NCI Procesos: Tecnología de la Información

Summary

En esta sesión del módulo 2, se discuten las normas de control interno enfocadas en procesos tecnológicos, lideradas por Yael Ávila y Jorge Cortés. Se mencionan leyes y regulaciones como la Ley de Protección de Datos Personales y la Norma ISO 27001, que establecen requisitos para la seguridad de la información. Las normas 410, emitidas por la Contraloría General del Estado, incluyen 17 puntos que abordan desde la organización y gestión de la tecnología de la información hasta la seguridad y capacitación en firmas electrónicas. El objetivo es garantizar la seguridad, confidencialidad e integridad de la información, así como la efectividad de los controles de seguridad en entidades públicas y privadas que administran recursos públicos.

Takeaways

• 📜 La sesión 4 del módulo 2 se enfoca en las normas de control interno para la tecnología de la información.
• 👥 Yael Ávila y Jorge Cortés son los presentadores de esta sesión.
• 📚 Existen leyes y regulaciones como la Ley de Protección de Datos Personales y la Ley de Firma Electrónica que se aplican a la gestión de la información.
• 🌐 Normas como la ISO 27001 y la Norma COBIT establecen requisitos y objetivos de control para la seguridad de la información.
• 🔍 Las normas 410, emitidas por la Contraloría General del Estado, incluyen 17 normas específicas para la organización y gestión de la tecnología de la información en entidades públicas.
• 🏢 Las normas abarcan desde la organización y gestión de comités hasta la segregación de funciones y el desarrollo de políticas y procedimientos para la tecnología de la información.
• 🛡️ Las normas de control interno buscan garantizar la seguridad, confidencialidad, integridad, disponibilidad y privacidad de la información, así como la efectividad y eficiencia de los controles de seguridad.
• 🛠️ Se enfatiza la importancia de la gestión de riesgos y amenazas asociadas al uso de tecnologías de la información y la comunicación.
• 🔑 Las normas de control interno también abordan la importancia de capacitar a los empleados y terceros en controles de seguridad y cumplir con las políticas y procedimientos establecidos.
• 🔍 Se sugiere la implementación de controles técnicos y administrativos, como firewalls, antivirus, sistemas de detección de intrusos y políticas de contraseñas, para garantizar el cumplimiento de las políticas y procedimientos.
• 📝 Es fundamental monitorear y evaluar periódicamente los controles de seguridad implementados para mejorar continuamente la seguridad de la información.

Q & A

¿Qué se aborda en la sesión 4 del módulo 2?

En la sesión 4 del módulo 2 se abordan las normas de control interno con enfoque a procesos para la tecnología de la información.

¿Qué leyes y regulaciones son mencionadas en el guión como aplicables a la gestión de la información?

Se mencionan la Ley de Protección de Datos Personales, la Ley de Firma Electrónica y la Norma ISO 27001.

¿Cuál es el propósito de la Norma ISO 27001?

La Norma ISO 27001 establece los requisitos para el sistema de gestión de seguridad de la información.

¿Qué normas de control interno son emitidas por la Contraloría General del Estado y cuáles son sus áreas de aplicación?

Las normas de control interno emitidas por la Contraloría General del Estado son las normas 410, que abarcan 17 normas desde la 4101 a la 4105, y se aplican a la organización, gestión, seguridad y comunicación de la tecnología de la información.

¿Qué áreas específicas se cubren en las normas 4101 a 4105?

Las normas 4101 a 4105 definen cómo las entidades públicas deben organizarse, gestionar comités, segregar funciones, contar con un plan estratégico, políticas y procedimientos aplicables a la tecnología de la información y comunicaciones.

¿Qué se refiere con 'Norma COVID' en el guión?

La 'Norma COVID' se refiere a los objetivos de control para la información y tecnología relacionada que proporciona un marco de referencia para la gestión y gobierno de los sistemas de información y tecnología.

¿Cuáles son los objetivos de las normas de control interno en términos de seguridad de la información?

Los objetivos de las normas de control interno son garantizar la seguridad, confidencialidad, integridad, disponibilidad y privacidad de la información, así como la efectividad y eficiencia de los controles de seguridad en una organización.

¿Qué se espera que las organizaciones hagan con las normas de control interno para la tecnología de la información?

Se espera que las organizaciones implementen y mantengan los controles de seguridad de la información para garantizar que todos los empleados y terceros con acceso a los sistemas y la información estén capacitados y cumplan con las políticas y procedimientos establecidos.

¿Qué implica realizar una evaluación de riesgos asociada a los sistemas de información de la organización?

Realizar una evaluación de riesgos implica identificar los activos críticos, vulnerabilidades, amenazas potenciales e impactos que puedan tener sobre la organización, y definir políticas y procedimientos para mitigarlos.

¿Qué acciones se sugieren para mejorar la implementación de las normas de control interno?

Se sugieren acciones como la adquisición de software de seguridad, sistemas de detección de intrusos, respaldo y recuperación, y la incorporación de profesionales especializados en seguridad informática.

¿Qué aspectos se deben considerar para garantizar la correcta implementación de las normas de control interno para la tecnología de la información?

Para garantizar la correcta implementación, se deben considerar acciones y medios de verificación que brinden seguridad previo a la autorización de los procesos, alineación con planes y presupuestos institucionales, y procedimientos para controles de idoneidad y verificación de evidencia documental.