PowerPoint Presentation

1.8.3 Mtricas de Alineacin Estratgica Indicadores de alineamiento: Un programa de seguridad que posibilita de manera comprobable las actividades especficas de negocioActividades del negocio que no han sido ejecutadas o estn retrasadas debido a una inadecuada capacidad para gestionar el riesgoUna organizacin de la seguridad que es receptiva a los requerimientos de negocio definidosObjetivos organizacionales y de seguridad que estn definidos y son claramente entendidos por parte de todos los involucrados en la seguridad y las actividades de aseguramiento relacionadasProgramas de seguridad que se correlacionan con los objetivos organizacionales y la direccin ejecutiva ha validado dicha correlacinUn comit directivo de seguridad conformado por ejecutivos clave y cuenta con estatutos para garantizar la continua alineacin de las actividades relacionadas con la seguridad y la estrategia de negocio

Copyright 2013 ISACA. Todos los derechos reservados.2Directivas para el instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 451.8.4 Mtricas de gestin de riesgosLas Mtricas de Gestin de Riesgos son importantes para el ISM, ya que el objetivo final de todas las tareas de seguridad de informacin es optimizar los niveles de riesgos. Los indicadores de una gestin de riesgos apropiada pueden incluir:Un apetito de riesgo definido de la organizacinEstrategia y programa integrales de seguridadObjetivos de mitigacin definidos para riesgos significativos identificadosProcesos sistemticos y continuos de gestin de riesgosInformacin de tendenciasPlanes probados de continuidad del negocio / recuperacin ante desastresIntegridad de la valuacin de activos y cesin de propiedadEvaluaciones de impactos al negocio (BIAs) de todos los procesos crticos de negocio

Copyright 2013 ISACA. Todos los derechos reservados.3Directivas para el Instructor: Existe un captulo entero dedicado a la administracin de riesgos, pero es importante comprender la relacin que tiene con el gobierno.

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 45-461.8.6 Mtricas de gestin de recursosEntre los indicadores que denotan una gestin de recursos eficiente se encuentran los siguientes:Es poco frecuente que se vuelva a identificar un problemaLa recopilacin y difusin del conocimiento es eficienteLa medida en que los procesos relativos a seguridad estn estndarizadosLos roles y las responsabilidades estn claramente definidos para las reas de seguridad de la informacinLas funciones de seguridad de la informacin estn incluidas en cada plan de proyectoPorcentaje de activos de informacin y sus respectivas amenazas correctamente dirigidos por actividades de seguridadLa debida ubicacin organizacional, nivel de autoridad y nmero de personal para el rea de seguridad de la informacinCopyright 2013 ISACA. Todos los derechos reservados.8Directivas para el instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 46La entrega de valor ocurre cuando las inversiones en seguridad se optimizan para respaldar los objetivos de la organizacin.Los indicadores clave (KGI y KPI) son utilizados para demostrar la generacin de valor.1.8.5 Mtricas de la Entrega de Valor

Copyright 2013 ISACA. Todos los derechos reservados.4Directivas para el instructor: La entrega de valor es una funcin de alineacin de la estrategia de los objetivos de seguridad; en otras palabras, cuando un caso de negocio se puede realizar de modo convincente para todas las actividades de seguridad. Se tiene niveles ptimos de inversin cuando se alcanzan las metas estratgicas para la seguridad y se logra una postura de riesgo aceptable al menor costo posible.

Pginas de Referencia del Manual de Preparacin al Examen: Pg. 46.

KPIs y KGIs pueden crearse para mostrar:Las actividades de seguridad que estn diseadas para alcanzar objetivos estratgicos definidosEl costo de la seguridad es proporcional al valor de los activosLos recursos de seguridad que sean distribuidos con base en el grado de riesgo valorado y el posible impactoLos costos de proteccin sean consolidados como una funcin de ingresos o valuacin de activosLos controles que estn bien diseados con base en objetivos de control definidos y se utilizan en su totalidadUn nmero adecuado y apropiado de controles para alcanzar los niveles de riesgo e impacto aceptable

1.8.5 Mtricas de la Entrega de Valor Copyright 2013 ISACA. Todos los derechos reservados.5Directivas para el instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 461.8.5 Mtricas de la Entrega de Valor KPIs y KGIs pueden crearse para mostrar:La eficacia de los controles se determina a partir pruebas peridicasLas polticas establecidas que requieren que todos los controles se reevalen con regularidad para determinar su costo, cumplimiento y efectividadLa utilizacin de controles; los controles que rara vez se usan difcilmente sern rentablesEl nmero de controles para alcanzar niveles aceptables de riesgo e impacto; se puede esperar que un nmero menor de controles efectivos sea ms rentable que un nmero mayor de controles menos eficacesLa efectividad de los controles que se haya determinado a partir de las pruebas; es poco probable que los controles marginales sean rentablesCopyright 2013 ISACA. Todos los derechos reservados.6Directivas para el instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 461.8.6 Mtricas de gestin de recursosAdministracin de recursos de seguridad de la informacinProcesos de planeacin, asignacin y control de los recursos de seguridad de la informacin Incluye personal, procesos y tecnologas, para mejorar la eficiencia y la efectividad de las soluciones de negocio

Copyright 2013 ISACA. Todos los derechos reservados.7Directivas para el instructor: Tal como sucede con otros activos y recursos de la organizacin, deben administrarse de manera apropiada. El conocimiento debe recopilarse, difundirse y estar disponible cuando se requiera. Brindar mltiples soluciones a un mismo problema resulta, sin duda, ineficiente y es indicio de una falta de administracin de recursos. Los controles y los procesos deben estandarizarse cuando sea posible a fin de reducir los costos administrativos y de capacitacin. De igual forma, tanto los problemas como las soluciones deben estar bien documentados, referenciados y disponibles.

Pginas de Referencia del Manual de Preparacin al Examen: Pgs. 461.8.7 Medicin del desempeoLa medicin, monitoreo y presentacin de informacin sobre los procesos de seguridad de la informacin es un requerimiento para garantizar que se alcancen los objetivos de la organizacin. Mtodos para monitorear eventos relativos a seguridad a lo largo de toda la organizacin deben ser desarrollados.Entre los tipos ms frecuentes de medidas de desempeo son:Mtricas que entregan una seal del desempeo de la maquinaria de seguridad

Copyright 2013 ISACA. Todos los derechos reservados.9Directivas para el instructor: No puedes administrar lo que no puedes medir.

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 47Los indicadores para una medicin efectiva del desempeo podran incluir los siguientes:El tiempo que toma la deteccin y la notificacin de incidentes relacionados con la seguridadEl nmero y la frecuencia de incidentes no notificados que se hayan identificado con posterioridadLa realizacin de pruebas comparativas (benchmarking) de costos y efectividad de organizaciones comparablesLa capacidad para determinar la eficacia / eficiencia de los controlesIndicaciones claras de que se estn cumpliendo los objetivos de la seguridad1.8.7 Medicin del desempeoCopyright 2013 ISACA. Todos los derechos reservados.10Directivas para el instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 47.1.8.7 Medicin del desempeo Los indicadores para una medicin efectiva del desempeo podran incluir los siguientes:La ausencia de incidentes inesperados relacionados con la seguridadConocimientos de las amenazas inminentesMedios eficaces para determinar las vulnerabilidades de la organizacinMtodos para monitorear los riesgos cambiantesConsistencia en las prcticas de revisin de logsResultados de las pruebas a los planes de continuidad de negocio (BCP)/recuperacin de desastre (DR)Copyright 2013 ISACA. Todos los derechos reservados.11Directivas para el instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 471.8.8 Integracin del proceso de aseguramiento (convergencia)El ISM debe hacer lo posible para integrar las funciones de aseguramiento para:Aumentar la eficacia de la seguridadReducir la duplicacin de esfuerzosMinimizar las brechas en la proteccin

Copyright 2013 ISACA. Todos los derechos reservados.12Directivas para el instructor:

Pginas de Referencia del Manual de Preparacin al Examen: Pag. 47.