NCI Procesos: Tecnología de la Información
Summary
TLDREn esta sesión del módulo 2, se discuten las normas de control interno enfocadas en procesos tecnológicos, lideradas por Yael Ávila y Jorge Cortés. Se mencionan leyes y regulaciones como la Ley de Protección de Datos Personales y la Norma ISO 27001, que establecen requisitos para la seguridad de la información. Las normas 410, emitidas por la Contraloría General del Estado, incluyen 17 puntos que abordan desde la organización y gestión de la tecnología de la información hasta la seguridad y capacitación en firmas electrónicas. El objetivo es garantizar la seguridad, confidencialidad e integridad de la información, así como la efectividad de los controles de seguridad en entidades públicas y privadas que administran recursos públicos.
Takeaways
- 📜 La sesión 4 del módulo 2 se enfoca en las normas de control interno para la tecnología de la información.
- 👥 Yael Ávila y Jorge Cortés son los presentadores de esta sesión.
- 📚 Existen leyes y regulaciones como la Ley de Protección de Datos Personales y la Ley de Firma Electrónica que se aplican a la gestión de la información.
- 🌐 Normas como la ISO 27001 y la Norma COBIT establecen requisitos y objetivos de control para la seguridad de la información.
- 🔍 Las normas 410, emitidas por la Contraloría General del Estado, incluyen 17 normas específicas para la organización y gestión de la tecnología de la información en entidades públicas.
- 🏢 Las normas abarcan desde la organización y gestión de comités hasta la segregación de funciones y el desarrollo de políticas y procedimientos para la tecnología de la información.
- 🛡️ Las normas de control interno buscan garantizar la seguridad, confidencialidad, integridad, disponibilidad y privacidad de la información, así como la efectividad y eficiencia de los controles de seguridad.
- 🛠️ Se enfatiza la importancia de la gestión de riesgos y amenazas asociadas al uso de tecnologías de la información y la comunicación.
- 🔑 Las normas de control interno también abordan la importancia de capacitar a los empleados y terceros en controles de seguridad y cumplir con las políticas y procedimientos establecidos.
- 🔍 Se sugiere la implementación de controles técnicos y administrativos, como firewalls, antivirus, sistemas de detección de intrusos y políticas de contraseñas, para garantizar el cumplimiento de las políticas y procedimientos.
- 📝 Es fundamental monitorear y evaluar periódicamente los controles de seguridad implementados para mejorar continuamente la seguridad de la información.
Q & A
¿Qué se aborda en la sesión 4 del módulo 2?
-En la sesión 4 del módulo 2 se abordan las normas de control interno con enfoque a procesos para la tecnología de la información.
¿Qué leyes y regulaciones son mencionadas en el guión como aplicables a la gestión de la información?
-Se mencionan la Ley de Protección de Datos Personales, la Ley de Firma Electrónica y la Norma ISO 27001.
¿Cuál es el propósito de la Norma ISO 27001?
-La Norma ISO 27001 establece los requisitos para el sistema de gestión de seguridad de la información.
¿Qué normas de control interno son emitidas por la Contraloría General del Estado y cuáles son sus áreas de aplicación?
-Las normas de control interno emitidas por la Contraloría General del Estado son las normas 410, que abarcan 17 normas desde la 4101 a la 4105, y se aplican a la organización, gestión, seguridad y comunicación de la tecnología de la información.
¿Qué áreas específicas se cubren en las normas 4101 a 4105?
-Las normas 4101 a 4105 definen cómo las entidades públicas deben organizarse, gestionar comités, segregar funciones, contar con un plan estratégico, políticas y procedimientos aplicables a la tecnología de la información y comunicaciones.
¿Qué se refiere con 'Norma COVID' en el guión?
-La 'Norma COVID' se refiere a los objetivos de control para la información y tecnología relacionada que proporciona un marco de referencia para la gestión y gobierno de los sistemas de información y tecnología.
¿Cuáles son los objetivos de las normas de control interno en términos de seguridad de la información?
-Los objetivos de las normas de control interno son garantizar la seguridad, confidencialidad, integridad, disponibilidad y privacidad de la información, así como la efectividad y eficiencia de los controles de seguridad en una organización.
¿Qué se espera que las organizaciones hagan con las normas de control interno para la tecnología de la información?
-Se espera que las organizaciones implementen y mantengan los controles de seguridad de la información para garantizar que todos los empleados y terceros con acceso a los sistemas y la información estén capacitados y cumplan con las políticas y procedimientos establecidos.
¿Qué implica realizar una evaluación de riesgos asociada a los sistemas de información de la organización?
-Realizar una evaluación de riesgos implica identificar los activos críticos, vulnerabilidades, amenazas potenciales e impactos que puedan tener sobre la organización, y definir políticas y procedimientos para mitigarlos.
¿Qué acciones se sugieren para mejorar la implementación de las normas de control interno?
-Se sugieren acciones como la adquisición de software de seguridad, sistemas de detección de intrusos, respaldo y recuperación, y la incorporación de profesionales especializados en seguridad informática.
¿Qué aspectos se deben considerar para garantizar la correcta implementación de las normas de control interno para la tecnología de la información?
-Para garantizar la correcta implementación, se deben considerar acciones y medios de verificación que brinden seguridad previo a la autorización de los procesos, alineación con planes y presupuestos institucionales, y procedimientos para controles de idoneidad y verificación de evidencia documental.
Outlines
📚 Normas de Control Interno y Tecnología de la Información
El primer párrafo introduce la sesión 4 del módulo 2, enfocado en las normas de control interno aplicadas a la tecnología de la información. Se mencionan leyes y regulaciones como la Ley de Protección de Datos Personales y la Ley de Firma Electrónica, así como normas como la ISO 27001 y la Norma Covid. Se destaca la importancia de estas normas para asegurar la seguridad, confidencialidad, integridad, disponibilidad y privacidad de la información. Se describen las 17 normas de control interno emitidas por la Contraloria General del Estado, que abordan desde la organización y gestión de comités, hasta la seguridad de la tecnología de la información y la capacitación en firmas electrónicas. Las normas buscan garantizar la efectividad y eficiencia de los controles de seguridad y la gestión de riesgos en entidades públicas y privadas.
🛡️ Implementación de Controles de Seguridad y Evaluación de Riesgos
El segundo párrafo se centra en la implementación de políticas y procedimientos para mitigar riesgos identificados a través de la evaluación de riesgos. Se discuten los controles de acceso, autenticación, y la importancia de garantizar la confidencialidad, integridad y disponibilidad de la información. Se menciona la necesidad de controles técnicos y administrativos, como firewalls, antivirus, sistemas de detección de intrusos y políticas de contraseñas. Además, se resalta la importancia de la capacitación y concientización del personal, así como la monitorización y evaluación periódica de los controles de seguridad. Se sugiere la adquisición de software de seguridad y la incorporación de profesionales especializados para mejorar la protección de activos críticos y reducir riesgos de interrupción en sistemas.
🔐 Conclusión y Recomendaciones sobre Controles Internos
El tercer párrafo concluye la revisión de las normas de control interno con enfoque en la tecnología de la información. Se invita a los participantes a revisar el material en la plataforma y a realizar la evaluación de la sesión. Se menciona que el módulo tres se centrará en las debilidades del control interno y sus efectos. Se enfatiza la necesidad de no divulgar o compartir claves de acceso personales y se menciona la posible revocación del certificado de firma electrónica en caso de compromiso. El párrafo termina con una nota musical, indicando el fin de la presentación.
Mindmap
Keywords
💡Normas de control interno
💡ISO 27001
💡Ley de protección de datos personales
💡Ley de firma electrónica
💡Norma COBIT
💡Tecnología de la información y comunicación
💡Gestión de riesgos
💡Controles de seguridad
💡Capacitación y concientización
💡Firma electrónica
💡Evaluación de riesgos
Highlights
La sesión 4 del módulo 2 se enfoca en las normas de control interno para la tecnología de la información.
Existen leyes y regulaciones aplicables a la gestión de la información, como la Ley de Protección de Datos Personales y la Ley de Firma Electrónica.
La ISO 27001 establece requisitos para el sistema de gestión de seguridad de la información.
La Norma COBIT proporciona un marco de referencia para la gestión y gobierno de sistemas de información y tecnología.
Las normas 410 de la Contraloría General del Estado incluyen 17 normas para la organización y gestión de tecnologías de la información.
Las normas 4101 a 4105 definen cómo las entidades públicas deben organizarse y gestionar la tecnología de la información.
Las normas 41006 a 41010 se refieren a la arquitectura de la información y proyectos tecnológicos.
Las normas 41011 a 410144 abordan la seguridad de la tecnología de la información y plan de contingencias.
Las normas 41015 a 41017 están relacionadas con la interacción y comunicación tecnológica.
Las normas de control interno aseguran la seguridad, confidencialidad, integridad, disponibilidad y privacidad de la información.
Las normas de control interno permiten la implementación y mantenimiento de controles de seguridad de la información.
Es importante que los empleados y terceros estén capacitados en controles de seguridad y cumplan con las políticas y procedimientos.
Las normas de control interno evalúan los riesgos asociados a los sistemas de información y definen políticas y procedimientos para mitigarlos.
Las organizaciones deben generar procesos de capacitación y concientización sobre la importancia de los controles de seguridad.
Se requiere monitorear regularmente los controles de seguridad y realizar evaluaciones periódicas para mejorarlos.
La implementación de normas de control interno requiere adquisición de software de seguridad y especialistas en seguridad informática.
Existen controles esenciales y claves para la correcta implementación de las normas de control interno en tecnología de la información.
El control de capacitaciones se verifica mediante archivos electrónicos o mensajes de datos firmados electrónicamente.
No divulgar o compartir claves de acceso personales es una obligación para evitar la revocación del certificado de firma electrónica.
Transcripts
00:03Bienvenidos a la sesión 4 del módulo 2
00:06donde abordaremos las normas de control
00:08interno con enfoque a procesos para la
00:10tecnología de la información soy Yael
00:13Ávila y me acompaña Jorge Cortés
00:15entrando en materia es importante
00:17señalar que existen leyes y regulaciones
00:20aplicables a la gestión de la
00:22información como son la ley de
00:24protección de datos personales y la ley
00:26de firma electrónica Así también hay
00:29algunas noras como la ISO
00:3127001 que establecen los requisitos para
00:34el sistema de gestión de seguridad de la
00:37información y la Norma covid que
00:39corresponde a los objetivos de control
00:41para la información y tecnología
00:43relacionada que proporciona un marco de
00:46referencia para la gestión y gobierno de
00:49los sistemas de información y tecnología
00:53ahora bien las normas de control interno
00:56emitidas por la contraloría general del
00:58estado incluye en las normas 410 sobre
01:02el componente de tecnología de la
01:04información que sirven para dirigir
01:07asegurar la implantación funcionamiento
01:09y actualización de los sistemas
01:12tecnológicos organizadas en 17 normas
01:15así de la 4101 a la
01:194105 definen la manera en la cual las
01:21entidades públicas deben organizarse
01:24gestionar comités segregar funciones
01:27contar con un plan estratégico est
01:30políticas y procedimientos aplicables a
01:32la tecnología de la información y
01:34comunicaciones de la 410 06 a la 4101
01:40hacen referencia a la arquitectura de la
01:42información proyectos tecnológicos
01:45desarrollos mantenimiento adquisición de
01:47software e infraestructura tecnológica y
01:50su control de la 41011 a la 410 144
01:55hacen referencia a la seguridad de la
01:57tecnología de la información plan de
01:59contingencias administración de soporte
02:02monitoreo y evaluación de los procesos y
02:05servicios de la 41015 a la
02:0841017 están relacionadas a la
02:11interacción y comunicación como el
02:13portal web servicios telemáticos e
02:15intranet capacitación y manejo de firmas
02:19electrónicas las normas en este
02:21componente de control interno son un
02:23conjunto de principios y políticas
02:26procedimientos establecidos para
02:28garantizar la seguridad
02:30confidencialidad integridad
02:32disponibilidad y privacidad de la
02:35información así como la efectividad y
02:38eficiencia de los controles de seguridad
02:40en una organización o entidad pública o
02:43privada que administre recursos públicos
02:46se centran en la gestión de los riesgos
02:48y amenazas asociados al uso de las
02:50tecnologías de la información y la
02:53comunicación y buscan asegurar que se
02:55cumplan los objetivos institucionales de
02:58manera segura y confiable En lo
03:02particular la organización de la unidad
03:04de tecnologías de la información y
03:07comunicación Establece que las entidades
03:10y organismos del sector público deben
03:13acoplar un marco de trabajo para
03:15procesos de tecnología involucrar a la
03:18alta dirección en la toma de decisiones
03:21generar una estructura organizacional de
03:24tecnología de la información y la
03:27comunicación establecer una unidad
03:30posicionada dentro de la estructura
03:32organizacional de la entidad y disponer
03:35de áreas que cubran proyectos
03:37tecnológicos infraestructura tecnológica
03:41soporte interno y externo seguridad de
03:44tecnologías de la información y
03:46comunicación e incorporar un oficial de
03:49seguridad de la
03:52información por ello recordemos que las
03:55normas de control interno permiten la
03:58implementación y mantenimiento de los
04:01controles de seguridad de la información
04:03para garantizar que todos los empleados
04:06y terceros que tienen acceso a los
04:08sistemas y a la información de la
04:10organización estén capacitados en cuanto
04:13a los controles de seguridad y cumplan
04:16con las políticas y procedimientos
04:18establecidos es importante conocer que
04:21las normas de control interno aseguran
04:24que los controles orientados a las
04:26tecnologías de la información y
04:28comunicación se aplican en todas las
04:31etapas del ciclo de vida de la
04:33información desde la
04:35recopilación hasta el almacenamiento
04:38procesamiento uso y eliminación de la
04:41información las normas de control
04:43interno 410 realizan una evaluación de
04:46los riesgos asociados a los sistemas de
04:49información de la organización esto
04:51implica identificar los activos críticos
04:55vulnerabilidades existentes amenazas
04:57potenciales e impactos que puede tener
05:00sobre la organización en base a la
05:02evaluación de riesgos se debe definir
05:05políticas y procedimientos que permitan
05:07identificarlos y mitigarlos estas
05:10políticas y procedimientos deben incluir
05:13controles de acceso autenticación
05:16confidencialidad integridad y
05:18disponibilidad de la información además
05:21se debe implementar controles técnicos y
05:24administrativos para garantizar el
05:26cumplimiento de las políticas y
05:30procedimientos estos controles pueden
05:32incluir fireware antivirus sistema de
05:35detección de intrusos sistema de
05:37respaldos y recuperación políticas de
05:40uso de contraseñas entre otros Cabe
05:43señalar que las organizaciones deben
05:45generar procesos de capacitación y
05:48concientización a su personal sobre la
05:51importancia de los controles de
05:53seguridad la forma en que deben
05:55utilizarse para prevenir los riesgos
05:57asociados al uso de las tecnologías de
06:00la información es necesario también
06:03monitorear regularmente los controles de
06:06seguridad implementados y realizar
06:08evaluaciones periódicas para identificar
06:11posibles debilidades y mejorar
06:13continuamente los controles de
06:17seguridad en general la implementación
06:20de estas normas requiere la adquisición
06:23de software de seguridad sistemas de
06:26detección de intrusos sistemas de
06:28respaldo y recuperación así como la
06:31incorporación de profesionales
06:33especializados en seguridad informática
06:36lo que permitirá mejorar la eficiencia y
06:39productividad de la organización al
06:41proteger sus activos críticos de
06:44información y reducir el riesgo de
06:46interrupciones en los sistemas para
06:48complementar es necesario conocer que
06:51existen controles esenciales y claves
06:54para la correcta implementación de las
06:56normas de control interno para la
06:58tecnología de de la información mediante
07:01acciones y medios de verificación que
07:04brinden una seguridad previo a la
07:06autorización de los
07:08procesos Así es ya la aplicación del
07:11control interno previo y sus criterios
07:14de legalidad veracidad conveniencia
07:17oportunidad pertinencia y conformidad
07:20deben alinearse con los planes y
07:22presupuestos institucionales en lo
07:24referente a las tecnologías de la
07:27información por ello se
07:30los procedimientos para controles de
07:33idoneidad donde hay una calificación de
07:37idoneidad del comité de tecnologías de
07:40la información y Comunicaciones y otra
07:43al oficial de seguridad de la
07:46información controles de verificación de
07:49evidencia documental donde debe
07:52evidenciarse la asignación formal por la
07:55autoridad competente de sus funciones y
07:59responsabilidades del personal de tig la
08:02existencia de un plan estratégico de tig
08:04un diccionario de datos corporativo
08:07actualizado con las reglas de validación
08:09y los controles de integridad y
08:12consistencia con la identificación de
08:14los sistemas o
08:16módulos regulaciones de los procesos de
08:19desarrollo mantenimiento y adquisición
08:21de software de aplicación y de usuario
08:24final procedimientos que garanticen el
08:27mantenimiento y uso adecuado de la
08:30infraestructura tecnológica de las
08:32entidades públicas métodos establecidos
08:36para garantizar el cumplimiento de la
08:39normativa de protección de
08:42datos propiedad intelectual del Software
08:45seguridad de la información utilización
08:48de estándares sistemas o plataformas
08:51establecidos para el sector
08:53público un plan de contingencia en caso
08:56de una emergencia o suspensión en el
08:59procesamiento de la información por
09:02problemas en los equipos programas o
09:04personal
09:07relacionado normas procedimientos e
09:10instructivos de
09:11instalación configuración y utilización
09:14de los sistemas internos y externos de
09:17la entidad medios tecnológicos
09:19necesarios que permitan el uso de la
09:21firma electrónica de conformidad con el
09:24marco
09:26legal cabe considerar también que se
09:29debe efectuar el control de las
09:31capacitaciones realizadas mediante la
09:34verificación de un archivo electrónico o
09:37mensaje de datos que se encuentre
09:39firmado
09:41electrónicamente condiciones
09:43contractuales certificaciones emitidas
09:46por una entidad acreditada en el país
09:49conforme la normativa vigente
09:51almacenamiento de archivos electrónicos
09:54notificación a la entidad emisora en
09:57todo este proceso recordaremos que que
09:59es obligación no divulgar O compartir
10:01las claves de acceso personales ya que
10:04esto implicará la solicitud de la
10:06revocación de su certificado de firma
10:08electrónica cuando se presentare
10:10cualquier circunstancia que pueda
10:13comprometer su
10:15utilización hemos concluido con la
10:17revisión de las normas de control
10:19interno con enfoque a la tecnología de
10:22la información les invitamos a revisar
10:25el material en la plataforma y realizar
10:28la evaluación de la sesión para
10:30continuar con el módulo tres sobre las
10:32debilidades del control interno y sus
10:37[Música]
10:52efectos
Ver Más Videos Relacionados
ISO 27001 - Seguridad de la Información
NCI Procesos: Contratación Pública y Proyectos de Inversión y Obra Pública
NCI Procesos: Control Interno
NORMAS ISO ¿Qué son y para qué sirven?
¿Cuáles son las normas y leyes que regulan la seguridad y salud en el trabajo en el Perú?
NCI Procesos: Administración Financiera y Bienes
5.0 / 5 (0 votes)