Source: http://docplayer.es/1624117-Manual-de-seguridad-aplicaciones-de-tramitacion-telematica-platea.html
Timestamp: 2017-02-23 14:24:08+00:00

Document:
MANUAL DE SEGURIDAD. Aplicaciones de Tramitación Telemática (Platea) - PDF
Download "MANUAL DE SEGURIDAD. Aplicaciones de Tramitación Telemática (Platea)"
Ignacio López Sandoval
1 JUSTIZIA ETA HERRI ADMINISTRAZIO SAILA Informatika eta Telekomunikazio Zuzendaritza DEPARTAMENTO DE JUSTICIA Y ADMINISTRACIÓN PÚBLICA Dirección de Informática y Telecomunicaciones MANUAL DE SEGURIDAD Aplicaciones de Tramitación Telemática (Platea) 12 Nombre del archivo: Manual de Seguridad - v2.1 doc Páginas: 69 Autor: Revisado por: Aprobado por: DIT Fecha: Fecha: Fecha: Versión Fecha Detalles Primer borrador Versión revisada Corrección 23 Contenidos 0. PRÓLOGO INTRODUCCIÓN ÁMBITO DE APLICACIÓN POLÍTICA DE SEGURIDAD Política de seguridad Aspectos organizativos de la seguridad de la información Gestión de activos Seguridad ligada a los recursos humanos Seguridad física y ambiental Gestión de comunicaciones y operaciones Control de acceso Adquisición, desarrollo y mantenimiento de los sistemas de información Gestión de incidentes de seguridad de la información Gestión de la continuidad del servicio Cumplimiento Gestión de la seguridad DESARROLLO NORMATIVO Explicación de las fichas Índice de fichas GLOSARIO4 0. Prólogo Sustentado sobre los Servicios Comunes de Tramitación Telemática (SCTT), pilares básicos de la infraestructura técnica común para el desarrollo de la administración electrónica (e- Administración), de utilización obligatoria para todas las aplicaciones informáticas que sirvan de base a la tramitación telemática aparece el Manual de Seguridad. Este Manual de Seguridad dota a dicha infraestructura de una adecuada homogeneidad al establecer las medidas de seguridad de carácter general, así como de índole técnica y organizativa, dirigidas a asegurar el cumplimiento de las garantías de autenticidad, integridad, confidencialidad, disponibilidad, conservación de la información y trazabilidad. El Manual de Seguridad queda dividido en dos apartados: Política de seguridad. Declaración de alto nivel de objetivos, directrices y compromiso de la Administración General de la Comunidad Autónoma del País Vasco y sus Organismos Autónomos para acometer la gestión de seguridad de la información en los medios electrónicos, informáticos y telemáticos utilizados en la prestación de servicios públicos. Normativa de seguridad. Medidas de seguridad de obligado cumplimiento. Es un compendio del conjunto de normas que soportan los objetivos recogidos en la política de seguridad de la información. En este nivel se describen los objetivos de seguridad y se anticipan las reglas generales de obligada adopción. Este apartado es el objetivo final perseguido por este documento. 45 1. Introducción Uno de los activos más valiosos de la Administración General de la Comunidad Autónoma del País Vasco (en adelante, Administración General de la CAPV) y sus Organismos Autónomos es la información administrativa que trata para ofrecer servicios a sus ciudadanos. El presente Manual de Seguridad está enfocado al mantenimiento de la seguridad de la información de la Administración General de la CAPV y sus Organismos Autónomos, en el proceso telemático de la misma así como de los elementos que la tratan: las aplicaciones informáticas que sirven de soporte a la tramitación telemática (e-administración). Dentro de este ámbito de aplicación, el presente documento trata la seguridad desde un punto de vista general, contemplando, además de la propia información, aspectos tales como el hardware, el software, las redes, los datos y el personal que manipula o da soporte a esta Infraestructura de Tramitación Telemática (en adelante, ITT). La información puede encontrarse en tres estados fundamentales: transmisión, almacenamiento y proceso, y debe protegerse adecuadamente cualquiera que sea la forma que tome o los medios que se utilicen en dichos estados. Asimismo, la información posee las siguientes características relacionadas con la seguridad (estas son las garantías que se deben salvaguardar para cualquier información o documentación en que se empleen medios electrónicos, informáticos y telemáticos en adelante, Medios EIT ): - Confidencialidad: Característica que previene contra la puesta a disposición, comunicación y divulgación de información a individuos, entidades o procesos no autorizados. - Integridad: Característica que asegura que la información no se ha transformado ni modificado de forma no autorizada durante su procesamiento, transporte o almacenamiento, detectando fácilmente posibles modificaciones que pudieran haberse producido. - Disponibilidad: Característica que asegura que los usuarios autorizados tienen acceso a la información cuando se requiera y previene contra intentos de denegar el uso autorizado a la misma. - Autenticidad: Característica por la que se garantiza la identidad del usuario que origina una información. Permite conocer con certeza quién envía o genera una información específica. - Conservación de la información: En un sentido amplio, es el conjunto de procesos y operaciones que se conjugan para estabilizar y proteger los documentos del deterioro. A la hora de hablar de la gestión de recursos digitales, sea cual sea su forma o función, se debe tener en cuenta todas las etapas que componen el ciclo de vida de los documentos para aplicar las medidas de preservación lo antes posible. Por lo tanto, más que a una característica intrínseca de la información se hace referencia a la gestión del ciclo de vida de la información. - Trazabilidad: Característica de la información que asegura el conocimiento de aspectos clave de las operaciones de creación, modificación y consulta, tales como: quién realizó la operación?, cuándo se realizó la operación?, qué resultados tuvo la operación? El objetivo del Manual de Seguridad desarrollado en el presente documento es el de establecer las directrices básicas y duraderas para la protección eficaz y eficiente, mediante 56 un enfoque preventivo, detectivo, reactivo y dinámico de uso de la información de la Administración General de la CAPV y sus Organismos Autónomos. Sólo de esta manera se conseguirá preservar la información de los ciudadanos, salvaguardando las garantías descritas y cumpliendo las leyes que afectan al tratamiento de la información. Todo ello se desarrollará siguiendo y aplicando un principio de proporcionalidad, en cuya virtud sólo se exigirán las garantías y medidas de seguridad adecuadas a la naturaleza y circunstancias de los distintos trámites y actuaciones. Asimismo sólo se requerirán a los ciudadanos aquellos datos que sean estrictamente necesarios en atención a la finalidad para la que se soliciten. 67 2. Ámbito de aplicación El Gobierno Vasco dentro de su modelo de innovación y administración electrónica marca el establecimiento, puesta en funcionamiento, mejora y evolución de una infraestructura de e- Administración corporativa común para su utilización por parte del ciudadano y del Gobierno Vasco, así como el uso de dicha infraestructura desde otras iniciativas auspiciadas por la Administración para el tratamiento de la información propia de la Administración y la información generada por y para los ciudadanos. Esta definición de organización orientada a la prestación de servicios al ciudadano, así como el uso de las nuevas tecnologías para la comunicación con los ciudadanos, suponen un reto para la Administración General de la CAPV y sus Organismos Autónomos, principalmente en el uso compartido de información y, por supuesto, en lo referente a la seguridad de dicha información. En este ámbito, el reto es doble, ya que la Administración tiene la obligación de proteger la información de sus ciudadanos, así como de cumplir con las leyes emergentes que condicionan el uso de las tecnologías de la información la Ley Orgánica de Protección de Datos de Carácter Personal, la Ley de los Servicios de la Sociedad de la Información, la Ley de Firma Electrónica, la Ley de Acceso Electrónico de los ciudadanos a los Servicios Públicos y el Decreto de Medios EIT. Con todo esto, el ámbito de aplicación del presente documento es: Aplicaciones del entorno de e-administración (tal y como se entiende en el presente documento). Más concretamente a la infraestructura tecnológica PLATEA, componentes necesarios (elementos de red, servicios, equipos de usuario, periféricos, aplicaciones base) para el correcto uso de la misma; así como aquellas aplicaciones que hacen uso de dicha plataforma. A lo largo del presente documento se hará referencia a este conjunto de aplicaciones, componentes e infraestructura bajo la denominación ITT. La información afectada que será la tratada por la ITT, es decir, toda la información que utilizan, custodian o crean los empleados de la Administración General de la CAPV y sus Organismos Autónomos, tanto en soportes magnéticos, como ópticos, papel o cualquier otro soporte; bien resida en sus puestos de trabajo de forma local, como en servidores multiusuario, estén éstos ubicados o no en instalaciones propias. Procesos organizativos referentes al uso e implantación las aplicaciones de la ITT que afectarán a empleados de la Administración General de la CAPV y sus Organismos Autónomos. El público objetivo del presente Manual de Seguridad, desde un punto de vista funcional, será: o Funcionarios de la Administración General de la CAPV y sus Organismos Autónomos que hagan uso de la ITT. o Desarrolladores de las aplicaciones que dan soporte a la e-administración. Por desarrollador se entiende cualquier persona que participa o tiene responsabilidad en el proceso de creación de la aplicación o infraestructura de las aplicaciones de la e-administración. Los desarrolladores pueden ser propios o externos. o Administradores de recursos que dan soporte a la e-administración. Por administrador se entiende cualquier persona que participa o tiene 78 responsabilidades en el correcto funcionamiento de la aplicación o la infraestructura de la e-administración administradores de sistemas, administradores de bases de datos, administradoras de red. Los administradores pueden ser propios o externos. o Otros que puedan desarrollar alguna función que afecte a las aplicaciones, su información, su infraestructura, las redes o las áreas de la e-administración. Por ejemplo, las personas que se ocupan del mantenimiento de las áreas seguras. Desde un punto de vista contractual: o Empleados: personal funcionario, laboral y eventual o Externos: personal perteneciente a otras entidades que en virtud de relaciones especiales, como contratos de servicios, de asistencia técnica y de asesoría, entre otras, hace uso la Administración General de la CAPV y sus Organismos Autónomos. Se utilizará la primera clasificación (punto de vista funcional) para indicar el destinatario de cada medida de seguridad. La segunda clasificación (punto de vista contractual) se utilizará en el desarrollo de las medidas de seguridad. 89 3. Política de seguridad Las directrices de la política de seguridad del Gobierno Vasco han sido definidas de acuerdo con el estándar ISO/IEC 27002:2005 1, que establece un marco de referencia de seguridad respaldado y reconocido internacionalmente. Este marco tecnológico, organizativo y procedimental de seguridad se soportará en un conjunto de normas o medidas, estándares, procedimientos y herramientas de seguridad para la protección de activos de información. A continuación se exponen los diferentes dominios de seguridad que son cubiertos por la presente política y normativa de seguridad: 3.1. Política de seguridad Este dominio proporciona las directrices generales de gestión y apoyo a la seguridad de la información en concordancia con los requerimientos del servicio al ciudadano y el marco regulatorio vigente. La Dirección establecerá claramente las directrices de la política en línea con los objetivos del servicio y demostrará su apoyo y su compromiso con la seguridad de la información a través de la publicación y mantenimiento de una política de seguridad de la información. Al ser un dominio de posicionamiento general respecto a la seguridad de la información, debe de cubrir todas las garantías definidas en la introducción: confidencialidad, integridad, disponibilidad, autenticidad, conservación y trazabilidad. La Dirección de Informática y Telecomunicaciones (en adelante, DIT), con la participación de la Dirección de Innovación y Administración Electrónica y la Dirección de Atención Ciudadana, tiene la responsabilidad de elaborar el Manual de Seguridad en el ámbito de la e-administración formado por políticas, normativas, estándares y procedimientos, con la finalidad de definir un marco de aplicación de la seguridad en el ámbito de las aplicaciones informáticas que sirven de soporte a la tramitación telemática que aseguren el cumplimiento de las garantías de seguridad integridad, autenticidad, disponibilidad, confidencialidad, conservación y trazabilidad. La presente Política de Seguridad establece las directrices generales de seguridad que se deben especificar en los subsiguientes componentes del Manual de Seguridad. La DIT, como responsable de la elaboración del Manual de Seguridad, asume responsabilidad de la creación, la revisión periódica, la adecuación y el alineamiento de su contenido con los planes estratégicos del Gobierno Vasco. Adicionalmente, el Manual de Seguridad debe actualizarse considerando los cambios producidos en el marco legal vigente, inclusión de resultados relevantes de auditorías o análisis de riesgos, sugerencias de mejora al Manual de Seguridad, etc Aspectos organizativos de la seguridad de la información Este dominio proporciona dos objetivos de seguridad: (1) gestionar la seguridad de la información dentro de la Administración y (2) mantener la seguridad de los recursos y de los activos de información que son accesibles por externos. Para la consecución del primer objetivo es importante que el Gobierno Vasco apruebe la política de seguridad de la información, asigne los roles de seguridad, coordine y revise la implementación de la seguridad en toda la Administración. 1 Information technology Code of practice for information security management, correspondiente a la norma ISO/IEC 27002:10 Para la consecución del segundo objetivo es importante controlar cualquier acceso a la ITT y el procesamiento y comunicación de la información realizado por externos. Al ser un dominio que versa sobre el cuidado y el control respecto al mantenimiento y seguimiento de implantación de la política de seguridad incidirá en las garantías de seguridad definidas en la introducción: confidencialidad, integridad, disponibilidad, autenticidad, conservación y trazabilidad. El Gobierno Vasco proporciona unos medios organizativos para iniciar, conseguir y mantener la implantación de los objetivos de seguridad de la información en la Administración General de la CAPV y de sus Organismos Autónomos. Dicha estructura organizativa debe estar formada por los responsables identificados en el Decreto 232/2007, de 18 de Diciembre: La titular del Departamento de Justicia y Administración Pública asume las funciones de aprobación de presente documento, que asegura la disponibilidad de los recursos dedicados a la seguridad de la información e informa del nivel de seguridad en las aplicaciones informáticas que sirven de soporte a la tramitación telemática. La DIT, según el Decreto de Medios EIT, tiene como función la elaboración del manual de seguridad dentro del ámbito de aplicación descrito. Cualquier participación en el ciclo de vida de los proyectos que se lleven a cabo por la Administración General de la CAPV y sus Organismos Autónomos, en las aplicaciones informáticas que sirven de soporte a la tramitación telemática, requerirá la creación de equipos multidisciplinares, de forma que la seguridad de la información sea tenida en cuenta en todas las fases de dicho ciclo de vida. Se realizarán revisiones independientes de las vulnerabilidades existentes, riesgos asociados y controles establecidos. Adicionalmente a los requerimientos de funcionalidad, precio, rendimiento o capacidad, los contratos de prestación de servicios, por parte de externos, deben incluir requerimientos específicos de seguridad relativos a la tecnología y las actividades de aquellos que llevan a cabo su instalación, configuración, mantenimiento o eliminación. De forma análoga, los contratos de externalización de servicios deben incluir requerimientos específicos de seguridad, relativos a la tecnología y las actividades de aquellos que llevan a cabo dichos servicios. Es responsabilidad del personal de la Administración entender los riesgos derivados del proceso de externalización y asegurar que existe una gestión eficaz de los mismos Gestión de activos Este dominio proporciona una protección adecuada de los activos (incluyendo mantenimiento, inventario y clasificación), identificando a los propietarios de estos activos, cuya responsabilidad es el mantenimiento de los controles adecuados sobre los mismos. A tener en cuenta todos los medios o soportes que transmiten, almacenan y procesan información. Por ejemplo: los ordenadores portátiles, las comunicaciones móviles, y componentes de PLATEA. También se debe realizar una clasificación de los mismos ya que hay que asegurar que la información recibe un nivel de protección apropiado. La información debiera ser clasificada para indicar la necesidad, prioridades y grado de protección esperado cuando se maneja la información. Este dominio tiene especial incidencia sobre la garantía de confidencialidad, aún así, es importante reseñar que la asignación de responsables por activo y el deber de éstos últimos de cumplir con las política de seguridad sobre estos activos hace que sea un dominio horizontal a las garantías de seguridad 1011 definidas en la introducción: confidencialidad, integridad, disponibilidad, autenticidad y conservación de la información. Se debe mantener un inventario de los activos de información de las aplicaciones informáticas que sirven de soporte a la tramitación telemática, velando porque exista un responsable y custodio para cada uno de los mismos. Este inventario debe ser actualizado de forma regular. Con la finalidad de establecer un nivel de seguridad y tratamiento de la información adecuados, los activos de información deben ser clasificados de acuerdo a su sensibilidad y criticidad para la actividad de la e-administración. Se deben elaborar las guías de clasificación de la información y las medidas de protección asociadas Seguridad ligada a los recursos humanos Este dominio trata de asegurar que cualquier persona que tenga acceso a los activos inventariados dentro del ámbito de aplicación descrito (todos los empleados, tanto de Gobierno Vasco, de empresas subcontratadas, encargados del tratamiento y subcontratados de estos últimos) sepan y acepten sus responsabilidades en materia de seguridad de los sistemas de información y recursos con los cuales trabajan durante todo el ciclo de vida del empleado (antes de la contratación, durante la contratación y una vez finalizado la relación laboral). La principal garantía que se quiere cubrir es la confidencialidad mediante el uso de cláusulas referentes a obligaciones y responsabilidades del empleado. Otro de los objetivos es reducir el riesgo de robo, fraude y mal uso de las instalaciones y medios. El Gobierno Vasco proporcionará la formación apropiada a los usuarios en lo que respecta al presente Manual de Seguridad, incluyendo requerimientos de seguridad y responsabilidades legales. Los usuarios deben de ser conscientes de la importancia de la seguridad en los sistemas de información del Gobierno Vasco. La seguridad eficaz depende, en parte, de que los usuarios sepan lo que se espera de ellos y cuáles son sus responsabilidades, comprometiéndose con las mismas. Éstos deben conocer los motivos de las medidas de seguridad física y lógica establecidas y también las consecuencias de violar la seguridad. El Gobierno Vasco debe establecer un plan de comunicación que incluya sesiones de formación de seguridad para los empleados, que pueden realizarse como sesiones específicas o incluidas en reuniones que cubran otros aspectos relacionados. Estas sesiones podrán ser sustituidas por herramientas de formación distribuidas en soporte magnético o a través de la Intranet Seguridad física y ambiental Este dominio trata de asegurar los activos físicos descritos (tangibles) a través del control de acceso y la protección contra contingencias externas (medioambientales). Las garantías que cubre este dominio son la disponibilidad, la integridad, la disponibilidad y la confidencialidad de la información. La infraestructura que sustenta las aplicaciones informáticas que sirven de soporte a la tramitación telemática, así como los soportes de almacenamiento que éstos usan, que residan en sus edificios y en los proveedores de servicio o terceros, deben estar protegidos contra daño físico o hurto utilizando mecanismos de control de acceso físico que aseguren que únicamente el personal autorizado tiene acceso a los mismos. 1112 Con esta finalidad, dicha infraestructura debe estar ubicada en áreas de acceso restringido, con diferentes niveles de seguridad, a las cuales únicamente pueda acceder personal debidamente autorizado. Los accesos a cada uno de los niveles deben ser registrados por mecanismos de control de acceso, quedando disponibles para posteriores auditorías. Los sistemas y la información que soportan deben estar adecuadamente protegidos frente a amenazas físicas o ambientales, sean éstas intencionadas o accidentales Gestión de comunicaciones y operaciones Este dominio trata de asegurar que la explotación de la infraestructura se realiza de forma segura y controlada, se supervisa su estado y se reportan incidencias. Para ello, define varios objetivos de control como: procedimientos y responsabilidades operacionales, gestión de servicios de terceros, planificación y aceptación de sistemas, protección contra código malicioso, copias de seguridad, gestión de la seguridad de red, gestión de dispositivos de almacenamiento, control sobre el intercambio de información entre sociedades, control de los servicios de comercio electrónico y monitorización de sistemas.. Este dominio detalla más controles técnicos que organizativos respecto a dominios anteriores. Las garantías que cubre son disponibilidad, confidencialidad, integridad y conservación de la información. Se establecerán responsabilidades y procedimientos para la gestión y operación de todos los medios de tratamiento de información. Esto incluye elaborar de instrucciones apropiadas de operación y de procedimientos de respuesta ante incidencias. Se implantará la segregación de tareas, cuando sea adecuado, para reducir el riesgo de un mal uso de la infraestructura deliberado o por negligencia. Se requieren ciertas precauciones para prevenir y detectar la introducción de software dañino. El software y los recursos de tratamiento de información son vulnerables a la introducción de software dañino como virus informáticos, gusanos de la red, caballos de Troya y bombas lógicas. Los usuarios deben conocer los peligros que tiene el software dañino o no autorizado; y se deberán implantar controles y medidas especiales para detectar o evitar su introducción en puestos de trabajo, servidores y pasarelas de conexión a redes públicas o privadas necesarias para evitar la infección de los sistemas de información del Gobierno Vasco por virus o cualquier otro tipo de software dañino. En particular es esencial que se tomen precauciones para detectar o evitar los virus informáticos en los ordenadores personales. Es de obligado cumplimiento la actualización periódica y regular de los mecanismos antivirus para todo el Gobierno Vasco. Se establecerán procedimientos rutinarios para conseguir la estrategia aceptada de respaldo haciendo copias de respaldo, ensayando su oportuna restauración, registrando eventos o fallos y monitorizando el entorno de los equipos cuando proceda. La gestión de la seguridad de las redes que cruzan las fronteras de la Administración requiere una atención que se concreta en controles y medidas adicionales para proteger los datos sensibles que circulan por las redes públicas. Se deben establecer los controles necesarios que impidan la suplantación del emisor, modificación o pérdida de la información transmitida, tanto en las comunicaciones con sistemas situados en las redes internas, como con aquellos sistemas externos, independientemente de la plataforma, protocolos o aplicaciones que las soporten. Se establecerán los procedimientos adecuados para proteger los documentos, soportes informáticos (discos, cintas, etc.), datos de entrada o salida y documentación del sistema frente a daño, robo y acceso no autorizado. El almacenamiento, manipulación, transporte, la destrucción o 1213 desecho de cualquier activo de información del Gobierno Vasco, que contenga información sensible deberá garantizar la imposibilidad de acceso o recuperación de su contenido por parte de personal no autorizado. Se controlarán los intercambios de información y software entre organizaciones, que deben cumplir con toda la legislación vigente. Se realizarán los intercambios sobre la base de acuerdos formales. Se establecerán procedimientos y normas para proteger los soportes en tránsito. Se considerarán las implicaciones de la seguridad asociadas al comercio, correo e intercambio de datos electrónicos (EDI, servicios de interoperabilidad), así como los requerimientos para las medidas y controles de seguridad. Con la finalidad de asegurar la exactitud, relevancia y veracidad de los contenidos públicos del Gobierno Vasco, así como el cumplimiento de la legislación vigente relativa a la publicación de información en medios de difusión masiva, los procesos de publicación de contenidos deben utilizar una solución que provea una infraestructura de aprobación de los contenidos publicados. Se debe crear la estructura organizativa multidisciplinar necesaria para acometer la resolución de incidentes de seguridad Control de acceso Este dominio cubre uno de los aspectos más importantes y evidentes respecto a la seguridad: la problemática del control de acceso a los sistemas de información. Para ello plantea los siguientes objetivos de control: requisitos del negocio para el control de acceso, gestión de los accesos de los usuarios, responsabilidades del usuario, control de acceso de red, control de acceso del sistema operativo, control de acceso a las aplicaciones y a la información y teletrabajo y movilidad en el ámbito de la e-administración. Las garantías que cubre este dominio son autenticidad y confidencialidad. También es el control base que asegure una buena trazabilidad. Los permisos de acceso a las redes, sistemas y a la información que esos soportan se otorgarán de modo que los usuarios tengan acceso únicamente a los recursos e información necesarios para el desempeño de sus funciones. Se establecerán procedimientos formales para controlar la asignación de los derechos de acceso a los sistemas y servicios. Estos procedimientos cubrirán todas las etapas del ciclo de vida del acceso a usuarios, desde el registro inicial de los nuevos hasta la baja del registro de los usuarios que ya no requieran dicho acceso a los sistemas y servicios. Se prestará especial atención si cabe al necesario control de la asignación de derechos de acceso privilegiados que permitan a ciertos usuarios evitar los controles del sistema. Todos los accesos realizados a las aplicaciones informáticas que sirven de soporte a la tramitación telemática por los usuarios registrados llevarán asociado un proceso de identificación, autenticación y autorización. Se establecerán mecanismos de registro, monitorización de acceso y uso de los sistemas. Las credenciales de acceso de cada usuario serán personales e intransferibles. Toda persona registrada que disponga de credenciales de acceso será responsable de mantener su confidencialidad y asegurar su correcto uso. Se establecerán los mecanismos necesarios en los sistemas para impedir la visualización de las credenciales por parte de terceras personas. Debido a que una protección efectiva necesita la cooperación de los usuarios autorizados, los usuarios deben ser conscientes de sus responsabilidades en el mantenimiento de la efectividad de 1314 las medidas de control de acceso, en particular respecto al uso de contraseñas y a la seguridad del material puesto a su disposición. El acceso a los servicios desde redes externas e internas debe ser controlado de forma tal que se asegure que el acceso de los usuarios a las redes y sus servicios no comprometan la seguridad de dichos servicios, por medio de: Interfaces adecuadas entre la red de la Administración General de la CAPV y sus Organismos Autónomos y las redes públicas o las privadas de otras Administraciones y/o Organizaciones. Mecanismos adecuados de autenticación para los usuarios y los equipos. Control de los accesos de los usuarios a los servicios de información. El acceso remoto a las aplicaciones informáticas que sirven de soporte a la tramitación telemática desde redes públicas debe garantizar la confidencialidad de la información que se transmite, así como la identidad de los usuarios autorizados a hacer uso del servicio de acceso remoto mediante mecanismos de autenticación fuerte. Se necesita restringir el acceso a los ordenadores para permitir sólo usuarios autorizados. Los ordenadores que atienden a múltiples usuarios deberían ser capaces de: Identificar y verificar la identidad de cada usuarios autorizado (y si procede, el terminal o la ubicación física del mismo). Suministrar mecanismos de gestión de contraseñas que garanticen la calidad de las mismas. Cuando proceda, restringir la conexión de usuarios o ventanas horarias. Con la finalidad de detectar y reaccionar ante comportamientos sospechosos o inesperados, se debe establecer o activar sistemas de registro de actividades que almacenen los datos generados por las actividades de sistemas, aplicaciones y usuarios en los activos de información de la Administración General de la CAPV y sus Organismos Autónomos. Se establecerán normativas, procedimientos y medidas técnicas específicas para la protección de sistemas portátiles y accesos remotos de teletrabajo Adquisición, desarrollo y mantenimiento de los sistemas de información Este dominio trata de asegurar que la seguridad es una parte que está integrada en los sistemas de información. Para ello establece varios objetivos de control: requisitos de seguridad que afectan a los sistemas de información (sean adquiridos o desarrollados), correcto procesamiento de las aplicaciones, controles criptográficos, seguridad en los sistemas de ficheros, seguridad en los procesos de desarrollo y soporte y gestión de vulnerabilidades técnicas. Este dominio trata de cubrir las garantías de disponibilidad, confidencialidad e integridad. Los proyectos de desarrollo que se inicien en la Administración y afecten directamente a las aplicaciones informáticas que sirven de soporte a la tramitación telemática deben llevarse a cabo considerando requisitos específicos de seguridad durante todo su ciclo de vida. El desarrollo y mantenimiento de las aplicaciones dentro del ámbito especificado debe incluir los controles y registros apropiados que garanticen la correcta implementación de las especificaciones de seguridad y se llevará a cabo teniendo en cuenta las mejores prácticas de seguridad en la programación. 1415 Especialmente, se usarán sistemas y técnicas criptográficas cifrado, firma digital, no-repudio para proteger la información sometida a riesgo, cuando otras medidas y controles no proporcionen la protección adecuada. La información residente en las aplicaciones informáticas que sirven de soporte a la tramitación telemática debe estar protegida contra modificaciones no autorizadas empleando mecanismos que aseguren la integridad de la misma. Se debe proveer de las guías, estándares, recomendaciones y procedimientos necesarios para facilitar la inclusión de la seguridad durante las etapas del ciclo de vida de desarrollo, tales como uso de controles criptográficos, gestión de claves, programación segura, etc. Los entornos que forman parte del ciclo de vida de desarrollo informático deben estar convenientemente separados o segmentados en todos y cada uno de los sistemas. Asimismo, y con la finalidad de evitar el acceso o divulgación de datos que residan en los entornos, se debe controlar el intercambio de datos reales entre el entorno de producción y el resto de entornos. En los entornos de pruebas o desarrollo, para las aplicaciones, o infraestructura deben estar disponibles juegos de datos de prueba, preparados específicamente, donde las relaciones entre datos y personas hayan sido disociadas o enmascaradas Gestión de incidentes de seguridad de la información Este dominio trata de garantizar que los eventos y debilidades en la seguridad asociados a la ITT y las aplicaciones soporte de la e-administración sean comunicados para, de este modo, poder realizar las acciones correctivas oportunas y adecuadas. Este es un dominio que está enfocado principalmente a cubrir las garantías de disponibilidad, confidencialidad e integridad. Se debe exigir que se informen con la mayor celeridad posible (ante cualquier debilidad observada o sospecha). Para cumplir este objetivo hay que establecer los procedimientos y cauces adecuados (canales de gestión conocidos); este punto esta ligado con el apartado 3.4 (sobre la seguridad ligada a recursos humanos), en el apartado sobre concienciación, formación y capacitación en seguridad de la información. Así mismo, se debe garantizar que se aplica una metodología sólida para la gestión de incidentes de seguridad (establecer responsabilidades y procedimientos), a la vez que emplear procesos de mejora continua y métodos para la recogida de evidencias. Existe un mecanismo que permite la monitorización de las incidencias de seguridad, cuantificación y costes asociados de las mismas, así como la recopilación de evidencias. Se establecerán procedimientos formales para informar y priorizar eventos de seguridad. Todo el personal afectado deberá conocer los procedimientos para informar de los diferentes tipos de eventos y debilidades que pudieran impactar en la seguridad de las aplicaciones informáticas que sirven de soporte a la tramitación telemática. Se establecerán responsabilidades y procedimientos formales para manejar los eventos de seguridad y debilidades con eficacia una vez que éstas hayan sido comunicadas. Además, se establecerá un proceso formal de mejora continua sobre toda la gestión de incidentes de seguridad. Se recopilarán las evidencias necesarias por cada incidente con el fin de cumplir con la legalidad vigente. 1516 3.10. Gestión de la continuidad del servicio Este dominio trata de asegurar la disponibilidad de la ITT que soporta las aplicaciones de la e- Administración en caso de catástrofe. El objetivo es establecer un plan de acción para minimizar los efectos de una catástrofe. Las garantías que este dominio cubre son la integridad, la disponibilidad y la conservación de la información. El objetivo es establecer un proceso de gestión de continuidad de actividad para garantizar la recuperación de los procesos críticos de la Administración General de la CAPV y sus Organismos Autónomos en caso de desastre, reduciendo el tiempo de indisponibilidad a niveles aceptables, desde el punto de vista de la actividad de la Administración, mediante la adecuada combinación de controles de carácter organizativo, tecnológico y procedimental, tanto preventivos como de recuperación. Este proceso se desarrollará mediante un Plan de Continuidad del Servicio que debe ser probado de forma periódica y regular y que se debe mantener actualizado en todo momento. Para ello, se debe evaluar el riesgo y el impacto asociado ocasionado por la ausencia de continuidad de los sistemas de información que den soporte o estén implicados en la actividad del Gobierno Vasco Cumplimiento Este dominio trata de evitar el incumplimiento del marco normativo y cualquier requerimiento de seguridad que éste obligue mediante el cumplimiento en los sistemas de información de las políticas y estándares de seguridad desarrollados a través del presente Manual de Seguridad. También trata de maximizar la efectividad del proceso de auditoría de la infraestructura y las aplicaciones de la e-administración. Este dominio es horizontal y cubriría las garantías definidas en la introducción: confidencialidad, integridad, disponibilidad, autenticidad y conservación de la información. El Gobierno Vasco adquiere para con sus ciudadanos la responsabilidad de cumplir con la legislación vigente relativa a la seguridad de la información. Se debe identificar los estatutos relevantes, regulaciones, leyes y requisitos contractuales relativos a seguridad de la información que afecten directa o indirectamente a la seguridad de los activos de información de las aplicaciones de la e-administración. Es responsabilidad de todas las áreas implicadas conocer y cumplir la legislación vigente de aplicación en sus ámbitos de actuación. Específicamente, se deben contemplar los mecanismos y procedimientos indicados por la Ley Orgánica de Protección de Datos de Carácter Personal y el Reglamento de Medidas de Seguridad asociado, debido a que es el marco legislativo de referencia de seguridad de la información de carácter personal. El personal del Gobierno Vasco adquiere el deber de secreto, es decir, la responsabilidad de no divulgar ningún tipo de información que haya adquirido en la realización de su trabajo. Las aplicaciones informáticas que sirven de soporte a la tramitación telemática se deben someter periódicamente a una auditoría, encargada de verificar el cumplimiento de la normativa de seguridad y de los procedimientos e instrucciones vigentes en materia de seguridad de la información. El proceso de auditoría debe verificar el cumplimiento de las iniciativas de seguridad planificadas a corto plazo, realizar periódicamente revisiones del grado de instauración de los controles y de su 1617 efectividad desde el punto de vista de la seguridad y ser independiente de las comprobaciones realizadas internamente por el Gobierno Vasco. Se establecerán las medidas necesarias para evitar la desactivación, accidental o malintencionada, de los mecanismos de seguimiento y auditoría. Se realizarán revisiones regulares en cuanto a la seguridad de la ITT y de las aplicaciones de la e- Administración Gestión de la seguridad Dentro del ámbito de aplicación se establecerá un Sistema de Gestión de la Seguridad de la Información (en adelante, SGSI) basado en el estándar UNE-ISO/IEC 27001:2007 (ISO/IEC 27001:2005) con el objetivo de establecer un proceso de mejora continua de la seguridad. Para ello se realizarán revisiones periódicas, al menos una vez al año, en la que se llevará a cabo la revisión del alcance del SGSI entre otras acciones. Estas revisiones también se realizarán en respuesta a cualquier evento que pusiese afectar al alcance del SGSI, como: Cambios de legislación. Cambios en la organización. Cambios del entorno técnico. Incidencias que puedan afectar a la gestión del SGSI. El objetivo de estas revisiones será: Conocer en que nivel afecta el evento al alcance del SGSI. Modificar el alcance, si procede. Definir e implementar un nuevo SGSI, si procede. Las reuniones podrán tener carácter físico o virtual, disponiéndose de un repositorio centralizado donde se recogerán las actas, propuestas y decisiones que afecten al SGSI. 1718 4. Desarrollo Normativo 4.1. Explicación de las fichas El desarrollo de las medidas de seguridad se realiza mediante fichas. Las medidas de seguridad se aplicarán para alcanzar la seguridad debida y proporcionada a la categoría del sistema de información a proteger, el tipo de activos que constituyen el sistema a proteger y las dimensiones de seguridad relevantes en el sistema a proteger. Por todo ello, cada ficha dispone de los siguientes campos: Medida: nombre de la medida. Código: referencia unívoca. Objetivo: relaciona la medida con un apartado de la política de seguridad. Alcance: indica la obligatoriedad de adopción de la medida; o Las fichas clasificadas como bajo, color verde, indican que la medida de seguridad debe ser aplicable a todos los sistemas de información. o Las fichas clasificadas como medio, color amarillo, indican que la medida de seguridad debe de ser aplicable a sistemas de información que dispongan de una clasificación media. o Las fichas clasificadas como alto, color rojo, indican que la medida de seguridad debe de ser aplicable a sistemas de información que dispongan de una clasificación alta. : indica las garantías de seguridad que cubre la medida de seguridad. : roles funcionales que deberían de tener en cuenta la medida de seguridad. Desarrollo: o El texto de la medida se subdivide a su vez en: Un propósito que define el objetivo de la medida de seguridad. Una exposición que desarrolla la medida de seguridad en sí. Una actividad de seguridad en el caso de que la medida lo requiera. El conjunto de actividades formarán parte de los procedimientos de seguridad (ver medida de seguridad M-2-2) Índice de fichas Código Descripción M-1 Política de seguridad M-1-1 Política de seguridad M-2 Aspectos organizativos de la seguridad de la información M-2-1 Contratación y acuerdos de nivel de servicio M-2-2 Procedimientos de seguridad 1819 M-3 Gestión de activos M-3-1 Uso y responsabilidad sobre los activos M-3-2 Tratamiento de la información M-4 Seguridad ligada a los recursos humanos M-4-1 Caracterización del puesto de trabajo M-4-2 Responsabilidades de dirección, formación y concienciación M-5 Seguridad física y ambiental M-5-1 Áreas seguras control de acceso M-5-2 Áreas seguras seguridad medioambiental M-5-3 Seguridad en equipos M-6 Gestión de comunicaciones y operaciones M-6-1 Segregación de funciones M-6-2 Planificación de los cambios M-6-3 Protección frente a código dañino M-6-4 Seguridad en los servicios de red M-6-5 Manipulación de los soportes M-6-6 Copias de seguridad M-6-7 Canales de comunicación M-6-8 Protección de servicios y aplicaciones Web M-6-9 Planificación del sistema M-6-10 Supervisión M-6-11 Transporte M-7 Control de acceso M-7-1 Proceso de autorización / Acceso de usuario M-7-2 Control de acceso M-7-3 Acceso a red M-7-4 Responsabilidades de usuario M-8 Adquisición, desarrollo y mantenimiento de los sistemas de información M-8-1 Requisitos de seguridad M-8-2 Criptografía M-8-3 Aceptación y puesta en servicio M-9 Gestión de incidentes de seguridad de la información M-9-1 Gestión de incidencias M-10 Gestión de la continuidad del servicio M-10-1 Medios alternativos M-10-2 Continuidad de servicio 1920 M-10-3 Planes de continuidad de servicio que incluyan seguridad de la información M-10-4 Pruebas periódicas M-11 Cumplimiento M-11-1 Cumplimiento legal M-11-2 Cumplimiento técnico M-12 Gestión de la seguridad M-12-1 Análisis de riesgos M-12-2 Mejora continua 20 Mostrar más
JUSTIZIA ETA HERRI ADMINISTRAZIO SAILA Informatika eta Telekomunikazio Zuzendaritza DEPARTAMENTO DE JUSTICIA Y ADMINISTRACIÓN PÚBLICA Dirección de Informática y Telecomunicaciones MANUAL DE SEGURIDAD Aplicaciones Más detalles TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799.
TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. Índice 1 Introducción... 1 2 La Norma UNED-ISO 27002... 2 2.1 Estructura de la norma...3 2.1.1 Más detalles SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Vicerrectorado de TIC, Calidad e Innovación Centro de Informática y Comunicaciones Título Entregable Nombre Más detalles Norma Técnica Peruana:
Norma Técnica Peruana: NTP ISO/IEC 17799:2004 EDI. TECNOLOGIA DE LA INFORMACIÓN. CODIGO DE BUENAS PRACTICAS PARA LA GESTION DE LA SEGURIDAD DE LA INFORMACION. 1ª EDICIÓN ANTECEDENTES De conformidad con Más detalles Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799. Antonio Villalón Huerta Grupo S2
Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 INDICE 1. DECLARACIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN... 3 2. POLÍTICA DE SEGURIDAD... 4 2.1. OBJETIVOS... 4 2.2. ALCANCE... Más detalles Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información
Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información AGENDA SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN CONCEPTOS BÁSICOS QUÉ ES LA NORMA ISO/IEC 27001:2005? ORIGEN NORMA ISO/IEC Más detalles Políticas de Seguridad de la información
2014 Políticas de Seguridad de la información JAIRO BRAVO MENDOZA POSITIVA S.A. Página No 1 de 9 Introducción 2 Políticas de seguridad de la información 2 a. Política de Seguridad de la Información 2 b. Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
CORREO URUGUAYO Administración Nacional de Correos del Uruguay Unidad de Servicios Electrónicos POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Versión: 1.0 Marzo de 2013 Índice Mantenimiento y Aprobación de esta Más detalles ESCUELA POLITECNICA NACIONAL
GUÍA DE SEGURIDAD DE LA INFORMACIÓN GUÍA GOBIERNO CORPORATIVO PARA EMPRESAS SEP 1. Introducción La información puede adoptar o estar representada en diversas formas: impresa o escrita (papeles de trabajo, Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 55 Miércoles 5 de marzo de 2014 Sec. III. Pág. 21241 III. OTRAS DISPOSICIONES MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD 2378 Orden SSI/321/2014, de 26 de febrero, por la que se aprueba Más detalles POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN
PÁGINA Nº1 POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN Versión 1.0 MINISTERIO DE OBRAS PÚBLICAS ELABORADO POR: Dirección General de Obras Públicas FECHA: 9/09/2012 REVISADO Más detalles Guía: Controles de Seguridad y Privacidad de la Información
Guía: Controles de Seguridad y Privacidad de la Información Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 15/12/2010 Versión inicial del documento 2.0.0 30/09/2011 Restructuración de forma Más detalles Implantación de un SGSI
Implantación de un SGSI con e-pulpo ÍNDICE 1 Introducción... 3 2 SGSI y normativas... 4 2.1 La serie 27000... 4 2.1 ISO/IEC 27001 (SGSI)... 5 2.2 ISO/IEC 27002... 6 2.3 Objetivos de control y controles... Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD El Pleno de la Corporación, en sesión ordinaria celebrada el día 17 de enero de 2014, adoptó, entre otros, Más detalles 3 POLÍTICAS DE SEGURIDAD
3 POLÍTICAS DE SEGURIDAD 3.1 PROPÓSITO Las Políticas de Seguridad son documentos de alto nivel. Representan la filosofía y el talante del ASJ, en materia de seguridad. Es necesario, además, que las Políticas Más detalles mope SEGURIDAD INFORMÁTICA
DENOMINACIÓN: Código: IFCT0109 Familia Profesional: Informática y Comunicaciones Área profesional: Sistemas y telemática Nivel de cualificación profesional: 3 Cualificación profesional de referencia: IFC153_3 Más detalles Norma Técnica Sobre Seguridad y Confidencialidad del Documento Electrónico Decreto Supremo N 83
Norma Técnica Sobre Seguridad y Confidencialidad del Documento Electrónico Decreto Supremo N 83 1 Ámbito de Aplicación El Decreto Supremo N 83 establece las características mínimas obligatorias de seguridad Más detalles ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID
ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID 1 - Cuestiones generales: la firma electrónica en el Ayuntamiento de Madrid. 1.1 - Certificados Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL
Aprobado por Consejo de Gobierno de la Universidad de Almería en fecha 17 de diciembre de 2012 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL 1. INTRODUCCIÓN La Política de Seguridad de la Información Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC Exposición de motivos La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos establece el marco de relación entre Más detalles POLÍTICA DE SEGURIDAD DE TIC DEL MINISTERIO DE HACIENDA
Código: 2-00-002-001POL-09 Versión:3 Página 1 de 36 POLÍTICA DE SEGURIDAD DE TIC DEL MINISTERIO DE HACIENDA Código de documento: 2-00-002-001POL-09 Aprobado por Licda. Gabriela Espinoza Meza Fecha aprobación: Más detalles Política de Seguridad de la Información
Política de Seguridad de la Información Índice 1 APROBACIÓN Y ENTRADA EN VIGOR... 3 2 OBJETIVOS Y MISIÓN DEL AYUNTAMIENTO... 3 3 OBJETIVOS Y MISIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN. 3 4 ALCANCE... Más detalles 12 JUNIO 2014. Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 Rev.3: 05 Marzo 2015. 1 de 76. BN-MOF-2400-10-05 Rev.3 MOF DEPARTAMENTO DE INFORMÁTICA
Rev.1: 07 Agosto 2014 Rev.2: 06 Octubre 2014 : 05 Marzo 2015 MANUAL DE ORGANIZACIÓN Y FUNCIONES DEPARTAMENTO DE INFORMÁTICA Aprobado mediante Resolución de Gerencia General EF/92.2000 N 020-2014, de fecha Más detalles Resumen Norma ISO-27001.
Resumen Norma ISO-27001. Introducción: generalidades e introducción al método PDCA. Objeto y campo de aplicación: se especifica el objetivo, la aplicación y el tratamiento de exclusiones. Normas para consulta: Más detalles En el artículo del mes pasado,
144 UNE ISO/IEC 27001: 2005 & LOPD (II) EN ESTE NÚMERO PRESENTAMOS LA TABLA COMPLETA, EN LA CUAL SE RELACIONAN TODOS LOS S DE ESTE NUEVO REGLAMENTO Alejandro Corletti DIRECTOR DIVISIÓN SEGURIDAD INFORMÁTICA Más detalles Nomenclador de cargos
Nomenclador de cargos ROLES Áreas de I T Definición de módulos y roles Versión: 1.0 Pagina 1 Módulos interactuantes en un área de IT 1. Infraestructura Tecnológica 2. Producción de Software 3. Asistencia Más detalles Sistema de Gestión de la Seguridad de la Información
Sistema de Gestión de la Seguridad de la Información 1 Contenidos 1. Qué es un SGSI? 2. Para qué sirve un SGSI? 3. Qué incluye un SGSI? 4. Cómo se implementa un SGSI? 5. Qué tareas tiene la Gerencia en Más detalles POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN CORPAC S.A.
CORPORACIÓN PERUANA DE AEROPUERTOS Y AVIACIÓN COMERCIAL SA POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN Elaborado y Visado Comité de Gestión de Seguridad de la Información Revisado Gerencia de Tecnología Más detalles GUÍA PRÁCTICA. para la utilización de muestras biológicas en Investigación Biomédica
GUÍA PRÁCTICA para la utilización de muestras biológicas en Investigación Biomédica IV. GESTIÓN DE BASES DE DATOS 1. La creación de ficheros y su notificación 2. El responsable y el encargado del tratamiento Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
Ref. ENS/01. Política de Seguridad UPCT Revisión: 3 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Texto aprobado el día 13 de abril de 2011 por el Consejo de Gobierno de la Universidad Politécnica Más detalles MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA
UNIVERSIDAD NACIONAL DE ASUNCIÓN FACULTAD DE CIENCIAS ECONOMICAS ESCUELA DE CONTABILIDAD AUDITORIA INFORMATICA TRABAJO PRÁCTICO DE AUDITORIA INFORMATICA Profesor: Lic. Marco Antonio Leiva Fernández 5to Más detalles Políticas y Seguridad de la Información ECR EVALUADORA PREFIN S.A
Políticas y Seguridad de la Información ECR EVALUADORA PREFIN S.A 1 VERSIÓN 01 PREFIN S.A. 11 Mayo 2014 INDICE 1. INTRODUCCION.3 2. OBJETIVOS.3 3. PLANES DE CONTINGENCIA 3 4. SEGURIDAD DE DATOS PLATAFORMA Más detalles Política General de Seguridad de la Información
COMISIÓN NACIONAL DE INVESTIGACIÓN CIENTÍFICA Y TECNOLÓGICA Documento Información del Documento HISTORIA DEL DOCUMENTO Nombre del Documento Preparado por Marcelo Iribarren Carmen Gorroño Elena Hernández Más detalles Política de Seguridad de la Información de la Universidad de Sevilla
Política de Seguridad de la Información de la Universidad de Sevilla 0. Aprobación y entrada en vigor Texto aprobado por Acuerdo del Consejo de Gobierno de fecha 26 de febrero de 2014. Esta Política de Más detalles NORMATIVA. Políticas de Seguridad de Información de PDVSA Normativa 20/09/06 USO GENERAL. v-1.0 S/S
ANEO A (rmativo) OBJETIVOS DE CONTROL Y CONTROLES DE REFERENCIA Tabla A.1. Objetivos de control y controles A.5 POLÍTICAS DE LA SEGURIDAD DE LA INFORMACIÓN A.5.1 Orientación de la dirección para la gestión Más detalles PROCEDIMIENTO DE REGISTRO ENTRADA Y SALIDA DE EQUIPAMIENTO Y SOPORTES ELABORADO POR: REVISADO POR: APROBADO POR:
DE REGISTRO ENTRADA Y SALIDA DE EQUIPAMIENTO Y ELABORADO POR: REVISADO POR: APROBADO POR: Nº edición: 01 Nº revisión: 01 Página 2 de 19 Fecha Edición Revisión Cambios Realizados 20-01-2014 1 1 Versión Más detalles AUTORIDAD DE SUPERVISIÓN DEL SISTEMA FINANCIERO DIRECCION DE SUPERVISION DE VALORES CUESTIONARIO ÁREA TECNOLÓGICA
AUTORIDAD DE SUPERVIÓN DEL STEMA FINANCIERO DIRECCION DE SUPERVION DE VALORES CUESTIONARIO ÁREA TECLÓGICA ENTIDAD: 1. La entidad cuenta con un Plan Estratégico de Tecnologías de la Información (TI)? 2. Más detalles MANUAL DE SEGURIDAD DE LA INFORMACIÓN
MANUAL DE SEGURIDAD DE LA INFORMACIÓN MINISTERIO DE AMBIENTE Y DESARROLLO SOSTENIBLE Bogotá D.C. Página 1 de 19 Contenido 1. INTRODUCCIÓN... 4 1. OBJETIVO... 4 2. ALCANCE DEL SISTEMA DE GESTIÓN DE SEGURIDAD Más detalles AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD Versión 1.0 Abril 2005 INTRODUCCIÓN El artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Más detalles ANALISIS Y RECOMENDACIONES ANTE LA FALLA DEL SERVIDOR PATHFINDER
ANALISIS Y RECOMENDACIONES ANTE LA FALLA DEL SERVIDOR PATHFINDER El GIT de Control Interno en su función de analizar y evaluar, en coordinación con las dependencias de la entidad, los criterios, métodos, Más detalles Módulo 9: Gestión y tratamiento de los riesgos. Selección de los controles
Módulo 9: Gestión y tratamiento de los riesgos. Selección de los controles Este apartado describirá en qué consiste la gestión de riesgos, cómo se deben escoger los controles, se darán recomendaciones Más detalles Definiciones Artículo 2º.- Para efectos de la presente norma, serán de aplicación las siguientes definiciones:
Lima, 02 de abril de 2009 CIRCULAR Nº G- 140-2009 --------------------------------------------------------- Ref.: Gestión de la seguridad de la información --------------------------------------------------------- Más detalles NORMA ISO 9001:2008 Sistemas de Gestión de la Calidad - ÍNDICE. 1 Objeto y campo de aplicación 3 1.1 Generalidades 3 1.2 Aplicación.
TEMA ÍNDICE PÁGINA 1 Objeto y campo de aplicación 3 1.1 Generalidades 3 1.2 Aplicación. 3 2 Referencias normativas. 3 3 Términos y definiciones.. 3 4 Sistema de gestión de la calidad. 4 4.1 Requisitos Más detalles ANEXO II. Los datos facilitados no serán incorporados a sistemas o soportes distintos de los del responsable del fichero.
ANEXO II COMPROMISO RELATIVO AL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL, DE OBLIGADA ACEPTACIÓN PARA AQUELLAS ENTIDADES QUE OBTENGAN LA CONDICIÓN DE ENTIDAD COLABORADORA DE LANBIDE-SERVICIO VASCO DE Más detalles NORMA INTERNACIONAL ISO 9001-2008 Cuarta edición 2008-11-15 Sistemas de gestión de la calidad Requisitos Quality management systems Requirements
NORMA INTERNACIONAL ISO 9001-2008 Cuarta edición 2008-11-15 Sistemas de gestión de la calidad Requisitos Quality management systems Requirements Systèmes de management de la qualité Exigences Publicado Más detalles INFORME DISPOSICION TRANSITORIA CUARTA DEL REAL DECRETO 1671/2009, DE 6 DE NOVIEMBRE, POR EL QUE SE DESARROLLA PARCIALMENTE LA LEY 11/2007, DE 22 DE
INFORME DISPOSICION TRANSITORIA CUARTA DEL REAL DECRETO 1671/2009, DE 6 DE NOVIEMBRE, POR EL QUE SE DESARROLLA PARCIALMENTE LA LEY 11/2007, DE 22 DE JUNIO, DE ACCESO ELECTRÓNICO DE LOS CIUDADANOS A LOS Más detalles SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA Seguridad de la información? Vs Seguridad? ISO/IEC 17799 ISO/IEC 2700 -> SGSI Organización de Estándares Internacionales/Comisión Electrotécnica Más detalles Normativa de seguridad y uso de los recursos informáticos en la UPCT
Normativa de seguridad y uso de los recursos informáticos en la UPCT Aprobada por: Consejo de Gobierno de la UPCT. Fecha: 7 de Noviembre de 2011. Resumen: La Política de Seguridad de la UPCT se aprobó Más detalles POLITICA DE SEGURIDAD INFORMÁTICA SECRETARIA DISTRITAL DE INTEGRACION SOCIAL
POLITICA DE SEGURIDAD INFORMÁTICA SECRETARIA DISTRITAL DE INTEGRACION SOCIAL 1. OBJETIVO Definir, adoptar y legitimar los lineamentos, directrices, controles y políticas de seguridad informática para proteger Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Esta Política de Seguridad de la Información entrará en vigor al día siguiente de su publicación en el BOUA, previa aprobación por el Consejo Más detalles Auditoría de Protección de Datos (LOPD 15/99)
Auditoría de Protección de Datos (LOPD 15/99) www.adhec.info Plan de actuaciones Metodología 3 Proceso de adaptación a la LOPD 5 Auditoría de adaptación a la LOPD 6 Auditoría UNE-ISO/IEC 17799:2002 y certificación Más detalles MODELO DE CLÁUSULA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Y MEDIDAS DE SEGURIDAD
MODELO DE CLÁUSULA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Y MEDIDAS DE SEGURIDAD 1. Prestaciones y propiedad de los datos En el contexto de la prestación de servicios encargada por..y con la finalidad Más detalles Políticas de Seguridad
Políticas de Seguridad IRAM-ISO/IEC 17799 Código de práctica para la gestión de la seguridad de la información Serie ISO 27000 1 Introducción Qué es la seguridad de la información? Preservación de: Confidencialidad Más detalles Seguridad de la Información & Norma ISO27001
Seguridad de la Información & Norma ISO27001 Karen Vanessa Urbina Albarracín & Jonathan Smith Suárez Rodríguez Auditoría de Sistemas Seguridad de la Información La seguridad informática comprende procesos Más detalles CONCEPTOS GENERALES SOBRE SEGURIDAD INFORMATICA
CONCEPTOS GENERALES SOBRE SEGURIDAD INFORMATICA Hoy en día las redes de comunicaciones son cada vez mas importantes para las organizaciones ya que depende de estás, para que exista un manejo adecuado de Más detalles SERVICIO DE ATENCIÓN Y RESOLUCIÓN DE INCIDENCIAS
COLEGIO LEONARDO DA VINCI SERVICIO DE ATENCIÓN Y RESOLUCIÓN DE INCIDENCIAS ACUERDO DE NIVEL DE SERVICIO HOJA DE CONTROL Colegio Leonardo Da Vinci Arica Unidad CTIC Titulo Servicio de Atención y Resolución Más detalles ISO/IEC 27001. Normativa de seguridad IT. Hechos. Numero 2013/02
05/01/2013 Ingelan 934 302 989 Numero 2013/02 ISO/IEC 27001 Normativa de seguridad IT ISO/IEC 27001 (Information technology Information Security Management Systems Requirements) es una normativa estándar Más detalles Vicerrectorado de Servicios Informáticos y de Comunicación Política de uso de los Recursos Informáticos y de la Red de Datos de la UPM
Política de uso de los Recursos Informáticos y de la Red de Datos de la UPM 1. Objetivo del documento Establecer las normas de uso correcto de los Recursos Informáticos y de la Red de Datos en la UPM. Más detalles REGLAMENTO DE MEDIDAS DE SEGURIDAD DE LOS FICHEROS AUTOMATIZADOS QUE CONTENGAN DATOS DE CARÁCTER PERSONAL
13967 REAL DECRETO 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal. El artículo 18.4 de la Constitución Más detalles NORMA TÉCNICA NTC- ISO COLOMBIANA 9001
NORMA TÉCNICA NTC- ISO COLOMBIANA 9001 2008-11-14 SISTEMA DE GESTIÓN DE LA CALIDAD. REQUISITOS E: QUALITY MANAGEMENT SYSTEMS. REQUIREMENTS CORRESPONDENCIA: esta norma es idéntica (IDT) a la norma ISO 9001:2008 Más detalles PROCEDIMIENTO DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR:
DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR: 19/10/2015 Audedatos Josema Gil Nº edición: 01 Nº revisión: 01 Página 2 de 14 Fecha Edición Revisión Cambios Realizados Más detalles ISO 27000. Acceda directamente a las secciones de su interés o descargue en pdf el documento completo.
ISO 27000 La información es un activo vital para la continuidad y desarrollo de cualquier organización pero la implantación de controles y procedimientos de seguridad se realiza frecuentemente sin un criterio Más detalles 4.1 ISO/IEC 27001:2013, Information Technology - Security techniques Information security management systems Requirements.
4.1 ISO/IEC 27001:2013, Information Technology - Security techniques Information security management systems Requirements. Introducción. El estándar proporciona los requerimientos para establecer, controlar, Más detalles FICHAS DE DESCRIPCIÓN DE FUNCIONES Y COMPETENCIAS LABORALES
Página 1 de 11 I. IDENTIFICACIÓN DENOMINACIÓN DEL CARGO: PROGRAMADOR DE COMPUTADOR SIGLA:PC CLASE: V GRADO: 12-14-16 NIVEL: ADMINISTRATIVO NÚMERO DE CARGOS: ÁREA: 5 JEFE INMEDIATO: 1. OFICINA DE INFORMÀTICA Más detalles MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013
1 MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013 Qué es la Seguridad de la 2 Información? La información es un activo que, como otros activos importantes del negocio, tiene Más detalles Taller Nacional Sistema de Seguridad de la Información. Departamento de Gestión Sectorial TIC
Taller Nacional Sistema de Seguridad de la Información Departamento de Gestión Sectorial TIC Octubre 2014 TALLER SISTEMA DE SEGURIDAD DE LA INFORMACION Agenda 1. Introducción, fundamentos y definiciones Más detalles Anexo I. Politicas Generales de Seguridad del proyecto CAT
Anexo I Politicas Generales de Seguridad del proyecto CAT 1 Del Puesto de Servicio. Se requiere mantener el Puesto de Servicio: a) Disponible, entendiendo por ello que el Puesto de Servicio debe estar Más detalles Sistemas de gestión de la calidad Requisitos
Sistemas de gestión de la calidad Requisitos 1 Objeto y campo de aplicación 1.1 Generalidades Esta Norma Internacional especifica los requisitos para un sistema de gestión de la calidad, cuando una organización Más detalles Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan)
Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan) 3. Política de seguridad 3.1. Política de seguridad de la Más detalles 4.7 ISO/IEC 20000-1:2011 Information technology - Service management -Part 1: Service management system requirements.
4.7 ISO/IEC 20000-1:2011 Information technology - Service management -Part 1: Service management system requirements. Introducción. ISO 20000 es un estándar orientado al establecimiento de procesos y procedimientos Más detalles MODELO DOCUMENTO DE SEGURIDAD
MODELO DOCUMENTO DE SEGURIDAD Responsable del Fichero...... Nombre del Fichero...... Nº de Inscripción... Nº de la Versión... Fecha... ÍNDICE 1. Objeto del documento 2. Ámbito de aplicación 3. Recursos Más detalles POSTGRADO EN GESTIÓN Y AUDITORÍA DE SISTEMAS DE SEGURIDAD DE LA INFORMACIÓN ISO 27001
Modalidad: Distancia Duración: 77 Horas Objetivos: La adecuada implantación de un Sistema de Gestión de Seguridad de la Información (SGSI) permite asegurar la continuidad del negocio, minimizar el riesgo Más detalles Gestión del Servicio de Tecnología de la información
Gestión del Servicio de Tecnología de la información Comentario de la norma ISO 20000 bajo el enfoque de ITIL Autor: Francisco Tejera (ISO 20000 Practitioner) Agenda 1-2-3 INTRODUCCIÓN 4 5 REQUISITOS GENERALES Más detalles Estrategia de Seguridad del Ayuntamiento de Pozuelo de Alarcón para el cumplimiento del Esquema Nacional de Seguridad
Estrategia de Seguridad del Ayuntamiento de Pozuelo de Alarcón para el cumplimiento del Esquema Nacional de Seguridad Presentación de Pozuelo de Alarcón Presentación de Pozuelo de Alarcón Presentación Más detalles APLICACIÓN DE LOS PRINCIPIOS DE BUENAS PRÁCTICAS DE LABORATORIO A LOS SISTEMAS INFORMATIZADOS
MINISTERIO DE SANIDAD Y CONSUMO APLICACIÓN DE LOS PRINCIPIOS DE BUENAS PRÁCTICAS DE LABORATORIO A LOS SISTEMAS INFORMATIZADOS DOCUMENTO Nº 6 1ª Versión Noviembre 20021 AGENCIA ESPAÑOLA DEL MEDICAMENTO Más detalles Gestión de Seguridad Informática
Gestión de Seguridad Informática La información es un activo que es esencial al negocio de una organización y requiere en consecuencia una protección adecuada. La información puede estar impresa o escrita Más detalles Norma de Seguridad: Cláusulas LOPD con acceso a datos, de los que la Diputación Foral de Bizkaia es encargada de tratamiento
1. OBJETO 2. ALCANCE Cumplimiento del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, y el artículo 21 del Real Decreto 1720/2007 (LOPD). Todos Más detalles REGLAMENTO SOBRE SEGURIDAD INFORMATICA
REGLAMENTO SOBRE SEGURIDAD INFORMATICA TITULO I OBJETIVOS Y ALCANCE ARTICULO 1: El presente Reglamento tiene por objeto establecer los principios, criterios y requerimientos de Seguridad Informática que Más detalles Cumplimiento de la LOPD
Cumplimiento de la LOPD con e-pulpo ÍNDICE 1 Introducción... 3 2 La Ley Orgánica 15/1999 (LOPD)... 4 3 El Real Decreto 1720/2007... 6 4 Implantación... 8 4.1 Porqué implantar la LOPD?... 8 4.2 Cómo evitar Más detalles ACUERDO DEL CONSEJO DE GOBIERNO QUE APRUEBA LA POLÍTICA DE GESTIÓN DE DOCUMENTOS ELECTRÓNICOS EN LA UNIVERSIDAD PÚBLICA DE NAVARRA
ACUERDO DEL CONSEJO DE GOBIERNO QUE APRUEBA LA POLÍTICA DE GESTIÓN DE DOCUMENTOS ELECTRÓNICOS EN LA UNIVERSIDAD PÚBLICA DE NAVARRA La Universidad Pública de Navarra precisa una política de gestión de documentos Más detalles WHITE PAPER. Cumplimiento de Aranda 360 ENDPOINT SECURITY con la Norma ISO/IEC 27001 (Tecnología de la Información Técnicas de Seguridad)
con la Norma ISO/IEC 27001 (Tecnología de la Información Técnicas de Seguridad) Abril 2008 TABLA DE CONTENIDO INTRODUCCIÓN. 3 ARANDA 360 ENDPOINT SECURITY & LA NORMA ISO / IEC 27001. 4 www.arandasoft.com Más detalles DECLARACIÓN DE USUARIO DE RECURSOS INFORMATICOS
DECLARACIÓN DE USUARIO DE RECURSOS INFORMATICOS D/Dª con DNI nº profesor/pas/estudiante/becario de investigación de la Universidad de Granada, con identificación de cuenta y con identificación de nodo Más detalles DOCUMENTO DE SEGURIDAD
Módulo Profesional: Seguridad informática. Código: 0226. Resultados de aprendizaje y criterios de evaluación. 1. Aplica medidas de seguridad pasiva en sistemas informáticos describiendo características Más detalles Medidas de Nivel Medio
Capítulo 6 Medidas de Nivel Medio Medidas de seguridad especiales Para los sistemas de información que traten, almacenen o transmitan datos de carácter personal clasificados dentro de los datos de nivel Más detalles Borrador nº 1 (08/05/2015) CONSEJERÍA DE AGRICULTURA, PESCA Y DESARROLLO RURAL PREÁMBULO
Borrador nº 1 (08/05/2015) CONSEJERÍA DE AGRICULTURA, PESCA Orden por la que se crea el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones (TIC) de la Consejería de Agricultura, Más detalles DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN
DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACION RESPONSABILIDAD Y AUTORIDAD REVISADO POR: LEIDA MARIA RAMIREZ GIL SUBGERENTE GENERAL FECHA 30/10/2014 APROBADO POR: GERARDO Más detalles Seguridad Informática
Seguridad Informática Necesidad del Uso de Estándares IIMV Quito, Ecuador Agenda Introducción. Obstáculos para implementar Seguridad Informática Administración de la Seguridad Informática Ciclo de vida Más detalles Introducción. ISO /IEC 27001: Gestión de la seguridad. Actualización ISO/IEC27001 2005 -> 2013
Introducción ISO /IEC 27001: Gestión de la seguridad Desde la publicación inicial de norma internacional ISO/IEC 27001 en el año 2005 el número de implantaciones de los Sistemas para la Gestión de la Seguridad Más detalles COMO AUDITAR EL CUMPLIMIENTO DE LA LORTAD /LOPD / REGLAMENTO DE SEGURIDAD. Rafael Bernal, CISA. Universidad Politécnica de Valencia
COMO AUDITAR EL CUMPLIMIENTO DE LA LORTAD /LOPD / REGLAMENTO DE SEGURIDAD Rafael Bernal, CISA Universidad Politécnica de Valencia El Reglamento de medidas de seguridad exige para los ficheros de nivel Más detalles SISTEMA DE GESTION DE LA SEGURIDAD CON ISO 27001:2005. Por: Gloria Stella Viveros Muriel
SISTEMA DE GESTION DE LA SEGURIDAD CON ISO 27001:2005 Por: Gloria Stella Viveros Muriel Sobre el autor: GLORIA STELLA VIVEROS MURIEL. Ingeniera de sistemas egresada Universidad Manuela Beltrán, especialista Más detalles Sistemas de Gestión n de la Calidad - Requisitos UNE - EN ISO 9001:2008
Sistemas de Gestión n de la Calidad - Requisitos UNE - EN ISO 9001:2008 ISO 9001 CUATRO CAPÍTULOS BÁSICOS RESPONSABILIDADES DE LA DIRECCIÓN P D GESTIÓN DE RECURSOS REALIZACIÓN DEL PRODUCTO A C MEDICIÓN Más detalles POLITICA SEGURIDAD DE LA UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA (ULPGC)
POLITICA SEGURIDAD DE LA UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA (ULPGC) INDICE 0 PRÓLOGO... 3 1 INTRODUCCIÓN... 4 2 ÁMBITO DE APLICACIÓN... 4 3 POLÍTICA DE SEGURIDAD... 6 3.1 Organización... 6 3.2 Planificación... Más detalles Sistemas de gestión de la calidad Requisitos

References: resolución 
 Resolución 
 artículo 9
 Artículo 2
 REAL DECRETO 
 REAL DECRETO 
 RESOLUCIÓN 
 RESOLUCIÓN 
 Resolución 
 REAL DECRETO 
 artículo 18
 artículo 12
 artículo 21
 Real Decreto 
 Real Decreto