Gtag 02 Global Technology Audit Guide

Global Technology Audit Guide GUIA 02: Cambiar y corregir administración de controles

Rol de CAE • Riesgos de TI forman parte del riesgo empresa, el CAE debe comprender los riesgos aun cuando no conozca el detalle. • Un pobre manejo del cambio: – – – – –

Cambios no autorizados. Tiempos de receso no planeados. Bajo resultado de los cambios. Grandes cambios de emergencia. Aplazar implementación de proyectos.

GTAG – Global Technology Audit Guide

Modelo de madurez Organization controls the changes:

Effectiveness

Changes control the organization:

3 - Closed-Loop Process • 15-35% of time spent on unplanned work 2 - Using Honor • Some ticketing / System workflow system in • 35-50% of time place spent on 1 - Reactive • Changes unplanned work • Over 50% of time documented and • Some technology spent on approved deployed unplanned work • Change success • You have the right rate is high • Chaotic vision but no environment; lots of • Service levels are accountability good & becoming fire fighting • Server-to-admin world class • MTTR is very long; ratio is way too • Server-to-admin poor service levels low ratio is good, but • Can only scale by • IT costs are too not BoB throwing people at high • IT costs are the problem • Process subverted improving Closed-Loop Using The Honor System by talking to the Reactive • Security incidents Change Mgt “right” people down

GTAG – the Global Technology Audit Based on IT Process Institute’s “Visible Ops”Guide Framework

4 - Continuously Improving • <5% of time spent on unplanned work • Change success rate is very high • Service levels are world class • IT operating costs are under control • Can scale IT capacity rapidly with marginal increases in IT costs • Change review and learning processes are in place • Able to increase capacity in a costContinuously effective way Improving

Posibles problemas • Ejecución y resultados inadecuados de software de aplicación. • Downtime de servicios vitales, tales como administradores de bases de datos, bases de datos, intranet, servicios web u otros relacionados. • Servicios no disponibles, aun por pequeños periodos de tiempo. GTAG – Global Technology Audit Guide

Rol del Auditor Interno • Asegurar que la administración tiene claros los riesgos involucrados o asociados a los cambios en los controles, los cuales (riesgos) pueden impedir el logro de los objetivos empresariales. Procesos robustos deben estar disponibles para administrar el riesgo de manera efectiva. GTAG – Global Technology Audit Guide

Ejemplos • Control preventivo: – Autorizaciones apropiadas. – Segregación de funciones. – Supervisiones.

• Control detectivo: – Detectar cambios no autorizados.

• Control correctivo: – Revisión de actividades generales (muestreo). – Revisión de actividades especificas

GTAG – Global Technology Audit Guide

Ejemplos • Preguntas al administrador de TI, tablas de paginas 20, 21, 22.

GTAG – Global Technology Audit Guide

¿Donde comenzar? • El Auditor Interno debe generar controles que permitan resguardar cuatro puntos clave: – Cumplimiento – Estrategia. – Reportes. – Operación.

• Control: – Preventivo, detectivo, correctivo. GTAG – Global Technology Audit Guide

Information System Auditing – Richard Cascarino GTAG – Global Technology Audit Guide

esquema • Preventivos: – Cambio de autorización: • Cambios documentados. • Detallar niveles de dueños de procesos.

– Separar roles: • Diferenciar niveles de autoridad. • Políticas claras de aprobación y cambios.

– Supervisión y control: • Respaldo de control sobre procesos. • Identificación individual de cambios. GTAG – Global Technology Audit Guide

• Detectivos: – Supervisión y control: • Registro automático de cambios en actividades o infraestructura. • Registro de cambios realizados y su aceptación.

– Conciliación entre presup. y real: • Alcance correcto. • Para trabajo correcto y necesario.

GTAG – Global Technology Audit Guide

• Correctivos: – Cada cambio es documentado en extenso. – Identificación de los riesgos. – Fallo, reparación y revisión de ciclos e infraestructura.

GTAG – Global Technology Audit Guide

¿Preguntas?

GTAG – Global Technology Audit Guide

SOX sección 404

GTAG – Global Technology Audit Guide