Implementaciones de controles posterior a un proceso de reingeniería

I.
Introducción
1. Generalidades
1.1 Objetivo de la
Reingeniería
1.2 Objetivo de los
Controles
2. Seguridad Fisica
2.1 Objetivo de la Seguridad
Física
2.2 Aspectos que involucran la Seguridad
Física
2.2.1 Control de
Acceso
2.2.2 Seguridad contra
Incendios
2.2.3 Suministro de
Energía
2.2.4 Aire
Acondicionado
2.2.5 Detección de
Agua
2.2.6 Guardias de
Seguridad
2.2.7
Telecomunicaciones
3. Controles relativos a
los sistemas
3.1 Controles de Acceso
lógico
3.1.1 Necesidad de los
controles
3.1.2
Identificación de Usuarios
3.1.3 Suspensión
de Permisos
3.1.4 Acceso a
Datos
3.1.5 Acceso a
Programas y Utilitarios
3.1.6 Controles de
Aplicación
3.1.7 Controles de
Actividades del Programador de Sistemas
3.1.7.1 Casos Reales sobre
accesos no autorizados a sistemas informáticos y, fraudes
– El Pentágono, Citibank y Barings Bank of London,
Universidad Spring Arbor de Michigan y Proinco de
Ecuador.
3.2 Control de
Cambios
3.2.1 Razones para
establecer un Control de Cambios
3.2.2 Procedimiento de
Control de Cambios
3.2.3. Modelo de Formato
para Control de Cambios
3.3. Producción y
Operaciones
3.3.2 Procedimientos de
la función de Producción y
Operaciones.
4. Respaldos y
recuperacion de programas
4.1 Procedimiento de
Respaldos y Recuperación de Programas
4.2 Procedimiento de
Almacenamiento de Medios Magnéticos
4.3 Modelos de Formato para
Control, Recuperación y Almacenamiento de
Respaldos.
5. Controles aplicados en
la administracion del personal
5.1 Objetivo de los
Controles Administrativos
5.2 Contratación
y término de Contratos
5.3 Políticas
Administrativas
5.3.1
Vacaciones
5.3.2
Entrenamiento
5.3.3 Uso de Recursos
Computacionales
6.
Conclusiones

8.
Bibliografia

I.
Introducción

En un proceso de
Reingeniería luego de su
implantación, los controles no quedan establecidos, por
cuanto la Reingeniería se concentra
básicamente en nuevos e innovadores diseños de los
procesos,
buscando un marcado, dramático y notorio incremento en la
productividad,
eficiencia y
utilidades de las empresas, sin
contar con el diseño
de controles en los procesos. Por
lo tanto debe someterse a un análisis para la Implementación de
Controles básicos e indispensables y con mayor
énfasis en el área de Procesamiento de
Datos. El no hacerlo provocará seguramente fallas o
desvíos en los nuevos procesos, sin que podamos
determinarlos o auscultarlos oportunamente y evitar fallas o
errores. Estos lineamientos una vez desarrollados, deben ser
aplicados por toda la empresa y
principalmente por el personal que
labora en el área de sistemas.

El objeto de este trabajo no es enseñarle a hacer
una reingeniería ni tampoco el de explicar su metodología. El objeto de este trabajo es
el de mostrarle que hay un "más allá" luego de una
reingeniería y estos son los controles y seguridades sobre
los cuales se centra este trabajo. Mi intención es
mostrarle los puntos de alerta de las áreas que corren "
mayormente " un peligro inminente, y una forma lo menos
técnica posible para explicar al administrador de
empresas, las
formas de prevenirlos mediante la Implementación de los
controles y seguridades de los datos.

Es importante dar a conocer también al administrador de
empresas que si bien aunque no sea un experto en sistemas
computacionales, debe "conocer" cuales son básicamente los
puntos que debiera concentrarse y obtener información detallada del experto en
sistemas de su empresa.

Finalmente, si el administrador de empresas lidera un
colegio, universidad,
industria,
banca o empresa
comercial, este trabajo le ayudará en mucho, ya que aplica
para cualquier tipo de empresa. Su enfoque está dado
mayormente al área de procesamiento y afines, pero sus
conceptos pueden extenderse inclusive al resto de
áreas.

1.
Generalidades

1.1 Objetivo de la
Reingeniería

Mucho se ha dicho sobre lo que es y no es la
reingeniería. Entre lo que se ha dicho que es la
reingeniería, tenemos que es un programa o una
metodología que busca un cambio
radical, no buscan mejoras incrementales, ni tampoco solo la
automatización, ni sólo la
organización, ni solo la reducción de
tamaño, ni solo la calidad.

Se define a la Reingeniería de Procesos como un
enfoque "equilibrado" que contiene elementos de los programas
más tradicionales de mejoras, aunque no es un programa
"más" de mejora, ya que la reingeniería es mucho
más. Busca avances decisivos en medidas importantes que
afectan el rendimiento. Busca metas multifacéticas, tanto
en calidad, costos, rapidez,
flexibilidad, satisfacción del cliente,
precisión; todas ellas simultáneamente y no una en
especial. La Reingeniería toma como punto de vista los
"procesos" y se centra en ellos para re-diseñarlos y por
tanto su perspectiva no es funcional ni
organizacional.

Por lo antes explicado y por lo que ya ustedes deben
conocer de Reingeniería, esta busca enderezar el proceso,
quitándole lo serpentino del mismo. Para ello define que
un proceso tiene fronteras y que en cada frontera tiene al menos
un control, por lo
tanto tendrá mínimo dos controles en el proceso,
uno para la persona que hace
el traspaso y otra para la que recibe lo cual para la
Reingeniería es inconcebible. El establecimiento de
controles a su manera de ver, perjudica el flujo del proceso ya
que incorporan actividades que al punto de esta
metodología, No agregan valor.

La definición de reingeniería espera
producir la optimización del flujo del trabajo y de la
productividad
en una organización midiendo ambas en
función de los resultados del negocio: incremento de
rentabilidad,
participación de mercados,
rendimiento sobre la inversión, capital social
y activos.
También la reingeniería se puede medir por
reducción de costo total o
unitario.

La Reingeniería de procesos establece una
correlación explícita entre los resultados del
negocio (que son de interés
para los altos ejecutivos que optan por este programa), y los
resultados del proceso: rapidez, precisión y
reducción del tiempo del
proceso (que el equipo de reingeniería trata de
optimizar).

Sin establecer este vínculo deliberado,
cuantificable, entre el fin y los medios, es
decir, entre los resultados del negocio y los resultados del
proceso; los programas de
reingeniería estarían condenados al
fracaso.

Finalmente la Reingeniería responde a la evolución de las tendencias en el ambiente de
los negocios donde
fallan programas de mejora incremental más tradicionales.
En muchos casos, sólo la reingeniería promete un
cambio
suficientemente rápido y radical para mantenerse a tono
con el cambiante ambiente de
los negocios.

1.2 Objetivo de
los Controles

El Control es uno de
los pilares en que se fundamenta la administración. Un concepto simple
de lo que significa el control sería el de la
"medición de resultados actuales y pasados, en
relación con los esperados, ya sea total o parcialmente,
con el fin de corregir, mejorar y formular nuevos planes". En
sí el control busca recolectar sistemáticamente
datos para
conocer la realización de los planes.

Con los avances tecnológicos y el éxito
que tienen los sistemas de comunicación, es posible en muchos casos
obtener una "retroalimentación" de las informaciones que
resultan del control mismo, y utilizarlas para que la
acción correctiva se inicie de forma automática,
con lo cual, no hay que esperar hasta que se produzcan
íntegramente los resultados para poner en obra la
acción correctiva: un procedimiento
previamente establecido, va corrigiendo la acción
constantemente, con base en esos resultados, sin necesidad de
detenerla.

Los controles pueden ser automáticos, manuales o una
combinación de ambos. Para tener una idea de las formas en
que se presentan los controles tenemos el siguiente ejemplo: Se
ha fijado como estándar de temperatura en
un local determinado que ésta debe sostenerse entre los
20° y 22° centígrados. En un sistema de
control manual hay que
visualizar en qué momento el termómetro baje de los
20°C o pase de los 22°C para ajustar la
ventilación a fin de cumplir con los estándares
señalados.

En un sistema de
control automático, al llegar la temperatura a
menos de 20° o a más de 22°C
automáticamente cambia la calefacción, manteniendo
así constantemente la temperatura en el nivel
deseado.

En el campo administrativo es posible obtener las mismas
aplicaciones, por ejemplo: en inventarios que
se requieren puntos de reposición, al llegar al mismo
automáticamente se generan los pedidos necesarios para que
no falten los elementos indispensables mientras se consume la
existencia. Este ejemplo realizado en forma manual, requiere
de igual forma un control manual de los niveles de existencias y
puntos de reposición.

Luego de esta breve explicación de lo que es el
"control", definimos entonces que el objetivo de los controles es
el de proporcionar a la empresa, un
elemento de seguimiento y detección de desvíos o
fallas en los procesos. Se crean con el fin de asegurar los
elementos tales como:

–Seguridad,
oportunidad y exactitud de la información de acuerdo a los requerimientos
de la empresa.

-Aplicación de medidas de protección y
control sobre los datos almacenados o de los programas utilizados
en el centro de procesamiento como son los microcomputadores de
la empresa.

-El diseño
de seguridades físicas y administrativas que conlleven al
apoyo de las medidas de control para el centro de procesamiento y
otros entes que operen con datos oficiales.

-Que los datos oficiales de la empresa sean accesados
por personal
autorizado expresamente y con atribuciones específicas,
mediante la ejecución de un proceso autorizado que refleje
un producto final
confiable con base a la aplicación de los procesos
diseñados.

-El personal con atribuciones, los datos oficiales
(datos formales) y procesos autorizados forman parte de todo un
sistema de formalidad de la institución, los cuales son
continuamente examinados, revisados y aprobados por los
mecanismos de control de la empresa y que operan recurrentemente
bajo los esquemas de seguridad y
control que se apliquen.

-Los procesos, datos y programas que funcionen en una
empresa deben llevar siempre una tendencia hacia la
formalización (ya sea por los usuarios, auditoría
interna, sistemas, control
interno, capacitación y otros) cuando estos sean
relevantes para la empresa, y cuando su procesamiento ocurra
continuamente así como su permanencia. De esta forma se
asegura el cumplimiento de todas las normas, políticas
y procedimientos y
controles establecidos en la Institución.

-Analizar las posibles inversiones
necesarias para dar cumplimiento a las normas y procedimientos
destinados para seguridad y control de datos; evaluándose
con criterio de los beneficios que serían obtenidos por la
inversión, y contemplando en todo momento
los intereses de la empresa que deben ser
salvaguardados.

2. Seguridad
fisica

2.1 Objetivo de la Seguridad
Física

El objetivo es el de proteger los sistemas tanto en la
parte de hardware,
software,
documentación y medios
magnéticos de los riesgos por
pérdidas, extravíos o por daños
físicos. Así mismo de los potenciales riesgos se
pueden dar en el acceso de personal no autorizado sin los
controles adecuados de seguridad física; en los
incendios;
en las interrupciones de energía
eléctrica; en inundaciones por filtraciones de
agua y, en
los controles de acceso lógico.

2.2 Aspectos que involucran
la Seguridad Física

La seguridad física involucra
como mínimo los siguientes aspectos:

• Control de Acceso
• Seguridad contra Incendios
• Suministro de Energía
• Aire Acondicionado
• Detección de Agua
• Guardias de Seguridad
• Telecomunicaciones

2.2.1 Control de
Acceso

Aunque la inversión en sistemas de
control de acceso no debe ser necesariamente onerosa como
la implantación de vidrios a pruebas de
balas, guardias armados las 24 horas del día o
cámaras de video; las
empresas si deben contemplar controles adecuadamente razonables
para evitar el acceso de individuos e incluso de personal "no
autorizado" al centro de procesamiento o a las áreas de
manejo de datos o información oficial y
exclusiva.

Estos sistemas de Seguridad deben contemplar el uso de
claves de seguridad a ser ingresadas a través de un
componente electrónico ubicada en cada área o por
medio del uso de una tarjeta plástica codificada. La
asignación de claves debe estar dada por el representante
del área de sistemas y deberán ser modificadas
periódicamente para evitar cualquier infiltración
dentro del archivo maestro
de claves o el otorgamiento de las mismas entre
usuarios.

Cabe indicar que debe haber para el efecto una
interrelación entre cada área que responsabiliza
a un individuo a través del uso de una clave, y el
área de control que asigna y controla las claves
emitidas a los usuarios. El no conocer sobre el despido,
renuncia o ausencia de un personal determinado durante un
tiempo
específico o permanente provocaría que el proceso
de control de acceso no tenga éxito por daños
provocados por actos de sabotaje, robos, asaltos,
etc.

Los accesos también deben ser otorgados sobre
la base de la necesidad mínima y dependiendo de los
casos bajo la supervisión del Responsable de
Sistemas.

Cuando se reasigne personal a otras funciones en
las que no requieran del acceso que tenían previamente
autorizado; el permiso debe ser revocado una vez que la
persona sea
reasignada en sus funciones.
Así mismo en el periodo de vacaciones del personal debe
aplicarse este mismo concepto.

Las movilizaciones de equipos o medios
magnéticos deben ser realizadas sólo por personal
autorizado y deben seguir el procedimiento
de control de movilizaciones de equipos. El guardia de
seguridad debe asegurarse que las movilizaciones de equipos o
medios magnéticos tanto de ingreso como de egreso se
efectúen con las autorizaciones del caso.

El personal que corresponda a la categoría de
visitantes y que requieran movilizarse por el centro de
procesamiento o afines deberán utilizar una tarjeta que
indique su calidad de "visitantes" y estar siempre escoltados o
supervisados por personal de la institución y su ingreso
y salida debe quedar registrado en una bitácora del
área.

La limpieza y aseo del centro de procesamiento y
afines debe efectuarse en presencia del personal de la
institución. Dicho personal de limpieza debe ingresar
previo a la identificación ante el guardia de seguridad
quien debe constatar su

nombre dentro del registro del
personal externo a la empresa y el horario autorizado para su
acceso.

Debe prohibirse el ingreso de personal con maletas o
bolsos u objetos que no fueran los que constituyan o sirvan
para su labor de limpieza y aseo.

Las tarjetas de
acceso a áreas restringidas así como las tarjetas de
visitantes deben ser reportadas inmediatamente en el caso de
perdidas, al personal de seguridad y al Responsable de sistemas
a fin de revocar el uso de dichas tarjetas.

Para casos de emergencia, el personal de seguridad
debe tener las llaves del centro de procesamiento y de las
oficinas. Estas deben conservarse en sobre sellado, bajo
seguridad y revisado periódicamente por Auditoría.

Los horarios de ingreso y salida del personal
así como de equipos y medios magnéticos debe ser
revisados por el personal de Auditoría periódicamente y
comprobado que los movimientos de equipos se hayan efectuado de
acuerdo a los controles establecidos y que, el ingreso y salida
del personal se haya efectuado en el horario establecido y con
los permisos respectivos para entradas o salidas fuera de
horario.

Es importante que las empresas prevean la
obtención de una póliza que resguarde
pérdidas o daños de sus activos
fijos.

2.2.2 Seguridad contra Incendios

El centro de procesamiento y afines debe poseer
detectores de humo los cuales deben activarse de forma
automática al momento de una emanación
considerable de humo. Estos dispositivos deben probarse
regularmente para corroborar su funcionamiento. En caso de ser
detectores de incendios con prolongación
automática de agua, deben ubicarse en áreas lejos
de los equipos y material no recuperable por contacto con
agua.

El centro de procesamiento debe disponer de
suficientes extintores de incendios portables y que deben ser
probados periódicamente a fin de que estos puedan
funcionar en los casos de emergencias.

Debe hacerse una revisión visual de su
presurización procediendo a enviar a cargar o descargar
el extintor al centro de mantenimiento respectivo.

Así mismo debe señalizarse el
área de tal forma que se especifique las áreas en
que se prohibe fumar o utilizar material
combustible.

Los extintores a ser usados varían de acuerdo a
la clase de incendio que se presenten. Tenemos para ello
incendios tipo A, B, C y D. Los incendios de Tipo A, se
producen en combustibles sólidos corrientes como la
madera,
textiles, basura, etc.
El fuego de esta clase, agrieta el material, origina brasas,
deja ceniza y se propaga de afuera hacia adentro. Se le combate
preferentemente con agentes de extinción a base de
agua.

Los incendios de tipo B se producen en líquidos
inflamables: gasolina, aceites, pinturas, grasa, etc. Se
caracteriza porque el fuego se produce sólo en
superficie. Para combatirlos debemos, preferentemente eliminar
el oxígeno que está en contacto y se requiere de
agentes de extinción que cumplan ese fin.

Los incendios de tipo C, se producen en equipos
eléctricos conectados, aunque este tipo de incendios se
produce en materiales
sólidos o líquidos, han merecido
clasificación especial por el peligro que implica la
corriente eléctrica. Se emplean agentes de
extinción NO CONDUCTORES DE ELECTRICIDAD.

Los incendios de tipo D se producen en metales
livianos, productos
químicos, farmacéuticos, etc. Al entrar en
combustión estos materiales
generan su propio oxígeno; al ser atacados con agentes
extintores ordinarios producen violentas reacciones, llegando
inclusive a la explosión. Se los combate,
preferentemente con agentes extintores especiales como el polvo
químico.

A continuación un cuadro explicativo de los
tipos de fuegos y tipos de extintores a usarse en cada
uno.

El centro de procesamiento y afines debe ser
estructurado con equipos, muebles y material no inflamable. Es
preferible la no-utilización de cortinas en el centro de
procesamiento. El equipamiento eléctrico como cables,
deberá ser instalado y elaborado por personal altamente
calificado.

Los interruptores de energía deben estar
separados por secciones y uno que permita el corte completo del
suministro de energía para casos de emergencia, los
mismos que deben estar protegidos para evitar su
manipulación accidental.

Por ningún motivo se debe fumar en el
área de procesamiento. Cualquier material de
fácil combustión, como hojas, manuales,
formularios,
deberá estar ubicados lejos de las zonas calientes y del
posible contacto con elementos inflamables.