CICLO DE DEMING

Capitulo 8:
Diagnostico TI
SSC 5501
I Semestre 2014

Eduardo Opazo D.

Índice

Profesor: E. Opazo D.

2

Índice
Fundamentales

Profesor: E. Opazo D.

3

Diagnostico

Profesor: E. Opazo D.

4

Que es?
El Diagnóstico o Auditoría de Tecnología de Información
(TI) es el proceso de evaluación y recolección de
evidencias de los Sistemas de Información y recursosrelacionados a éstos, dentro de una Organización.
Por ejemplo:
Infraestructura, bases de datos, aplicaciones, personal, etc.

Profesor: E. Opazo D.

5

Objetivo General
Es determinar la salud del Sistema de Información de la
Organización.
Encontrando las debilidades del mismo para diseñar e
implementar los controles necesarios para que los
Sistemas de Información de la Organizaciónfuncionen
correctamente.

Profesor: E. Opazo D.

6

Tareas
1. Estudiar a la Organización.
Es importante conocer la organización para poder desarrollar
conclusiones ad hoc al finalizar el diagnóstico.

Profesor: E. Opazo D.

7

Tareas
2. Se deben conocer la Misión, Visión y Plan Estratégico de
la Organización, para entender el negocio de ésta.

Profesor: E. Opazo D.

8Tareas
3. Se deben conocer los procesos de negocio y de apoyo al
negocio, para identificar los posibles problemas en los
procesos.
Si los procesos no están formalizados hay que generar un
borrador que nos servirá en el diagnóstico como evidencia, en
especial en la etapa de desarrollo de conclusiones.

Profesor: E. Opazo D.

9

Tareas
4. Se debe identificar al entrevistado principal y alos
entrevistados secundarios.

Profesor: E. Opazo D.

10

Tareas
No basta con entrevistar a una persona.
Es bueno contar con las respuestas al cuestionario de varios
integrantes de la organización.
La elección de los entrevistados secundarios no debe obedecer
al área de diagnóstico solamente, sino que a todas las áreas en
el que el diagnóstico pueda repercutir.
En el caso de laseguridad de la información, ésta es transversal
a la organización.

Profesor: E. Opazo D.

11

Tareas
Es un error pensar que solo obedece al área de las Tecnologías
de la Información y Comunicaciones y/o la Informática.
El principal objetivo de este ejercicio es por un lado i) validar las
respuestas del entrevistado principal y por otro lado, ii) tener una
estimación del conocimientopor parte de los integrantes de la
organización respecto a los procesos y políticas de la
organización (Plan de Comunicaciones de la organización).

Profesor: E. Opazo D.

12

Tareas
5. Se debe elegir el cuestionario adecuado al diagnóstico o
auditoría que se quiere realizar; por ejemplo un
cuestionario para la norma ISO 27000.
Si es necesario se puede diseñar un cuestionario a lamedida
para la organización.
Es muy importante recalcar en este punto que las preguntas del
cuestionario deben ser lo más claras posibles, no debe haber
cabida a la interpretación de éstas.

Profesor: E. Opazo D.

13

Tareas
6. Se debe aplicar el cuestionario rígidamente.
En este punto el entrevistador debe ser muy profesional.
Cualquier pregunta no respondida o mal respondida puedellevar
al diagnóstico al fracaso.
Para que esto no suceda, el entrevistador debe pedir evidencia
de cada respuesta de los entrevistados.

Profesor: E. Opazo D.

14

Tareas
7. Extraer datos del diagnóstico y convertirlos en
información.
Para esto se pueden generar gráficos de las distintas áreas de
incidencia (por ejemplo: terremotos, inundaciones, etc.).
La información de losgráficos debe ir normalizada.
Para normalizar la información basta con llevar la información del
cuestionario a porcentajes.
El resultado visual de los gráficos es el porcentaje de completitud
del diagnóstico en el área de incidencia.

Profesor: E. Opazo D.

15

Tareas
8. Priorizar los resultados.
Implantar un Sistema de Gestión de Seguridad de la Información
es un proceso largo.
Es muy...