ACTIVIDAD 3

DOMINIOS	PROCESOS	OBJETIVOS DE CONTROL
PLANIFICAR Y ORGANIZAR	PO1 Definir un Plan Estratégico de TI	PO1.1 Administración del Valor de TI
		PO1.2 Alineación de TI con el Negocio
		PO1.3 Evaluación del Desempeño y la Capacidad Actual
		PO1.4 Plan Estratégico de TI
		PO1.5 Planes Tácticos de TI
		PO1.6 Administración del Portafolio de TI
	PO2 Definir la Arquitectura de la Información	PO2.1 Modelo de Arquitectura de Información Empresarial
		PO2.2 Diccionario de Datos Empresarial y Reglas de Sintaxis de Datos
		PO2.3 Esquema de Clasificación de Datos
		PO2.4 Administración de Integridad
	PO3 Determinar la Dirección Tecnológica	PO3.1 Planeación de la Dirección Tecnológica
		PO3.2 Plan de Infraestructura Tecnológica
		PO3.3 Monitoreo de Tendencias y Regulaciones Futuras
		PO3.4 Estándares Tecnológicos
		PO3.5 Consejo de Arquitectura de TI
	PO4 Definir los Procesos, Organización y Relaciones de TI	PO4.1 Marco de Trabajo de Procesos de TI
		PO4.2 Comité Estratégico de TI
		PO4.3 Comité Directivo de TI
		PO4.4 Ubicación Organizacional de la Función de TI
		PO4.5 Estructura Organizacional
		PO4.6 Establecimiento de Roles y Responsabilidades
		PO4.7 Responsabilidad de Aseguramiento de Calidad TI
		PO4.8 Responsabilidad sobre el Riesgo, la Seguridad y el Cumplimiento
		PO4.9 Propiedad de Datos y de Sistema
		PO4.10 Supervisión
		PO4.11 Segregación de Funciones
		PO4.12 Personal de TI
		PO4.13 Personal Clave de TI
		PO4.14 Políticas y Procedimientos para Personal Contratado
		PO4.15 Relaciones
	PO5 Administrar la Inversión en TI	PO5.1 Marco de Trabajo para la Administración Financiera
		PO5.2 Prioridades Dentro del Presupuesto de TI
		PO5.3 Proceso Presupuestal
		PO5.4 Administración de Costos de TI
		PO5.5 Administración de Beneficios
	PO6 Comunicar las Aspiraciones y la Dirección de la Gerencia	PO6.1 Ambiente de Políticas y de Control
		PO6.2 Riesgo Corporativo y Marco de Referencia de Control Interno de TI
		PO6.3 Administración de Políticas para TI
		PO6.4 Implantación de Políticas de TI
		PO6.5 Comunicación de los Objetivos y la Dirección de TI
	PO7 Administrar Recursos Humanos de TI	PO7.1 Reclutamiento y Retención del Personal
		PO7.2 Competencias del Personal
		PO7.3 Asignación de Roles
		PO7.4 Entrenamiento del Personal de TI
		PO7.5 Dependencia Sobre los Individuos
		PO7.6 Procedimientos de Investigación del Persona
		PO7.7 Evaluación del Desempeño del Empleado
		PO7.8 Cambios y Terminación de Trabajo
	PO8 Administrar la Calidad	PO8.1 Sistema de Administración de Calidad
		PO8.2 Estándares y Prácticas de Calidad
		PO8.3 Estándares de Desarrollo y de Adquisición
		PO8.4 Enfoque en el Cliente de TI
		PO8.5 Mejora Continua
		PO8.6 Medición, Monitoreo y Revisión de la Calidad
	PO9 Evaluar y Administrar los Riesgos de TI	PO9.1 Marco de Trabajo de Administración de Riesgos
		PO9.2 Establecimiento del Contexto del Riesgo
		PO9.3 Identificación de Eventos
		PO9.4 Evaluación de Riesgos de TI
		PO9.5 Respuesta a los Riesgos
		PO9.6 Mantenimiento y Monitoreo de un Plan de Acción de Riesgos
	PO10 Administrar Proyectos	PO10.1 Marco de Trabajo para la Administración de Programas
		PO10.2 Marco de Traba
		PO10.3 Enfoque de Administración de Proyectos
		PO10.4 Compromiso de los Interesados
		PO10.5 Declaración de Alcance del Proyecto
		PO10.6 Inicio de las Fases del Proyecto
		PO10.7 Plan Integrado del Proyecto
		PO10.8 Recursos del Proyecto
		PO10.9 Administración de Riesgos del Proyecto
		PO10.10 Plan de Calidad del Proyecto
		PO10.11 Control de Cambios del Proyecto
		PO10.13 Medición del Desempeño, Reporte y Monitoreo del Proyecto
		PO10.14 Cierre del Proyecto
ADQUIRIR E IMPLEMENTAR	AI1 Identificar soluciones automatizadas	AI1.1 Definición y Mantenimiento de los Requerimientos Técnicos y Funcionales del Negocio
		AI1.2 Reporte de Análisis de Riesgos
		AI1.3 Estudio de Factibilidad y Formulación de Cursos de Acción Alternativos
		AI1.4 Requerimientos, Decisión de Factibilidad y Aprobación
	AI2 Adquirir y Mantener Software Aplicativo	AI2.1 Diseño de Alto Nivel
		AI2.2 Diseño Detallado
		AI2.3 Control y Posibilidad de Auditar las Aplicaciones
		AI2.4 Seguridad y Disponibilidad de las Aplicaciones
		AI2.5 Configuración e Implementación de Software Aplicativo Adquirido
		AI2.6 Actualizaciones Importantes en Sistemas Existentes
		AI2.7 Desarrollo de Software Aplicativo
		AI2.8 Aseguramiento de la Calidad del Software
		AI2.9 Administración de los Requerimientos de Aplicaciones
		AI2.10 Mantenimiento de Software Aplicativo
	AI3 Adquirir y Mantener Infraestructura Tecnológica	AI3.1 Plan de Adquisición de Infraestructura Tecnológica
		AI3.2 Protección y Disponibilidad del Recurso de Infraestructura
		AI3.3 Mantenimiento de la infraestructura
		AI3.4 Ambiente de Prueba de Factibilidad
	AI4 Facilitar la Operación y el Uso	AI4.1 Plan para Soluciones de Operación
		AI4.2 Transferencia de Conocimiento a la Gerencia del Negocio
		AI4.3 Transferencia de Conocimiento a Usuarios Finales
		AI4.4 Transferencia de Conocimiento al Personal de Operaciones y Soporte
	AI5 Adquirir Recursos de TI	AI5.1 Control de Adquisición
		AI5.2 Administración de Contratos con Proveedores
		AI5.3 Selección de Proveedores
		AI5.4 Adquisición de Recursos TI
	AI6 Administrar Cambios	AI6.1 Estándares y Procedimientos para Cambios
		AI6.2 Evaluación de Impacto, Priorización y Autorización
		AI6.3 Cambios de Emergencia
		AI6.4 Seguimiento y Reporte del Estatus de Cambio
		AI6.5 Cierre y Documentación del Cambio
	AI7 Instalar y Acreditar Soluciones y Cambios	AI7.1 Entrenamiento
		AI7.2 Plan de Prueba
		AI7.3 Plan de Implementación
		AI7.4 Ambiente de Prueba
		AI7.5 Conversión de Sistemas y Datos
		AI7.6 Pruebas de Cambios
		AI7.7 Prueba de Aceptación Final
		AI7.8 Promoción a Producción
		AI7.9 Revisión Posterior a la Implantación
ENTREGAR Y DAR SOPORTE	DS1 Definir y administrar los niveles de servicio	DS1.1 Marco de Trabajo de la Administración de los Niveles de Servicio
		DS1.2 Definición de Servicios
		DS1.3 Acuerdos de Niveles de Servicio
		DS1.4 Acuerdos de Niveles de Operación
		DS1.5 Monitoreo y Reporte del Cumplimiento de los Niveles de Servicio
		DS1.6 Revisión de los Acuerdos de Niveles de Servicio y de los Contratos
	DS2 Administrar los Servicios de Terceros	DS2.1 Identificación de Todas las Relaciones con Proveedores
		DS2.2 Gestión de Relaciones con Proveedores
		DS2.3 Administración de Riesgos del Proveedor
		DS2.4 Monitoreo del Desempeño del Proveedor
	DS3 Administrar el Desempeño y la Capacidad	DS3.1 Planeación del Desempeño y la Capacidad
		DS3.2 Capacidad y Desempeño Actual
		DS3.3 Capacidad y Desempeño Futuros
		DS3.4 Disponibilidad de Recursos de TI
		DS3.5 Monitoreo y Reporte
	DS4 Garantizar la Continuidad del Servicio	DS4.1 Marco de Trabajo de Continuidad de TI
		DS4.2 Planes de Continuidad de TI
		DS4.3 Recursos Críticos de TI
		DS4.4 Mantenimiento del Plan de Continuidad de TI
		DS4.5 Pruebas del Plan de Continuidad de TI
		DS4.6 Entrenamiento del Plan de Continuidad de TI
		DS4.7 Distribución del Plan de Continuidad de TI
		DS4.8 Recuperación y Reanudación de los Servicios de TI
		DS4.9 Almacenamiento de Respaldos Fuera de las Instalaciones
		DS4.10 Revisión Post Reanudación
	DS5 Garantizar la Seguridad de los Sistemas	DS5.1 Administración de la Seguridad de TI
		DS5.2 Plan de Seguridad de TI
		DS5.3 Administración de Identidad
		DS5.4 Administración de Cuentas del Usuario
		DS5.5 Pruebas, Vigilancia y Monitoreo de la Seguridad
		DS5.6 Definición de Incidente de Seguridad
		DS5.7 Protección de la Tecnología de Seguridad
		DS5.8 Administración de Llaves Criptográficas
		DS5.9 Prevención, Detección y Corrección de Software Malicioso
		DS5.10 Seguridad de la Red
		DS5.11 Intercambio de Datos Sensitivos
	DS6 Identificar y Asignar Costos	DS6.1 Definición de Servicios
		DS6.2 Contabilización de TI
		DS6.3 Modelación de Costos y Cargos
		DS6.4 Mantenimiento del Modelo de Costos
	DS7 Educar y Entrenar a los Usuarios	DS7.1 Identificación de Necesidades de Entrenamiento y Educación
		DS7.2 Impartición de Entrenamiento y Educación
		DS7.3 Evaluación del Entrenamiento Recibido
	DS8 Administrar la Mesa de Servicio y los Incidentes	DS8.1 Mesa de Servicios
		DS8.2 Registro de Consultas de Clientes
		DS8.3 Escalamiento de Incidentes
		DS8.4 Cierre de Incidentes
		DS8.5 Análisis de Tendencias
	DS9 Administrar la Configuración	DS9.1 Repositorio y Línea Base de Configuración
		DS9.2 Identificación y Mantenimiento de Elementos de Configuración
		DS9.3 Revisión de Integridad de la Configuración
	DS10 Administración de Problemas	DS10.1 Identificación y Clasificación de Problemas
		DS10.2 Rastreo y Resolución de Problemas
		DS10.3 Cierre de Problemas
		DS10.4 Integración de las Administraciones de Cambios, Configuración y Problemas
	DS11 Administración de Datos	DS11.1 Requerimientos del Negocio para Administración de Datos
		DS11.2 Acuerdos de Almacenamiento y Conservación
		DS11.3 Sistema de Administración de Librerías de medios
		DS11.4 Eliminación
		DS11.5 Respaldo y Restauración
		DS11.6 Requerimientos de Seguridad para la Administración de Datos
	DS12 Administración del Ambiente Físico	DS12.1 Selección y Diseño del Centro de Datos
		DS12.2 Medidas de Seguridad Física
		DS12.3 Acceso Físico
DS12.4 Protección Contra Factores Ambientales
DS12.5 Administración de Instalaciones Físicas
DS13 Administración de Operaciones	DS13.1 Procedimientos e Instrucciones de Operación
	DS13.2 Programación de Tareas
	DS13.3 Monitoreo de la Infraestructura de TI
	DS13.4 Documentos Sensitivos y Dispositivos de Salida
	DS13.5 Mantenimiento Preventivo del Hardware
MONITOREAR Y EVALUAR	ME1 Monitorear y Evaluar el Desempeño de TI	ME1.1 Enfoque del Monitoreo
		ME1.2 Definición y Recolección de Datos de Monitoreo
		ME1.3 Método de Monitoreo
		ME1.4 Evaluación del Desempeño
		ME1.5 Reportes al Consejo Directivo y a Ejecutivos
		ME1.6 Acciones Correctivas
	ME2 Monitorear y Evaluar el Control Interno	ME2.1 Monitoreo del Marco de Trabajo de Control Interno
		ME2.2 Revisiones de Auditoría
		ME2.3 Excepciones de Control
		ME2.4 Control de Auto Evaluación
		ME2.5 Aseguramiento del Control Interno
		ME2.6 Control Interno para Terceros
		ME2.7 Acciones Correctivas
	ME3 Garantizar el Cumplimiento con Requerimientos Externos	ME3.1 Identificar los Requerimientos de las Leyes, Regulaciones y Cumplimientos Contractuales
		ME3.2 Optimizar la Respuesta a Requerimientos Externos
		ME3.3 Evaluación del Cumplimiento con Requerimientos Externos
		ME3.4 Aseguramiento Positivo del Cumplimiento
		ME3.5 Reportes Integrados
	ME4 Proporcionar Gobierno de TI	ME4.1 Establecimiento de un Marco de Gobierno de TI
		ME4.2 Alineamiento Estratégico
		ME4.3 Entrega de Valor
		ME4.4 Administración de Recursos
		ME4.5 Administración de Riesgos
		ME4.6 Medición del Desempeño
		ME4.7 Aseguramiento Independiente

Dominio: Planificación y Organización

Cubre la estrategia y las tácticas, se refiere a la identificación de la forma en que la tecnología información puede contribuir de la mejor manera al logro de los objetivos de la organización. La consecución de la visión estratégica debe ser planeada, comunicada y administrada desde diferentes perspectivas y debe establecerse una organización y una infraestructura tecnológica apropiadas.

Procesos:

PO1 Definición de un plan Estratégico: El objetivo es lograr un balance óptimo entre las oportunidades de tecnología de información y los requerimientos de TI de negocio, para asegurar sus logros futuros.

PO2 Definición de la arquitectura de Información: El objetivo es satisfacer los requerimientos de la organización, en cuanto al manejo y gestión de los sistemas de información, a través de la creación y mantenimiento de un modelo de información de la organización.

PO3 Determinación de la dirección tecnológica: El objetivo es aprovechar al máximo de la tecnología disponible o tecnología emergente, satisfaciendo los requerimientos de la organización, a través de la creación y mantenimiento de un plan de infraestructura tecnológica.

PO4 Definición de la organización y de las relaciones de TI: El objetivo es la prestación de servicios de TI, por medio de una organización conveniente en número y habilidades, con tareas y responsabilidades definidas y comunicadas.

PO5 Manejo de la inversión: El objetivo es la satisfacción de los requerimientos de la organización, asegurando el financiamiento y el control de desembolsos de recursos financieros.

PO6 Comunicación de la dirección y aspiraciones de la gerencia: El objetivo es asegurar el conocimiento y comprensión de los usuarios sobre las aspiraciones de la gerencia, a través de políticas establecidas y transmitidas a la comunidad de usuarios, necesitándose para esto estándares para traducir las opciones estratégicas en reglas de usuario prácticas y utilizables.

PO7 Administración de recursos humanos: El objetivo es maximizar las contribuciones del personal a los procesos de TI, satisfaciendo así los requerimientos de negocio, a través de técnicas sólidas para administración de personal.

PO8 Asegurar el cumplimiento con los requerimientos Externos: El objetivo es cumplir con obligaciones legales, regulatorias y contractuales, para ello se realiza una identificación y análisis de los requerimientos externos en cuanto a su impacto en TI, llevando a cabo las medidas apropiadas para cumplir con ellos.

PO9 Evaluación de riesgos: El objetivo es asegurar el logro de los objetivos de TI y responder a las amenazas hacia la provisión de servicios de TI, mediante la participación de la propia organización en la identificación de riesgos de TI y en el análisis de impacto, tomando medidas económicas para mitigar los riesgos.

PO10 Administración de proyectos: El objetivo es establecer prioridades y entregar servicios oportunamente y de acuerdo al presupuesto de inversión, para ello se realiza una identificación y priorización de los proyectos en línea con el plan operacional por parte de la misma organización. Además, la organización deberá adoptar y aplicar sólidas técnicas de administración de proyectos para cada proyecto emprendido.

PO11 Administración de calidad: El objetivo es satisfacer los requerimientos del cliente. Mediante una planeación, implementación y mantenimiento de estándares y sistemas de administración de calidad por parte de la organización.

Dominio: Adquisición e implementación

Para llevar a cabo la estrategia de TI, las soluciones de Ti deben ser identificadas, desarrolladas o adquiridas, así como implementadas e integradas dentro del proceso del negocio. Además, este dominio cubre los cambios y el mantenimiento realizados a sistemas existentes.

Procesos:

AI1 Identificación de Soluciones Automatizadas: El objetivo es asegurar el mejor enfoque para cumplir con los requerimientos del usuario, mediante un análisis claro de las oportunidades alternativas comparadas contra los requerimientos de los usuarios.

AI2 Adquisición y mantenimiento del software aplicativo: El objetivo es proporcionar funciones automatizadas que soporten efectivamente la organización mediante declaraciones específicas sobre requerimientos funcionales y operacionales y una implementación estructurada con entregables claros.

AI3 Adquisición y mantenimiento de la infraestructura tecnológica: El objetivo es proporcionar las plataformas apropiadas para soportar aplicaciones de negocios mediante la realización de una evaluación del desempeño del hardware y software, la provisión de mantenimiento preventivo de hardware y la instalación, seguridad y control del software del sistema.

AI4 Desarrollo y mantenimiento de procedimientos: El objetivo es asegurar el uso apropiado de las aplicaciones y de las soluciones tecnológicas establecidas, mediante la realización de un enfoque estructurado del desarrollo de manuales de procedimientos de operaciones para usuarios, requerimientos de servicio y material de entrenamiento.

AI5 Instalación y aceptación de los sistemas: El objetivo es verificar y confirmar que la solución sea adecuada para el propósito deseado mediante la realización de una migración de instalación, conversión y plan de aceptaciones adecuadamente formalizadas.

AI6 Administración de los cambios: El objetivo es minimizar la probabilidad de interrupciones, alteraciones no autorizadas y errores, mediante un sistema de administración que permita el análisis, implementación y seguimiento de todos los cambios requeridos y llevados a cabo a la infraestructura de TI actual.

Dominio: Servicios y soporte

En este dominio se hace referencia a la entrega de los servicios requeridos, que abarca desde las operaciones tradicionales hasta el entrenamiento, pasando por seguridad y aspectos de continuidad. Con el fin de proveer servicios, deberán establecerse los procesos de soporte necesarios. Este dominio incluye el procesamiento de los datos por sistemas de aplicación, frecuentemente clasificados como controles de aplicación.

Procesos

DS1 Definición de niveles de servicio: El objetivo es establecer una comprensión común del nivel de servicio requerido, mediante el establecimiento de convenios de niveles de servicio que formalicen los criterios de desempeño contra los cuales se medirá la cantidad y la calidad del servicio.

DS2 Administración de servicios prestados por terceros: El objetivo es asegurar que las tareas y responsabilidades de las terceras partes estén claramente definidas, que cumplan y continúen satisfaciendo los requerimientos, mediante el establecimiento de medidas de control dirigidas a la revisión y monitoreo de contratos y procedimientos existentes, en cuanto a su efectividad y suficiencia, con respecto a las políticas de la organización.

DS3 Administración de desempeño y capacidad: El objetivo es asegurar que la capacidad adecuada está disponible y que se esté haciendo el mejor uso de ella para alcanzar el desempeño deseado, realizando controles de manejo de capacidad y desempeño que recopilen datos y reporten acerca del manejo de cargas de trabajo, tamaño de aplicaciones, manejo y demanda de recursos.

DS4 Asegurar el Servicio Continuo: El objetivo es mantener el servicio disponible de acuerdo con los requerimientos y continuar su provisión en caso de interrupciones, mediante un plan de continuidad probado y funcional, que esté alineado con el plan de continuidad del negocio y relacionado con los requerimientos de negocio.

DS5 Garantizar la seguridad de sistemas: El objetivo es salvaguardar la información contra uso no autorizados, divulgación, modificación, daño o pérdida, realizando controles de acceso lógico que aseguren que el acceso a sistemas, datos y programas está restringido a usuarios autorizados.

DS6 Educación y entrenamiento de usuarios: El objetivo es asegurar que los usuarios estén haciendo un uso efectivo de la tecnología y estén conscientes de los riesgos y responsabilidades involucrados realizando un plan completo de entrenamiento y desarrollo.

DS7 Identificación y asignación de costos: El objetivo es asegurar un conocimiento correcto atribuido a los servicios de TI realizando un sistema de contabilidad de costos asegure que éstos sean registrados, calculados y asignados a los niveles de detalle requeridos.

DS8 Apoyo y asistencia a los clientes de TI: El objetivo es asegurar que cualquier problema experimentado por los usuarios sea atendido apropiadamente realizando una mesa de ayuda que proporcione soporte y asesoría de primera línea.

DS9 Administración de la configuración: El objetivo es dar cuenta de todos los componentes de TI, prevenir alteraciones no autorizadas, verificar la existencia física y proporcionar una base para el sano manejo de cambios realizando controles que identifiquen y registren todos los activos de TI así como su localización física y un programa regular de verificación que confirme su existencia.

DS10 Administración de Problemas: El objetivo es asegurar que los problemas e incidentes sean resueltos y que sus causas sean investigadas para prevenir que vuelvan a suceder implementando un sistema de manejo de problemas que registre y  haga  seguimiento a todos los incidentes.

DS11 Administración de Datos: El objetivo es asegurar que los datos permanezcan completos, precisos y válidos durante su entrada, actualización, salida y almacenamiento, a través de una combinación efectiva de controles generales y de aplicación sobre las operaciones de TI.

DS12 Administración de las instalaciones: El objetivo es proporcionar un ambiente físico conveniente que proteja al equipo y al personal de TI contra peligros naturales (fuego, polvo, calor excesivos) o fallas humanas lo cual se hace posible con la instalación de controles físicos y ambientales adecuados que sean revisados regularmente para su funcionamiento apropiado definiendo procedimientos que provean control de acceso del personal a las instalaciones y contemplen su seguridad física.

DS13 Administración de la operación: El objetivo es asegurar que las funciones importantes de soporte de TI estén siendo llevadas a cabo regularmente y de una manera ordenada a través de una calendarización de actividades de soporte que sea registrada y completada en cuanto al logro de todas las actividades.

Dominio: Monitoreo

Todos los procesos de una organización necesitan ser evaluados regularmente a través del tiempo para verificar su calidad y suficiencia en cuanto a los requerimientos de control, integridad y confidencialidad.

Procesos

M1 Monitoreo del Proceso: El objetivo es asegurar el logro de los objetivos establecidos para los procesos de TI. Lo cual se logra definiendo por parte de la gerencia reportes e indicadores de desempeño gerenciales y la implementación de sistemas de soporte así como la atención regular a los reportes emitidos.

M2 Evaluar lo adecuado del Control Interno: El objetivo es asegurar el logro de los objetivos de control interno establecidos para los procesos de TI.

M3 Obtención de Aseguramiento Independiente: El objetivo es incrementar los niveles de confianza entre la organización, clientes y proveedores externos. Este proceso se lleva a cabo a intervalos regulares de tiempo.

M4 Proveer Auditoria Independiente: El objetivo es incrementar los niveles de confianza y beneficiarse de recomendaciones basadas en mejores prácticas de su implementación, lo que se logra con el uso de auditorías independientes desarrolladas a intervalos regulares de tiempo.