SoD y SOx - El secreto detrás de la Ley
Establecer una segregación de funciones a través de la matriz SoD como primer paso puede resultar una forma lógica de iniciar la tarea de detección de conflictos de funciones y riesgos financieros.
Pero ¿Consideramos en este análisis que si bien los procesos de negocios de las empresas son similares pero no en todas son iguales?
Hay distintos factores que pueden hacer que nos encontremos con algunas dificultades que requieran de mayor esfuerzo en nuestra creatividad al querer resolver la SoD:
Nómina del personal en los diferentes sectores que intervienen en el proceso
Diseño de la herramienta de software para gestionar y procesar la información
Diseño del Módulo de ABM de usuarios, con las definiciones de roles y perfiles para el acceso y procesamiento de la información.
Estos son algunos de los puntos sobre los cuales debemos requerir un aporte esencial desde diferentes áreas de la Compañía:
RRHH, a través de una definición concreta y documentada de los funciones de la nómina asignada a sectores administrativos
Áreas de Negocio, responsables de mantener un proceso documentado y gestionado acorde a los recursos existentes
Desarrollo - Tecnología - Seguridad, responsables de acompañar, asesorar y representar tecnológicamente lo indicado por el Negocio asegurando un proceso acorde a las necesidades de gestión y seguridad de acceso a la información
Auditoría y Control Interno, asesorando en lo referente a control y registración con el fin de crear una visión única para la revisión de funciones.
Todo proyecto que se desee finalizar con éxito debe pensarse desde la necesidad de generar un ámbito colaborativo entre las diferentes áreas que participan en uno o más de sus etapas de ciclo de vida. Cada área debe pautar sus condiciones funcionales:
El Negocio = Asegurar la disponibilidad del proceso
Áreas tecnológicas y de seguridad de la información = Asegurar la necesidad de integridad y confidencialidad de la información
Auditoría o Control Interno = Asegurarse las respuestas necesarias para documentar el cumplimiento de normativas internas o regulatorias
SoD debe proveer estas condiciones de disponibilidad, confidencialidad e integridad a través de una definición clara y actualizada de funciones y roles o perfiles, su relación e identificación de procesos de control establecidos sobre seguridad y perfiles.
Fabián Descalzo
Certificado en Dirección de Seguridad de la Información (Universidad CAECE)
Analista de Seguridad Informática - Auditoria y Control de Información
ITIL V3 Certified - ISO 20000 Internal Audit Certified
http://ar.linkedin.com/in/fabiandescalzo
https://mybizcard.co/fabian.descalzo.126280
