Aplicación del modelo COBIT para la administración de datos (DS11): el caso de un centro de análisis clínico

Abstract

Security levels in data administration are determined by applying a survey to a sample of the personnel and, based on it, the level of maturity is calculated and the respective statistical indicators are presented. Keywords: Data management; services and support (DS); IT governance; security management. 1.Introducción La importancia que las tecnologías de la información (TI) poseen en el desarrollo de la sociedad moderna aumenta exponencialmente (Harris, 2017) (Wang, Zhang & Chen, 2008). Una de ellas es COBIT (Control Objectives Control Objectives for Information and related Technology), un modelo para el gobierno de las TI presentado por la ISACA (Information Systems Audit and Control Association) y el ITGI (IT Governance Institute). Assessment to COBIT 4.1 maturity model based on process attributes and control objectives. 2015 International Conference on Science in Information Technology (ICSITech), 343-347.

Headnote

Resumen: Un eje prioritario en la administración organizacional de los centros de análisis clínico es la correcta utilización de las tecnologías de la información (TI) y la gestión segura de los datos y registros. En este trabajo se implementa el modelo COBIT 4.1 y como estudio de caso se ilustra el proceso de administración de datos (DS11). Se implementa en una institución que ha operado sin ninguna herramienta tecnológica, en cuanto al manejo de su información interna. Los niveles de seguridad en la administración de los datos se los determina aplicando una encuesta a una muestra del personal y en base a ello, se calcula el nivel de madurez y se presentan los indicadores estadísticos respectivos. De esta forma se plantean y ejecutan acciones correctivas que permiten elevar estas estadísticas, evitando vulneraciones y fugas de información. Esta propuesta es validada y se brinda un precedente para futuras investigaciones en América Latina.

Palabras-clave: Gestión de datos; servicios y asistencia (DS); gobierno de TI; gestión de seguridad.

Abstract: A priority axis in the organizational management of clinical analysis centers is the correct use of information technology (IT) and the secure management of data and records. In this work, the COBIT 4.1 model is implemented and the data management process (DS11) is illustrated as a case study. It is implemented in an institution that has been operating without any technological tool in terms of the management of its internal information. Security levels in data administration are determined by applying a survey to a sample of the personnel and, based on it, the level of maturity is calculated and the respective statistical indicators are presented. In this way, corrective actions are proposed and executed to allow to raise these statistics, avoiding information breaches and leaks. This proposal is validated and provides a precedent for future research in Latin America.

Keywords: Data management; services and support (DS); IT governance; security management.

1.Introducción

La importancia que las tecnologías de la información (TI) poseen en el desarrollo de la sociedad moderna aumenta exponencialmente (Harris, 2017) (Wang, Zhang & Chen, 2008). Es así que se puede influenciar y modificar los procedimientos para la gestión de las empresas tanto públicas como privadas (Johnson, Lukaszewski & Stone, 2016). La gestión de las TI requiere organización y una utilización óptima, eficaz y eficiente de los recursos de la empresa para alcanzar los objetivos planteados por la misma (Aharonson & Schilling, 2016). El éxito de la organización se ve relacionado con la utilización de las TI para responder a las presiones comerciales y económicas que se puedan suscitar en las actividades desarrolladas (Jha, Pinsonneault & Dubé, 2016). En la búsqueda del mejoramiento de los procesos se han implementado procesos de control como las auditorías, que buscan corregir errores en niveles tanto operativos como gerenciales. De esta manera se podrán tomar acciones correctivas que prioricen el capital humano y se entregue mejores productos y servicios (Espejo Chavarría, Bayona Oré & Pastor, 2016).

Para determinar si las acciones que se realizan periódicamente están contribuyendo en el proceso de mejora continua, se realiza el análisis de los datos que se recolectan en un determinado intervalo de tiempo (Roa Mantilla & Giraldo, 2013). Esta información representa la esencia de la compañía, sin importar su tamaño, refleja cuantitativa y cualitativamente su crecimiento o deterioro (Jasperson, Carter & Zmud, 2005). Es por ello que la correcta administración de dichos datos se convierte en una actividad de prioridad elevada. Se busca constantemente prevenir vulnerabilidades y fugas de información, que podrían ser aprovechadas por sus competidores, que buscan sobresalir en un entorno comercial tan disputado (Ibrahim & Nurpulaela, 2016). Por ello es necesario administrar la librería de medios y su correcta eliminación, el respaldo y la recuperación de los datos. El uso de herramientas tecnológicas que promuevan la administración de los datos ha tomado mayor relevancia en este siglo. Una de ellas es COBIT (Control Objectives Control Objectives for Information and related Technology), un modelo para el gobierno de las TI presentado por la ISACA (Information Systems Audit and Control Association) y el ITGI (IT Governance Institute). Esta herramienta busca optimizar las TI, equilibrando beneficios, uso de recursos y niveles de riesgos. Este modelo abarca 34 objetivos de nivel alto que cubren 215 objetivos de control agrupados en cuatro dominios (Peter & Vijayadhasan, 2018).

En tal contexto, en este trabajo se describe el proceso de aplicación del proceso DS11 del modelo COBIT 4.1 y sus objetivos de control en los procesos de una organización. La administración de los datos es evaluada siguiendo los objetivos de control del proceso antes mencionado, con la intención de identificar falencias en el sistema usado durante años. A través de la presentación de resultados preliminares, se determinaron actividades para la corrección de errores y una optimización del manejo interno de la información.

Por tanto, este artículo se organiza de la siguiente manera: la introducción en la sección 1, en la sección 2 se muestra el estado del arte de investigaciones relacionadas. En la sección 3 se presenta la metodología utilizada. Los resultados se ilustran en la sección 4 y las conclusiones y trabajos futuros se describen en la sección 5.

2. Estado del arte

La fundamentación de esta investigación se basó en trabajos relacionados que muestran la influencia de este modelo en la administración empresarial y como se puede realizar una correcta aplicación del mismo. En (Mantilla & Giraldo, 2013) se presentan conceptos relacionados con la arquitectura empresarial (AE) y su alineación con la tecnología de la información (TI) en los negocios. De esta forma se presenta un modelo de mantenimiento para estructurar los diversos elementos que componen el proceso. Con ello se define la trazabilidad de los diferentes cambios que surgen durante la implementación de COBIT y se controla dicho proceso de mantenimiento. En (Hussain & Siddiqui, 2005) se describe un modelo realizado mediante el desarrollo de matrices para los cuatro dominios de COBIT. Con ello se proporciona un enfoque cuantitativo para una mejor implementación del gobierno corporativo de TI a través de una auditoría y controles efectivos. En (Ozkan, 2015) se busca identificar los riesgos, desafíos y problemas de la implementación de Scrum dentro de un entorno COBIT. Este estudio funciona como un mapa de riesgos para las organizaciones que tienen la oportunidad de adaptar esta herramienta. Se exhibe una lista de desafíos para las instituciones y se las motiva a cumplirlos. La presentación de un enfoque para crear un modelo formal de COBIT utilizando una ontología se describe en (Textor & Geihs, 2015). Se establece una mejora con una formalización de las métricas, la forma de utilizar las reglas de selección y las asignaciones para calcular los valores de las mediciones en tiempo de ejecución. El diseño del modelado se muestra detalladamente y su validación se la realiza mediante pruebas de ejecución.

Una forma de mejorar los sistemas es sometiéndolos a procesos de auditoría como se muestra en (Suryani, Sasmita & Purnawan, 2005), donde se realiza una auditoría al sistema de información contable de una universidad de Indonesia. El objetivo de esta investigación es determinar el nivel de madurez de los sistemas de TI de esta institución como soporte en la gestión de datos financieros. En (Ibrahim & Nurpulaela, 2016) se evalúa el nivel de madurez de la gobernanza de TI en una organización. Se detalla la utilización de los diversos dominios de COBIT 4.1 y los resultados obtenidos luego de aplicar esta herramienta. De manera similar en (Wijayanti, Setiawan & Sukamto, 2017) se utiliza COBIT 4.1 combinado con BSC (Balanced Score Card) en un entorno educativo de nivel superior. Se los utiliza para establecer indicadores de evaluación en forma de cuestionario. Al analizar los 15 objetivos de TI de la Universitas Pendidikan Indonesia (UPI) se han desplegado 17 planes estratégicos, que serán ejecutados con pleno respaldo y acuerdo de los propietarios de los procesos que requieren una mejora. Como ya se habló previamente la seguridad de la información es una prioridad en las empresas tanto privadas, como públicas y es por ello necesaria la implementación de herramientas como se muestra en (Morimoto, 2009). Donde se busca implementar una guía de gestión de seguridad, que permita mantener resguardada la información de relevancia.

3.Metodología

El proceso de administración de datos (DS11) del modelo COBIT en su versión 4.1 consta de cinco actividades que se mencionan a continuación: Traducir el almacenamiento de datos y la disposición de retención en procedimientos. Definir, mantener e implementar procedimientos para administrar la biblioteca de medios. Definir, mantener e implementar procedimientos para la eliminación segura de medios y equipos. Disponer de una copia de seguridad de los datos según el esquema. Definir, mantener e implementar procedimientos para la restauración de datos (Ariyadi & Dirgahayu, 2015). Este proceso está regido por un conjunto de objetivos de control que pueden ser políticas, procedimientos, prácticas o estructuras organizativas, como se muestra en la Tabla 1. Así, se optimiza el uso de la información y se garantiza la disponibilidad de la misma cuando se la requiera. Enfocándose en mantener la integridad, exactitud, disponibilidad y protección de los datos.

Un proceso es la unidad más pequeña del gobierno de TI y la aplicación de un modelo de madurez evidencia el desempeño del proceso. El modelo de madurez genérico de COBIT 4.1 se presenta en la Tabla 2, mencionando que se adapta dependiendo de las necesidades de esta institución. En este contexto, el análisis y estudio realizados están orientados a contribuir con el proceso de mejora continua de un centro de toma de muestra clínicas, cuyo diagrama de arquitectura de procesos se presenta en la Figura 1. Para la aplicación de una auditoría de TI, la recopilación de información se realiza mediante observación directa de los procesos y entrevistas al personal de los diferentes departamentos y laboratorios.

3.3.Participantes

Para la aplicación de este modelo, se debe establecer un análisis de la situación actual del establecimiento mediante una toma de muestra que sea significativa. Para fines aplicativos se procederá a escoger 10 personas, de las 58 personas que laboran aquí (5 hombres y 5 mujeres). Estas poseen un promedio de edad de 30 años, y poseen conocimientos aceptables sobre las TI. El objetivo de escoger una muestra de población mixta, es poder constatar la información entregada y poder revisarla de una manera enfocada, sin ningún tipo de discriminación. Las áreas seleccionadas para este proceso son: dirección técnica, responsables de los distintos laboratorios, control de calidad, despacho y departamento de TI.

3.2. Instrumentos y técnicas de recolección de datos

Esta investigación utiliza instrumentación en forma de encuesta aplicada a la muestra de la población seleccionada previamente. Ésta se ha formulado con la intención de cumplir cada uno de los objetivos de control del nivel de madurez en el dominio de Entrega y Soporte (DS) (específicamente el proceso DS11). Estos datos obtenidos son del tipo primario, ya que se toman directamente en el lugar de investigación, en base a la observación y preguntas al personal. Con esto, se pretende realizar un proceso general, teniendo en cuenta que, en cada empresa pública o privada varían los enfoques de seguridad de los registros. También se recopilan datos secundarios como la historia de la institución, misión, visión y estructura (aunque no se presentan en el estudio).

3.4.Plan de análisis de datos

Se han utilizado dos técnicas de análisis de datos: descriptiva y cuantitativa. Un análisis descriptivo permite descubrir cómo se gobiernan las TI en la institución actualmente, con la finalidad de implementar las soluciones respectivas. El método cuantitativo brinda un resultado concreto, que permite determinar si los objetivos de control están cumpliendo con la finalidad de mitigar los riesgos y vulnerabilidades en todos los procesos referentes al manejo de datos. Así, mediante el procesamiento y tabulación de las respuestas obtenidas calcular el nivel de madurez. El análisis de los datos obtenidos, debe adecuarse a la realidad, verificando que no fueron alterados y cumplen con los estándares de calidad en cuanto a seguridad.

3.5. Procedimiento

La información solicitada a la institución es relevante para diagnosticar su situación actual y con la cual se puede establecer una metodología. Luego de realizar el cuestionario que proporcione una noción de la eficacia que poseen los diferentes procesos, se implementan gráficas estadísticas que permiten presentar formalmente los datos adquiridos. Con ello, al definir el nivel madurez que posee la organización, se presenta un plan metodológico que contenga lo siguiente:

* Descripción actual de la situación de la empresa.

* Análisis de las vulnerabilidades con respecto al manejo de datos.

* Instauración de medidas que permitan solventar estos problemas

* Análisis de los controles establecidos.

* Verificación de la mejora con los controles.

* Planificación de mejoras a corto y mediano plazo.

* Evaluación luego de un periodo de seis meses.

* Entrega formal de resultados y socialización del proceso implementado.

4.Resultados

Se realizó una encuesta de 12 preguntas enfocadas a la administración óptima de los datos, para verificar su fiabilidad y disponibilidad en cualquier momento. A continuación, en la Tabla 3 se presentan las preguntas realizadas a la muestra de 10 personas.

El análisis de la información derivada luego de aplicar la encuesta de la tabla anterior, permite obtener los siguientes valores porcentuales. El 31,6% de los encuestados asegura que recibe documentos originales con los datos necesarios para procesar la información de forma rápida y precisa, para una entrega oportuna y adecuadamente soportada con su respectiva documentación. El 43,4% indica que tiene un procedimiento definido para el archivo y almacenamiento de datos. Además, afirman que su procedimiento cumple con las exigencias de recuperación, rentabilidad, integridad continua y seguridad en los datos. Un 37,6% posee un procedimiento para mantener un inventario en sitio, el cual le permite garantizar su integridad y uso. El 35,2% posee un manejo adecuado para el acceso a datos sensitivos y al software desde equipos o medios una vez que son eliminados o transferidos para otro uso. Un 48% tiene un plan de continuidad de negocio que respalde los sistemas, aplicaciones y documentación en línea. También posee una verificación para los procedimientos de respaldo y tiempos requeridos para una restauración completa y exitosa. Finalmente, el 38,2% posee políticas de seguridad aplicables a la recepción, procesamiento, almacenamiento y salida de datos. Según los datos obtenidos la empresa presenta un nivel de riesgo moderadamente alto en el dominio de prestación de entrega y soporte, tal como se puede observar en la Figura 2.

4.1. Análisis de la situación inicial de la institución

Realizado un promedio del cumplimiento de los objetivos de control se tiene un valor del 39%, un nivel definido bastante bajo. En base a este valor se puede deducir que hay falencias existentes con respecto a la administración de los datos. Es decir, no se evidencia un correcto manejo y gestión de los registros almacenados utilizando herramientas de TI. Además, se presentó carencia de documentación original que respalden los procesos de control requeridos. En ciertos casos los documentos eran copias y en otros casos presentaban inconsistencias en su llenado. A partir de estos resultados, se determina el nivel de madurez de la organización, cuyos valores se describen en la Tabla 4. Con la intención de mejorar la gobernanza de las TI en esta institución se aplicaron varias medidas correctivas y entre ellas se menciona las principales:

* Organización y complemento de la documentación necesaria.

* Validación de la integridad de la información que se encuentra en la base de datos, eliminación de inconsistencias y restauración de datos perdidos.

* Mejoramiento del protocolo de seguridad e implementáción de respaldos para elevar la redundancia de los registros.

* Mejoramiento del almacenamiento y administración de la librería de medios.

* Establecimiento de responsables a cargo del manejo de los registros internos.

3.3. Análisis de la situación de la empresa posterior a la implementación del modelo

Se aplicó los objetivos de control del proceso DS11 por un tiempo de prueba de seis meses a todos los procesos que presentaron ineficiencias. Desde el nivel gerencial hasta los niveles operativos, que incluyen los laboratorios y el despacho de resultados. Con ello, se constató una mejora en el manejo adecuado de la documentación y en la administración digital de los datos. Además, de los requerimientos de seguridad, evitando vulneraciones y pérdidas de información.

Se volvió a aplicar la encuesta establecida en la Tabla 3 y los resultados obtenidos se compararon con los datos previos, como se describe en la Figura 3. El análisis respectivo muestra que hay un incremento del cumplimiento en cada uno de los objetivos de control del proceso DS11. Esta información es la base para un nuevo cálculo de la madurez de la gobernanza de las TI, que se presenta en la Tabla 5.

Como se puede apreciar el nivel de madurez promedio del proceso DS11 incrementó en un 66% luego de la implementación de las medidas correctivas que se mencionaron previamente. A pesar que ahora el nivel se define como un "proceso definido", es evidente que aún se requiere un mayor control en los procesos que involucran TI.

5.Conclusiones y trabajos futuros

La aplicación de una encuesta como parte de una investigación descriptiva a una muestra de 10 personas, permitió evidenciar de una manera clara y concisa la situación actual de un centro de análisis clínico. Previamente la administración de la información, registros y resultados clínicos, poseía la carencia de una metodología de control, lo cual se vio demostrado en inconsistencias de ciertos documentos. Para instituciones de esta índole, la preservación y confidencialidad de la información es una prioridad, que promueve la continuidad de sus funciones. La aplicación de los objetivos de control enfocados al proceso DS11 del modelo COBIT 4.1, logró establecer una mejoría notoria en todos los componentes en un periodo establecido de seis meses. Llegando a aumentar aproximadamente un 66% el nivel de madurez en este proceso en particular. También se ha realizado la socialización de la metodología aplicada, con la intención de incrementar este nivel a futuro y que pueda ser transmitido al nuevo personal que pueda ingresar a laborar. Así se ha logrado robustecer la administración de datos, para garantizar su integridad, confiabilidad, seguridad y disponibilidad.

Cada objetivo de control se ve involucrado con uno o más procesos de TI, por tal razón se debe extender de una manera integral el análisis de los dominios del modelo COBIT. Con esto se logrará entrelazar varios aspectos que podrían detectar a tiempo alguna vulnerabilidad que afecte a la organización. Por tal razón los autores presentan como futura investigación la implementación de los procesos complementarios del modelo COBIT y la utilización de otras herramientas de gestión. Así se obtendrán mejores resultados en donde se establezca de una manera clara la alineación, responsabilidades, procesos y controles de TI.

References

Referencias

Aharonson, B. S. & Schilling, M. A. (2016). Mapping the technological landscape: Measuring technology distance, technological footprints, and technology evolution. Research Policy, 45(1), 81-96. doi: https://doi.org/10.1016/j.respol.2015.08.001

Ariyadi, D. & Dirgahayu, T. (2015). Assessment to COBIT 4.1 maturity model based on process attributes and control objectives. 2015 International Conference on Science in Information Technology (ICSITech), 343-347. IEEE. doi: https://doi.org/10.1109/ICSITech.2015.7407829

Espejo Chavarria, E., Bayona Oré, S. & Pastor, C. (2016). Aseguramiento de la Calidad en el Proceso de Desarrollo de Software utilizando CMMI, TSP y PSP. RISTI - Revista Iberica de Sistemas e Tecnologias de Informacao, 20, 62-77. doi: 10.17013/ risti.20.62-77

Harris, N. (2017). The Design and Development ofAssistive Technology. IEEE Potentials, 36(1), 24-28. doi: https://doi.org/10.1109/MPOT.2016.2615107

Hussain, S. J. & Siddiqui, M. S. (2005). Quantified Model of COBIT for Corporate IT Governance. 2005 International Conference on Information and Communication Technologies, 158-163. IEEE. doi: https://doi.org/10.1109/ICICT.2005.1598575

Ibrahim & Nurpulaela, L. (2016). Evaluation of IT governance to support IT operation excellent based on COBIT 4.1 at the PT Timah Tbk. In Information Technology, Computer, and Electrical Engineering (ICITACEE), 2016 3rd International Conference on, 336-339. IEEE. doi: https://doi.org/10.1109/ ICITACEE.2016.7892467

Jasperson, J. Carter, P. E. & Zmud, R. W. (2005). A comprehensive conceptualization of post-adoptive behaviors associated with information technology enabled work systems. MIS Quarterly: Management Information Systems, 29(3), 525-557. doi: https://doi.org/10.25300/MISQ/2016/40.2.08

Jha, S. K., Pinsonneault, A. & Dubé L. (2016). The evolution of an ICT platform-enabled ecosystem for poverty alleviation: the case of eKutir. MIS Quarterly: Management Information Systems, 40(2), 431-445. doi: https://doi.org/10.25300/ MISQ/2016/40.2.08

Johnson, R. D., Łukaszewski, K. M. & Stone, D. L. (2016). The Evolution of the Field of Human Resource Information Systems: Co-Evolution of Technology and HR Processes. Communications of the Association for Information Systems, 38, 533-553. doi: https://doi.org/10.17705/1CAIS.03828

Mantilla, S. M. R. & Giraldo, O. L. (2013). Model maintenance based in COBIT for the applications architecture in TOGAF enterprise architectures - MOMCAE," 2013 8th Computing Colombian Conference (8CCC), 1-6. IEEE. doi: https://doi.org/10.1109/ColombianCC.2013.6637541

Morimoto, S. (2009). Application of COBIT to security management in information systems development. In 2009 International Conference on Frontier of Computer Science and Technology, 625-630. IEEE. doi: http://doi.ieeecomputersociety. org/10.1109/FCST.2009.38

Ozkan, N. (2015). Risks, Challenges and Issues in a Possible Scrum and COBIT Marriage. 2015 Asia-Pacific Software Engineering Conference (APSEC), 111-118. IEEE. doi: https://doi.org/10.1109/APSEC.2015.29

Peter A., J., & Vijayadhasan G., K. (2018). Design of an energy efficient campus-based on energy audit report. International Journal of Engineering & Technology, 7(2), 370-373. doi: http://dx.doi.org/10.14419/ijet.v7i2.12.11353

Suryani, N. P. S. M., Sasmita, G. M. A., & Purnawan, I. K. A. (2015). Audit of Accounting Information System Using Cobit 4.1 Focus on Deliver and Support Domain. Journal of Theoretical and Applied Information Technology, 78(3), 456-463.

Textor, A. & Geihs, K. (2015). Calculation of COBIT metrics using a formal ontology. 2015IFIP/IEEE International Symposium on Integrated Network Management (IM), 1384-1390. IEEE. doi: https://doi.org/10.1109/INM.2015.7140501

Wang, R., Zhang, Z. & Chen, G. (2008). Energy Function and Energy Evolution on Neuronal Populations. IEEE Transactions on Neural Networks, 19(3), 535-538. doi: https://doi.org/10.1109/TNN.2007.914177

Wijayanti, N. Y., Setiawan, W., & Sukamto, R. A. (2017). Performance Assessment of IT Governance with Balanced Score Card and COBIT 4.1 of Universitas Pendidikan Indonesia. In Journal of Physics: Conference Series, 812(1), 1-7. IOP Publishing. doi: https://doi.org/ıo.ıo88/i742-6596/8i2/ı/oi2072