¿Qué es COBIT? Una guía práctica sobre el marco de gobernanza de TI de ISACA

Las organizaciones recurren a COBIT® cuando las necesidades de gobernanza abarcan múltiples dominios (calidad de datos, gestión de servicios, operaciones de seguridad) en lugar de encajar claramente en uno solo. El marco COBIT funciona junto con otros más especializados. Está diseñado específicamente para la integración, por lo que los equipos lo utilizan como una capa de gobernanza empresarial mientras confían en modelos específicos de cada dominio para mayor profundidad operativa.

COBIT es el marco de ISACA para la gobernanza y gestión de la información y la tecnología empresariales. No es un marco específico para datos. Su propósito es más amplio: ayudar a las organizaciones a alinear la tecnología de la información (TI) con los objetivos empresariales, gestionar el riesgo y optimizar los recursos a través de un sistema de gobernanza estructurado.

COBIT 2019 es la versión actual y la sucesora de COBIT 5. En términos generales, COBIT tiene como objetivo ayudar a las organizaciones a crear valor a partir de la información y la tecnología al equilibrar la obtención de beneficios y la optimización de riesgos y recursos. Por eso cubre las áreas de auditoría, arquitectura, seguridad, cumplimiento y operaciones en lugar de limitarse únicamente a los equipos de datos.

Una razón práctica por la que COBIT 2019 sigue siendo ampliamente utilizado es que está diseñado para ser adaptado. ISACA diseñó el marco para que una organización pueda adaptar el sistema de gobernanza a su propio contexto. Esto significa tener en cuenta variables como la estrategia empresarial, el perfil de riesgo, el modelo de aprovisionamiento, el tamaño y el enfoque de implementación.

Esta es también la razón por la que COBIT tiende a situarse por encima de los marcos especializados. COBIT proporciona el paraguas de gobernanza que ayuda a una organización a decidir cómo deben dirigirse, supervisarse y alinearse otros marcos con los objetivos empresariales. Por ejemplo, COBIT complementa marcos como ITIL y TOGAF. Mientras que TOGAF guía cómo se diseña la arquitectura empresarial e ITIL se centra en cómo se prestan y gestionan los servicios, COBIT garantiza que ambos estén alineados con los objetivos empresariales, la gestión de riesgos y la entrega de valor.

La forma más fácil de entender COBIT 2019 es observar sus tres capas relacionadas: los principios que guían el sistema de gobernanza, los componentes que conforman ese sistema, y los dominios y objetivos que organizan el trabajo real de gobernanza y gestión.

La primera capa consta de los principios del sistema de gobernanza, que sirven como reglas de diseño sobre cómo debe funcionar el sistema de gobernanza. En COBIT 2019, los principios son:

La segunda capa está formada por siete componentes del sistema de gobernanza, es decir, los elementos básicos con los que trabaja una organización en la práctica:

COBIT organiza el trabajo real de gobernanza y gestión en 40 objetivos de gobernanza y gestión en cinco dominios. Esta es la parte de COBIT con la que trabajan la mayoría de los equipos cuando evalúan la madurez, asignan la responsabilización o alinean las expectativas de gobernanza con las prácticas operativas.

COBIT no es intercambiable con marcos de gestión de datos como DAMA-DMBOK o DCAM. COBIT actúa como una capa de estrategia de gobernanza para la información y la tecnología de la empresa, mientras que marcos especializados como DAMA-DMBOK y DCAM profundizan en cómo se definen, administran, miden y gestionan los datos a nivel operativo.

COBIT considera los datos como un elemento influido por la arquitectura, la seguridad, la responsabilización, las operaciones y las garantías, en lugar de como un dominio aislado con su propio conjunto de controles independiente. La gobernanza de datos en COBIT está determinada por APO14 (Datos gestionados), así como por objetivos relacionados como APO01 (Gestionar el marco de gestión de TI), APO03 (Gestionar la arquitectura empresarial), APO13 (Gestionar la seguridad) y DSS05 (Gestionar los servicios de seguridad).

Una junta directiva, una función de auditoría o una oficina de gobernanza pueden utilizar COBIT para definir las expectativas de supervisión, responsabilización, generación de informes y control. A continuación, los equipos de datos utilizan marcos especializados o estándares operativos internos para elaborar con más detalle las prácticas de administración, metadatos, calidad y ciclo de vida. Cuando los marcos se utilizan de forma conjunta, COBIT suele sacar a la luz las deficiencias de gobernanza, mientras que el marco de datos ayuda a completar la capa de procesos subyacente.

Snowflake puede respaldar varios objetivos de COBIT.

Snowflake Horizon Catalog es una capa de gobernanza y descubrimiento que ayuda a aplicar controles de acceso, identifica datos confidenciales mediante clasificación, admite el enmascaramiento de datos dinámico y las políticas de acceso a filas, y visualiza el linaje. Esta combinación es útil para poner en práctica APO14, ya que los datos gestionados dependen de la capacidad de identificar activos, asociar el contexto de gobernanza y aplicar políticas de forma más coherente en todos los entornos. La supervisión de la calidad de los datos de Snowflake también respalda APO14 al ayudar a los equipos a adjuntar controles medibles a los activos de datos gobernados.

El control de acceso basado en roles (RBAC), las políticas de red, el enmascaramiento de datos dinámico y la aplicación de políticas a nivel de fila son formas integradas de ayudar a controlar el acceso, respaldar la protección de los datos confidenciales y hacer que los controles sean más auditables. Estas funciones ayudan a respaldar los objetivos de seguridad y servicios de seguridad al situar las reglas de acceso y protección cerca de los propios datos gobernados.

La vista ACCESS_HISTORY de Snowflake registra toda la actividad de lectura y escritura, y está disponible a través de los esquemas ACCOUNT_USAGE y ORGANIZATION_USAGE. También está disponible una vista Account Usage para el historial de consultas de los últimos 365 días. El esquema ACCOUNT_USAGE también proporciona datos de uso histórico y metadatos de objetos a nivel de cuenta. Esto proporciona a los equipos de auditoría, gobernanza y cumplimiento una capa de evidencia práctica para supervisar si el acceso y el uso se ajustan a las políticas.

Los metadatos compartidos, el linaje, el modelo de permisos y los datos de uso de Snowflake pueden aportar información valiosa para la arquitectura empresarial, especialmente cuando los equipos necesitan comprender dónde residen los datos gobernados, cómo se mueven y qué mecanismos de control nativos existen en la plataforma. Esto es útil porque la gobernanza de la arquitectura depende de información precisa sobre las plataformas reales y las superficies de control.

Las organizaciones utilizan COBIT como un lenguaje de gobernanza que puede abarcar desde la supervisión de la junta directiva hasta la evidencia operativa, al tiempo que distingue la gobernanza de la gestión. Permite a las empresas adaptar el sistema a su propio contexto y deja espacio para marcos más especializados. Por eso aparece en conversaciones sobre auditoría, seguridad, cumplimiento, arquitectura y gobernanza de datos al mismo tiempo.

Para los equipos de gobernanza de datos, la forma más práctica de pensar en COBIT es como la capa que indica al resto de la organización cómo debe dirigirse, supervisarse y conectarse la gobernanza de datos con la gobernanza de TI empresarial.