Gestion De La Comunicaciones Y Operaciones

ISO
10.0 GESTIÓN DE LAS COMUNICACIONES Y OPERACIONES.
10.1 PROCEDIMIENTOS Y RESPONSABILIDADES OPERACIONALES
Objetivo: Asegurar la operación correcta y segura de los medios de procesamiento de la información. Se debieran establecer las responsabilidades y procedimientos para la gestión y operación de todos los medios de procesamiento de la información. Esto incluye el desarrollo de losprocedimientos de operación apropiados.
Cuando sea apropiado, se debiera implementar la segregación de debierares para reducir el riesgo de negligencia o mal uso deliberado del sistema.

10.1.1 PROCEDIMIENTOS DE OPERACIÓN DOCUMENTADOS
Los procedimientos de operación se debieran documentar, mantener y poner a disposición de todos los usuarios que los necesiten. Se debieran preparar procedimientosdocumentados para las actividades del sistema asociadas con los medios de procesamiento de la información y comunicación; tales como procedimientos para encender y apagar computadoras, copias de seguridad, mantenimiento del equipo, manejo de medios, cuarto de cómputo, manejo del correo y seguridad. Los procedimientos de operación debieran especificar las instrucciones para la ejecución detallada decada trabajo incluyendo:
a) procesamiento y manejo de información;
b) copia de seguridad o respaldo;
c) requerimientos de programación de horarios, incluyendo las interdependencias con otros sistemas, los tiempos de culminación y horarios de los primeros y últimos trabajos;
d) instrucciones para el manejo de errores u otras condiciones excepcionales, las cuales podrían surgirdurante la ejecución del trabajo, incluyendo las restricciones sobre el uso de las utilidades del sistema;
e) contactos de soporte en el evento de dificultades operacionales o técnicas inesperadas;
f) instrucciones para el manejo de output especial y medios, tales como el uso de papelería especial o el manejo de output confidencial incluyendo los procedimientos para la eliminación seguradel output de trabajo fallidos;
g) procedimientos de reinicio y recuperación del sistema para su uso en el evento de una falla en el sistema;
h) la gestión de la información del rastro de auditoría y registro del sistema.
Los procedimientos de operación y los procedimientos documentados para las actividades del sistema debieran ser tratados como documentos formales y cambios autorizadospor la gerencia. Donde sea técnicamente factible, los sistemas de información debieran ser manejados consistentemente, utilizando los mismos procedimientos, herramientas y utilidades.

10.1.2 GESTIÓN DEL CAMBIO
Se debieran controlar los cambios en los medios y sistemas de procesamiento de la información. Los sistemas operacionales y el software de aplicación debieran estar sujetos a unestricto control gerencial del cambio. En particular, se debieran considerar los siguientes ítems:
a) identificación y registro de cambios significativos;
b) planeación y prueba de cambios;
c) evaluación de los impactos potenciales de los cambios, incluyendo los impactos de seguridad,
d) procedimiento de aprobación formal para los cambios propuestos;
e) comunicación de losdetalles del cambio para todos las personas relevantes:
f) procedimientos de emergencia y respaldo, incluyendo los procedimientos y responsabilidades para abortar y recuperarse de cambios fallidos y eventos inesperados.
Se debieran establecer las responsabilidades y procedimientos gerenciales formales para asegurar un control satisfactorio de todos los cambios en el equipo, software oprocedimientos. Cuando se realizan los cambios, se debiera mantener un registro de auditoría conteniendo toda la información relevante.

El control inadecuado de los cambios en los medios de procesamiento de la información y los sistemas es una causa común de fallas en el sistema o en la seguridad. Los cambios en el ambiente operacional, especialmente cuando se transfiere un sistema de la etapa de...