Un estándar para el gobierno de los Sistemas de Información: COBIT

Hemos hablado en post previos acerca de estándares para la Gestión de Proyectos, pero en los últimos años ha aparecido un nuevo modelo para el control y administración de los mismos y que supone una pequeña antítesis a PMBOK y similares, COBIT.

COBIT (Control OBjectives for Information and related Technology u Objetivos de Control para tecnología de la información y relacionada) es un modelo para el Gobierno de la TI desarrollado por la Information Systems Audit and Control Association (ISACA) y el IT Governance Institute (ITGI), y cuyo principal objetivo consiste en proporcionar una guía a alto nivel sobre puntos en los que establecer controles internos con tal de:

• Asegurar el buen gobierno, protegiendo los intereses de los stakeholders (clientes, accionistas, empleados, etc.).
• Garantizar el cumplimiento normativo del sector al que pertenezca la organización.
• Mejorar la eficacia y eficiencia de los procesos y actividades de la organización.
• Garantizar la confidencialidad, integridad y disponibilidad de la información.

El estándar define el término control como: "políticas, procedimientos, prácticas y estructuras organizacionales diseñadas para proveer aseguramiento razonable de que se lograrán los objetivos del negocio y se prevendrán, detectarán y corregirán los eventos no deseables", por lo que abarca desde aspectos organizativos (p.ej. flujo para pedir autorización a determinada información, procedimiento para reportar incidencias, selección de proveedores, etc.) hasta aspectos más tecnológicos y automáticos (p.ej. control de acceso a los sistemas, monitorización de los sistemas mediante herramientas automatizadas, etc.).

Obviamente todo control tiene, por naturaleza, un objetivo, es decir el resultado deseable de una acción. En este caso, COBIT presenta 34 objetivos de nivel altos que cubren 215 objetivos de control clasificados en cuatro dominios: Planifica y Organiza, Adquiere y Pone en práctica, Entrega y Apoya, y Supervisa y Evalúa. Estos mismos dominios son los empleados para la clasificación de los procesos de negocio relacionados con las TI:

• Planificación y Organización
• Adquisición e Implementación
• Entrega y Soporte
• Supervisión y Evaluación

En definitiva, cada dominio contiene procesos de negocio (desglosables en actividades) para los cuales se pueden establecer objetivos de control e implementar controles organizativos o automatizados:

Por otra parte, la organización dispone de recursos (aplicaciones, información, infraestructura y personas) que son utilizados por los procesos para cubrir los requisitos del negocio:

• Efectividad (cumplimiento de objetivos).
• Eficiencia (consecución de los objetivos con el máximo aprovechamiento de los recursos).
• Confidencialidad.
• Integridad.
• Disponibilidad.
• Cumplimiento regulatorio.
• Fiabilidad.

Para finalizar, este estándar proporciona una serie de directrices a alto nivel para la definición y evaluación de todos los procesos de negocio relativos a los Sistemas de Información, compatibilizando su uso con otras guías o cuerpos de conocimiento más específicos (CMM, ITIL,...).