Metodologia Segregacion De Funciones 5s705v

Metodología para la segregación de funciones aplicado a la empresa “Grupo Mundo Digital Ecuador” Ángel Palacios Ciencias de la Ingeniería, Sistemas Informáticos, Universidad Tecnológica Israel, Quito, Ecuador Resumen El presente documento está desarrollado con el objetivo de proponer a la empresa “Grupo Mundo Digital Ecuador” que adopte la metodología de segregación de funciones, para evitar posibles consecuencias irreparables en relación a vulnerabilidades de riesgos informáticos, tanto de hardware como de software.

La metodología, consta de 5 fases que guían a la adecuada implantación de la misma.

Implementar la metodología, no necesita la empresa hacer grandes inversiones, razón que solo debe contar con suficiente personal y delegar funciones.

Palabras Claves: Metodología, Riesgos Informáticos, Segregación de funciones, amenazas. Abstract The present document is developed with the objective of proposing to the company "Grupo Mundo Digital Ecuador" to adopt the methodology of segregation of functions, to avoid possible irreparable consequences in relation to vulnerabilities of computer risks, both hardware and software. The methodology, consists of 5 phases that guide the proper implementation of the same. Implementing the methodology, the company does not need to make large investments, which should only have enough staff and delegate functions. Keywords: 1

Methodology, Computer Risks, Segregation of functions, threats. Introducción Se pudo determinar a través de la visita de campo que la empresa bajo estudio, inicio sus operaciones en el año 2008, fundamentando sus bases en la Provincia de Bolívar, cantón San Miguel, posteriormente en el año 2014 ha migrado a la Provincia de Pichincha, cantón Quito donde actualmente funciona la matriz y donde se inició funciona como sucursal. La actividad principal de la empresa es proveer el servicio de streaming de audio y video a instituciones públicas y privadas. Además, cuenta con profesionales en el campo de desarrollo de aplicaciones web, sistemas, redes, etc. Debido a todos los servicios que ofrece la empresa ha generado alto nivel de inversión y crecimiento, pero también el incremento de vulnerabilidades de riesgos informáticos. La solución que se propone al gerente de la empresa es que adopte la metodología de segregación de funciones; razón que no incurre en gastos, basta que cuente con suficiente personal idóneo. Marco Teórico Segregación de funciones Consiste principalmente en que ninguna persona debe de tener demasiado a un sistema que le permita ejecutar transacciones en todo un proceso de negocios sin controles y autorizaciones. El interés cada vez mayor en la segregación de funciones se debe, en parte, a los reglamentos impulsados con un enfoque en los controles y a la responsabilidad a nivel ejecutivo por lograr su implementación exitosa. La segregación de funciones es un control interno básico que busca asegurar que ninguna persona tenga la autoridad para ejecutar dos o más transacciones sensibles en conflicto que podrían afectar los estados financieros. (Young, 2010) Metodología basada en riesgos Se enfoca en los problemas que presentan la mayor amenaza para el negocio y sus estados financieros.

2

Hoja de ruta de la segregación de funciones Consta de 5 fases:

Definicion del negocio

Definicion técnica

Pruebas

Mitigación

Remediaci ón

Definición del negocio. Objetivo es lograr el alcance de las transacciones sensibles y los conflictos que existen en los procesos. Es base para las siguientes etapas, no hay que ocuparse de demasiadas cosas. Definición Técnica. -Utiliza la matriz de conflictos. Ayuda a responder: Qué aplicaciones soportan las transacciones sensibles. Mapeo de las aplicaciones y exclusiones. Ejemplo. Pueden existir 20 formas de hacer las transacciones. (Excluir a las de solo lectura y consultas) Pruebas. -Se deben utilizar los datos de la definición de negocios y definición técnica. Los s tienen a gran variedad de sistemas lo cual desvía el control y pueden ocasionar fraude Mitigación. -Es el paso que permite limitar el posible impacto de una violación en materia de conflicto. No arregla el conflicto, permite que el riesgo este en el sistema y crea o identifica controles. Ejemplo. El pago a proveedores es de uso de autorizaciones automáticas. Remediación. -El objetivo es la corrección permanente de los conflictos de segregación de funciones. La técnica de remediación consiste en rediseñar y depurar los roles, revisar la idoneidad de los s. (El Autor, a partir de Young, 2010)

Metodología/Aplicación

La ley de Ley Sarbanes Oxley (SOX) define la metodología que seguirá el estudio. Análisis de Procesos y roles Revisión periódica Identificación de Riesgos Evaluación SoDControles compensatorios

Fuente: Desarrollo propio, a partir de (Galofré, 2013)

3

Análisis de Procesos Se realizará un análisis de los procesos y los roles que intervienen en la empresa. Identificación de riesgos Se identificarán todas aquellas tareas o combinaciones de tareas que puedan resultar en un riesgo de fraude para la empresa. Evaluación Se clasifica en tres tipos de riesgos: -Riesgo Alto.-Requiere atención inmediata -Riesgo Medio.-Quedaran en un segundo plano -Función Crítica.-Requerirá una atención especial SoD Una vez equilibrado los riesgos se procederá a la eliminación de estos mediante la segregación de Funciones en todos aquellos casos en que sea posible. Controles Compensatorios.- En caso que no sea posible la aplicación de SoD se deberán definir en su lugar los controles compensatorios adecuados. Revisión periódica.-Se deberá definir la periodicidad de las auditorías internas Resultados Una vez aplicada la metodología de segregación de funciones se determina que la empresa:  



Solo la secretaria realiza varios procesos, como pagos y adquisiciones, lo cual es vulnerable a fraude. En relación a la identificación de riesgos se pueden clasificar en dos: A nivel de Hardware y Software. En el primero no cuenta con cámaras de vigilancia, extintores con Co2, la seguridad física es deficiente. En relación al software no cuenta con firewall, licencias de software, mantiene habilitados puertos que no están siendo usados. En la evaluación, se recomienda que existen vulnerabilidades que deben ser atendidas inmediatamente, como, por ejemplo: adquirir las licencias de software y cerrar los puertos inutilizables.

4

 

También inmediatamente debería aplicar la segregación de funciones, para que sean más personas las que aprueben, autoricen y ejecuten los pagos y adquisiciones. Los controles compensatorios, en el caso de no contar con el personal idóneo y suficiente para SoD, se recomienda automatizar las transacciones de pagos.

Conclusiones 

Conocer y aplicar seguridad informática como por ejemplo la segregación de funciones en una entidad/empresa u organización hoy en día es indispensable para evitar grandes pérdidas económicas.



Los Gerentes/Líderes de las empresas son quienes deben velar por la implementación de medidas de seguridad de la información.



La adopción de la segregación de funciones económicamente no cuestan, basta con asignar diferentes funciones al personal.

Recomendaciones •

Incrementar personal en la empresa o automatizar los procesos de transacciones.

•

Asesoramiento al gerente por parte de expertos en seguridad informática.

•

Auditar internamente y externamente con frecuencia los procesos y controles que lleva la empresa, para poder detectar vulnerabilidades de riesgos informáticos a tiempo y poder mitigarlos.

5

Referencias Galofré, J. G. (2013). Segregación de Funciones (SoD). Barcelona. Vaca, C. (28 de Octubre de 2016). Seguridad Infromática. Quito, Pichincha, Ecuador. Young, E. y. (2010). Un enfoque basado en riesgos para la segregación de funciones. Perspectivas relacionadas con el riesgo de TI, 1.

6