulo de la cabecera pretende abarcar la áreas de la Sociedad de la Información, Telecomunicaciones e Internet, Nuevas Tecnologías y Seguridad de la Información. Pero parece ser, al número de entradas me remito, que son los dos primeros temas los que más están presentes en estas páginas. Y eso que mi actividad profesional, en los últimos meses esta mas volcada a Internet y a la Seguridad de la Información.

En esta ocasión voy a relacionar algunas novedades relativas a la Seguridad y que ido enterándome, en ocasiones, por la lectura de mis blogs favoritos, o revisando correos atrasados.

Los jóvenes entre 16 y 24 años acceden más frecuentemente a Internet que a la televisión.

Según el estudio europeo Mediascope, publicado recientemente por la Asociación Europea de Publicidad Interactiva, EIAA, el 57% de la población europea ahora accede regularmente a Internet cada semana. Por primera vez, los jóvenes entre 16 y 24 años acceden más frecuentemente a Internet que ven la televisión, el 82% de estos jóvenes usa Internet entre 5 y 7 días a la semana mientras que sólo el 77% ve la televisión regularmente, un descenso del 5% desde el último año.

Según el estudio, los jóvenes entre 16 y 24 años también gastan un 10% más de tiempo navegando en Internet más que frente al televisor y casi la mitad (48%) declaran que el consumo de televisión se ha visto reducido como resultado directo del uso de Internet. En España, los jóvenes gastan un 22% más de su tiempo navegando en Internet que viendo la TV.

IT Governance Institute lanza nueva guía de riesgo empresarial para organizaciones afectadas por el acuerdo Basilea II.

La identificación y cálculo de los riesgos operaciones son enormes retos para los bancos y las organizaciones de servicios financieros. Con el fin de ayudar a las organizaciones a que cumplan estos retos, la organización independiente y sin ánimo de lucro IT Governance Institute, ITGI, ha publicado la nueva guía titulada “IT Control Objectives for Basel II: The Importance of Governance and Risk Management for Compliance”. (Objetivos de Control TI para el acuerdo Basilea II: La importancia del gobierno corporativo y de la gestión del riesgo para el cumplimiento normativo).

La guía, desarrollada por personas de diversas organizaciones de servicios financieros y asesores bancarios, imita el formato y objetivo de la publicación de ITGI, IT Control Objectives for Sarbanes-Oxley. (Objetivos de control TI para la Sarbanes-Oxley). Ver la entrada anterior: Objetivos de Control para la Sarbanes-Oxley.

ISACA promueve una nueva certificación para los profesionales de la Seguridad.

Con el objetivo de satisfacer las crecientes demandas del mundo empresarial relacionadas con la gobierno de las tecnologías de la información, promover una gestión de buenas prácticas en la gobierno de las TI y ofrecer un reconocimiento a los profesionales calificados en el gobierno de las TI, la Asociación para la Auditoría y Control de Sistemas de Información, ISACA, ha desarrollado una nueva certificación: el Certificado de gobierno de tecnología de la información empresarial, CGEIT.

Con el respaldo del Instituto de Administración de las Tecnologías de la Información, ITGI, y basándose en los conocimientos de expertos en la materia provenientes de todo el mundo, el certificado CGEIT se centra en las cinco áreas del conocimiento del gobierno TI: alineamiento estratégico, gestión de recursos, gestión de riesgos, medición del rendimiento y oferta de valor, así como en normas que respaldan el buen gobierno de las TI (COBIT e ITIL). El certificado fue diseñado para profesionales que desempeñen un importante rol en las áreas de gestión, asesoramiento o auditoría relacionado con el gobierno de las TI y que deseen ser reconocidos por sus conocimientos y experiencia en este campo.

El Marco de Trabajo de COBIT.

El pasado mes de mayo, se publicó la versión 4.1 de COBIT^*1, Objetivos de Control para Tecnologías de la Información y Relacionadas, que es un conjunto de mejores prácticas para en la seguridad de la Información creado por la Asociación para la Auditoría y Control de Sistemas de Información. ISACA^*2, y el Instituto de Administración de las Tecnologías de la Información, ITGI^*3. Proporciona un estándar internacional de prácticas aprobadas mundialmente que ayudan a la alta dirección, ejecutivos y administradores a incrementar el valor de las Tecnologías de la Información, TI, y a reducir los riesgos del negocio. Facilita un conjunto de buenas prácticas a través de un marco de trabajo de dominios y procesos, y presenta las actividades en una estructura manejable y lógica.

COBIT 4.1 es una actualización significativa del marco que asegura que las TI estén alineadas con los objetivos de negocio, sus recursos sean usados responsablemente y sus riesgos administrados de forma apropiada. COBIT 4.1 representa una mejora indiscutible de la versión COBIT 4.0 del estándar.

Val IT - Valor Empresarial. Gobernabilidad de las inversiones en TI.

Es un marco que se basa en COBIT y ofrece prácticas y pautas generalmente aceptadas para ayudar a las Organizaciones a alcanzar la máxima rentabilidad de la inversión para las Tecnología de la Información. El marco esta elaborado por IT Governance Institute, organización independiente y sin fines lucro fundada en 1998 para promover los estándares y la conciencia internacional en la dirección y el control de la tecnología de la información en las empresas. ITGI es la entidad de investigación afiliada a ISACA.

Esta metodología se basa en las decisiones de inversión y en la generación y control de los beneficios esperados, mientras que COBIT se focaliza en la ejecución. Val IT recomienda que los proyectos TI se organicen como una cartera de inversiones, alcancen un valor comercial y sean supervisados durante su ciclo de vida económico.

Basándose en COBIT (Objetivos de Control para la Tecnología de la Información) le complementa desde una perspectiva comercial y financiera. COBIT establece las mejores prácticas para los medios de creación de valor y las añade a los procesos para conseguir el fin. Val IT ofrece pautas sobre el proceso de toma de decisión en materia de inversión en TI y cómo aumentar el valor de las inversiones en TI.

Val IT incluye un marco de TI, un caso comercial y un estudio de caso de la vida real de la entidad  financiera ING.

Objetivos de Control para la Sarbanes-Oxley.

ISACA ha publicado la segunda edición de la guía IT Control Objectives for Sarbanes-Oxley. Está especialmente orientado a la Gerencia, gestores de TI, así como profesionales de la Auditoría en general, que tengan que tratar con procesos de validación y conformidad de la Ley Sarbanes-Oxley (SOX).

La fuente de este documento es COBIT 4.0 y ofrece una guía sobre que elementos se necesitan y cómo ver y adaptar sus controles.

El nuevo texto de 128 páginas, incorpora:

• Un mayor enfoque en la monitorización y la asesoría de riesgos.
• Asesoría especializada en definir y priorizar controles relevantes.
• Especificaciones para identificar y organizar controles de aplicación y aplicar casos de negocio para su utilización.
• Un plan de acción simplificado.
• Una referencia directa a los procesos del COBIT 4.0
• Una incursión al manejo de conflictos de personal y culturales para resaltar los factores humanos que se deben considerar referentes a Sarbanes-Oxley.

Esta segunda edición contiene la actualización necesaria a raíz de los cambios importantes introducidos por SEC (U.S. Securities and Exchange Commission) y la PCAOB (The Public Company Accounting Oversight Board), al emitir dictámenes que complementan aspectos con implicación, entre otros, en la gestión de riesgo, los controles de aplicación y la evaluación de deficiencias.

SOX

La Ley Sarbanes-Oxley esta vigente en Estados Unidos desde el año 2002 y su propósito es fortalecer los gobiernos Corporativos (de las Sociedades Anónimas) y restituir la confianza de los inversionistas. Es ley fue promovida por el Senador, Paul Sarbanes y el Representante, Michael Oxley.

Compuesta por 11 títulos, obliga a requisitos rígidos para la contabilidad de las empresas. Los diversos títulos y secciones de SOX definen las responsabilidades de administración en los reportes anuales y semestrales, el ambiente del control, gestión de riesgo, el monitoreo y la medición de las actividades de control. La organización encargada de implementar esta ley y verificar su cumplimiento es la SEC.

La ley también obliga a las compañías extranjeras que cotizan en las bolsas de Estados Unidos y añade nuevas obligaciones para la administración y las empresas de Auditoria.

Existen 3 secciones que involucran directamente a los departamentos de TI, la 302, 404 y 409:

La cláusula 302. Habla de la obligación de generar informes donde se muestre el resultado financiero de la empresa y que este debe de estar avaluado en cuanto a su integridad.

La cláusula 404. Obliga a la existencia de procedimientos y políticas que aseguren la integridad de la información así como la disponibilidad de ella y se refiere a normas para mantener la documentación de los sistemas al día y mecanismos para controlar las modificaciones que sufren los sistemas.

La cláusula 409. Indica que toda organización debe de notificar en menos de 48 hrs. cuando uno de los procesos de la cadena de proveedores no va a ser entregado a tiempo y esto afecte de manera seria a las ventas de la organización.

Esta ley no sólo obliga a la alta Gerencia a establecer los adecuados controles internos, sino que cuenta con una sección de normas y reglas que dispone que los Auditores deben incluir en sus trabajos:

• El alcance de las pruebas del auditor de la estructura de control interno.
• Los hallazgos del auditor con respectos a dicha pruebas.
• La evaluación de la estructura de control.