Desarrollo de un programa de auditoría para la evaluación del sistema para la gestión de la seguridad de la información del Banco Popular, de conformidad con los marcos de referencia: ISO/IEC 27001 Y COBIT

Abstract

La gestión de riesgos y amenazas que atenten contra los activos de información de las empresas y, en especial, de instituciones financieras, requiere de la implementación y mantenimiento de un sistema gestor de la seguridad de la información, siendo este el medio que permita generar valor, en torno al nivel requerido de seguridad para mantener la integridad, disponibilidad y confiabilidad de los datos. En el presente trabajo se desarrolla una evaluación de auditoría basada en riesgos, en la cual, se aborda el tema de gestión de seguridad de la información en el Banco Popular, desde una perspectiva estratégica y de gobierno, según el enfoque del proceso APO13 Gestionar la Seguridad de COBIT 5. Si bien la entidad bancaria se encuentra desarrollando un plan del sistema gestor de la seguridad de la información con un horizonte de 5 años, que busca alinear la gestión de la seguridad de la información a las prácticas recomendadas en los dominios de la norma ISO 27001, el presente trabajo tiene como propósito analizar la gestión de la seguridad de la información en el Banco, con los recursos, estructuras organizacionales, marcos normativos y otros elementos vigentes durante el período de la evaluación, considerando los 7 habilitadores de COBIT 5 para el proceso APO13, y sus dimensiones comunes, es decir, las metas, interesados, ciclo de vida, y las buenas prácticas aplicables. Los resultados obtenidos permiten concluir que se requiere la definición y actualización periódica de un perfil de riesgos de la seguridad de la información, el cual se utilice como un instrumento base para dirigir las estrategias e iniciativas de la seguridad de la información, aunado a una revisión integral de las estructuras organizativas requeridas para dirigir las actividades estratégicas y de gobierno de la seguridad de la información, las cuales, en la actualidad, carecen de la visibilidad suficiente para generar valor y coadyuvar a la protección de los activos de información del Banco.